A menudo tenemos clientes que implementan aplicaciones Web Active Directory en una DMZ que aloja servidores web orientados al público. Estas aplicaciones suelen tener acceso a un Active Directory interno detrás del firewall y autentican a los usuarios del dominio de Active Directory interno.
Esto puede presentar un mayor riesgo de seguridad sobre los servidores web internos y tenemos algunas pautas para elegir el modelo mejor y más seguro de implementación para este escenario. Al implementar Active Directory en una DMZ, es importante utilizar las mejores prácticas.
Hemos completado algunas investigaciones para determinar estas prácticas recomendadas para configurar aplicaciones web en la DMZ que utilizan la autenticación integrada de Windows en IIS y acceder a Active Directory internamente detrás del firewall. Algunas preguntas simples podrían ser:
-
Hay cuatro modelos de implementación: Sin AD (servidor de grupo de trabajo independiente con solo cuentas locales); Isolated forest model (Modelo de bosque aislado); Extended corporate forest model (Modelo de bosque corporativo extendido) y Forest trust model (Modelo de confianza del forest).
-
No puede ejecutar la mayoría de las aplicaciones habilitadas para AD en servidores de grupo de trabajo independientes de Windows en la DMZ.
-
Dispone de varios modelos de arquitectura para permitir el acceso seguro desde una DMZ.
-
El modelo de bosque aislado y el modelo de bosque corporativo extendido que utiliza controladores de dominio de sólo lectura (RODC, Read Only Domain Controllers) proporcionan los riesgos de seguridad más bajos.
-
Todos los modelos se pueden endurecer para proporcionar una seguridad excelente.
Les recomiendo ver la nota de TechNet Active Directory Domain Services in the Perimeter Network (Windows Server 2008) que nos proporciona toda la información necesaria para implementar con seguridad las aplicaciones web habilitadas para AD en la DMZ. Igualmente no deja de ser una discusión interesante que van a tener que tener con Seguridad Informática (cuenten su experiencia y la publicare).
Espero les sea de interés. Saludos. Roberto Di Lello