¿Qué es Active Directory y cómo funciona?

Organizaciones de todos los tamaños en todo el mundo utilizan Active Directory para ayudar a administrar permisos y controlar el acceso a recursos críticos de la red. Pero, ¿qué es exactamente y cómo puede ayudar potencialmente a su negocio?

¿Qué es Directorio Activo?

Active Directory (AD) es un servicio de directorio que se ejecuta en Microsoft Windows Server. La función principal de Active Directory es permitir a los administradores administrar permisos y controlar el acceso a los recursos de la red. En Active Directory, los datos se almacenan como objetos, que incluyen usuarios, grupos, aplicaciones y dispositivos, y estos objetos se clasifican según su nombre y atributos.

¿Qué son los servicios de dominio de Active Directory?

Los Servicios de dominio de Active Directory (AD DS) son un componente central de Active Directory y proporcionan el mecanismo principal para autenticar a los usuarios y determinar a qué recursos de red pueden acceder. AD DS también proporciona funciones adicionales como inicio de sesión único (SSO), certificados de seguridad, LDAP y administración de derechos de acceso.

La estructura jerárquica de los servicios de dominio de Active Directory

AD DS organiza los datos en una estructura jerárquica que consta de dominios, árboles y bosques, como se detalla a continuación.

Dominios: Un dominio representa un grupo de objetos, como usuarios, grupos y dispositivos, que comparten la misma base de datos de AD. Puedes pensar en un dominio como una rama de un árbol. Un dominio tiene la misma estructura que los dominios y subdominios estándar, p. tudominio.com y ventas.tudominio.com.

Árboles: Un árbol es uno o más dominios agrupados en una jerarquía lógica. Dado que los dominios de un árbol están relacionados, se dice que “confían” entre sí.

Bosque: Un bosque es el nivel más alto de organización dentro de AD y contiene un grupo de árboles. Los árboles de un bosque también pueden confiar entre sí y también compartirán esquemas de directorio, catálogos, información de aplicaciones y configuraciones de dominio.

Unidades organizativas: una unidad organizativa se utiliza para organizar usuarios, grupos, computadoras y otras unidades organizativas.

Contenedores: Un contenedor es similar a una unidad organizativa; sin embargo, a diferencia de una unidad organizativa, no es posible vincular un objeto de política de grupo (GPO) a un contenedor genérico de Active Directory.

Otros servicios de Active Directory

Además de los servicios de dominio de Active Directory, hay otros servicios críticos que proporciona AD. Algunos de esos servicios se enumeran a continuación:

Servicios de directorio ligeros: AD LDS es un servicio de directorio de protocolo ligero de acceso a directorios (LDAP). Proporciona sólo un subconjunto de las características de AD DS, lo que lo hace más versátil en términos de dónde se puede ejecutar. Por ejemplo, se puede ejecutar como un servicio de directorio independiente sin necesidad de integrarlo con una implementación completa de Active Directory.

Servicios de certificados: puede crear, administrar y compartir certificados de cifrado, que permiten a los usuarios intercambiar información de forma segura a través de Internet.

Servicios de federación de Active Directory: ADFS es una solución de inicio de sesión único (SSO) para AD que permite a los empleados acceder a múltiples aplicaciones con un único conjunto de credenciales, simplificando así la experiencia del usuario.

Servicios de gestión de derechos: AD RMS es un conjunto de herramientas que ayuda con la gestión de tecnologías de seguridad que ayudarán a las organizaciones a mantener sus datos seguros. Dichas tecnologías incluyen cifrado, certificados y autenticación, y cubren una variedad de aplicaciones y tipos de contenido, como correos electrónicos y documentos de Word.

El servidor que hospeda AD DS se denomina controlador de dominio (DC). También se puede utilizar un controlador de dominio para autenticar con otros productos de MS, como Exchange Server, SharePoint Server, SQL Server, File Server y más.

Primeros pasos con Windows Active Directory

Una guía completa paso a paso para configurar Active Directory en Windows Server está fuera del alcance de este artículo. En su lugar, proporcionaré un resumen básico de los pasos necesarios para instalar AD, que al menos debería indicarle la dirección correcta. Suponiendo que ya tiene instalado Windows Server (2016), deberá...

Cambie la configuración de DNS para que la dirección IP de su servidor sea el servidor DNS principal.
Abra el Administrador del servidor, al que puede acceder a través de PowerShell iniciando sesión como administrador y escribiendo ServerManager.exe.
En la ventana Administrador del servidor, haga clic en Agregar funciones y características y haga clic en el botón Siguiente para iniciar el proceso de configuración.
En la ventana que dice Seleccionar funciones de servidor, marque la casilla que dice Servicios de dominio de Active Directory. Aparecerá un cuadro emergente. Haga clic en Agregar funciones y luego haga clic en Siguiente para continuar.
Sigue haciendo clic en el botón Siguiente hasta llegar a la pantalla final. A menos que sepa lo que está haciendo, es mejor que deje la configuración predeterminada como está.
Una vez que haya llegado al final del asistente, haga clic en Instalar y espere a que se complete el proceso de instalación.

Una vez que haya instalado los Servicios de dominio de Active Directory, deberá configurar su instalación, lo que incluye cambiar las contraseñas predeterminadas y configurar unidades organizativas, dominios, árboles y bosques. Como se mencionó, una explicación detallada sobre cómo instalar y configurar Active Directory está más allá del alcance de este artículo. Para obtener instrucciones detalladas y actualizadas, deberá consultar la documentación oficial.

¿Qué es Azure Active Directory?

Dado que cada vez más organizaciones están trasladando sus operaciones comerciales a la nube, Microsoft ha introducido Azure Active Directory (Azure AD), que es su versión basada en la nube de Windows AD, que también puede sincronizarse con implementaciones de AD locales. Se dice que Azure AD es la columna vertebral de Office 365 y otros productos de Azure; sin embargo, también se puede integrar con otros servicios y plataformas en la nube. Algunas de las diferencias entre Windows y Azure AD son las siguientes.

Comunicación: Azure AD usa una API REST, mientras que Windows AD usa LDAP, como se mencionó anteriormente.

Autenticación: Windows AD usa Kerberos y NTLM para la autenticación, mientras que Azure AD usa sus propios protocolos de autenticación integrados basados en web.

Estructura: a diferencia de Windows AD, que está organizado por unidades organizativas, árboles, bosques y dominios, Azure AD utiliza una estructura plana de usuarios y grupos.

Administración de dispositivos: a diferencia de Windows AD, Azure AD se puede administrar a través de dispositivos móviles. Azure AD no depende de los objetos de política de grupo (GPO) para determinar qué dispositivos y servidores pueden conectarse a la red.

Si estás leyendo un artículo sobre Active Directory, es más que probable que aún no lo estés utilizando. En cuyo caso, sería mejor comenzar con Azure AD en lugar de Windows AD. Una de las razones principales por las que es posible que desee utilizar Windows AD es si almacena grandes cantidades de datos valiosos y cuenta con un equipo de profesionales de TI con experiencia que administran su programa de ciberseguridad.

Causas comunes de bloqueos frecuentes de cuentas de Active Directory
Auditoría exitosa e intentos fallidos de inicio de sesión en Active Directory
Los 10 principales métodos de ataque a Active Directory

Auditoría de Directorio Activo
Auditoría de Azure AD
Auditoría de políticas de grupo
Seguridad del directorio activo
Herramienta de bloqueo de cuenta AD