¿Qué es Active Directory?

El principal servicio de Active Directory es Active Directory Domain Services (AD DS), que forma parte del sistema operativo Windows Server. Los servidores que ejecutan AD DS se denominan controladores de dominio (DC). Las organizaciones normalmente tienen varios DC y cada uno tiene una copia del directorio para todo el dominio. Los cambios realizados en el directorio en un controlador de dominio, como la actualización de la contraseña o la eliminación de una cuenta de usuario, se replican en los otros controladores de dominio para que todos estén actualizados. Un servidor de catálogo global es un controlador de dominio que almacena una copia completa de todos los objetos en el directorio de su dominio y una copia parcial de todos los objetos de todos los demás dominios del bosque; esto permite a los usuarios y aplicaciones encontrar objetos en cualquier dominio de su bosque. Los equipos de escritorio, portátiles y otros dispositivos que ejecutan Windows (en lugar de Windows Server) pueden formar parte de un entorno de Active Directory, pero no ejecutan AD DS. AD DS se basa en varios protocolos y estándares establecidos, incluidos LDAP (protocolo ligero de acceso a directorios), Kerberos y DNS (sistema de nombres de dominio).

Es importante comprender que Active Directory es solo para entornos de Microsoft locales. Los entornos de Microsoft en la nube utilizan Azure Active Directory, que tiene las mismas finalidades que su homónimo local. AD y Azure AD son independientes, pero pueden funcionar juntos hasta cierto punto si su organización tiene entornos de TI locales y en la nube (una implementación híbrida).

La base de datos (directorio) de Active Directory contiene información sobre los objetos AD en el dominio. Los tipos comunes de objetos AD incluyen usuarios, computadoras, aplicaciones, impresoras y carpetas compartidas. Algunos objetos pueden contener otros objetos (por eso verá AD descrito como jerárquico). En particular, las organizaciones a menudo simplifican la administración organizando los objetos de AD en unidades organizativas (OU) y optimizan la seguridad al colocar a los usuarios en grupos. Estas unidades organizativas y grupos son en sí mismos objetos almacenados en el directorio.

Los objetos tienen atributos. Algunos atributos son obvios y otros están más detrás de escena. Por ejemplo, un objeto de usuario normalmente tiene atributos como el nombre, la contraseña, el departamento y la dirección de correo electrónico de la persona, pero también atributos que la mayoría de la gente nunca ve, como su identificador único global (GUID), Identificador de seguridad (SID), último inicio de sesión tiempo y pertenencia al grupo.

Las bases de datos están estructuradas, lo que significa que hay un diseño que determina qué tipos de datos almacenan y cómo se organizan esos datos. Este diseño se llama esquema. Active Directory no es una excepción: su esquema contiene definiciones formales de cada clase de objeto que se puede crear en el bosque de Active Directory y cada atributo que puede existir en un objeto de Active Directory. AD viene con un esquema predeterminado, pero los administradores pueden modificarlo para adaptarlo a las necesidades comerciales. La clave que debe saber es que es mejor planificar el esquema cuidadosamente desde el principio debido al papel central que desempeña AD en la autenticación y las autorizaciones; cambiar el esquema de la base de datos de AD más adelante puede alterar drásticamente su negocio.