Mejores prácticas para la denominación de dominios de Active Directory
Al crear un nuevo dominio de Active Directory, la elección del nombre de dominio es importante, independientemente de si es un administrador nuevo o experimentado. Este artículo analiza tres opciones para nombres de dominio: usar un dominio de nivel superior (TLD) válido registrado para su empresa, usar un subdominio de un TLD válido registrado para su empresa o usar un nombre que no sea TLD. Se proporcionan ejemplos de cada opción.
Convenciones básicas de nomenclatura de dominios de Active Directory
El primer controlador de dominio de Active Directory crea tanto el primer dominio como el límite de seguridad para la organización, conocido como bosque. Se pueden agregar varios dominios para mejorar la replicación dentro del bosque. El bosque puede ser un dominio único o tener varios árboles con subdominios. Al configurar el primer dominio/bosque, el administrador puede elegir su nombre, lo que puede tener implicaciones importantes para el futuro de la organización. El nombre NetBIOS, que no tiene que ser el mismo que el nombre de dominio, también se puede definir durante el proceso de implementación de Active Directory. Por ejemplo, el dominio ad.patricio.ca podría tener el nombre NetBIOS “Corporate” si así lo desea.
Registro de Dominio
Independientemente de la opción elegida por el administrador, es fundamental registrar el dominio público a nombre de la empresa. Este es el primer paso y el más crucial para establecer una base sólida para el entorno de la empresa. Teniendo en cuenta el tamaño y el crecimiento potencial de la empresa, es importante planificar la configuración de la infraestructura de Active Directory teniendo en cuenta la futura expansión. Por ejemplo, si una empresa como Patricio Enterprises opera únicamente en Canadá pero planea tener oficinas en todo el mundo, puede resultar beneficioso comprar dominios públicos para todos los países. Además, se recomienda designar un dominio, como .com, como dominio predeterminado.
Certificados Públicos
Las autoridades de certificación públicas solo aceptan dominios de nivel superior (TLD) y no admiten nombres que no sean TLD o NetBIOS en sus certificados. Esto significa que los administradores de red deben utilizar DNS de cerebro dividido cuando trabajan con Exchange Server. Esto implica crear una zona DNS dentro de la red interna con el mismo nombre que la zona DNS pública. Luego, los clientes internos resolverán las entradas enumeradas en sus servidores DNS internos, que apuntan a un servidor local. Este enfoque simplifica el diseño al utilizar el mismo nombre de servicio para usuarios internos y externos. En cuanto a los Certificados Públicos, hay opciones limitadas disponibles. Los administradores deben usar un dominio registrado para solicitar el certificado y configurar los servicios para usar ese dominio (por ejemplo, Patricio.com).
Servicios de nombres de dominio (DNS) y diseño de resolución de nombres
DNS es un servicio crucial para Active Directory y otros productos de Microsoft. Es necesario administrar dominios públicos y se puede hacer a través de registradores de Internet o proveedores de DNS especializados como Microsoft Azure/Office 365. Las configuraciones de DNS público son accesibles para los usuarios en Internet y permiten configuraciones como la recepción de correo electrónico y los servicios de acceso de clientes. El objetivo es hacer que la experiencia del usuario sea fluida, independientemente de si está en la intranet o en Internet, mediante el uso de un único nombre para los servicios. Para lograr esto, se recomienda un DNS de cerebro dividido. Algunas tecnologías de Microsoft, como Skype Empresarial y Exchange, casi requieren el uso de DNS de cerebro dividido.
Microsoft Exchange: Dominios aceptados y políticas de direcciones de correo electrónico
En el proceso de configuración del primer servidor Exchange para una organización Exchange, el dominio de Active Directory existente se convertirá en la dirección SMTP principal de la organización. Si se utiliza un dominio de nivel superior (TLD) válido, no es necesario crear dominios aceptados ni configurar políticas de direcciones de correo electrónico. Todo se configurará automáticamente y los nuevos buzones recibirán la dirección SMTP correcta sin ningún cambio. Sin embargo, si se elige la Opción 2 o la Opción 3, se debe agregar un nuevo dominio aceptado, se deben actualizar las políticas de dirección de correo electrónico y se debe eliminar el dominio predeterminado creado anteriormente para mantener la organización y la limpieza.
Microsoft Azure y nombre principal de usuario (UPN)
Para sincronizar directorios entre el entorno local y Microsoft Azure Active Directory (AAD), el administrador debe asegurarse de que el dominio público en Microsoft Azure esté validado. Esto significa que todas las cuentas con el mismo dominio establecido en su nombre principal de usuario (UPN) se sincronizarán con Azure Active Directory. Anteriormente, la autenticación se realizaba utilizando el formato DOMINIO\nombre de usuario, que todavía funciona para aplicaciones internas. Sin embargo, para SaaS y Active Directory Federation, se requiere el formato UPN, como nombre de usuario@empresa.com. Este formato también se recomienda para iniciar sesión en el cliente Windows, Skype for Business y Exchange (con Outlook Anywhere). Al sincronizar con Azure Active Directory, el UPN del usuario debe coincidir con el dominio en Azure.
Hay tres opciones para configurar esta sincronización:
La opción 1 no requiere ningún cambio de configuración adicional ya que el UPN predeterminado será el nombre de dominio actual o raíz.
La opción 2 y la opción 3 requieren agregar el dominio válido en Dominio y confianzas de Active Directory y garantizar que todos los usuarios tengan el UPN válido configurado en sus propiedades de usuario.
Al crear un nuevo Active Directory, el administrador debe considerar la opción 1 y la opción 2. Personalmente, se prefiere la opción 1 porque es más fácil a largo plazo. La opción 2 es factible pero requiere más cambios ambientales y es similar a la opción 3 en términos de la lista de tareas pendientes.