Su estructura jerárquica permite mantener una serie de objetos relacionados con componentes de una red, como usuarios, grupos de usuarios, permisos y asignación de recursos y políticas de acceso.
Active Directory está basado en una serie de estándares llamados (X.500), aquí se encuentra una definición lógica a modo jerárquico.
Dominios y subdominios se identifican utilizando la misma notación de las zonas DNS, razón por la cual Active Directory requiere uno o más servidores DNS que permitan el direccionamiento de los elementos pertenecientes a la red, como por ejemplo el listado de equipos conectados; y los componentes lógicos de la red, como el listado de usuarios.
Un ejemplo de la estructura descendente (o herencia), es que si un usuario pertenece a un dominio, será reconocido en todo el árbol generado a partir de ese dominio, sin necesidad de pertenecer a cada uno de los subdominios.
A su vez, los árboles pueden integrarse en un espacio común denominado bosque (que por lo tanto no comparten el mismo nombre de zona DNS entre ellos) y establecer una relación de «trust» o confianza entre ellos. De este modo los usuarios y recursos de los distintos árboles serán visibles entre ellos, manteniendo cada estructura de árbol el propio Active Directory.
Funcionamiento
Su funcionamiento es similar a otras estructuras de LDAP (Lightweight Directory Access Protocol), ya que este protocolo viene implementado de forma similar a una base de datos, la cual almacena en forma centralizada toda la información relativa a un dominio de autenticación. La ventaja que presenta esto es la sincronización presente entre los distintos servidores de autenticación de todo el dominio.A su vez, cada uno de estos objetos tendrá atributos que permiten identificarlos en modo unívoco (por ejemplo, los usuarios tendrán campo «nombre», campo «email», etcétera, las impresoras de red tendrán campo «nombre», campo «fabricante», campo «modelo», campo "usuarios que pueden acceder", etc). Toda esta información queda almacenada en Active Directory replicándose de forma automática entre todos los servidores que controlan el acceso al dominio.
De esta forma, es posible crear recursos (como carpetas compartidas, impresoras de red, etc) y conceder acceso a estos recursos a usuarios, con la ventaja que estando todos estos objetos memorizados en Active Directory, y siendo esta lista de objetos replicada a todo el dominio de administración, los eventuales cambios serán visibles en todo el ámbito. Para decirlo en otras palabras, Active Directory es una implementación de servicio de directorio centralizado en una red distribuida que facilita el control, la administración y la consulta de todos los elementos lógicos de una red (como pueden ser usuarios, equipos y recursos).
Intercambio entre dominios
Para permitir que los usuarios de un dominio accedan a recursos de otro dominio, Active Directory usa un trust (en español, relación de confianza). El trust es creado automáticamente cuando se crean nuevos dominios. Los límites del trust no son marcados por dominio, sino por el bosque al cual pertenece. Existen trust transitivos, donde los trust de Active Directory pueden ser un acceso directo (une dos dominios en árboles diferentes, transitivo, una o dos vías), bosque (transitivo, una o dos vías), reino (transitivo o no transitivo, una o dos vías), o externo (no transitivo, una o dos vías), para conectarse a otros bosques o dominios que no son de Active Directory. Active Directory usa el protocolo V5 de Kerberos, aunque también soporta NTLM y usuarios webs mediante autenticación SSL / TLS.Confianza transitiva
Las Confianzas transitivas son confianzas automáticas de dos vías que existen entre dominios en Active Directory.Confianza explícita
Las Confianzas explícitas son aquellas que establecen las relaciones de forma manual para entregar una ruta de acceso para la autenticación. Este tipo de relación puede ser de una o dos vías, dependiendo de la aplicación.Las Confianzas explícitas se utilizan con frecuencia para acceder a dominios compuestos por ordenadores con Windows NT 4.0.
Confianza de Acceso Directo
La Confianza de acceso directo es, esencialmente, una confianza explícita que crea accesos directos entre dos dominios en la estructura de dominios. Este tipo de relaciones permite incrementar la conectividad entre dos dominios, reduciendo las consultas y los tiempos de espera para la autenticación.Confianza entre bosques
La Confianza entre bosques permite la interconexión entre bosques de dominios, creando relaciones transitivas de doble vía. En Windows 2000, las confianzas entre bosques son de tipo explícito, al contrario de Windows Server 2003.Direccionamientos a recursos
Los direccionamientos a recursos de Active Directory son estándares con la Convención Universal de Nombrado (UNC), Localizador Uniforme de Recursos (URL) y nombrado de LDAP.Cada objeto de la red posee un nombre de distinción (en inglés, Distinguished name (DN)), así una impresora llamada Imprime en una Unidad Organizativa (en inglés, Organizational Units, OU) llamada Ventas y un dominio foo.org, puede escribirse de las siguientes formas para ser direccionado:
- en DN sería CN=Imprime,OU=Ventas,DC=foo,DC=org, donde
- CN es el nombre común (en inglés, Common Name)
- DC es clase de objeto de dominio (en inglés, Domain object Class).
- En forma canónica sería foo.org/Ventas/Imprime
- Distinción de Nombre Relativo (en inglés, Relative Distinguised Name (RDN)), que busca un recurso sólo con el Nombre Común (CN).
- Globally Unique Identifier (GUID), que genera una cadena de 128 bits que es usado por Active Directory para buscar y replicar información
Este tema explica cómo instalar Active Directory en Windows Server 2003 a fin de configurar un entorno de prueba PKI/Exchange.
La cuenta de equipo y los nombres de dominio utilizados en este procedimiento se basan en el entorno de prueba descrito en Implementación de un sistema de seguridad de los mensajes basado en Exchange 2003 en un entorno de prueba.
Antes de empezar En la consola o en una sesión de terminal, inicie sesión en CONT-CA01 como miembro del grupo Administradores.
Procedimiento Para instalar Active Directory en Windows Server 2003 - Haga clic en Inicio, Ejecutar, escriba dcpromo y, a continuación, haga clic en Aceptar.
- En la primera página del Asistente para instalación de Active Directory, haga clic en Siguiente.
 Nota: |
| Si es la primera vez que instala Active Directory, puede hacer clic en Ayuda de Active Directory para ver más información acerca de Active Directory antes de hacer clic en Siguiente. |
- En la página siguiente del Asistente para instalación de Active Directory, haga clic en Siguiente.
- En la página Tipo de controlador de dominio, haga clic en Controlador de dominio para un dominio nuevo y, a continuación, haga clic en Siguiente.
- En la página Crear nuevo dominio, haga clic en Dominio en un nuevo bosque y, a continuación, haga clic en Siguiente.
- En la página Nuevo nombre de dominio, en el cuadro Nombre DNS completo del nuevo dominio, escriba corp.contoso.com y haga clic en Siguiente.
- En la página Carpetas de la base de datos y del registro, acepte los valores predeterminados que aparecen en los cuadros Carpeta de la base de datos y Carpeta de registro y haga clic en Siguiente.
- En la página Volumen del sistema compartido, acepte el valor predeterminado del cuadro Ubicación de la carpeta y haga clic en Siguiente.
- En la página Diagnósticos de registro de DNS, haga clic en Instalar y configurar este equipo de manera que utilice este servidor DNS como el preferido y, a continuación, haga clic en Siguiente.
- En la página Permisos, haga clic en Permisos compatibles sólo con sistemas operativos de servidor Windows 2000 o Windows Server 2003 y a continuación haga clic en Siguiente.
- En la página Contraseña de admin. del Modo de restauración de servicios de directorio, escriba una contraseña en el cuadro Contraseña de modo remoto, vuelva a escribir la contraseña para confirmarla en el cuadro Confirmar contraseña y haga clic en Siguiente.
| Nota: |
| Consulte la directiva de seguridad de su organización para asegurarse de que la contraseña seleccionada cumple los requisitos de seguridad de su organización. |
- En la página Resumen, confirme que la información es correcta y haga clic en Siguiente.
- Cuando se le pregunte si desea reiniciar el equipo, haga clic en Reiniciar ahora.
- Una vez que se haya reiniciado el equipo, inicie sesión en CONT-CA01 como miembro del grupo Administradores.
Crear cuentas de usuario y de grupo
Las cuentas de usuario se utilizan para autenticar, autorizar o denegar el acceso a recursos a usuarios individuales de una red y para auditar su actividad en la red. Una cuenta de grupo es una colección de cuentas de usuario que se puede utilizar para asignar un conjunto de permisos y derechos a varios usuarios al mismo tiempo. Un grupo también puede contener contactos, equipos y otros grupos. Puede crear cuentas de usuario y cuentas de grupo en Active Directory para administrar usuarios de dominios. También puede crear cuentas de usuario y cuentas de grupo en un equipo local para administrar usuarios concretos de ese equipo.
Cuatro de las tareas más comunes son crear cuentas de usuario en Active Directory, crear cuentas de grupo en Active Directory, crear cuentas de usuario en un equipo local y crear grupos en un equipo local. También puede utilizar la línea de comandos para crear cuentas de usuario y de grupo en Administrar Active Directory desde la línea de comandos o en un Administrar grupos locales desde la línea de comandos. Para obtener más información acerca de otras tareas para administrar cuentas de usuario y grupos de Active Directory, vea Administrar usuarios, grupos y equipos. Para obtener más información acerca de otras tareas para administrar cuentas de usuario y grupos en un equipo local, vea Uso de grupos y usuarios locales.
Para crear una cuenta de usuario en Active Directory
- Abra Usuarios y equipos de Active Directory.
- En el árbol de la consola, haga clic con el botón secundario del <i>mouse</i> (ratón) en la carpeta a la que desee agregar una cuenta de usuario.
¿Dónde? - Usuarios y equipos de Active Directory/nodo del dominio/carpeta.
- Seleccione Nuevo y, después, haga clic en Usuario.
- Escriba el nombre del usuario en Nombre.
- En Iniciales, escriba las iniciales del usuario.
- En Apellidos, escriba los apellidos del usuario.
- Modifique Nombre para agregar iniciales o invertir el orden del nombre y los apellidos.
- En Nombre de inicio de sesión de usuario, escriba el nombre de inicio de sesión del usuario, haga clic en el sufijo UPN en la lista desplegable y, a continuación, haga clic en Siguiente.
Si el usuario va a utilizar un nombre diferente para iniciar una sesión en equipos donde se ejecuta Windows 95, Windows 98 o Windows NT, cambie el nombre de inicio de sesión de usuario que aparece en Nombre de inicio de sesión de usuario (anterior a Windows 2000) por el otro nombre. - En Contraseña y Confirmar contraseña, escriba la contraseña del usuario y, a continuación, seleccione las opciones de contraseña adecuadas.
Notas
- Para llevar a cabo este procedimiento, debe ser miembro del grupo Operadores de cuentas, del grupo Administradores de dominio o del grupo Administradores de organización de Active Directory, o bien debe tener delegada la autoridad correspondiente. Como práctica recomendada de seguridad, considere la posibilidad de utilizar la opción Ejecutar como para llevar a cabo este procedimiento. Para obtener más información, vea Grupos locales predeterminados, Grupos predeterminados y Utilizar Ejecutar como.
- Para abrir Usuarios y equipos de Active Directory, haga clic en Inicio, en Panel de control, haga doble clic en Herramientas administrativas y, a continuación, haga doble clic en Usuarios y equipos de Active Directory.
- Para agregar un usuario, también puede hacer clic en
en la barra de herramientas. - También puede agregar un usuario si copia una cuenta de usuario creada anteriormente.
- Una nueva cuenta de usuario con el mismo nombre que una cuenta de usuario eliminada anteriormente no adquiere de forma automática los permisos y la pertenencia a grupos de la cuenta eliminada, ya que el identificador de seguridad (SID) de cada cuenta es único. Para duplicar una cuenta de usuario eliminada, se deben volver a crear manualmente todos los permisos y pertenencia a grupos.
- Cuando se crea una cuenta de usuario con el asistente para nuevo usuario desde el panel de detalles, se pueden modificar rápidamente las propiedades del usuario, para lo que hay que cerrar el asistente, hacer clic en la nueva cuenta y presionar ENTRAR. Para abrir el asistente para nuevo usuario desde el panel de detalles, haga clic con el botón secundario del <i>mouse</i> en el panel de detalles, haga clic en Nuevo y, después, en Usuario.
- Para permitir la interoperabilidad con otros servicios de directorio, puede crear un objeto de usuario InetOrgPerson. Para crear un nuevo objeto inetOrgPerson, en el paso tres, haga clic en InetOrgPerson en lugar de en Usuario.
- Al crear un nuevo usuario, se crea el atributo nombre completo con el formato predeterminado NombreApellidos. El atributo de nombre completo también determina el formato del nombre que se muestra en la lista global de direcciones. Puede cambiar el formato del nombre que se muestra mediante Edición de ADSI. Si lo hace, también cambiará el formato del nombre completo. Para obtener más información, vea el artículo Q250455, "How to Change Display Names of Active Directory Users" de Microsoft Knowledge Base.
Para crear una cuenta de grupo en Active Directory
- Abra Usuarios y equipos de Active Directory.
- En el árbol de la consola, haga clic con el botón secundario del <i>mouse</i> (ratón) en la carpeta en la que desea agregar un nuevo grupo.
¿Dónde? - Usuarios y equipos de Active Directory/nodo del dominio/carpeta.
- Seleccione Nuevo y, después, haga clic en Grupo.
- Escriba el nombre del grupo nuevo.
De forma predeterminada, el nombre que escriba se usará también para el grupo nuevo en versiones anteriores a Windows 2000. - En Ámbito de grupo, haga clic en una de las siguientes opciones:
- En Tipo de grupo, haga clic en una de las siguientes opciones:
Notas
- Para llevar a cabo este procedimiento, debe ser miembro del grupo Operadores de cuentas, del grupo Administradores de dominio o del grupo Administradores de organización de Active Directory, o bien debe tener delegada la autoridad correspondiente. Como práctica recomendada de seguridad, considere la posibilidad de utilizar la opción Ejecutar como para llevar a cabo este procedimiento. Para obtener más información, vea Grupos locales predeterminados, Grupos predeterminados y Utilizar Ejecutar como.
- Para abrir Usuarios y equipos de Active Directory, haga clic en Inicio, en Panel de control, haga doble clic en Herramientas administrativas y, a continuación, haga doble clic en Usuarios y equipos de Active Directory.
- Para agregar un grupo también puede hacer clic en la carpeta a la que desea agregarlo y, después, en
en la barra de herramientas. - Si el dominio en el que crea el grupo está configurado en el nivel funcional de dominio mixto de Windows 2000, sólo podrá seleccionar grupos de seguridad con ámbitos de Dominio local o Global. Para obtener más información, vea Ámbito de grupo.
- Cuando se crea una cuenta de grupo con el asistente para nuevo grupo desde el panel de detalles, se pueden modificar rápidamente las propiedades de la cuenta de grupo, para lo que hay que cerrar el asistente, hacer clic en la nueva cuenta y presionar ENTRAR. Para abrir el asistente para nuevo grupo desde el panel de detalles, haga clic con el botón secundario del <i>mouse</i> en el panel de detalles, haga clic en Nuevo y, después, en Grupo.
Para crear una cuenta de usuario en un equipo local
- Abra Administración de equipos.
- En el árbol de la consola, haga clic en Usuarios.
¿Dónde? - Administración de equipos/Herramientas del sistema/Usuarios y grupos locales/Usuarios
- En el menú Acción, haga clic en Usuario nuevo.
- Escriba la información correspondiente en el cuadro de diálogo.
- Active o desactive las siguientes casillas de verificación:
- El usuario debe cambiar la contraseña en el siguiente inicio de sesión
- El usuario no puede cambiar la contraseña
- La contraseña nunca caduca
- Cuenta deshabilitada
- Haga clic en Crear y, después, en Cerrar.
Notas
- Para llevar a cabo este procedimiento, debe ser miembro del grupo Administradores en el equipo local o tener delegada la autoridad correspondiente. Si el equipo está unido a un dominio, los miembros del grupo Administradores de dominio podrían llevar a cabo este procedimiento. Como práctica recomendada de seguridad, considere la posibilidad de utilizar la opción Ejecutar como para llevar a cabo este procedimiento.
- Para abrir Administración de equipos, haga clic en Inicio, en Panel de control, haga doble clic en Herramientas administrativas y, a continuación, haga doble clic en Administración de equipos.
- Un nombre de usuario no puede coincidir con otro nombre de usuario o de grupo en el equipo que está administrando. Puede contener hasta 20 caracteres, en mayúsculas o minúsculas, excepto los siguientes:
" / \ [ ] : ; | = , + * ? < >
Un nombre de usuario no puede estar formado sólo por puntos (.) o espacios. - En Contraseña y Confirmar contraseña puede escribir una contraseña que contenga hasta 127 caracteres. Sin embargo, si la red está formada únicamente por equipos con Windows 95 o Windows 98, considere la posibilidad de utilizar contraseñas que no tengan más de 14 caracteres. Si su contraseña tiene más caracteres, es posible que no pueda iniciar una sesión en la red desde esos equipos.
- No debe agregar un usuario local nuevo al grupo Administradores local a menos que el usuario vaya a realizar únicamente tareas administrativas. Para obtener más información, vea Por qué no debe trabajar en el equipo como administrador.
Para crear un grupo en un equipo local
- Abra Administración de equipos.
- En el árbol de la consola, haga clic en Grupos.
¿Dónde? - Administración de equipos/Herramientas del sistema/Usuarios y grupos locales/Grupos
- En el menú Acción, haga clic en Grupo nuevo.
- En Nombre de grupo, escriba un nombre para el nuevo grupo.
- En Descripción, escriba la descripción del nuevo grupo.
- Para agregar uno o varios usuarios a un grupo nuevo, haga clic en Agregar.
- En el cuadro de diálogo Seleccionar usuarios, equipos o grupos realice las acciones siguientes:
- Para agregar al grupo una cuenta de usuario o de grupo, escriba su nombre en Escriba los nombres de objeto que desea seleccionar y, después, haga clic en Aceptar.
- Para agregar una cuenta de equipo a este grupo, haga clic en Tipos de objetos, active la casilla de verificación Equipos y, a continuación, haga clic en Aceptar. En Escriba los nombres de objeto que desea seleccionar, escriba el nombre de la cuenta de equipo que desee agregar y, después, haga clic en Aceptar.
- En el cuadro de diálogo Grupo nuevo, haga clic en Crear y, a continuación, en Cerrar.
Notas
- Para llevar a cabo este procedimiento, debe ser miembro del grupo Administradores en el equipo local o tener delegada la autoridad correspondiente. Si el equipo está unido a un dominio, los miembros del grupo Administradores de dominio podrían llevar a cabo este procedimiento. Como práctica recomendada de seguridad, considere la posibilidad de utilizar la opción Ejecutar como para llevar a cabo este procedimiento.
- Para abrir Administración de equipos, haga clic en Inicio, en Panel de control, haga doble clic en Herramientas administrativas y, a continuación, haga doble clic en Administración de equipos.
- El nombre de un grupo local no puede coincidir con ningún otro nombre de grupo o usuario del equipo local administrado. Puede contener hasta 256 caracteres, en mayúsculas o minúsculas, excepto los siguientes:
" / \ [ ] : ; | = , + * ? < >
Un nombre de grupo no puede contener exclusivamente puntos (.) o espacios en blanco.
