Curso 2004-2005 Ramón Manjavacas Ortiz Web: http://www.inf-cr.uclm.es/www/rmanjava Email: Ramon.Manjavacas@uclm.es
Dominios.: 1 Directorio Activo.: 2 Transp. 2
Toda organización presenta una estructuración de sus S.I.... física y lógica Conceptos básicos I Concepto de "Dominio" en Windows 2000 - Directorio Activo conjunto de computadoras interconectadas que comparten unos recursos y una política de seguridad. Por tanto, un dominio constituye un límite de seguridad La configuración de seguridad no pueden pasar de un dominio a otro. Un único dominio puede abarcar varias ubicaciones físicas distintas. Cada dominio se identifica por un nombre DNS de dominio. Transp. 3
Conceptos básicos II Cada dominio sólo almacena información sobre los objetos que se encuentran ubicados en él. Un dominio necesita uno o más controladores de dominio. Un controlador de dominio es un servidor dentro de un dominio que administra el acceso de los usuarios a una red, es decir, gestiona los inicios de sesión, inicia la autenticación y el acceso a los recursos compartidos y de directorio. Pueden existir controladores de dominio adicionales dentro de un dominio. Aumento de la tolerancia a errores. Un dominio se crea al instalar el primer controlador de dominio. Transp. 4
Conceptos básicos III Ventajas de aplicar dominios: Organizar objetos. Publicar recursos e información acerca de los objetos del dominio. Facilita la administración de los recursos y de la seguridad. Permite la delegación administrativa en dominios sin necesidad de tener varios administradores con autoridad administrativa global. Facilitan la estructuración de la red de forma que refleje mejor la organización. Transp. 5
Árboles de dominio Objetivo similar a los árboles de directorios empleados en los sistemas de archivos: organizar los nombres de dominio empleados en el espacio de nombres en grupos lógicos El primer dominio se denomina dominio raíz Los dominios adicionales son dominios secundarios Dominio principal - dominio secundario Todos los dominios que comparten el mismo dominio raíz forman un espacio de nombres contiguo. Ejemplo: esi.uclm.es Estructuras jerárquicas I Transp. 6
Estructuras jerárquicas II Árboles de dominio Ejemplo: uclm.es iq.uclm.es esi.uclm.es despachos.esi.uclm.es Los dominios que forman parte de un árbol presentan relaciones de confianza transitivas y bidireccionales. Transp. 7
Bosques Estructuras jerárquicas III Conjunto de uno o más árboles que no forman un espacio de nombres contiguo. Un bosque existe como un conjunto de objetos con referencias cruzadas y relaciones de confianza entre los árboles miembros. A diferencia de un árbol, un bosque no precisa de un nombre distintivo. No presentan un dominio raíz propiamente dicho. El dominio raíz es el primer dominio que se creó. Las relaciones de confianza se establecen entre los dominios raíz de todos los árboles de dominio. Transp. 8
Bosques Ejemplo: Estructuras jerárquicas IV miempresaeuropa.com miempresa.com miempresaasia.com A.miEmpresaEuropa.com A.miEmpresa.com A.miEmpresaAsia.com B.miEmpresaEuropa.com C.miEmpresa.com C.miEmpresaEuropa.com D.miEmpresaEuropa.com Transp. 9
Bosques Todos los árboles de un bosque presentan: Relaciones de confianza transitivas entre los dominios Relaciones de confianza transitivas entre árboles de dominio. Un esquema común Información de configuración común Un catálogo global común Estructuras jerárquicas v Transp. 10
Confianza de dominio Relaciones de Confianza I Una relación de confianza tiene lugar entre dos dominios. En Windows 2000 todas las confianzas son transitivas y bidireccionales. Ruta de confianza Transp. 11
Una relación se caracteriza porque puede ser: Relaciones de Confianza II Unidireccional Bidireccional Transitiva Intransitiva Transp. 12
Relaciones de Confianza III Confianza unidireccional Una sóla relación de confianza, en la que el dominio A confía en el B. Toda relación unidireccional es intransitiva y viceversa. Se pueden establecer con: Dominios de Windows 2000 de un bosque diferente Dominios de Windows NT 4.0 No es posible aplicarla entre dominios de Windows 2000 pertenecientes al mismo bosque. Transp. 13
Confianza bidireccional Confianza en ambos sentidos Entre los dominios de un bosque de Windows 2000 se establecen relaciones de confianza transitivas bidireccionales Confianza transitiva La confianza fluye entre dominios del bosque. Las relaciones de confianza transitivas son siempre bidireccionales. Confianza intransitiva Relaciones de Confianza IV Está limitada por los dos dominios de la relación y no fluye a cualquier otro dominio. Transp. 14
El directorio guarda información sobre los recursos(usuarios, impresoras, servidores,...) de red, al igual que de los servicios que hacen que la información se encuentre disponible y sea útil. Un servicio de directorio es suna herramienta que conecta los directorios a través de la red. Un servicio de directorio difiere de un directorio fuente de información y servicios Introducción I Un servicio de directorio precisa: acceso a todos los recursos mediante autentificación replicación búsquedas basadas en atributos (páginas blancas) búsquedas basadas en clasificación (páginas amarillas) capacidad para eliminar dependencias de localizaciones físicas Transp. 15
Introducción II El Directorio Activo: Es el servicio de directorio para Windows 2000 Server Almacena información de objetos de la red Facilita la búsqueda y utilización de esa información por parte de usuarios y administradores Emplea un almacén de datos estructurados como base de una organización lógica jerárquica La seguridad se encuentra integrada Administración basada en directivas Transp. 16
Introducción III Terminología y conceptos básicos Espacio de nombres y resolución de nombres Atributo Objeto Identidad de objeto Contenedor Árbol y subárbol Nombre distinguido Esquema Transp. 17
Ventajas I Seguridad de la información Administración basada en directivas Capacidad de ampliación Escalabilidad Replicación de la información Integración con DNS Interoperabilidad con otros servicios de directorio Consultas flexibles Transp. 18
Seguridad de la información control de acceso a nivel de objeto y a nivel de propiedades aplicación de directivas de seguridad Administración basada en directivas directiva seguridad - directiva de grupo Ventajas II Un objeto de directiva de grupo establece un conjunto de normas de empresa que incluyen opciones de configuración... acceso a objetos de directorio y recursos del dominio qué recursos del dominio están disponibles para los usuarios cómo se configuran esos recursos para su utilización directiva de grupo se aplica a un contexto determinado Transp. 19
Capacidad de ampliación los administradores pueden agregar nuevas clases de objetos y atributos al esquema existente. Escalabilidad El Directorio Activo dominio y Dominio controladores de dominio. Replicación de la información Ventajas III mejor disponiblidad de la información, mayor tolerancia a errores, equilibrio de carga y mejoras de rendimiento replicación tipo "multimaster" replicación sólo de información que ha cambiado resuelve automáticamente los conflictos que puedan surgir Transp. 20
Integración con DNS Emplea un Sistema de Nombres de Dominio Cada equipo presenta un nombre completo de dominio ejemplo: est17.esi.uclm.es Ventajas IV Interoperabilidad con otros servicios de directorio basado en el protocolo LDAP(Lightweight Directory Access Protocol) empleo de LDAP para consultar y recuperar información en el Directorio Activo. Consultas flexibles basadas en atributos basadas en clasificación Transp. 21
Almacén de datos Características I almacena objetos(usuarios, grupos, equipos, dominios, unidades organizativas y directivas de seguridad) del Directorio Activo (directorio) se localiza en controladores de dominio Esquema conjunto de reglas que definen las clases de objetos y atributos contenidos en el directorio, restricciones y límites de las instancias de éstos. Transp. 22
Catálogo global contiene información acerca de cada uno de los objetos del directorio. funciones de directorio principales: permite el inicio de sesión en la red permite encontrar información del directorio con indenpendia del dominio si no está disponible sólo habrá acceso local al equipo Un sistema de índices y consultas Un servicio de replicación Subsistema de seguridad integrado Características II Transp. 23
Arquitectura I El agente de sistema de directorio (DSA) proporciona acceso al almacenamiento físico de la información de directorio almacenada en disco. Formato de nombres varios tipos de formatos: RFC822, LDAP, HTTP URL,... El modelo de datos esquema Implementación de esquema como un conjunto de instancias de clases de objeto Transp. 24
Arquitectura II El modelo de seguridad basado en el protocolo de autentificación Kerberos determina quién puede ver un objeto, que atributos puede ver de él y que acciones puede realizar. empleo de listas de control de acceso(acl) asociadas a objetos(archivos, directorios, recursos...) una ACL = entradas de control de acceso(ace) una ACE está asociada a un atributo individual del objeto y a un usuario o grupo en concreto. Transp. 25
Arquitectura III Delegación y herencia administración delegada la herencia posibilita que dado un ACE se propague desde el contenedor en el cual se aplica a todos sus hijos. Catálogo global Transp. 26
Objeto de directorio muy idóneo en los dominios Son contenedores del Directorio Activo en los que se puede colocar usuarios, grupos, equipos y otras unidades organizativas. No puede contener objetos de otros dominios. Unidad mínima para aplicación de directivas de grupo Ayudan a disminuir el número de dominios requeridos Facilita la delegación administrativa Unidades Organizativas Transp. 27
Un sitio está definido por un conjunto de equipos en una o varias subredes. La información acerca de la estructura física de la red se proporciona mediante la publicación de sitios. sitio estructura física vs. dominio estructura lógica El Directorio Activo permite múltiples dominios en un solo sitio Los sitios facilitan: autenticación replicación solicitudes de servicio Sitios Transp. 28
Varias herramientas para administración basadas en MMC(Microsoft Management Console): Ayudante para instalación Dominios y confianzas Usuarios y equipos Sitios y servicios Esquema Requiere: controlador de dominio NTFS 5 acceso al servicio de DNS Instalación I Transp. 29
Instalación II Transp. 30
Instalación III Transp. 31
Instalación IV Transp. 32
Instalación V Transp. 33
Instalación VI Transp. 34