Resumen Técnico de Active Directory

Transcripción

1 Resumen Técnico de Active Directory Windows 2000 Sistema Operativo de Servidor Documentos Estratégicos Resumen Introducción Este documento proporciona una introducción técnica al Active Directory, el nuevo servicio de directorio proporcionado por el sistema operativo del Servidor Windows 2000 de Microsoft. Este documento incluye explicaciones detalladas de los conceptos importantes del Active Directory, elementos arquitectónicos y características. La sección Conceptos Importantes describe los términos que necesita comprender antes de abordar el Active Directory mismo. Las siguientes dos secciones, Arquitectura y Funciones del Active Directory entran más en detalle sobre lo que realiza el Active Directory, qué características trae a Windows y como está implementado. La sección Migración cubre modelos de dominio de migración y estructuras de directorio de Windows NT 4.0 a Windows La última sección, Preguntas Más Frecuentes, responde preguntas sobre el Active Directory y cómo funciona. Un directorio es una fuente de información usada para almacenar información sobre objetos interesantes. Un directorio telefónico almacena información sobre los subscriptores. En un sistema de archivo, el directorio almacena información sobre los archivos. En un sistema computacional distribuido o una red computacional pública como Internet, hay muchos objetos interesantes, tales como impresoras, servidores de fax, aplicaciones, bases de datos y otros usuarios. Los usuarios quieren encontrar y usar estos objetos. Los administradores quieren manejar como se usan estos objetos. En este documento, los "términos directorio" y "servicio de directorio" se refieren a los directorios que se encuentran en redes públicas y privadas. Un servicio de directorio difiere de un directorio en que es tanto la fuente de información del directorio como los servicios que hacen la información disponible y utilizable para los usuarios. Un servicio de directorio es uno de los más importantes componentes de un sistema computacional extenso. Con frecuencia los usuarios y los administradores no saben el nombre exacto de los objetos en los cuales están interesados. Pueden conocer uno o más atributos de los objetos y pueden consultar el directorio para obtener una lista de objetos que igualen los atributos: por ejemplo, "Encuentre todas las impresoras bidireccional en el Edificio 26". Un servicio de directorio le permite al usuario encontrar cualquier objeto dada uno de sus atributos. Un servicio de directorio puede: Reforzar la seguridad definida por los administradores para mantener la información segura ante intrusos. Distribuir un directorio a través de muchas computadoras en una red. Hacer duplicados del directorio para que esté disponible para más usuarios y sea resistente a las fallas. Separar un directorio en almacenes múltiples para permitir el almacenaje de un gran número de objetos. Un servicio de directorio es tanto una herramienta de manejo como una herramienta de

2 usuario final. Conforme aumenta el número de objetos en una red, el servicio de directorio se vuelve esencial. El servicio de directorio es el eje alrededor del cual gira un gran sistema distribuido. El Active Directory es el servicio de directorio incluido en el Servidor Windows Amplía las características de previos servicios de directorio basados en Windows y agrega características totalmente nuevas. El Active Directory es seguro, distribuido, separado, y duplicado. Está diseñado para funcionar bien en instalaciones de cualquier tamaño, desde un solo servidor con unos cuantos cientos de objetos hasta miles de servidores y millones de objetos. El Active Directory agrega muchas características nuevas que hacen fácil navegar y manejar grandes cantidades de información, generando ahorros de tiempo tanto para los administradores como para los usuarios finales. Conceptos Importantes Algunos conceptos y términos que son empleados para describir al Active Directory son nuevos y algunos no lo son. Desafortunadamente, algunos de los términos que han existido por un tiempo son usados para que signifiquen más que una cosa en particular. Antes de continuar, es importante que entienda como se definen los siguientes conceptos y términos en el contexto del Active Directory. El campo del Active Directory es amplio. Puede incluir todos los objetos (impresora, archivo o usuario), cada servidor y cada dominio en una sola red de área amplia. También puede incluir varias redes de área amplia combinadas, así es que es importante tener en mente que el Active Directory puede escalar desde una sola computadora, a una sola red computacional, hasta muchas redes computacionales combinadas. El Active Directory es principalmente un espacio para nombres, como cualquier servicio de directorio. El directorio es un espacio para nombres. Un espacio para nombres es cualquier área limitada en la cual puede ser incluido un nombre dado. La inclusión del nombre es el proceso de adaptar un nombre a algún objeto o información que representa. Un directorio telefónico forma un espacio para nombres para el cual los nombres de los subscriptores de teléfono pueden ser incluidos en números telefónicos. El sistema de archivo de Windows forma un espacio para nombres en el cual el nombre de un archivo puede ser incluido al archivo mismo. El Active Directory forma un espacio para nombres en el cual el nombre de un objeto en el directorio puede ser incluido al objeto mismo. Un objeto es un juego de nombres preciso de atributos que representa algo en concreto, como un usuario, una impresora, o una aplicación. Los atributos mantienen datos que describen al sujeto que es identificado por el objeto del directorio. Los atributos de un usuario pueden incluir su nombre, apellido y dirección de correo electrónico. Figura 1. Un objeto de usuario y sus atributos Un contenedor es como un objeto en que tiene atributos y es parte del espacio para nombres del Active Directory. Sin embargo, a diferencia de un objeto, no representa algo en concreto. Es un contenedor para un grupo de objetos y otros contenedores.

3 Un árbol (tree) se usa en todo este documento para describir una jerarquía de objetos y contenedores. Los puntos finales en el árbol son usualmente objetos. Los nudos en el árbol (los puntos donde salen ramas) son contenedores. Un árbol muestra como son conectados los objetos o el camino de un objeto a otro. Un simple directorio es un contenedor. Una red computacional o dominio es también un contenedor. Un subárbol colindante es cualquier camino ininterrumpido en el árbol, incluyendo todos los miembros de cualquier contenedor en ese camino. Figura 2. Un subárbol colindante de un directorio de archivo Se usa un nombre (name) para identificar cada objeto en el Active Directory. Hay dos tipos diferentes de nombres. Nombre Único Cada objeto en el Active Directory tiene un nombre único (Distinguished Name, DN). El nombre único identifica el dominio que conserva el objeto, así como el camino completo a través de la jerarquía del contenedor por el cual se llega al objeto. Un típico DN puede ser /O=Internet/DC=COM/DC=Microsoft/CN=Users/CN=JamesSmith Este DN identifica al objeto de usuario "James Smith" en el dominio Microsoft.com Figura 3. Una representación gráfica de un nombre único

4 Nombre único Relativo El Nombre único Relativo (Relative Distinguished Name, RDN) de un objeto es la parte del nombre la cual es un atributo del objeto mismo. En el siguiente ejemplo, el RDN del usuario "James Smith" es CN=James Smith. El RDN del objeto principal es CN=Users. El Active Directory está compuesto de uno a más contextos para dar nombres o particiones. Un contexto para dar nombres es cualquier subárbol colindante del directorio. Los contextos para dar nombres son las unidades de duplicado. En el Active Directory, un solo servidor conserva siempre por lo menos tres contextos para dar nombres. El esquema La configuración (topología de partición y metadatos relacionados) Uno o más contextos para dar nombres de usuario (subárboles conteniendo los objetos reales en el directorio). Un dominio es un solo límite de seguridad de una red computacional de Windows NT o Windows (Para más información sobre dominios, vea la documentación de Windows). El Active Directory está compuesto de uno o más dominios. En una sola estación de trabajo, el dominio es la computadora misma. Un dominio puede conectar más de una ubicación física. Cada dominio tiene sus propias políticas de seguridad y relaciones de seguridad con otros dominios. Cuando dominios múltiples son conectados por relaciones de confianza y comparten un esquema común, configuración, y catálogo global, tienen un árbol dominio. Arboles de dominio múltiples pueden conectarse juntos en un bosque. Un árbol de dominio comprende varios dominios que comparten un esquema común y configuración, formando un colindante espacio para nombres. Los dominios en un árbol están también vinculados por relaciones de confianza. El Active Directory es un conjunto de uno o más árboles. Los árboles pueden ser vistos de dos maneras. Una manera es las relaciones de confianza entre los dominios. La otra es el espacio para nombres del árbol de dominio. Visualizando las Relaciones de confianza Puede trazar un dibujo de un árbol de dominio basado en los dominios individuales y de cómo confían uno en el otro. Windows 2000 establece las relaciones de confianza entre los dominios basándose en el protocolo de seguridad Kerberos. La confianza de Kerberos es transitiva y jerárquica, si el dominio A confía en el dominio B y dominio B confía en dominio C, dominio A confía también en el dominio C.

5 Figura 4. Un árbol de dominio visto en términos de sus relaciones de confianza. Visualizando el Espacio para nombres También puede hacer un dibujo de un árbol de dominio basado en el espacio para nombres (Namespace). Puede determinar el nombre único de un objeto siguiendo el camino hacia el espacio para nombres del árbol de dominio. Esta vista es útil para agrupar objetos en una jerarquía lógica. La principal ventaja de un colindante espacio para nombres es que una búsqueda intensa desde la raíz del espacio para nombres buscará en la jerarquía completa. Figura 5. Viendo un árbol dominio como espacio para nombres Un bosque es un conjunto de uno o más árboles que NO forman un espacio para nombres colindante. Todos los árboles en un bosque comparten un esquema común, configuración, y Catalogo Global. Todos los árboles en un bosque dado confían uno en el otro vía relaciones de confianza Kerberos transitivas jerárquicas. A diferencia de un árbol, un bosque no necesita un nombre único. Un bosque existe como un conjunto de objetos de referencia recíproca y relaciones de confianza Kerberos conocidas para los árboles miembros. Los árboles en un bosque forman una jerarquía para los propósitos de confianza Kerberos; el nombre del árbol en la raíz del árbol de confianza puede ser usado para referirse a un bosque dado. Figura 6. Arboles múltiples en un bosque

6 Un sitio (site) es una ubicación en una red que contiene servidores de Active Directory. Un sitio se define como una o más subredes TCP/IP bien conectadas. "Bien conectadas" significa que la conectividad de la red es altamente confiable y rápida (por ejemplo: velocidades de LAN (red local) de 10 millones de bits por segundo o mayores). Definir un sitio como un conjunto de subredes permite a los administradores configurar rápidamente y fácilmente el acceso al Active Directory y la topología de replicación para tomar ventaja de la red física. Cuando un usuario se conecta, el cliente del Active Directory encuentra servidores del Active Directory en el mismo sitio que el usuario. Ya que las máquinas en el mismo sitio están cerca una de otra en términos de red, la comunicación entre las máquinas es confiable, rápida y eficiente. Determinar el sitio local en tiempo de conexión se logra fácilmente debido a que la estación de trabajo del usuario ya sabe en que subred TCP/IP se encuentra, y las subredes se adaptan directamente a los sitios del Active Directory. Arquitectura Esta corta sección presenta algunos de los principales componentes arquitectónicos del Active Directory. El modelo de datos del Active Directory se deriva del modelo de datos X.500. El directorio conserva objetos que representan cosas de diferentes tipos, descritos por características. El universo de objetos que pueden ser almacenados en el directorio está definido en el esquema. Para cada clase de objetos, el esquema define qué atributos debe tener un ejemplo del grupo, qué atributos adicionales puede tener y qué clase de objetos puede ser matriz de la actual clase de objetos. El esquema del Active Directory es implementado como un conjunto de instancias de clase de objeto almacenados en el directorio. Es muy diferente a muchos directorios que tienen un esquema, pero los almacena como un archivo de texto para leerse al iniciar. Por ejemplo, las aplicaciones del usuario pueden leer el esquema para descubrir qué objetos y propiedades están disponibles. El esquema del Active Directory puede ser actualizado dinámicamente. Es decir, una aplicación puede extender el esquema con nuevos atributos y clases, y puede usar las extensiones inmediatamente. Las actualizaciones del esquema se logran creando o modificando los objetos del esquema almacenados en el directorio. Al igual que cada objeto en el Active Directory, los objetos del esquema son protegidos por listas de control de acceso (Access Control Lists, ACLs), así es que sólo los usuarios autorizados pueden alterar el esquema. El directorio es parte del Windows 2000 Trusting Computing Base y es un total participante en la infraestructura de seguridad de Windows Los ACLs protegen a todos los objetos en el Active Directory. Las rutinas de validación de acceso a Windows 2000 usan el ACL para validar cualquier intento de accesar un objeto o atributo en el Active Directory. Los usuarios autorizados desempeñan la administración en el Active Directory. Un usuario está autorizado por una autoridad más alta para desempeñar un conjunto de acciones especificadas en un conjunto de objetos especificados y clases de objetos en algún identificado subárbol del directorio. Esto se llama administración delegada (delegated administration). La administración delegada permite un control estricto sobre quien puede hacer qué y permite la delegación de autoridad sin otorgar altos privilegios. El Agente del Sistema de Directorio (Directory System Agent, DSA) es el proceso que maneja el almacenaje físico del directorio. Los clientes usan una de las interfaces apoyadas para conectarse al DSA y luego buscar, leer, y escribir objetos del directorio y sus atributos. El DSA proporciona al cliente aislamiento del formato de almacenaje físico de los datos del directorio. Funciones de Active Directory

7 Esta sección describe algunas de las principales características y componentes del Active Directory. El Active Directory está integrado estrechamente con el Sistema de nombres del dominio (Domain Name System, DNS). El DNS es el espacio para nombres distribuido que se usa en Internet para incluir nombres computacionales y de servicio a las direcciones TCP/IP. La mayoría de las empresas que tienen intranets usan DNS como el servicio de inclusión de nombres. El Active Directory usa DNS como el servicio de ubicación. Los nombres de dominio de Windows 2000 son nombres de dominio DNS. Por ejemplo: "Microsoft.com" es un nombre de dominio DNS válido y podría también ser el nombre de un dominio de Windows La estrecha integración DNS significa que el Active Directory encaja naturalmente en ambientes de Internet e intranet. Los clientes encuentran los servidores de directorio rápidamente y fácilmente. Una empresa puede conectar los servidores de Active Directory directamente a la Internet para facilitar las comunicaciones seguras y el comercio electrónico con clientes y socios. Servicio de ubicación Los servidores del Active Directory publican sus direcciones de modo que los clientes puedan encontrarlos conociendo sólo el nombre de dominio. Los servidores del Active Directory son publicados por medio de los Registros de recursos de servicios (Service Resource Records, SRV RRs) en DNS. El SRV RR es un registro de DNS usado para mapear el nombre de un servicio a las direcciones de un servidor que ofrece ese servicio. El nombre de un SRV RR se da en esta forma: Los servidores del Active Directory ofrecen el servicio LDAP sobre el protocolo TCP de modo que los nombres publicados se encuentren en la forma: ldap.tcp. Por lo tanto, el SRV RR para "Microsoft.com" es "ldap.tcp.microsoft.com". Información adicional sobre el SRV RR indica la prioridad y peso para el servidor, permitiendo que los clientes seleccionen el mejor servidor para sus necesidades. Cuando un servidor de Active Directory es instalado, se publica a sí mismo vía un DNS dinámico (Dynamic DNS) que se explica más adelante. Ya que las direcciones TCP/IP están sujetas a cambio con el tiempo, los servidores revisan periódicamente sus registros para asegurarse que están correctos, actualizándolos si es necesario. DNS Dinámico Un DNS dinámico (Dynamic DNS) es una reciente adición al estándar DNS. Dynamic DNS define un protocolo para actualizar dinámicamente un servidor con valores nuevos o cambiados. Antes de Dynamic DNS, los administradores necesitaban configurar manualmente los registros almacenados por servidores DNS. Un objeto tiene exactamente un nombre, el nombre único (DN). El DN identifica originalmente el objeto y contiene suficiente información para que el cliente retire el objeto del directorio. El DN de un objeto puede cambiar. Ya que el DN de un objeto está compuesto del RDN del objeto mismo o cualquier predecesor cambiará el DN. Debido a que los DNs son complejos para recordar y están sujetos a cambio, es de utilidad tener otros medios para recuperar objetos. El Active Directory apoya la consulta por características, de modo que un objeto pueda ser encontrado aún que se desconozca el DN exacto o haya cambiado. Para simplificar el proceso de encontrar objetos por consulta, el esquema del Active Directory define dos propiedades útiles:

8 Identificador de objeto globalmente único (Object globally unique identifier, GUID) - Un número de 128 bits, garantizado para ser único. Los objetos tienen asignado un GUID cuando son creados. El GUID nunca es cambiado, aún si el objeto es movido o vuelto a nombrar. Las aplicaciones pueden almacenar el GUID de un objeto y ser asegurado de recuperar ese objeto no importando cual es el DN actual. Nombre principal de usuario (User Principal Name) - Los principios de seguridad (usuarios y grupos) tienen un nombre "amigable" cada uno, el Nombre Principal de Usuario (User Principal Name, UPN), el cual es más corto que el DN y más fácil de recordar. El UPN está compuesto de un nombre en "taquigrafía" para el usuario y el nombre DNS para el árbol de dominio donde el usuario reside. Por ejemplo, el usuario James Smith en el árbol Microsoft.com puede tener un UPN de "JamesS@Microsoft.com". Exclusividad de Nombres Los nombres distinguidos están garantizados a ser exclusivos. El Active Directory no permite que dos objetos con el mismo RDN se encuentren bajo la misma matriz. Los DNs se componen de RDNs y por lo tanto son singulares. Los GUIDs son singulares por definición; un algoritmo que asegura la singularidad genera GUIDs. La singularidad no está reforzado por cualquier otro atributo. El acceso al Active Directory es vía protocolos en línea (wire protocols). Los protocolos en línea definen los formatos de mensajes e interacciones del cliente y servidor. Diversas interfaces de programación de aplicaciones (APIs) dan a los desarrolladores el acceso a estos protocolos. Apoyo a protocolos Los protocolos que son apoyados incluyen: LDAP - El protocolo central del Active Directory es el Lightweight Directory Acces Protocol (LDAP). Las versiones 2 y 3 de LDAP son apoyadas. MAPI-RPC - El Active Directory soporta las interfaces de Remote procedure call (RPC) que apoyan las interfaces MAPI. X El modelo de información del Active Directory se deriva del modelo de información X.500. ElX.500 define varios protocolos de electrónica que el Active Directory no implementa. Estos protocolos son: o o o DAP- Directory Access Protocol DSP - Directory System Protocol DISP - Directory Information Shadowing Protocol o DOP - Directory Operational Binding Management Protocol El Active Directory no implementa estos protocolos por las siguientes razones: Hay muy poco interés en estos protocolos y hay unas cuantas implementaciones. Estos protocolos son dependientes de trabajaren la red OSI. OSI es una alternativa para TCP/IP, la cual no está ampliamente implementada. Trasladar OSI a través de una red TCP/IP es menos eficiente que usar TCP/IP directamente. LDAP provee las funciones más importantes ofrecidas por DAP y DSP y está diseñado para trabajar sobre TCP/IP sin la sobrecarga de envolver OSI en TCP/IP. Hay suficiente ambigüedad en las especificaciones DISP y DOP de 1993 y 1997 que implementaciones de conformar no están garantizadas para interoperar, de ese modo reduciendo dramáticamente el valor de estos protocolos.

9 Interfaces de Programación de Aplicaciones Los APIs apoyados incluyen: ADSI - Interfaces de Servicio de Active Directory (ADSI), proveen al Active Directory de una interface simple y poderosa orientada al objeto. Los desarrolladores pueden usar muchos lenguajes de programación diferentes, incluyendo Java, sistema de programación Visual Basic, C, C++, y otros. El ADSI es totalmente encriptable para un fácil uso de los administradores del sistema. ADSI le esconde a los usuarios los detalles de las comunicaciones LDAP. LDAP API - El LDAP C API, definido en RFC 1823, es una interface de menor nivel disponible para los programadores C. MAPI - El Active Directory respalda a MAPI para compatibilidad en dirección contraria. Las nuevas aplicaciones deben usar ADSI o el LDAP C API. El Active Directory le permite a otros directorios a que sean expuestos vía Contenedores Virtuales (Virtual Containers). Un contenedor virtual permite que cualquier queja del directorio LDAP sea accesado transparentemente vía el Active Directory. El contenedor virtual es implementado vía información del conocimiento (knowledge information) almacenada en el Active Directory. La información del conocimiento describe donde en el Active Directory debe aparecer el directorio foráneo, y contiene el nombre DNS de un servidor que conserva una copia del directorio foráneo y el nombre único (DN) en el cual iniciar las operaciones de búsqueda en el DS foráneo. El Active Directory puede consistir de muchas separaciones o contextos para dar nombres. El nombre único (DN) de un objeto incluye suficiente información para localizar una réplica de la partición que mantiene el objeto. Muchas veces, sin embargo, el usuario o la aplicación desconoce el DN del objeto clave o cual partición puede contener el objeto. El Catálogo Global (Global Catalog, GC) permite a los usuarios y a las aplicaciones encontrar objetos en un árbol de dominio del Active Directory si el usuario o la aplicación sabe uno o más atributos del objeto clave. El Catálogo Global contiene una réplica parcial de cada contexto de dar nombre a los usuarios en el directorio. También contiene los contextos del esquema y configuración para asignar nombres. Esto significa que el GC mantiene una réplica de cada objeto en el Active Directory, pero sólo mantiene un pequeño número de sus atributos. Los atributos en el GC son aquellos más frecuentemente usados en operaciones de búsqueda (tales como el nombre y apellido del usuario, nombres de inicio de sesión, etc.) y aquellos requeridos para localizar una réplica completa del objeto. El GC le permite a los usuarios encontrar rápidamente objetos de interés sin saber que dominio los conserva y sin requerir un contiguo y extenso espacio para nombres en la empresa. El sistema para replicar del Active Directory construye automáticamente el Catálogo Global y genera la topología de replicar. Las propiedades duplicadas en el Catálogo Global incluyen un conjunto base definido por Microsoft.Los administradores pueden especificar propiedades adicionales para satisfacer las necesidades de su instalación. Esto es sólo un panorama general de seguridad en el Active Directory. Para mayor información sobre el modelo de seguridad de Windows 2000, consulte los documentos estratégicos de "Secure Networking Using Microsoft Windows 2000 Distributed Security". Protección de Objetos Todos los objetos en el Active Directory están protegidos por listas de control de acceso (Access Control Lists, ACLs). Las ACLs determinan quien puede ver el objeto y que acciones puede efectuar cada usuario en el objeto. La existencia de un objeto nunca es revelado a un usuario a quien no se le permite verlo.

10 Un ACL es una lista de Entradas de Control de Acceso (Access Control Entries, ACE) almacenadas con el objeto que protege. En Windows 2000, un ACL es almacenada como un valor binario que se llama un Descriptor de Seguridad (Security Descriptor). Cada ACE contiene un Identificador de Seguridad (Security Identifier, SID),el cual identifica el principal (usuario o grupo) a quien el ACE se aplica e información sobre que tipo de acceso que el ACE otorga o niega. ACLs en objetos del directorio contienen ACEs que aplican al objeto en conjunto y ACEs que aplican a los atributos individuales del objeto. Esto permite a un administrador controlar no sólo que los usuarios puedan ver un objeto, sino que propiedades pueden ver esos usuarios. Por ejemplo: puede otorgárseles a todos los usuarios que lean el acceso a los atributos de correo electrónico o número telefónico para todos los demás usuarios, pero las propiedades de seguridad de usuarios le puede ser negada a todos menos a los miembros de un grupo de administradores de seguridad. A los usuarios individuales se les puede otorgar acceso a escribir a atributos personales tales como las direcciones de teléfono o correo en sus propios objetos de usuario. Delegación La delegación (Delegation) es una de las más importantes características de seguridad del Active Directory. La delegación permite una autoridad administrativa más elevada para otorgar derechos administrativos específicos para contenedores y subárboles a individuos o grupos. Esto elimina la necesidad de "Administradores de Dominio" con autoridad arrasadora sobre grandes segmentos de la población de usuarios. Los ACEs pueden otorgar derechos administrativos específicos sobre los objetos en un contenedor a un usuario o grupo. Los derechos se otorgan para operaciones específicas en clases de objetos específicos vía ACEs en el contenedor de ACL. Por ejemplo, para permitir que el usuario "James Smith" sea un administrador de la unidad organizacional "Corporate Accounting", se agregarían ACEs al ACL en "Corporate Accounting" como sigue: "James Smith"; Grant;Create, Modify, Delete;Object-Class User "James Smith";Grant;Create,Modify,Delete;Object-Class Group "James Smith";Grant;Write;Object-Class User;Attribute Password Ahora James Smith puede crear nuevos usuarios y grupos en Corporate Accounting y establecer las contraseñas (passwords) de usuarios existentes, pero no puede crear ningunas otras clases de objetos y no puede afectar a usuarios en cualquier otro contenedor (a menos, por supuesto, que ACEs les otorgue ese acceso en los otros contenedores). Herencia La herencia (inheritance) permite que un ACE dado se propague del contenedor donde fue aplicado a todos los descendientes del contenedor. La herencia puede ser combinada con la delegación para otorgar derechos administrativos a un subárbol completo del directorio en una sola operación. El Active Directory provee de replicación multimaestra. La replicación multimaestra significa que todos los duplicados de una partición dada se pueden escribir. Esto permite que actualizaciones sean aplicadas a cualquier duplicado de una partición dada. El sistema de replicación del Active Directory propaga los cambios de un duplicado dado a todos los otros duplicados. La replicación es automática y transparente. Propagación de actualizaciones Algunos servicios de directorio usan etiquetas de tiempo (timestamps) para detectar y propagar cambios. En estos sistemas, es muy importante mantener sincronizados los relojes

11 de todos los servidores de directorio. La sincronización del tiempo en una red es muy difícil. Aun con muy buena sincronización de tiempo, es posible que el tiempo en un servidor de directorio dado sea ajustado incorrectamente. Esto puede originar actualizaciones perdidas. Windows 2000 provee sincronización de tiempo distribuida, pero el sistema de replicación del Active Directory no depende del tiempo para la propagación de actualización. En lugar de eso, el sistema para replicar del Active Directory usa Números de secuencia de actualización (Update Sequence Numbers, USNs). Un USN es un número de 64 bits conservado por cada servidor del Active Directory. Cuando el servidor escribe cualquier propiedad en el Active Directory, el USN es adelantado y almacenado con la propiedad escrita. Esta operación es efectuada automáticamente - es decir, el incremento y almacenamiento del USN y la escritura de la propiedad tiene éxito o falla como una sola unidad de trabajo. Cada servidor del Active Directory también mantiene una tabla de USNs recibidos de socios de duplicado. El más alto USN recibido de cada socio es almacenado en esta tabla. Cuando un socio dado notifica al Servidor de Directorio que es requerida la replicación, ese servidor solicita todos los cambios con USNs mayor que el último valor recibido. Este es un acercamiento muy simple y no depende de la exactitud de etiquetas de tiempo. Debido a que el USN almacenado en la tabla es actualizado automáticamente para cada actualización recibida, la recuperación después de una falla es simple también. Para reiniciar la replicación, un servidor simplemente le solicita a sus socios todos los cambios con USNs mayores que la última entrada válida en la tabla. Ya que la tabla es actualizada automáticamente conforme se aplican los cambios, un ciclo de replicación ininterrumpido siempre continuará exactamente donde se quedó, sin pérdida o duplicado de actualizaciones. Detección de Colisiones - Números de Versión En un sistema de duplicado multimaestro como el Active Directory, es posible que la misma propiedad sea actualizada en dos o más réplicas diferentes. Cuando una propiedad cambia en una segunda (o tercera, o cuarta, etc.) réplica antes de un cambio de la primera réplica ha sido completamente propagada, ocurre una colisión de duplicado. Las colisiones son detectadas a través del uso de números de versión de propiedad. A diferencia de USNs los cuales son valores específicos del servidor, un número de versión de propiedad es específico a la propiedad en un objeto del Active Directory. Cuando una propiedades escrita primero a un objeto del Active Directory, el número de versión es inicializado. Los escritos de origen avanzan en el número de versión. Un escrito de origen es un escrito a una propiedad en el sistema inicializando el cambio. Escritos de propiedad causados por replicación no son escritos originales y no avanzan el número de versión. Por ejemplo, cuando un usuario actualiza su clave de acceso (password), ocurre un escrito original y el número de versión de la clave de acceso es adelantado. Escritos de replicación de la clave de acceso cambiado en otros servidores no adelanta el número de versión. Una colisión se detecta cuando un cambio es recibido vía replicación en la cual el número de versión de propiedad recibido es igual al número de versión de propiedad almacenado localmente, y los valores recibidos y almacenados son diferentes. Cuando esto ocurre, el sistema receptor aplicará la actualización que tenga la último etiqueta de tiempo. Esta es en la única situación donde el tiempo es usado en la replicación. Cuando el número de versión recibido es menor que el número de versión almacenado localmente, la actualización se supone vana y es desechada. Cuando el número de versión recibido es mayor que el número de versión almacenado, la actualización es aceptada. Inhibidor de propagación

12 El sistema de replicación del Active Directory se enlaza en la topología de replicación. Esto le permite al administrador configurar una topología de replicación con sendas múltiples entre los servidores para desempeño y disponibilidad. El sistema de replicación del Active Directory realiza la inhibición de progagación para prevenir cambios de propagación sin fin y para eliminar la transmisión redundante de cambios a réplicas que ya están actualizadas. El sistema del Active Directory emplea vectores actualizados para reducir la propagación. El vector actualizado es una lista pares de servidores USN mantenidos para cada servidor. El vector actualizado en cada servidor indica el más alto USN de escritos originales recibidos del servidor en el par de servidor USN. Un vector actualizado para un servidor en un sitio dado lista a todos los demás servidores en ese sitio. Cuando se inicia un ciclo de replicación, el servidor que lo solicita envía su vector actualizado al servidor que lo envía. El servidor que envía usa el vector actualizado para filtrar cambios enviados al servidor solicitante. Si el USN más alto para un escritor original dado es mayor o igual al USN escrito original para una actualización en particular, el servidor que envía no necesita mandar el cambio; el servidor solicitante ya está actualizado con respecto al escritor original. Un árbol de dominio de Windows 2000 es una jerarquía de dominios de Windows 2000, cada uno consistiendo de una partición del Active Directory. La forma del árbol y la relación de los miembros del árbol uno con el otro son determinados por los nombres DNS de los dominios. El dominio en un árbol debe formar un contiguo espacio para nombres, tal como a.myco.com es hijo de myco.com, y b.myco.com es hijo de a.myco.com, etc. Confianza Bidireccional Transitiva Cuando un dominio está unido a un árbol de dominio de Windows 2000, una relación de confianza bidireccional transitiva se establece automáticamente entre el dominio unido y su matriz en el árbol. Debido a que la confianza es transitiva y bidireccional, no se requiere de relaciones de confianza adicional es entre los miembros del árbol. La jerarquía de confianza es almacenada como parte de la metadata del directorio en el contenedor de configuración. Estos objetos requeridos son creados en el directorio cuando un dominio es unido al árbol. Espacio para nombres Los dominios en un árbol de dominio de Windows 2000 debe formar un contiguo espacio para nombres (Namespace). Por defecto, los descendientes inmediatos de cada dominio son contiguos y ya son parte de su espacio para nombres. Esto significa que el nombre único de cada objeto en los dominios de descendientes tiene el nombre del dominio matriz como un sufijo. Arboles desunidos pueden ser unidos en un bosque. Figura 7. El dominio padre y dominio descendiente forman un contiguo espacio para

13 nombres debido a que el nombre del dominio descendiente es un subordinado inmediato del nombre del dominio padre Por ejemplo, un dominio padre, O=Internet/DC=COM/DC=Microsoft, y un dominio descendiente, O=Internet/DC=COM/DC=Microsoft/DC=PBS, forman un árbol contiguo para designar nombres, ya que el objeto base en el dominio padre, O=Internet/DC=COM/DC=Microsoft, es el padre inmediato del objeto base en el descendiente, O=Internet/DC=COM/DC=Microsoft/DC=PBS. Debido a que el padre y el descendiente forman un árbol para designar nombres, una intensa búsqueda iniciada en el padre también buscará automáticamente al descendiente. Cuándo formar un árbol de dominio El árbol de dominio de Windows es el Active Directory de la magnitud de la empresa. Todos los dominios de Windows 2000 en una empresa dada deben pertenecer al árbol de dominio de la empresa. Las empresas que necesitan apoyar los nombres DNS desunidos para su dominio necesitan formar un bosque. Cómo Formar un Arbol de Dominio o Bosque Los dominios de Windows 2000 están unidos a un árbol de dominio durante el proceso de instalación. Durante la instalación de un nuevo servidor de Windows 2000 (para mejorar de una anterior versión de Windows NT), al administrador se le dan las siguientes opciones: Creación del primer árbol en un bosque nuevo Creación de un árbol en un bosque existente Creación de una nueva réplica de un dominio existente Instalación de un dominio descendiente Para unir un árbol de dominio, seleccione Install a Child Domain e identifique al dominio padre para un nuevo dominio descendiente. Una futura actualización a Windows dará la capacidad de unir dos (o más) árboles existentes en un sólo árbol más grande. Los dominios dentro de un árbol existente pueden ser libremente motivados a cambiar la forma total del árbol. Planear un buen árbol es muy importante, pero lo bueno es que es altamente subjetivo y basado en las necesidades específicas de su organización. La habilidad de reestructurar el árbol como se necesita reduce la importancia de conocer de antemano el diseño correcto. Un sitio es un área de la red en donde la conectividad entre las máquinas se supone es muy buena. Windows 2000 define un sitio como una o más subredes IP. Esto está basado en la suposición de que las computadoras con la misma dirección de subred están conectadas al mismo segmento de red, típicamente un LAN u otro alto ambiente de ancho de banda tal como Frame Relay, ATM, u otros. Windows 2000 usa información de un sitio para localizar un servidor del Active Directory cerca del usuario. Cuando una estación de trabajo de un usuario se conecta a la red, recibe una dirección TCP/IP de un servidor DHCP, el cual también identifica la subred a la cual la estación de trabajo está sujeta. Las estaciones de trabajo que han configurado estáticamente direcciones IP también han configurado estáticamente información de subred. En cualquier caso, el localizador del controlador de dominio (DC) de Windows 2000 intentará localizar al servidor del Active Directory localizado en la misma subred que el usuario, basado en la información de la subred conocida para la estación de trabajo.

14 Sitios y Replicación El sistema de replicación de Windows 2000 genera automáticamente una topología de anillo para la replicación entre los servidores del Active Directory en un sitio dado. Dentro de un sitio, la replicación de directorio es efectuada vía acceso por procedimiento remoto (Remote procedure call, RPC). Entre los sitios, la replicación puede ser configurada selectivamente para usar RPC o enviar mensajes. Windows 2000 provee envío de mensajes SMTP simple como una característica estándar. Si Microsoft Exchange se encuentra disponible, la replicación intersitio puede ser llevada vía Exchange, usando cualquiera de los muchos transportes apoyados por Exchange (esto incluye SMTP, X.400, y otros). Planeando Sitios Un sitio mínimo consiste de una sola subred IP. Windows 2000 supone que todas las máquinas localizadas en el mismo sitio comparten una red común de alta anchura de banda. Dado esto, un buen diseño de sitio es uno en el cual todas las subredes asignadas a un sitio dado comparten una red tal. Areas de una red que son separadas por una red de área amplia, enrutadores múltiples, u otras ligas más lentas deben estar en sitios separados. El esquema del Active Directory define el conjunto de todas las clases de objetos y atributos que pueden ser almacenados en el directorio. Para cada clase de objeto, el esquema define donde puede ser creado en un árbol de directorio especificando los padres legales de la clase. El contenido de una clase se define por la lista de atributos que la clase debe o puede contener. Cuando Extender el Esquema Los usuarios y aplicaciones extienden el esquema cuando no hay clases de objetos existentes que estén de acuerdo a la necesidad a mano. Extendiendo el esquema es un proceso simple y directo. Agregando Atributos Se pueden agregar nuevos atributos al esquema en cualquier momento. Una definición de atributo consiste en un nombre, un Identificador de Objeto (Object Identifier, OID), una sintaxis que define qué clase de datos puede mantener el atributo, y limites de alcance opcionales. Para cadena de datos, los limites de valor establecen el mínimo y máximo largo de cadena de datos. Para números enteros, los límites de valor establecen el valor mínimo y máximo del número entero. El desempeño de consulta en el Active Directory está directamente relacionado con la disponibilidad de un índice que pueda ser usado para optimizar una consulta dada. Cuando no hay un índice disponible para satisfacer una consulta dada, el servidor LDAP debe leer la partición completa para satisfacer la consulta. Cuando define un atributo, tiene la opción de crear un índice para ese atributo. También es posible crear un índice sobre un atributo dado colocando el atributo banderas de búsqueda en el objeto esquema de atributo a 1. Debe definir un atributo como indizado cuando: El atributo será frecuentemente usado en consultas. Agregar un índice consume almacenaje y afecta el desempeño de insertar (porque el índice debe ser mantenido cuando un artículo es insertado), así es que no debe agregar un índice si no será usado a menudo. Los valores en el atributo deben ser altamente singulares. Los atributos Booleanos nunca deben ser indexados, porque un atributo Booleano tendrá sólo dos posibles

15 valores: Falso o verdadero. Los números de empleado y apellido son altamente singulares y por lo tanto hacen buenos índices. El atributo ocurrirá en objetos de interés. Indizando un atributo le permite encontrar objetos rápidamente que tengan ese atributo ejemplificado. Antes de agregar un índice, asegúrese de que el atributo que está indizando es un "debe tener" o "puede tener" en los objetos que desea recobrar. Agregando nuevos Objetos Nuevas clases de objetos pueden ser agregadas al esquema en cualquier momento. La definición de un objeto consiste en un nombre, un identificador de objeto (Object Identifier, OID), una lista de atributos "puede contener" y "debe contener", la lista de clases que pueden ser padres del objeto, la clase de donde se deriva el objeto, y una lista de cualquier clase auxiliar que aplica al objeto. Cómo Extender el Esquema Debido a que el esquema controla lo que puede ser almacenado en el directorio y describe lo que ya está almacenado, el acceso para escribir al esquema está limitado a los administradores por defecto. Un esquema de administración snap-in para el Microsoft Management Console (MMC) se proporciona con el Windows Para extender el esquema, un usuario adecuadamente privilegiado puede crear nuevos atributos y clases. Los atributos pueden entonces ser agregados a clases nuevas o existentes. Para cada nuevo atributo o clase, se requiere de OID. Identificadores de Objetos (OIDs) Un identificador de objeto es un número identificando una clase de objeto o atributo en un servicio de directorio. Los OIDs son emitidos por autoridades emisoras y forman una jerarquía. Un OID es representado como una cadena de datos decimal con puntos (por ejemplo, "1,2,3,4"). Las empresas (o personas)pueden obtener un OID original de una autoridad emisora y usarlo para asignar OIDs adicionales. Por ejemplo, a Microsoft sele ha asignado el OID base de Microsoft maneja futuras divisiones de esta base internamente. Una de estas divisiones es usada para asignar OIDs para clases de Active Directory, otro para atributos del Active Directory, etc. Muchos países en el mundo tienen una Autoridad de Registro Nacional (National Registration Authority, NRA) identificada responsable de emitir OIDs a las empresas. En Estados Unidos la Autoridad de Registro Nacional es el American National Standards Institute (ANSI). La Autoridad de Registro Nacional emite OIDs originales. Una empresa también puede registrar un nombre para el OID. Hay una cuota asociada tanto con los OIDs originales como con nombres registrados. Póngase en contacto con la Autoridad de Registro Nacional de su país para más detalles Publicar es la acción de crear objetos en el directorio que directamente contengan la información que quiere hacer disponible o proporcionar una referencia para la información que quiere hacer disponible. Por ejemplo, un objeto de usuario contiene información útil sobre los usuarios, tales como sus números telefónicos y direcciones de correo electrónico, mientras que un objeto de volumen contiene una referencia para un volumen del sistema de archivo compartido. Cuándo Publicar La información debe ser publicada en el Active Directory cuando es útil o interesante para gran parte de la comunidad de usuarios y cuando necesita ser altamente accesible. La información publicada en el Active Directory tiene dos características principales:

16 Es relativamente estática y rara vez cambia. Los números telefónicos y direcciones de correo electrónico son ejemplos de información relativamente estática adecuada para ser publicadas; el mensaje de correo electrónico actualmente seleccionado es un ejemplo de información altamente volátil. Es estructurado y puede ser representado como un conjunto de atributos discretos. Una dirección de negocios de un usuario es un ejemplo de información estructurada adecuada para publicarse; un audio clip de la voz del usuario es un ejemplo de información no estructurada más adecuada para el sistema de archivo. Información operacional usada en aplicaciones es un excelente candidato para publicarse en el Active Directory. Esto incluye información de configuración global que se aplica a todas las instancias de una aplicación dada. Por ejemplo, un producto de la base de datos correlativo puede almacenar la configuración default para los servidores de base de datos como un objeto en el Active Directory. Nuevas instalaciones de ese producto recolectarían la configuración default del objeto, simplificando el proceso de instalación e intensificando la consistencia de instalaciones en una empresa. Las aplicaciones pueden también publicar sus puntos de conexión en el directorio Los puntos de conexión son usados para el punto de reunión del cliente y servidor. El Active Directory define una arquitectura para la administración de servicio integrado usando objetos del Service Administration Point y proporciona puntos de conexión estándar para aplicaciones RPC, Winsock, y COM. Las aplicaciones que no usan las interfaces RPC o Winsock para publicar sus puntos de conexión pueden explícitamente publicar objetos de Service Connection Point en el directorio. Datos de aplicación pueden ser publicados también en el directorio usando objetos de aplicación específica. Los datos de aplicación específica deben cumplir el criterio discutido anteriormente. Es decir, los datos deben ser globalmente interesantes, relativamente no volátil y estructurados. Cómo Publicar Los medios para publicar información varía de acuerdo a la aplicación o servicio: RPC - Las aplicaciones RPC usan la familia RpcNs de APIs para publicar sus puntos de conexión en el directorio y para consultar para los puntos de conexión de servicios que han publicado los suyos. Windows Sockets - Las aplicaciones de Windows Sockets usan la familia de Registration y Resolution de APIs disponibles en Winsock 2.0 para publicar sus puntos de conexión y consultar para los puntos de conexión de servicios que han publicado los suyos. DCOM - Los servicios DCOM publican sus puntos de conexión vía la DCOM Class Store, la cual reside en el Active Directory. Windows 2000 introduce nuevas funciones de grupo Los grupos pueden ser tratados como listas de distribución si el siguiente lanzamiento principal de Exchange es instalado. Los grupos pueden contener miembros no seguros (esto es importante cuando el grupo es usado tanto para propósitos de seguridad y listas de distribución). El uso de seguridad de grupos puede ser inhabilitado (esto es importante cuando el grupo es usado solo como una lista de distribución). Los grupos pueden ser anidados. Un nuevo tipo de grupo, el grupo Universal, es introducido.

17 Un grupo Universal es la más simple forma de grupo. Los grupos Universales pueden aparecer en ACLs en cualquier parte del bosque, y puede contener otros grupos Universales. Grupos Globales, y usuarios de cualquier parte del bosque. Las instalaciones pequeñas pueden usar grupos Universales exclusivamente y no preocuparse de grupos Globales y Locales. Un grupo Global puede aparecer en ACLs en cualquier parte del bosque. Un grupo Global puede contener usuarios y otros grupos Globales de su propio dominio. Un grupo Local de Dominio puede ser usado en ACLs sólo si es su propio dominio. Un grupo Local de Dominio puede contener usuarios y grupos Globales de cualquier dominio en el bosque, Grupos Universales, y otros grupos Locales de Dominio en su propio dominio. Los tres tipos de grupo proporcionan un rico y flexible ambiente de control de acceso mientras que reducen el tráfico de replicación para el Catálogo Global causado por cambios de membresías de grupo. Un grupo Universal aparece en el GC, pero contendrá principalmente grupos globales de dominios en el bosque. Una vez que los grupos Globales se establezcan, la membrecía en el grupo Universal cambiará infrecuentemente. Los grupos Globales aparecen en el GC, pero sus miembros no. Los cambios de membrecía en grupos Globales no son duplicados fuera del dominio donde son definidos. Los grupos Locales de Dominio son válidos solo en el dominio donde son definidos y no aparecen en el GC. Migración Esta sección presenta una vista general de migración de versiones anteriores de Windows NT. La migración es discutido en detalle en un número de documentos aparte disponibles de Puede mejorar los sistemas Windows NT 3.51 y 4.0 directamente a Windows Los sistemas Windows NT 3.51 y 3.5 deben ser mejorados a Windows NT 3.51 om4.0 antes de que puedan ser mejorados a Windows 2000.Una nueva instalación de Windows 2000 puede ser efectuada en cualquier sistema listado en la lista de hardware compatibel en el sitio de Windows Los Controladores de Dominio (Domain Controlers) conservan una copia del directorio. En Windows NT 3.51 y 4.0, hay dos clases de Controladores de Dominio - Controladores de Dominio Primario (Primary Domain Controllers, PDCs) y Controladores de Dominio de Respaldo (Backup Domain Controllers, BDCs). Los Controladores de Dominio Primarios conservan una copia de lea/escriba mientras que los Controladores de Dominio de Respaldo conservan una copia de leer/solamente. En Windows 2000, todos los Controladores de Dominio para un dominio dado conservan una copia que se puede escribir del directorio. No hay distinción entre el primario y el respaldo; todos los controladores de dominio son iguales. Para emigrar un dominio de Windows NT 3.51 o 4.0 a Windows 2000, debe primero mejorar el Controlador de Dominio Primario para el dominio para Windows Esto automáticamente carga a los usuarios y grupos del directorio de dominio hacia el Active Directory. Como parte del proceso de mejoramiento, usted especifica si este dominio será: La raíz de un nuevo árbol en el bosque La raíz de un nuevo árbol de dominios en un bosque existente Un descendiente de un árbol de dominios existente En este punto el dominio es un dominio mixto. Puede emplear las herramientas de administración de Windows 2000 para manejar el dominio, y puede crear una estructura jerárquica de carpetas Organizational Unit en el directorio para delegar la autoridad

18 administrativa. Los Controladores de Dominio de Respaldo, servidores miembros, y clientes no se cambian y no están conscientes de que el PDC es ahora un servidor del Active Directory. Para emigrar los Controladores de Dominio de Respaldo, mejore cada uno a Windows El proceso de mejoramiento reconoce al Controlador de Dominio de Respaldo, automáticamente lo instala como una réplica del Active Directory, y lo inserta en la topología de replicación. Cuando todos los controladores de dominio han sido mejorados a Windows 2000, el dominio ya no es un dominio mixto, y los grupos anidados son apoyados. Para emigrar servidores miembros, mejórelos a Windows Los usuarios locales y grupos locales son almacenados en el registro de del servidor miembro y no se mueven al Active Directory. Mejorar a un servidor miembro a Windows 2000 le permite participar en la seguridad Kerberos, agrega apoyo para aplicaciones Directory-aware,y agrega la Microsoft Management Console y Active Directory-aware shell y diálogos comunes. Para emigrar a los clientes basados en la estación de trabajo Windows NT, mejórelos a Windows 2000 Professional. Puede emigrar a clientes basados en Windows 95 instalando un paquete de servicio que contenga los componentes de software adicionales que se necesitan para hacerlos Active Directory-aware. Mejorar a un cliente le permite participar en la seguridad Kerberos, apoyo para aplicaciones Active Directory-aware, y agrega el Active Directory-aware shell y diálogos comunes. Cuando un PDC de nivel bajo (3.51 o 4.0) es mejorada a Windows 2000, los usuarios son emigrados al Active Directory y colocados en un contenedor llamado "Users" en la raíz del dominio. Cuando un PDC de nivel bajo (3.51 o 4.0) es mejorada a Windows 2000 las cuentas de la máquina son emigradas al Active Directory y colocadas en un contenedor llamado "Computers" en la raíz del dominio. Cuando una PDC de nivel bajo (3.51 o 4.0) es mejorada a Windows 2000, los Grupos son emigrados al Active Directory y colocados en un contenedor llamado "Users" en la raíz de dominio. Grupos integrados se encuentran en un contenedor especial llamado "Built-in". Preguntas Más Frecuentes Una estación de trabajo descubre su sitio presentando su subred al primer servidor del Active Directory contactado. La estación de trabajo determina la subred aplicando su máscara de subred a su dirección IP. La máscara de subred y dirección IPO pueden ser asignadas por DHCP o configurada estáticamente. El primer Servidor contactado usa la subred presentada para localizar el Site Object para el sitio donde se localiza la estación de trabajo. Si el actual servidor no se encuentra en ese sitio, el servidor le notifica a la estación de trabajo un mejor servidor para usar. Una estación de trabajo encuentra un servidor de directorio consultando DNS. Los servidores de directorio para un dominio dado publican SRV Resource Records en DNS con nombres en la forma: LDAP.TCP. Por lo tanto, una estación de trabajo que se conecta a Microsoft.com consultará DNS para registros SRV para LDAP.TCP.Microsoft.com. Un servidor será seleccionado de la lista y contactado. El servidor contactado usará la información de subred presentada por la estación de trabajo para determinar el mejor servidor como se describió en la respuesta anterior. Un usuario puede usar una variedad de nombres en una variedad de formatos para conectarse a un Windows 2000 Professional. Estos incluyen los formatos de nombre apoyados

19 por interfaces para programar de aplicación Win32 DsCrackNames, los cuales son usados para convertir estas formas de nombre como sea necesario. El nombre de dominio NETBIOS y SAM-Account-Name - Este es el nombre de conexión estilo Windows NT 4.0. El nombre de dominio NETBIOS es el nombre que tenía el dominio antes de emigrar. El SAM-Account-Name es el nombre de la cuenta que el usuario tenía antes de emigrar. Nombre Principal de Usuario - Este se encuentra en el el nombre no es único, el intento de conexión fallará con un error de usuario desconocido (Unknown User). Las listas de control de acceso no son afectadas directamente por la emigración. Si todos los dominios de Windows NT 3.51 y Windows NT 4.0 son emigradas de lugar, nada cambia de una perspectiva ACL. Si mueve servidores de un dominio de recurso hacía una unidad organizacional en dominios de cuenta emigrada y suprime el dominio de recurso, necesitará editar cualquier ACL que mantiene ACEs que refieren al ahora dominio suprimido. Esta no es una función de la migración a Windows 2000; si suprime un dominio en cualquier versión de Windows NT, los identificadores de seguridad emitidos por ese dominio se vuelven inválidos. Para reducir el esfuerzo involucrado en volver a aplicar recursos ACL, si tiene un dominio de recursos Windows 3.51 o 4.0 y planea reemplazarlo con un OU y suprimirlo en Windows 2000, no debe poner a grupos del dominio de recursos en ACLs. Nótese que esto no afecta a los grupos locales de los servidores miembros, afecta sólo a aquellos de Controladores de Dominio. Como parte de Windows 2000, Microsoft proporcionará herramientas para asistir en volver a aplicar ACLs a los recursos. Cuando se crea un grupo en un dominio, tiene un Identificador de Seguridad (Security Identifier, SID) emitido por ese dominio. Cuando se coloca ese SID en un ACL, le otorga acceso a los usuarios que tengan ese SID en su indicador. Los usuarios obtienen el SID en su token conectándose a dominio que emitió el SID. Esta puede ser una conexión de red y pasar transparentemente. Cuando editas un Acl, el LookupAccountName API es llamado con el SID. Si suprime el dominio que emitió el SID, verá "Usuario Desconocido" en la lista de usuarios y grupos para el ACL. Esto sucede en Windows NT 3.51 y Windows NT 4.0 si suprime un dominio o retira una liga de confianza. Hay dos partes para esta respuesta: Parte 1: Grupos Locales en Servidores Miembros -- Los grupos locales en un servidor miembro se quedan locales; existen sólo en el SAM en el servidor miembro y no son emigrados al Active Directory. Un típico uso de un grupo local en un servidor miembro es mantener grupos globales de dominios de cuenta. El servidor administrador coloca al grupo local en los ACLs en los recursos del servidor y agrega a los grupos globales al grupo local. Esto no cambia en Windows La única diferencia es que los grupos globales se convierten en grupos normales y son publicados en el Active Directory. Parte 2: Grupos Locales en PDCs y BDCs - Los Controladores de Dominio de Respaldo tienen un SAM de leer/solamente. Cuando crea un grupo local en un BDC, la operación de crear es remontado al PDC y duplicado de regreso a todos los BDCs. Semánticamente, estos grupos locales son idénticos a los grupos locales en un servidor miembro., pero existen en el PDC y en todos los BDCs. Cuando se mejora a Windows 2000,elproceso de mejoramiento crea un objeto de grupo de Dominio Local en el Active Directory para cada uno de estos. Se inicia una búsqueda del catalogo global en una de varias formas:

20 Por un subárbol o búsqueda de LDAP de un nivel enraizado en el inválido DN (la raíz del espacio para nombres) - esto genera una referencia para el Catálogo Global. Por una referencia directa al puerto GC en una réplica de GC (aunque no es probable que los programas de clientes tomen este acercamiento). Por una referencia explícita al proveedor GC ASDI (GC://). No. Hay ventajas significativas en usar Microsoft DNS, pero cualquier servidor DNS compatible con RFC funcionará. Se recomienda Dynamic DNS porque, con un servidor Dynamic DNS los servidores del Active Directory pueden registrar automáticamente los registros necesarios en DNS. Los servidores Static DNS funcionan igualmente bien, pero el registro DNS para cada servidor de Directorio debe efectuarse manualmente. El servidor DNS incluido con Windows 2000 es una implementación obediente de RFC y BIND de Dynamics DNS.Es una implementación nativa para Windows 2000, no un puerto de la implementación BIND de dominio público. El servidor DNS de Microsoft almacena las zonas DNS para la cual es autoritario en el Active Directory. Los datos de DNS son duplicados entre los servidores DNS por replicación del Active Directory, no Transferencia de Zona (Zone Transfer). El servidor DNS de Microsoft apoya Transferencia de Zona DNS estándar para interoperabilidad con otros servidores DNS. El servidor DHCP es mayormente sin cambio para Windows El cliente de DHCP es DNSaware y usa los servicios de Dynamic DNS para registrar direcciones emitidas por DHCP directamente en DNS. El cliente DHCP continuará registrándose con WINS si DHCP identifica a un servidor WINS. Wins no sufre cambios para Windows Los clientes de Windows 2000 (y clientes de Windows 95 con la mejora del Active Directory instalado) ya no necesitan usar el espacio para nombres de NETBIOS. Aún se requiere WINS para clientes de bajo nivel para encontrar servidores y viceversa. Cuando ya no hay clientes de bajo nivel en la empresa, los servidores WINS pueden ser apagados.