Introducción al servicio de directorio Microsoft Active Directory

Transcripción

1 Introducción al servicio de directorio Microsoft Active Directory Contenido Descripción general 1 Introducción a Active Directory 2 Estructura lógica de Active Directory 16 Estructura física de Active Directory 25

2 Introducción al servicio de directorio Microsoft Active Directory i Notas para el instructor El módulo presenta los conceptos del servicio de directorio Active Directory con sus estructuras lógica y física. Después de completar este módulo, los alumnos serán capaces de: Describir la función de Active Directory. Describir la estructura lógica de Active Directory. Describir la estructura física de Active Directory. Desarrollo del módulo Para presentar este módulo, utilice la estrategia siguiente: Introducción a Active Directory En este tema presentará Active Directory. Empiece por ilustrar el propósito de Active Directory como servicio de directorio de red. Muestre el archivo multimedia. Explique la manera en que las extensiones de cliente de Active Directory permiten que determinada funcionalidad de Active Directory para equipos cliente no ejecute Microsoft Windows Explique el propósito de los objetos de Active Directory y sus atributos. Analice el esquema de Active Directory y ponga de relieve cómo se usa el Protocolo ligero de acceso a directorios (LDAP, Lightweight Directory Access Protocol) para comunicarse con Active Directory. Estructura lógica de Active Directory En este tema presentará la estructura lógica de Active Directory. Empiece por ilustrar el propósito de los dominios de Active Directory. Explique la manera en que se pueden usar las unidades organizativas para agrupar objetos en una jerarquía lógica dentro de un dominio, así como para delegar el control administrativo sobre los objetos. Ilustre cómo se usan los dominios para formar árboles y bosques que ayudan al uso compartido de los recursos de red y las funciones administrativas. Analice el catálogo global y la manera en que se usa para encontrar información acerca de los objetos de directorio y para iniciar sesión en la red. Estructura física de Active Directory En este tema presentará la estructura física de Active Directory. Empiece por ilustrar cómo se usan los controladores de dominio para replicar en Active Directory y realizar una o varias funciones de maestro único o de varios maestros. Explique el concepto de sitios como objetos físicamente discretos y ponga de relieve cómo optimizan el tráfico de replicación y de inicio de sesión.

3 Introducción al servicio de directorio Microsoft Active Directory 1 Descripción general Proporcionar una introducción a los temas y objetivos del módulo. En este módulo aprenderá acerca de Active Directory. Introducción a Active Directory Estructura lógica de Active Directory Estructura física de Active Directory En una red de Microsoft Windows 2000, el servicio de directorio Active Directory proporciona la estructura y las funciones para organizar, administrar y controlar el acceso a los recursos de red. Para implementar y administrar una red de Windows 2000, debe comprender el propósito y la estructura de Active Directory. Active Directory proporciona también la capacidad de administrar centralmente la red de Windows Esta capacidad significa que puede almacenar centralmente información acerca de la empresa, por ejemplo información de usuarios, grupos e impresoras, y que los administradores pueden administrar la red desde una sola ubicación. Active Directory admite la delegación del control administrativo sobre los objetos de Active Directory. Esta delegación permite que los administradores asignen a un grupo específico de administradores permisos administrativos específicos para objetos, como cuentas de usuario o de grupo. Después de finalizar este módulo, el alumno será capaz de: Describir la función de Active Directory. Describir la estructura lógica de Active Directory. Describir la estructura física de Active Directory.

4 Introducción al servicio de directorio Microsoft Active Directory 2 Introducción a Active Directory Presentar Active Directory Active Directory almacena información acerca de los recursos de toda la red. Qué es Active Directory Presentación multimedia Tecnologías compatibles con Active Directory Objetos de Active Directory Esquema de Active Directory Protocolo ligero de acceso a directorios Grupos de Active Directory Active Directory y DNS Active Directory almacena información acerca de los recursos de toda la red y facilita a los usuarios la búsqueda, administración y acceso a estos recursos. Los recursos se administran dentro de Active Directory como objetos. Los objetos representan recursos físicos, como equipos, impresoras y usuarios. Active Directory está formado por varios componentes. Para administrar Active Directory, debe entender sus componentes y la manera de usarlos.

5 Introducción al servicio de directorio Microsoft Active Directory 3 Qué es Active Directory Ilustrar el propósito de usar Active Directory como servicio de directorio de red. Active Directory almacena información acerca de los recursos en una red de Windows 2000 y permite que los recursos resulten accesibles a los usuarios y las aplicaciones. La funcionalidad del servicio de directorio Organizar Administrar Controlar Recursos Administración centralizada Punto de administración único Acceso completo del usuario a los recursos de directorios al iniciar sesión una vez Puntos clave Active Directory proporciona funcionalidad de servicio de directorio, como un medio de organizar, administrar y controlar centralmente el acceso a los recursos de red. Active Directory permite a los administradores controlar escritorios distribuidos, servicios de red y aplicaciones desde una ubicación central, al tiempo que utiliza una interfaz de administración coherente. Active Directory es el servicio de directorio de una red de Windows Un servicio de directorio es un servicio de red que almacena información acerca de los recursos de la red y permite que los recursos resulten accesibles a los usuarios y a las aplicaciones. Los servicios de directorio proporcionan una manera coherente de nombrar, describir, localizar, tener acceso, administrar y asegurar la información relativa a los recursos de red. La funcionalidad del servicio de directorio Active Directory proporciona funcionalidad de servicio de directorio, como un medio de organizar, administrar y controlar centralmente el acceso a los recursos de red. Active Directory hace que la topología física de red y los protocolos pasen desapercibidos, de forma que un usuario de una red puede tener acceso a cualquier recurso sin saber dónde está el recurso o cómo está conectado físicamente a la red. Un ejemplo de este tipo de recurso es una impresora. Active Directory está organizado en secciones que permiten el almacenamiento de una gran cantidad de objetos. Como resultado, es posible ampliar Active Directory a medida que crece una organización, lo que permite que una organización que tiene un único servidor con unos cuantos centenares de objetos crezca hasta tener miles de servidores y millones de objetos.

6 Introducción al servicio de directorio Microsoft Active Directory 4 Administración centralizada Un servidor que ejecuta Windows 2000 almacena la configuración del sistema, información de las aplicaciones e información acerca de la ubicación de los perfiles de usuario en Active Directory. En combinación con las directivas de grupo, Active Directory permite a los administradores controlar escritorios distribuidos, servicios de red y aplicaciones desde una ubicación central, al tiempo que utiliza una interfaz de administración coherente. Active Directory proporciona también un control centralizado del acceso a los recursos de red, al permitir que los usuarios sólo inicien sesión una vez para obtener pleno acceso a los recursos mediante Active Directory.

7 Introducción al servicio de directorio Microsoft Active Directory 5 Presentación multimedia: Conceptos de Active Directory en Windows 2000 Explicar la presentación multimedia acerca de los conceptos de Active Directory en Windows Antes de empezar, veamos una presentación multimedia que explica los conceptos importantes de Active Directory. Empiece esta presentación desde el equipo del instructor. El tiempo estimado para realizar esta presentación es de siete minutos. Esta presentación multimedia describe conceptos básicos de Active Directory, como las unidades organizativas, árboles, bosques, convenciones de nomenclatura del Sistema de nombres de dominio (DNS, Domain Name System) y sitios.

8 Introducción al servicio de directorio Microsoft Active Directory 6 Tecnologías compatibles con Active Directory Objetivo de la diapositiva Describir las normas, protocolos y API compatibles con Active Directory y Windows Introducción Active Directory es compatible con varias de las normas, los protocolos y las API más importantes. TCP/IP DHCP DNS SNTP Tecnologías estándar del del sector LDAP X.509 Kerberos LDIF El objetivo de Active Directory es aportar una visión unificada de la red que reducirá considerablemente el número de directorios y espacios de nombre con los que tienen que lidiar los administradores de red y los usuarios. Active Directory está diseñado específicamente para operar con otros directorios y administrarlos, independientemente de su ubicación o de los sistemas operativos subyacentes. Para ello, Active Directory ofrece una amplia compatibilidad con las normas y los protocolos existentes y proporciona interfaces de programación de aplicaciones (API) que facilitan la comunicación con otros directorios. En la siguiente tabla se describen las tecnologías compatibles con Active Directory, su función y una referencia para obtener más información sobre ella. Tecnología Descripción Referencia Protocolo de configuración dinámica de host (DHCP) Protocolo de actualización dinámica (DNS) Protocolo de tiempo de red simple (SNTP) Protocolo ligero de acceso al directorio (LDAP) v3 Administración de las direcciones de red Administración de espacios de nombre de host Servicio de tiempo distribuido Acceso a directorios RFC 2131 RFC 2052 y 2163 RFC 1769 LDAP C API del directorio RFC 1823 Formato de intercambio de datos LDAP (LDIF) Sincronización de directorios Kerberos versión 5 Autenticación RFC 1510 RFC 2247, 2251, 2252 y 2256 Borrador de Grupo de Tareas sobre Ingeniería de Internet (IETF)

9 Introducción al servicio de directorio Microsoft Active Directory 7 (continuación) Tecnología Descripción Referencia Certificados de X.509 v3 Autenticación Norma X.509 de la Organización internacional de normalización (ISO) Protocolo de control de transporte/protocolo de Internet (TCP/IP) Protocolo de red RFC 791 y 793 La compatibilidad con estas tecnologías estándar del sector ofrece varias ventajas: El protocolo de actualización dinámica DNS permite a las empresas conseguir una estructura de nomenclatura global compatible con las convenciones DNS estándar de Internet. LDAP potencia al máximo la interoperabilidad entre aplicaciones y servicios de directorio y facilita la interoperabilidad de directorios gracias a la sincronización. La integración de Kerberos v5 y el certificado X.509 con Active Directory aporta a las empresas flexibilidad para mezclar y ajustar la seguridad que implanta, tanto en entornos de Internet como de Intranet, en función de sus necesidades.

10 Introducción al servicio de directorio Microsoft Active Directory 8 Objetos de Active Directory Identificar el propósito de los objetos de Active Directory. Los objetos de Active Directory representan los recursos de red, como los usuarios, grupos, equipos e impresoras. Objetos Impresoras Usuarios Atributos Nombre de impresora Ubicación de la la impresora Atributos Nombre Apellidos Nombre de inicio de sesión Active Directory Impresoras Usuarios Impresora1 Impresora2 Impresora3 Don Hall Suzan Fine Atributo Valor Los objetos representan los recursos de red Los atributos definen la información relativa a un objeto Active Directory almacena información acerca de los objetos de red. Los objetos de Active Directory representan los recursos de red, como los usuarios, grupos, equipos e impresoras. Todos los servidores, dominios y sitios de la red se representan también como objetos. Como Active Directory representa todos los recursos de red como objetos en una base de datos distribuida, un único administrador puede controlar centralmente esos recursos. Cuando crea un objeto, las propiedades o atributos que lo describen se almacenan en el directorio. Los usuarios pueden encontrar objetos en Active Directory mediante la búsqueda de atributos específicos. Por ejemplo, un usuario puede encontrar una impresora en un edificio concreto mediante la búsqueda del atributo Location de la clase de objeto de impresora. Una función importante de algunos objetos de Active Directory (dominios, contenedores y unidades organizativas) es la de contener otros objetos. Después, arquitectos de infraestructura con experiencia organizan en una jerarquía, o bosque, estos dominios, contenedores y unidades organizativas. Los objetos que representan los recursos de red, como usuarios, grupos, impresoras y carpetas de uso compartido, se colocan en el bosque basándose en la manera en que se administrarán esos objetos. Nota El objeto de contenedor tipo de Active Directory es un objeto integrado diseñado para facilitar la migración desde un dominio de Windows NT. No puede vincular los objetos de directiva de grupo con estos contenedores, ni tampoco pueden contener unidades organizativas que se usen para organizar otros objetos de Active Directory. Estas restricciones significan que los arquitectos de infraestructura expertos planean el diseño del dominio y la jerarquía de unidades organizativas de Active Directory que más conviene a las necesidades de la empresa y, a menudo, sólo dejan los objetos integrados en los contenedores integrados; por ejemplo, el grupo Administradores de esquema en el contenedor Usuarios.

11 Introducción al servicio de directorio Microsoft Active Directory 9 Esquema de Active Directory Identificar el propósito del esquema en Active Directory. El esquema de Active Directory define todos los objetos de Active Directory. Objeto Ejemplos de clase Equipos Definidas en el contexto de nombres de esquema de Active Directory Ejemplo Atributos Atributos de usuarios: Almacenadas en el contexto de nombres de dominio de Active Directory Ejemplo Propiedades Propiedades Usuarios caducacuenta departamento nombrecompleto nombre 10/02/03 Ventas CN=Wendy Kahn, OU=Beth Impresoras El esquema de Active Directory contiene las definiciones de todos los objetos, como usuarios, equipos e impresoras, almacenados en Active Directory. En Windows 2000 sólo hay un esquema para todo un bosque, de manera que todos los objetos creados en Active Directory se ajustan a las mismas reglas. Los dos tipos de definiciones del esquema son los atributos y las clases de objeto. Las clases de objeto describen los objetos de directorio que se pueden crear. Cada clase de objeto es un conjunto de atributos. Los atributos se definen de forma independiente de las clases de objeto. Cada atributo se define sólo una vez y se puede utilizar en múltiples clases de objetos. Por ejemplo, el atributo Description se usa en muchas clases de objetos, pero para asegurar la coherencia se define sólo una vez en el esquema. La base de datos de Active Directory almacena el esquema. El almacenamiento del esquema en una base de datos significa que el esquema: Está dinámicamente a disposición de las aplicaciones de usuario, lo que permite a las aplicaciones de usuario leer el esquema para descubrir qué objetos y propiedades están disponibles y se puedan usar. Es dinámicamente actualizable, por lo que una aplicación puede extender el esquema con nuevos atributos y clases de objetos, utilizando inmed iatamente esas extensiones del esquema. Puede usar las listas de permisos, conocidas como Listas de control de acceso discrecional (DACL, Discretionary Access Control Lists), para proteger todas las clases de objetos y atributos. Por el uso de permisos, sólo los usuarios autorizados pueden hacer cambios en el esquema. Importante Sólo los miembros del grupo Administradores de esquema pueden actualizar el esquema. Hay que supervisar cuidadosamente la pertenencia a este grupo, pues las actualizaciones del esquema pueden afectar a los nuevos objetos creados y a la integridad de los objetos existentes.

12 Introducción al servicio de directorio Microsoft Active Directory 10 Protocolo ligero de acceso a directorios Identificar las rutas de nomenclatura LDAP para los objetos de Active Directory. LDAP es el protocolo que se usa para el acceso a Active Directory. LDAP proporciona una manera de comunicar con Active Directory especificando las rutas de nomenclatura únicas de cada objeto del directorio Las rutas de nomenclatura de LDAP incluyen: Nombre completo CN=Suzan Fine,OU=Sales,DC=contoso,DC=msft Suzan Fine Nombre completo relativo Sugerencia Use la ilustración de la diapositiva para explicar en el aula los conceptos de nombres completos y nombres completos relativos. El Protocolo ligero de acceso a directorios (LDAP, Lightweight Directory Access Protocol) es un protocolo de servicios de directorio que se usa para consultar y actualizar Active Directory. La especificación de protocolo para LDAP especifica que un objeto de Active Directory sea representado por una serie de componentes de dominio, unidades organizativas y nombres comunes, creando una ruta de nomenclatura LDAP en Active Directory. Las rutas de nomenclatura LDAP se usan para el acceso a los objetos de Active Directory e incluyen lo siguiente: Nombre completo Nombre completo relativo Clave Atributo Descripción Nombre completo Todos los objetos de Active Directory tienen un nombre completo. El nombre completo identifica el dominio donde se encuentra el objeto y la ruta de acceso completa a través de la que se llega hasta él. Un ejemplo de nombre completo es: CN=Suzan Fine,OU=Sales,DC=contoso,DC=msft DC Componente de dominio Un componente del nombre DNS de dominio, como com. OU Unidad organizativa Una unidad organizativa que se puede usar para contener otros objetos. CN Nombre común Cualquier objeto, aparte de los componentes de dominio y las unidades organizativas, como los objetos de usuario y de equipo. CN Contenedor CN se usa también para representar el objeto de Active Directory, contenedor. Los contenedores son objetos integrados de Active Directory que no puede modificar y que están diseñados para contener objetos de recursos. Un ejemplo es el contenedor Usuarios predeterminado.

13 Introducción al servicio de directorio Microsoft Active Directory 11 Si el mismo objeto de usuarios que se utiliza en la diapositiva se ha almacenado en el contenedor Usuarios en lugar de en la unidad organizativa Ventas, el nombre LDAP completo sería: CN=Suzan Fine,CN=Users,DC=contoso,DC=msft Nota El uso de contenedores integrados, en lugar de agregar sus propias unidades organizativas, da menos flexibilidad a Active Directory. Por ejemplo, no puede vincular objetos de la directiva de grupo a los contenedores integrados. Nombre completo relativo El nombre completo relativo LDAP es la parte del nombre completo LDAP que únicamente identifica el objeto en su contexto de búsqueda. Su composición varía dependiendo del alcance del contexto de búsqueda existente establecido por el cliente. El contexto de búsqueda puede variar desde el nivel de componente de dominio al nivel de nombre común. En el ejemplo anterior, el nombre completo relativo del objeto de usuario Suzan Fine es Suzan Fine. La tabla siguiente proporciona ejemplos de nombres completos y nombres completos relativos. Nombre completo Contexto de búsqueda Nombre completo relativo CN=Suzan Fine,OU=Sales, DC=contoso,DC=msft CN=Suzan Fine,OU=Sales, DC=contoso,DC=msft OU=Sales,DC=contoso,DC=msft DC=contoso,DC=msft CN=Suzan Fine OU=Sales,DC=contoso,DC=msft DC=contoso,DC=msft OU=Sales CN=Judy Lew,OU=Shipping, DC=europe,DC=contoso,DC=msft OU=Shipping,DC=Europe, DC=contoso,DC=msft CN=Suzan Fine,OU=Sales CN=Judy Lew Nota Las dos primeras entradas de la tabla hacen referencia al mismo objeto, pero en diferentes contextos de búsqueda. Es posible que, para conservar su exclusividad, el nombre completo relativo deba ser más largo que el nombre del objeto final.

14 Introducción al servicio de directorio Microsoft Active Directory 12 Grupos de Active Directory Explicar los tipos de grupos de seguridad disponibles en un dominio de Active Directory. Los grupos de seguridad son las unidades que se utilizan para asignar y mantener los permisos. Es fundamental elegir el grupo de seguridad apropiado para realizar una administración y replicación eficaces en Active Directory. Grupos locales de dominio Miembros de cualquier dominio del bosque Usopara parael acceso a los recursos del propio dominio Grupos globales Sólomiembros del propio dominio Usopara parael acceso a los recursos de cualquier dominio Grupos universales es Miembros de cualquier dominio del bosque Usopara parael acceso a los recursos de cualquier dominio Active Directory utiliza los siguientes tipos de grupos de seguridad: Grupos locales de dominio, que conceden permisos a los usuarios para que obtengan acceso a recursos de la red como carpetas, archivos o impresoras de un único dominio. Grupos globales, que organizan objetos de usuario de dominio entre dominios. Grupos universales, que se utilizan para agrupar usuarios y conceder permisos en todo el bosque. Puede utilizar estos grupos de seguridad para proteger recursos. Los grupos de seguridad le permiten asignar los mismos permisos a un gran número de usuarios en una operación, lo que garantiza que los permisos son coherentes para todos los miembros de un grupo. Una parte importante de un entorno de red basado en Windows 2000 consiste en decidir cuándo usar cada tipo de grupo de seguridad.

15 Introducción al servicio de directorio Microsoft Active Directory 13 Sugerencia Señale la nota relativa a los grupos universales y la replicación del catálogo global. Grupos locales de dominio A continuación se resumen las reglas de pertenencia a un grupo local de dominio: Pertenencia. Puede contener usuarios, grupos globales y otros grupos universales de cualquier dominio del bosque. En un dominio de modo nativo, también puede contener grupos locales de dominio de su propio dominio. Puede ser miembro de. En un dominio de modo nativo, puede ser miembro de otro grupo local de dominio desde su propio dominio. Se le puede conceder permiso para. Cualquier recurso del dominio en donde reside el grupo local de dominio. Use un grupo de dominio local para asignar permisos de acceso a recursos que se encuentren en el mismo dominio en el que se creó el grupo de dominio local. Agregará grupos globales que comparten los mismos recursos al correspondiente grupo local de dominio. Grupos globales A continuación se resumen las reglas de pertenencia a un grupo global: Pertenencia. Puede contener cuentas de usuario del dominio en donde existe el grupo. En un dominio de modo nativo, los grupos globales también pueden contener otros grupos globales desde el dominio en donde existe. Puede ser miembro de. Grupos locales de dominio de cualquier dominio del bosque. En un dominio de modo nativo, también puede ser miembro de otro global en su propio dominio. Se le puede conceder permiso para. Todos los dominios del bosque. Use los grupos globales para organizar a los usuarios que comparten las mismas tareas y deben tener requisitos de acceso a red similares. Un tipo diferente de grupo resulta más apropiado para controlar el acceso a los recursos; use los grupos globales sólo para organizar usuarios o grupos de usuarios.

16 Introducción al servicio de directorio Microsoft Active Directory 14 Grupos universales A continuación se resumen las reglas de pertenencia a un grupo universal: Pertenencia. Puede contener cuentas de usuario, grupos globales y otros grupos universales de cualquier dominio del bosque. Puede ser miembro de. Grupos locales de dominio y otros grupos universales de cualquier dominio del bosque. Se le puede conceder permiso para. Todos los dominios del bosque. Los dominios de Windows 2000 deben encontrarse en modo nativo para poder usar los grupos universales. Use grupos universales para anidar los grupos globales, para que pueda asignar permisos a los recursos relacionados en múltiples dominios. Evite agregar usuarios individuales a los grupos universales para mantener en el mínimo la necesidad de cambios de pertenencia. Nota Diseñe grupos universales con miembros que permanezcan estáticos a lo largo del tiempo. Realice las modificaciones mínimas en los grupos, ya que al actualizar la pertenencia a un grupo universal, toda la pertenencia a ese grupo universal se replica en todos los servidores de catálogos globales del bosque. Esta replicación puede causar una importante cantidad de tráfico en la red y crear retrasos en la propagación.

17 Introducción al servicio de directorio Microsoft Active Directory 15 Active Directory y DNS Objetivo de la diapositiva Explicar la función de DNS en Active Directory. Introducción DNS realiza tres funciones básicas en Active Directory. Resolución de nombres Definición de espacios de nombre Localización de los componentes físicos de Active Directory DNS es un servicio obligatorio para una red de Windows 2000, puesto que es necesario para la funcionalidad de Active Directory. Active Directory utiliza DNS para tres funciones básicas: Resolución de nombres. DNS realiza la resolución de nombres traduciendo los nombres de host en direcciones IP. Definición de espacios de nombres. Active Directory utiliza las convenciones de nomenclatura de DNS para dar nombre a los dominios. Los nombres de dominios de Windows 2000 son nombres de dominios DNS. Por ejemplo, contoso.com es un nombre de dominio DNS válido y también podría ser el nombre de un dominio de Windows Localización de los componentes físicos de Active Directory. Para iniciar sesión en la red y realizar consultas en Active Directory, un equipo en el que se ejecute Windows 2000 debe buscar primero un controlador de dominios o un servidor de catálogo global para autenticar el inicio de sesión o procesar la consulta. La base de datos DNS almacena y proporciona la información de qué equipos realizan estas funciones para que se pueda dirigir la petición correctamente.

18 Introducción al servicio de directorio Microsoft Active Directory 16 Estructura lógica de Active Directory Objetivo de la diapositiva Presentar los componentes lógicos de Active Directory. Introducción Los componentes de Active Directory se utilizan para diseñar una jerarquía de directorios. Dominios Unidades organizativas Árboles y bosques Catálogo global Dominio Dominio Bosque Dominio Dominio Árbol UO Domain Domain UO UO Dominio Dominio Dominio Árbol Dominio La estructura lógica de Active Directory es flexible y ofrece un método para diseñar una jerarquía de directorios útil tanto para los usuarios como para los que tengan que administrarla. Los componentes lógicos de la estructura de Active Directory incluyen: Dominios Unidades organizativas Árboles Bosques Es muy importante conocer la finalidad y la función de los componentes lógicos de la estructura de Active Directory para realizar una gran variedad de tareas, como la planificación, instalación, configuración y resolución de problemas de Active Directory.

19 Introducción al servicio de directorio Microsoft Active Directory 17 Dominios Ilustrar el propósito del dominio en Active Directory. El dominio es la unidad central de la estructura lógica de Active Directory. Un dominio es un límite de seguridad Un administrador de dominio sólo puede administrar dentro del dominio, a menos que se le concedan explícitamente derechos de administración en otros dominios Un dominio es una unidad de replicación Loscontroladores de un dominio participan en la replicación y contienen una copia completa de toda la información de directorio de su dominio Usuario1 Usuario2 Replicación Dominio de de Windows 2000 Usuario1 Usuario2 La unidad central de la estructura lógica de Active Directory es el dominio. Un dominio es un conjunto de equipos, definido por un administrador, que comparten una base de datos de directorios común. Un dominio tiene un nombre único y proporciona acceso a las cuentas de usuario centralizadas y a las cuentas de grupo mantenidas por el administrador de dominio. Límite de seguridad En una red de Windows 2000, el dominio sirve como límite de seguridad. El propósito de un límite de seguridad es garantizar que un administrador de un dominio tenga los permisos y derechos necesarios para realizar la administración sólo en ese dominio, a menos que al administrador se le concedan explícitamente esos permisos y derechos en un dominio adicional. Todos los dominios tienen sus propias directivas de seguridad y relaciones de seguridad con otros dominios. Unidad de replicación Los dominios son también unidades de replicación. Una unidad de replicación significa que todos los controladores de dominio de un determinado dominio reciben los cambios en la información de su propio dominio, replicando esos cambios en los otros controladores de dominio del mismo dominio.

20 Introducción al servicio de directorio Microsoft Active Directory 18 Cambio del modo de dominio Describir los modos de dominio y la manera de cambiarlos. Después de haber instalado Active Directory y haber establecido un dominio, el dominio opera en modo mixto. Active Directory se instala en modo mixto para la compatibilidad con los controladores de dominio existentes El anidamiento de grupo y los grupos de seguridad universales requieren que un dominio esté en modo nativo Modo mixto Controlador dedominio (Windows 2000) Modo nativo y Controlador de dominio (Windows NT 4.0) Controladores dedominio (sólo en en Windows 2000) Después de instalar Active Directory y establecer un dominio, éste opera en modo mixto como modo de dominio predeterminado. Un dominio de modo mixto es compatible con controladores de dominio que ejecutan Windows 2000 o Windows NT 4.0. Active Directory se instala en modo mixto para proporcionar compatibilidad con los controladores de dominio existentes que no se hayan actualizado con Windows La capacidad de utilizar indefinidamente el dominio en modo mixto significa que puede actualizar los controladores de dominio que ejecutan Windows NT 4.0 en cualquier momento, según las necesidades de su organización. Si la red no dispone de ningún controlador de dominio que ejecute Windows NT 4.0, o cuando todos los controladores de dominio se hayan actualizado a Windows 2000, puede convertir el dominio de modo mixto a modo nativo. En un dominio de modo nativo, todos los controladores de dominio ejecutan Windows Sin embargo, no es necesario actualizar a Windows 2000 los servidores miembro y los equipos cliente antes de convertir un dominio a modo nativo. Algunas funciones de Active Directory, como el anidamiento de grupo y los grupos de seguridad universales, requieren que ese dominio esté en el modo nativo. Ya no puede agregar controladores de dominio que ejecutan Windows NT 4.0 a un dominio en modo nativo.