El propósito de la siguiente nota es describir la importancia de los servicios de directorio de Windows (Active Directory Services) detallando algunas de sus características, su funcionalidad y los roles FSMO. Sin lugar a dudas Windows Server es un sistema operativo excelente por sus prestaciones, robustez y confiabilidad, pero generalmente se desconoce el por qué, y qué elementos contiene. Este es el caso de Active Directory, uno de los puntos primordiales.

Que es Active Directory?

Podemos decir como definición pura que Active Directory es el servicio de directorio Windows server 2003, que almacena información acerca de los objetos de la red y pone a disposición de los usuarios y administradores de la red dicha información. Ahora bien: qué es un directorio, objetos y demás características?

Debemos definir directorio como una estructura jerárquica en la cual se almacena información acerca de los objetos que componen nuestra red, considerando como objetos todo aquellos elementos que tengan entidad, como ser: un member server, una computadora, un usuario, una impresora, etc. Incluso algunos objetos pueden llegar a ser containers para otros objetos.

Es decir (Active Directory), provee una estructura y las funciones necesarias para organizar, administrar y controlar recursos de forma centralizada, por lo cual toda esta información se almacena también en forma centralizada. Por ejemplo, se almacenan los datos (atributos) acerca de las cuentas de usuarios, recopilando toda la información acerca de un usuario en distintas solapas, como se puede ver en la Figura 1. En esta caso en particular, el Active Directory se encuentra extendido ya que posee las propiedades de un servidor de correo Microsoft Exchange.

Asimismo, no solo almacena los datos del usuario y su password, sino también permite a otros usuarios autorizados, a manejar dicha información, admitiendo la delegación de la administración a administradores específicos de ciertos recursos, y no de toda la red de Windows Server 2003.

La estructura Lógica de Active Directory

Como mencionamos anteriormente la estructura de Active Directory es jerárquica. La estructura sería similar a la mostrada en la Figura2.

Dentro de la estructura podemos observar los siguientes elementos:

• Objetos. Estos son los componentes básicos de la estructura lógica.
• Clases. Son los modelos o las plantillas para los tipos de objetos que se pueden crear en Active Directory. Cada clase de objeto es definida por un grupo de atributos, los cuales identifican los posibles valores que puede tomar cada objeto. Cada objeto tiene una combinación única de los valores de atributos.
• Unidades Organizativas. Son contenedores de objetos y sirven para organizarlos (con fines netamente administrativos). Se puede delegar la autoridad para administrarlas e incluso asignarles políticas de seguridad especiales a cada una.
• Dominios. Son las unidades funcionales “Core” de la estructura lógica de AD; se las puede considerar como una colección de los objetos administrativos definidos, que comparten un directorio, políticas de seguridad y relaciones de confianza con otros Dominios.
• Domain tree. Son Dominios agrupados en estructuras jerárquicas: al agregar un segundo dominio en una estructura, este ultimo se convierte en Child del dominio principal (domain tree)y así sucesivamente. Un ejemplo de ellos sería ba.laboratorio.com.ar (Child), donde el domain tree seria laboratorio.com.ar.
• Forests. Un Forest es una instancia completa de Active Directory, y consiste en uno o más trees.

La funcionalidad de Active Directory

Como describimos anteriormente, Active Directory es el medio, la herramienta para organizar, administrar y controlar de forma centralizada nuestra red y los recursos que hay en ella. Provee al usuario los recursos disponibles, independientemente de su ubicación y de la forma en que este conectada a la red.

Active Directory proporciona distintas herramientas para facilitar las tareas de administración, permitiendo controlar escritorios distribuidos, servicios de red y aplicaciones desde una oficina central, y con consolas centralizadas, disminuyendo dichas tareas.

Dentro de las funcionalidades que presenta Active Directory se encuentran:

• Posibilidad de funcionar como servicio Non-Operating System. Active Directory in Application Mode (AD/AM) es un feature nuevo de Active Directory de Windows Server 2003, actúa en escenarios de aplicaciones Directory-Enabled. AD/AM funciona como servicio Non-Operating System que, como tal, no requiere instalación sobre un Domain Controller. Este tipo de servicios ejecutan múltiples instancias de AD/AM en un mismo server, a su vez configurando cada una de ellas de forma independiente.
• Renombrado de Dominios: Existe la posibilidad de renombrar dominios sin modificar la estructura del AD. Este característica facilita mucho las tareas de reestructuración de dominios.
• ADMT versión 2.0: Con esta utilidad se facilitan las labores a la hora de migrar a Active Directory. Active Directory Migration Tool (ADMT) tiene la opción de migrar passwords desde Microsoft Windows NT 4.0 a Windows 2000 y Windows Server 2003, o desde Windows 2000 a Dominios Windows Server 2003.
• Schema: Existe la posibilidad de habilitar o deshabilitar atributos y definiciones de clases Active Directory Schema.
• Group Policy: Existe una consola de administración centralizada de políticas que fue lanzada en forma conjunta con Windows Server 2003, Group Policy Management Console (GPMC). Por medio de ella se pueden administrar las políticas de múltiples dominios, realizar backups y restores de las mismas, activar o desactivar políticas, editarlas, generar reportes para visualizar y analizar las opciones que configura cada política.
• Relaciones de confianza: Se realizaron mejoras en cuanto a las relaciones de confianza Inter-Forest.
• Policies de Restricción de Software: Existe la posibilidad proteger los entornos de Software no autorizados.
• Replicación de miembros en los grupos: Se eliminaron las restricciones de 5000 usuarios por grupo, y se resolvieron los problemas de replicación, ya que ahora cada miembro de un grupo es un atributo en si.
• Manejo de Sites: El manejo de sites incluye un nuevo algoritmo de Inter-Site Topology Generator (ISTG), eliminando la limitación del número máximo de Sites en 500 a 5000 Sites (Probado en laboratorios de Microsoft 3000

Qué son los Operations Masters?

Cuando se efectúa un cambio en un servidor de dominio, este cambio es replicado a todos los Domain Controllers del mismo. Algunos cambios, por ejemplo los que se hacen en el schema, son replicados a todos los domains en el forest. Este tipo de replicación es llamada Multimaster Replication.

Operaciones Single Master

Generalmente se utiliza Single Master Replication, para evitar errores o conflictos durante la réplica. Con este método, solamente un Domain Controller determinado es el que puede realizar los cambios en el Active Directory, evitando así múltiples cambios simultáneos.

Operations Master Roles

Son roles específicos del forest (o del domain) que son utilizados en las operaciones del Single Master Replication. Sólo el Domain Controller que tiene asignado el rol es quien puede realizar los cambios en el directorio.

Cada Domain Controller responsable de un rol especifico es denominado Operation Master Rol, y este es almacenado en el Active Directory. Los Operations Master Roles existen a nivel forest o nivel domain, y Active Directory define cinco de ellos.

Roles Forest-wide.

• Schema master. Se encarga de controlar las actualizaciones al schema. El schema contiene la definición de clases de objetos y atributos utilizados para crear todos los objetos (usuarios, computadoras, e impresoras).
• Domain Naming Master. Se encarga de controlar las altas o bajas de dominios del forest. Cuando se agregue un dominio al forest, solamente el Domain Controller que tenga el rol Domain Naming Master, podrá agregarlo.

Existen solamente un Schema Master y un Domain Naming Master por cada forest.

Roles Domain-wide:

• Primary Domain Controller Emulator (PDC). Este rol actúa como un PDC Windows NT para dar soporte a los Backup Domain Controllers (BDCs) los cuales se ejecutan en dominios Windows NT, en modo mixto. Este tipo de dominios se caracterizan por tener en su infraestructura un Domain Controller con Windows NT 4.0.
• Relative Identifier Master (RID). Es el rol encargado de vincular el RID a los objetos creados. Esto ocurre de la siguiente manera: cuando un objeto es creado, el Domain Controller genera un Security Principal que lo representa, y le asigna un Unique Security Principal (SID). Este SID es igual para todos los security Principals del dominio, y un Relative Identifier (RID), que es único para cada Security Principal de todo el dominio.
• Infrastructure Master. Es el encargado de actualizar las referencias de cada objeto dentro del dominio cuando sufre alguna modificación.

Cada dominio en el forest tiene su propio PDC Emulator, RID Master e Infraestructure Master.

Espero que les haya aclarado el panorama. Saludos, Roberto Di Lello.

Links y Lectura Adicional:

• Microsoft Windows Server 2003 TechCenter – Active Directory
• Microsoft Windows Server 2003 TechCenter – Conceptos de Active Directory
• Windows Server 2003 R2 – Windows Server 2003 Active Directory (Ingles)
• Windows Server 2003 R2 – What’s New in Active Directory (Ingles)
• Proceso de transferencia de roles FSMO
• ADAM (Active Directory Aplication Mode)

Fuente: Revista NextIT#35