Confianzas en Active Directory
Los administradores de TI han estado trabajando con Active Directory y sus alrededores desde la introducción de la tecnología en Windows 2000 Server. Windows 2000 Server se lanzó el 17 de febrero de 2000, pero muchos administradores comenzaron a trabajar con Active Directory a finales de 1999, cuando se lanzó a fabricación (RTM) el 15 de diciembre de 1999.
¿Qué es la confianza en AD?
Un confianza es una relación entre un bosque y/o dominios.
En un bosque de AD, todos los dominios confían en cada uno porque se crea una confianza transitiva bidireccional cuando se agrega cada dominio. Esto permite que la autenticación pase de un dominio a cualquier otro dominio en el mismo bosque.
También puede crear confianzas fuera del bosque con otros bosques y dominios de AD DS o dominios Kerberos v5.
En los días de Windows NT 4.0, no había un bosque ni una estructura jerárquica. Si tenía varios dominios, tenía que crear confianza manualmente entre ellos. Con Active Directory, automáticamente tienes confianzas transitivas bidireccionales entre dominios en el mismo bosque. ¡En Windows NT 4.0, también tenías que usar NetBIOS para establecer confianzas!
Afortunadamente, las cosas han avanzado mucho y ahora tenemos una funcionalidad de confianza adicional, especialmente para proteger confianzas con autenticación selectiva y filtrado SID.
Cada confianza en un dominio se almacena como un objeto TrustedDomain (TDO) en el contenedor del sistema. Por lo tanto, para buscar y enumerar todas las confianzas y los tipos de confianza en un dominio denominado contoso.com, ejecute Get-ADObject -SearchBase “cn=system, dc=contoso,dc=com” -Filtro * -Propiedades tipo de confianza | donde {$_.objectClass -eq “trustedDomain”} | seleccione Nombre, tipo de confianza comando PowerShell de Windows.
Hay 4 valores válidos para el atributo trustType. Sin embargo, sólo el valor 1 (que indica una confianza con un dominio NT) y el valor 2 (que indica una confianza con un dominio de Active Directory) son comunes. Hay mucha otra buena información sobre las confianzas almacenadas en el objeto trustedDomain.
En un dominio denominado contoso.com, ejecute Get-ADObject -SearchBase “cn=system,dc=contoso,dc=com” -Filter * -Properties * | donde {$_.objectClass -eq “trustedDomain”} | FL comando PowerShell de Windows para ver todas las propiedades de confianza.
También puede ver muchas de las propiedades principales de una confianza ejecutando el comando Get-ADTrust -Filter *.
Propiedades fiduciarias
La siguiente tabla muestra las propiedades fiduciarias y una descripción de cada propiedad.
- Trust property
Descripción de la propiedad
- Direction
Los valores válidos son bidireccionales, entrantes o salientes. Tenga en cuenta que la dirección es relativa al dominio en el que ejecuta la consulta.
- DisallowTransivity
Creo que se trata de un error tipográfico de Microsoft, ya que en realidad debería ser "DisallowTransitivity". Esto se puede establecer en Verdadero o Falso en función de si la confianza no permite la tranitividad.
- DistinguishedName
El DN del objeto de dominio confiable.
- ForestTransitive
-
Se establece en Verdadero cuando una confianza de bosque es transitiva y en Falso cuando una confianza de bosque no es transitiva.
- IntraForest
Esto se establece en Verdadero cuando una confianza se realiza entre dominios en el mismo bosque o se establece en Falso cuando una confianza se realiza entre dominios en diferentes bosques.
- IsTreeParent
Los valores válidos son Verdadero y Falso.
- IsTreeRoot
Los valores válidos son Verdadero y Falso.
- Name
El nombre del dominio que forma parte de la confianza, no el dominio donde se ejecuta la consulta.
- ObjectClass
Esto está configurado como dominio de confianza para fideicomisos.
- ObjectGUID
Identificador único global para el fideicomiso. Un ejemplo es de207451-51ed-44cd-4248-85ad9fcb2d50.
- SelectiveAuthentication
Configúrelo en Verdadero si la confianza está configurada para autenticación selectiva o Falso si no lo está.
- SIDFilteringForestAware
Establecer en Verdadero si una confianza de bosque está configurada para autenticación selectiva
- SIDFilteringQuarantined
Se establece en Verdadero cuando se utiliza el filtrado SID con cuarentena para una confianza. Se utiliza únicamente para fideicomisos externos.
- Source
-
Establezca el DN de la raíz de confianza. En una confianza forestal, el DN del dominio raíz del bosque es la fuente.
- Target
Establezca el nombre de dominio del otro lado del fideicomiso.
- TGTDelegation
Establezca en Verdadero si la delegación completa de Kerberos está habilitada en las confianzas de bosque salientes. El valor predeterminado es Falso.
- TrustAttributes
Establezca un valor numérico que indique la configuración de confianza. Por ejemplo
- TrustedPolicy
indocumentado
- TrustingPolicy
indocumentados
- TrustType
Establezca en Uplevel para confianzas con bosques y dominios de Active Directory, DownLevel para confianzas en dominios anteriores a Active Directory, como dominios NT 4, y dominio Kerberos para confianzas con dominios Unix/Linux.
- UplevelOnly
Configúrelo en Verdadero si solo los sistemas operativos Windows 2000 y posteriores pueden usar el enlace de confianza.
- UsesAESKeys
Establezca en Verdadero para confianzas de dominio que utilizan claves de cifrado AES.
- UsesRC4Encryption
Establezca en Verdadero para confianzas de dominio que utilizan claves de cifrado RC4.
Desde una perspectiva de escalabilidad, hay un par de cosas acerca de los fideicomisos que usted debe tener en cuenta:
- Número máximo de confianzas para la autenticación Kerberos.
Si un cliente en un dominio confiable intenta acceder a un recurso en un dominio confiable, el cliente no podrá autenticarse si la ruta verdadera tiene más de 10 enlaces de confianza. En entornos con una gran cantidad de confianzas y rutas de confianza largas, debe implementar confianzas de acceso directo para mejorar el rendimiento y garantizar la funcionalidad de autenticación Kerberos.
- El rendimiento se deteriora después de 2400 fideicomisos.
En entornos realmente grandes y complejos, es posible que tenga una enorme cantidad de fideicomisos. Después de alcanzar 2400 confianzas, cualquier confianza adicional agregada a su entorno podría afectar significativamente el rendimiento de las confianzas, especialmente en relación con la autenticación.
Encontrará más información sobre las bases de Active Directory en nuestro tutorial de AD para principiantes.