Servicios de dominio de Active Directory: qué es y cómo funciona

Hoy responderé todas las preguntas clave que pueda tener sobre los servicios de dominio de Active Directory.

¿Qué son los servicios de dominio de Active Directory? ¿Es diferente de Active Directory?

Los Servicios de dominio de Active Directory (AD DS) y Active Directory (AD) son lo mismo: una base de datos (o directorio) con información crítica, como todos los usuarios y computadoras que tiene, y servicios asociados que controlan gran parte de la actividad que se lleva a cabo. en su entorno de TI.

Como dice un artículo de la revista Redmond: “Un entorno de Active Directory significa que debe tener al menos un servidor con los servicios de dominio de Active Directory instalados. "

¿Qué hacen realmente los servicios de dominio de Active Directory?

AD DS tiene dos funciones principales:

Autenticación: asegurarse de que cada usuario sea quien dice ser, normalmente comprobando el ID de usuario y la contraseña que proporciona.
Autorización : permitir que cada usuario acceda solo a los datos que puede usar

Tenga en cuenta que aquí estoy usando la palabra "usuario" en un sentido genérico; AD DS proporciona autenticación y autorización no sólo para individuos sino también para dispositivos, aplicaciones, procesos, etc.

¿Cómo instalo los servicios de dominio de Active Directory?

No instala AD DS per se. Más bien, es una de las funciones de servidor incluidas en el sistema operativo Microsoft Windows Server. Cuando instala Windows Server en una máquina, necesita especificar qué función o funciones desempeñará ese servidor: servidor de archivos, servidor web, servidor DNS, etc. (consulte la Figura 1).

Figura 1. Cuando instala Windows Server en una máquina, debe especificar qué funciones desempeñará ese servidor.

Al asignar a un servidor la función AD DS, lo convierte en un controlador de dominio (DC). Tenga en cuenta que las computadoras de escritorio, portátiles y otros sistemas que ejecutan la versión normal de Windows no ejecutan AD DS y no pueden ser controladores de dominio.

Como puede ver en la figura, hay una variedad de otras funciones que puede asignar a un servidor, que incluyen:

Servicios de certificados de Active Directory (AD CS): permite que el DC proporcione certificados digitales, firmas y criptografía de clave pública.
Servicios de federación de Active Directory (AD FS) : proporciona inicio de sesión único (SSO) para que los usuarios no tengan que seguir proporcionando las mismas credenciales.
Servicios de directorio ligeros de Active Directory : permite el uso de LDAP para comunicarse con otros servidores de servicios de directorio, como cualquier computadora Linux en su red.
Servicios de administración de derechos de Active Directory (RMS) : ayuda a proteger la información mediante políticas de uso persistentes que permanecen con el contenido sin importar dónde se mueva.

¿Puedo tener varios servidores ejecutando Servicios de dominio de Active Directory?

¡Sí! De hecho, esa es la norma: las organizaciones casi siempre tienen múltiples controladores de dominio para lograr redundancia y escalabilidad. Si un CD falla, otro puede intervenir para brindar los mismos servicios.

El servicio de replicación de Active Directory se asegura de que todos los controladores de dominio de la red permanezcan sincronizados. En particular, los mantiene a todos actualizados sobre cualquier modificación en los usuarios y computadoras en su directorio (como el cambio de contraseña de un usuario) y cualquier cambio en su esquema, que define todas las clases de objetos (como usuarios, grupos, ordenadores, dominios y unidades organizativas) que se pueden almacenar en su directorio.

¿Cuáles son las mejores prácticas para proteger los controladores de dominio?

¡Me alegra que hayas preguntado! Es esencial recordar que cualquier servidor que ejecute AD DS es un objetivo principal para los ciberataques. Un pirata informático que compromete uno de sus controladores de dominio está bien posicionado para lograr cualquier objetivo nefasto que tenga, desde robar sus datos más valiosos hasta sabotear procesos comerciales críticos. Y, como señala Microsoft, “dependiendo de la preparación, las herramientas y las habilidades del atacante, la modificación o incluso el daño irreparable a la base de datos de AD DS se puede completar en minutos u horas, no en días o semanas. "

Por lo tanto, es esencial proteger sus controladores de dominio como Fort Knox. En particular:

Limite quién tiene derechos administrativos locales en cada DC.
Instale únicamente aplicaciones y servicios que sean esenciales para la funcionalidad y la seguridad. Un DC debe actuar exclusivamente como DC.
Nunca permita que un controlador de dominio acceda a Internet. Prohibir el uso de navegadores web en sus DC no solo por política, sino también por controles técnicos. Si un DC necesita replicarse entre sitios, implemente conexiones seguras entre esos sitios.
Limite las cuentas que pueden iniciar sesión de forma interactiva y cumpla estrictamente las mejores prácticas en cuanto a la complejidad y la caducidad de las contraseñas para esas cuentas. Recuerde que varios grupos, como los Operadores de servidores, permiten a los miembros iniciar sesión de forma interactiva.
Minimiza el acceso a la red a todos tus controladores de dominio.
Controlar estrictamente el acceso físico a todos los centros de datos. Si está utilizando centros de datos virtuales, sepa quiénes son sus administradores de virtualización y controle su actividad, ya que pueden elevar sus privilegios.
Mantenga Windows Server actualizado con los parches y utilice la versión más reciente posible.
Audite la actividad en todos los controladores de dominio y asegúrese de recibir alertas sobre cualquier comportamiento sospechoso.
Haga una copia de seguridad de sus DC. (Para ver una historia entretenida pero aleccionadora sobre cómo una empresa no implementó esta mejor práctica y tuvo que trasladar físicamente su último centro de distribución activo desde Ghana al Reino Unido, consulte este informe técnico).

Conclusión

Eso es todo por mi inmersión técnica en AD DS. Para una visión más práctica, recomiendo encarecidamente nuestra serie de blogs de cinco partes que cubre los siguientes temas:

¿Qué es Directorio Activo?
Gestión de directorio activo
Seguridad del directorio activo
Migración de directorio activo
Informes de Directorio Activo