Autenticación Centralizada

Autenticación Centralizada Ing. Carlos Rojas Castro Herramientas de Gestión de Redes

Introducción En el mundo actual, pero en especial las organizaciones actuales, los usuarios deben dar pruebas de quiénes son para así verificar si pueden acceder a cierto tipo de información de la compañía. Hay archivos, datos, documentos, gráficos y otros "secretos empresariales" que sólo ciertos empleados privilegiados pueden conocer. El problema radica en que, en la mayoría de los casos, los usuarios deben usar tantos mecanismos de autenticación como sistemas de información tiene la compañía, lo cual es bueno para mantener fuera a los invasores pero bastante incómodo y laborioso para los autorizados. El propósito de este artículo es sugerir una posible solución a este inconveniente, con la cual se pretende minimizar la cantidad de claves que se deben utilizar sin minimizar la seguridad que se le brinda a los sistemas de información.

Autenticación Autenticación se refiere al proceso por medio del cual un usuario de una red adquiere el derecho a usar una identidad dentro de la dicha red. Hay maneras de autenticar un usuario, como el uso de claves, Biométricos,smart cards, certificados digitales. La ventaja es que la identidad del usuario en la red no necesariamente tiene que ser igual al nombre de la persona. Una misma persona puede tener muchas identidades virtuales y vise versa.

Existen tres tipos de autenticación: Autenticación por conocimiento específico: El nombre de mi mamá, la clave del cajero, una palabra clave, etc. Autenticación por posesión: Una tarjeta inteligente. Autenticación por identidad: La huella digital, la retina, la voz, u otras características físicas.

El reto El reto es lograr que el usuario tenga una única clave, la cual le sirva para ingresar a todos los servicios logrando una mayor seguridad en los sistemas y aplicaciones; para lograr esto es necesario acudir a una arquitectura de autenticación centralizada.

Autenticación Centralizada Existen dos modelos de autenticación uno descentralizado y otro centralizado. En el modelo descentralizado, cada servicio de la red maneja sus claves de forma independiente, por ejemplo los usuarios de Oracle, los usuarios de un firewall, los administradores de un sitio Web; cada uno de estas aplicaciones maneja por separado sus claves y las mimas no son compartidas. En la autenticación centralizada los usuarios y sus claves se ubican en un repositorio central, las diferentes aplicaciones se configuran para identificar este lugar y hacer la autenticación contra el repositorio. Para nuestro caso las claves estarán ubicadas dentro de un servidor de directorio activo, pero en general podrían estar almacenadas en un archivo de texto plano o en una base de datos relacional entre otros métodos de almacenamiento de información.

Qué es Active Directory? Active Directory es el servicio de directorio de una red Windows. Este servicio de directorio es un servicio de red que almacena información acerca de los recursos de la red y permite el acceso de los usuarios y las aplicaciones a dichos recursos, de forma que se convierte en un medio de organizar, controlar y administrar centralizadamente el acceso a los recursos de la red. El servicio Active Directory proporciona la capacidad de establecer un único inicio de sesión y un repositorio central de información para toda su infraestructura.

Active Directory almacena información acerca de los Usuarios Equipos Recursos de red Permite el acceso a los recursos por parte de Usuarios aplicaciones Asimismo, proporciona una forma coherente de asignar nombres, describir, localizar, obtener acceso, administrar y proteger la información de estos recursos. Una de las ventajas fundamentales de AD es que separa la estructura lógica de la organización (dominios)de la estructura física (topología de la red). Ello permite independizar la estructuración de dominios de la organización, de la topología de la red que interconecta los sistemas.

Funciones Centralizar el control de los recursos de red El control de recursos como servidores, Archivos compartidos, Impresoras Centralizar y descentralizar la administración de recursos Los administradores pueden administrar equipos cliente distribuidos, servicios de red y aplicaciones desde una ubicación central mediante una interfaz de administración coherente Sólo los usuarios autorizados pueden obtener acceso a los recursos Pueden distribuir tareas administrativas mediante la delegación del control de los recursos a otros administradores.

Almacenar objetos de forma segura en una estructura lógica Almacena todos los recursos como objetos en una estructura lógica, jerárquica y segura. Optimizar el tráfico de red Permite utilizar el ancho de banda de red de forma más efectiva. Por ejemplo, garantiza que, cuando un usuario inicie una sesión en la red, la autoridad de autenticación más cercana a él lo autentique, reduciendo así la cantidad de tráfico de red.

Estructura lógica de Active Directory

Objetos. Son los componentes más básicos de la estructura lógica. Las clases de objetos son plantillas o planos técnicos para los tipos de objetos que se pueden crear en Active Directory. Cada clase de objetos se define mediante un grupo de atributos, que definen los posibles valores que se pueden asociar a un objeto. Cada objeto posee una única combinación de valores de atributos.

Unidades organizativas. Se pueden utilizar estos objetos contenedores para estructurar otros objetos de modo que admitan los propósitos administrativos. Mediante la estructuración de los objetos por unidades organizativas, se facilita su localización y administración. También se puede delegar la autoridad para administrar una unidad organizativa. Las unidades organizativas pueden estar anidadas en otras unidades organizativas, lo que simplifica la administración de objetos.

Dominios. Se trata de las unidades funcionales centrales en la estructura lógica de Active Directory que son un conjunto de objetos definidos de forma administrativa y que comparten: una base de datos, directivas de seguridad y relaciones de confianza comunes con otros dominios. Los dominios proporcionan las siguientes tres funciones: Un límite administrativo para objetos Un medio de administración de la seguridad para recursos compartidos Una unidad de replicación para objetos UO UO UO

Árboles de dominios. Los dominios que están agrupados en estructuras jerárquicas se denominan árboles de dominios. Al agregar un segundo dominio a un árbol, se convierte en secundario del dominio raíz del árbol. El dominio al que está adjunto un dominio secundario se denomina dominio primario. Un dominio secundario puede tener a su vez su propio dominio secundario. El nombre de un dominio secundario se combina con el nombre de su dominio primario para formar su propio nombre único de Sistema de nombres de dominio (DNS, Domain Name System), como corp.nwtraders.msft. De esta forma, el árbol dispone de un a espacio de nombres contiguo.

Bosques. Un bosque es una instancia completa de Active Directory. Consta de uno o varios árboles. En un árbol de sólo dos niveles, que se recomienda para a mayoría de las organizaciones, todos los dominios secundarios se convierten en secundarios del dominio raíz de bosque para formar un árbol contiguo. El primer dominio del bosque se denomina dominio raíz de bosque. El nombre de ese dominio se refiere al bosque, como por ejemplo nwtraders.msft. De forma predeterminada, la información de Active Directory se comparte sólo dentro del bosque. De este modo, el bosque es un límite de seguridad para la información contenida en la instancia de Active Directory. Bosque

Estructura física de Active Directory

Capacidades de Active Directory Permite a usuarios y aplicaciones obtener acceso a información sobre objetos Esta información se almacena en forma de valores de atributos. Se pueden buscar objetos basándose en su clase, atributos, valores de atributos, ubicación dentro de la estructura de Active Directory o cualquier combinación de estos valores. Clarifica la topología de red física y los protocolos. De este modo, un usuario de una red puede obtener acceso a cualquier recurso, como una impresora, sin saber el lugar donde se encuentra o el modo en que está conectado físicamente a la red.

Permite el almacenamiento de un gran número de objetos Puesto que se organiza en particiones, Active Directory se puede ampliar a medida que la organización crece. Por ejemplo, un directorio se puede ampliar de un solo servidor con varios cientos de objetos a miles de servidores y millones de objetos. Se puede ejecutar como un servicio del sistema no operativo Active Directory en modo de aplicación (AD/AM) es una nueva capacidad de Microsoft Active Directory que trata determinadas situaciones de implementación relacionadas con aplicaciones habilitadas para directorios. AD/AM se ejecuta como un servicio del sistema no operativo y, como tal, no requiere implementación en un controlador de dominio.

Instalación

Nombres asociados a las unidades organizativas Las referencias a objetos específicos de Active Directory pueden hacerse mediante distintos tipos de nombres que describen su ubicación. Active Directory crea un nombre completo relativo, un nombre completo y un nombre canónico para cada objeto, en función de la información suministrada por el administrador en el momento de crear o modificar el objeto.

Cómo crear una unidad organizativa Para crear una nueva unidad organizativa: 1. Abra Usuarios y equipos de Active Directory. 2. En el árbol de la consola, haga doble clic en el nodo de dominio. 3. Haga doble clic con el botón secundario del mouse(ratón) en el nodo de dominio o en la carpeta en la que de desee agregar la unidad organizativa seleccione Nuevo y, a continuación, haga clic en Unidad organizativa. 4. En el cuadro de diálogo Nuevo objeto - Unidad organizativa, en el cual Nombre, escriba el nombre de la unidad organizativa y, a continuación, haga clic en Aceptar.

Cómo crear una cuenta de usuario Las cuentas de usuario de dominio permiten a los usuarios iniciar una sesión en un dominio y tener acceso a recursos de cualquier lugar de la red, mientras que las cuentas locales de usuario permiten a los usuarios iniciar sesiones y tener acceso únicamente a los recursos del equipo en el que se ha creado la cuenta de usuario local. Como administrador de sistemas, debe crear cuentas de usuario locales y de dominio para administrar el entorno de red.