Tutorial de Active Directory para principiantes

En este tutorial de Active Directory para principiantes, te mostraremos cómo instalar, cómo configurar y cómo usar Active Directory. También puedes obtener este eBook PDF de Active Directory proporcionando tu dirección de correo electrónico y el tutorial de AD te será enviado.

¿Qué es Active Directory?

Comencemos este tutorial de Active Directory definiendo qué es exactamente Active Directory. Microsoft Active Directory (AD) es un componente central del sistema operativo Server. Es un directorio (base de datos) y un conjunto de servicios que permiten el acceso seguro a recursos en un entorno de Windows en red. Otros tipos de entornos tienen diferentes servicios de directorio; por ejemplo, OpenLDAP se utiliza en varios entornos Unix/Linux.

Beneficios de Active Directory

Active Directory ofrece una amplia gama de beneficios para organizaciones de todos los tamaños, por lo que es un componente fundamental de muchas infraestructuras de TI. A continuación, se presentan algunos de los beneficios clave de usar Active Directory:

• Active Directory ofrece servicios centralizados de autenticación y autorización que permiten a los usuarios iniciar sesión en la red y acceder a los recursos para los cuales los administradores les han otorgado permisos de acceso.
• Active Directory admite inicio de sesión único (SSO), que permite a los usuarios acceder a múltiples recursos a través de la red sin tener que iniciar sesión por separado en cada recurso.
• AD incluye Group Policy, que permite a los administradores definir y hacer cumplir configuraciones de seguridad, configuraciones y políticas en múltiples computadoras y usuarios dentro de la red.
• Active Directory sirve como un repositorio central para la gestión de recursos de red como usuarios, grupos, computadoras, impresoras y dispositivos de red.
• AD almacena información sobre objetos de red como usuarios, grupos, computadoras e impresoras en una base de datos jerárquica estructurada.
• Active Directory ofrece características de seguridad como cifrado, controles de acceso y auditoría para proteger la información sensible y garantizar el cumplimiento de los estándares de seguridad.
• Active Directory está diseñado para escalar con el crecimiento de una organización, soportando miles o incluso millones de usuarios, computadoras, grupos y otros objetos dentro de un único directorio.
• Active Directory se integra sin problemas con otros productos y servicios de Microsoft, como Microsoft Exchange Server, SharePoint, Microsoft 365 (anteriormente Office 365) y servicios de Azure, proporcionando una solución unificada de gestión de identidad y acceso en todo el ecosistema de Microsoft.

¿Qué hace Active Directory?

Los servicios que AD proporciona o soporta incluyen:

• Autenticación — Active Directory proporciona autenticación, que es el proceso de verificar que los usuarios son quienes dicen ser. Active Directory admite inicio de sesión único, permitiendo a los usuarios autenticarse una vez y luego acceder a múltiples recursos a través de la red.
• Autorización — Active Directory también gestiona la autorización, que es el proceso de determinar si se permite a un usuario acceder a los recursos solicitados utilizando criterios como sus roles y la membresía de su grupo de seguridad.
• Gestión de recursos — Active Directory sirve como un repositorio central para la gestión de recursos de red como computadoras, servidores, impresoras y dispositivos de red. Permite a los administradores organizar estos recursos en agrupaciones lógicas, facilitando la gestión y asignación de recursos dentro de la red.
• Group Policy — AD incluye Group Policy, que permite a los administradores definir y hacer cumplir políticas de seguridad, configuraciones y ajustes en múltiples computadoras y usuarios dentro de la red. Esto asegura consistencia en las configuraciones y ayuda a hacer cumplir los estándares de seguridad.
• Servicios de directorio — Active Directory almacena información sobre objetos de red como usuarios, grupos, computadoras e impresoras en una base de datos jerárquica estructurada llamada directorio. Este servicio de directorio proporciona una forma escalable y eficiente de organizar y acceder a la información sobre los recursos de la red.
• LDAP — Active Directory admite el Lightweight Directory Access Protocol (LDAP), que proporciona un método estándar para acceder y consultar datos de directorios. LDAP permite que aplicaciones y servicios interactúen con el directorio para autenticación, recuperación de información y otros propósitos.
• DNS — Active Directory se integra con el Domain Name System (DNS) para proporcionar servicios de resolución de nombres dentro de la red. DNS permite a los usuarios y computadoras localizar controladores de dominio y otros recursos de red utilizando nombres amigables (como nombres de host) en lugar de direcciones IP.
• Las relaciones de confianza — Active Directory soporta relaciones de confianza entre dominios para permitir que usuarios y recursos en un dominio puedan acceder a recursos en otro dominio. Las relaciones de confianza se establecen automáticamente entre todos los dominios en un bosque, lo que permite a los usuarios acceder sin problemas a recursos a través de los dominios. Los administradores también pueden establecer confianzas externas para permitir que usuarios en un dominio de Active Directory accedan a recursos en otro dominio en un bosque diferente. Las confianzas pueden ser unidireccionales o bidireccionales. Con una confianza unidireccional, los usuarios en un dominio pueden acceder a recursos en otro dominio, pero lo contrario no es cierto. En una confianza bidireccional, los usuarios en ambos dominios pueden acceder a recursos en el otro dominio. Por ejemplo, una confianza bidireccional externa podría establecerse entre organizaciones asociadas para facilitar la colaboración. Ambos tipos de confianzas pueden ser transitivas o no transitivas. Una confianza no transitiva está limitada a los dominios específicos involucrados. Una confianza transitiva permite el acceso a recursos en otros dominios de confianza en el mismo bosque. Por ejemplo, supongamos que hay una confianza transitiva entre el Dominio A y el Dominio B. Si el Dominio B confía en el Dominio C, entonces el Dominio A también confía en el Dominio C.
• Replicación — Active Directory utiliza replicación multi-maestro para asegurar que los datos del directorio estén sincronizados en todos los controladores de dominio dentro del dominio. La replicación garantiza la consistencia de los datos y la tolerancia a fallos, permitiendo a los usuarios acceder a la información del directorio incluso si algunos controladores de dominio no están disponibles.

Estructura de Active Directory

Active Directory tiene una estructura jerárquica con los siguientes componentes:

• Bosque — El bosque es el contenedor de nivel superior en Active Directory y un límite de seguridad. Contiene uno o más dominios, los cuales comparten un esquema común, configuraciones y catálogo global. El primer dominio creado en el bosque es el dominio raíz del bosque; los dominios añadidos al bosque más tarde se llaman dominios hijos. Las organizaciones típicamente tienen un solo bosque, pero pueden tener más.
• Árbol — Un árbol es una estructura jerárquica dentro de un bosque de AD que consiste en uno o más dominios organizados en un espacio de nombres contiguo. El dominio raíz del árbol es el primer dominio creado dentro del árbol. Los subdominios creados bajo el dominio raíz se llaman dominios hijos, y se pueden crear dominios hijos adicionales bajo estos dominios hijos, formando una estructura de árbol jerárquica. Los dominios dentro del mismo árbol comparten un espacio de nombres contiguo y están conectados por relaciones de confianza transitivas, permitiendo a usuarios y recursos acceder a recursos a través de dominios dentro del mismo árbol.
• Dominio — Un dominio es un grupo de usuarios, computadoras y otros objetos que se almacenan en una única base de datos de Active Directory y pueden ser gestionados juntos. Cada dominio tiene sus propias políticas de seguridad, relaciones de confianza y controladores de dominio. Por ejemplo, una organización podría tener un dominio para cada una de sus ubicaciones, que es gestionado por el equipo de TI local.
• Unidad organizativa (OU) — Las unidades organizativas son contenedores dentro de un dominio que se utilizan para organizar y gestionar subconjuntos de objetos AD en ese dominio. Por ejemplo, el dominio de la sucursal de una empresa en San Francisco podría tener OUs para cada departamento allí, como Ventas y Finanzas.
• Objeto de AD — Los objetos de Active Directory incluyen cuentas de usuario, cuentas de computadora y grupos de seguridad y distribución. Cada objeto de AD tiene un conjunto de atributos. Por ejemplo, los atributos de una cuenta de usuario incluyen su nombre de usuario, contraseña, información de contacto, roles y grupos.

Controladores de dominio de Active Directory

Cada dominio tiene uno o más controladores de dominio. Los DC son los servidores que almacenan la base de datos de Active Directory y proporcionan servicios de directorio como autenticación y autorización. Todos los controladores de dominio ejecutan el sistema operativo Windows Server.
Si un dominio tiene varios DC, los cambios en la base de datos de AD en un DC se replican en los demás. Esta redundancia proporciona tolerancia a fallos en caso de que un DC tenga problemas.

Cómo implementar un Domain Controller

Para crear un controlador de dominio, necesitas realizar dos pasos:

• Instale el rol de Active Directory Domain Services (AD DS) en una máquina de Windows Server.
• Promueva el servidor a controlador de dominio.

Los pasos se detallan a continuación.

Instale el rol de Active Directory Domain Services en un servidor Windows

1. Inicie sesión en el Windows Server utilizando una cuenta con privilegios administrativos. Abra Server Manager haciendo clic en el icono de Server Manager en la barra de tareas o buscando "Server Manager" en el menú de inicio.
2. En el menú superior, haga clic en Administrar y seleccione Agregar roles y características.
3. En el Asistente para agregar roles y características, seleccione Instalación basada en roles o en características y haga clic en Siguiente.
4. Asegúrese de que el servidor correcto esté seleccionado y haga clic en Siguiente.
5. En la página “Seleccionar roles de servidor”, haga clic en Active Directory Domain Services. En la ventana emergente, haga clic en Agregar características.
6. En la página “Seleccionar características”, no seleccione ninguna característica adicional. Haga clic en Siguiente.
7. En la página “Active Directory Domain Services”, revise la información y haga clic en Siguiente.
8. Revise sus selecciones de instalación y haga clic en Instalar.
9. Espere a que el proceso de instalación se complete, lo que puede tardar unos minutos. Luego haga clic en Cerrar para salir del asistente.

Promueva el servidor a Controlador de Dominio

1. Cuando la instalación esté completa, aparecerá una notificación en el Server Manager. En la notificación haga clic en Promover este servidor a un controlador de dominio.
2. El Asistente de configuración de Servicios de dominio de Active Directory se abrirá. Primero, especifique si desea agregar un controlador de dominio a un dominio existente, agregar un nuevo dominio a un bosque existente o agregar un nuevo bosque. Para este ejemplo, seleccione Agregar un nuevo bosque, ingrese un nombre para el dominio raíz y haga clic en Siguiente.
3. Seleccione los niveles funcionales para el bosque y su dominio raíz, agregue capacidades como DNS y establezca la contraseña del modo de restauración de los servicios de directorio (DSRM). Haga clic en Siguiente para continuar.
4. Si seleccionó la opción DNS, la página “Opciones de DNS” puede mostrar una advertencia. Dado que estamos creando un nuevo bosque, podemos ignorar esta advertencia de forma segura. Haga clic en Siguiente para continuar.
5. El asistente buscará en la red del dominio y asignará un nombre de dominio NetBIOS automáticamente. Puede cambiarlo si es necesario. Haga clic en Siguiente para continuar.
6. En la página “Paths”, especifique la ubicación de la base de datos de AD DS, los archivos de registro y los archivos SYSVOL. Puede cambiar la ubicación predeterminada proporcionada. En entornos grandes, se recomienda mantenerlos en una unidad separada para que se puedan usar para restaurar Active Directory si el disco del sistema se corrompe. Haga clic en Siguiente para continuar.
7. Revise el resumen de sus selecciones y haga clic en Siguiente.
8. El asistente verificará que el ordenador cumple con los requisitos previos. Una vez que vea una confirmación de que el ordenador ha pasado, haga clic en Instalar.
9. Una vez que la instalación se complete, el servidor se reiniciará automáticamente. Después del reinicio, el servidor será un controlador de dominio con Active Directory Domain Services instalado.
10. Para verificar que la estructura del dominio ha sido creada, abra el Administrador del Servidor, haga clic en Herramientas y haga clic en Usuarios y Equipos de Active Directory.

Cómo instalar Remote Server Administration Tools (RSAT) para AD Management

Para administrar Active Directory, necesita instalar herramientas administrativas en una máquina cliente. Para instalar RSAT en Windows 11, siga estos pasos:

1. Abra Configuración, haga clic en Aplicaciones en la barra lateral izquierda y luego haga clic en Características opcionales.
2. Haga clic en Ver características.
3. Busque “RSAT” (o simplemente desplácese hacia abajo) y marque la casilla junto a RSAT: Active Directory Domain Services and Lightweight Directory Services Tools. Luego haga clic en Siguiente.
4. Haga clic en el botón Instalar para comenzar el proceso de instalación.
5. Espere a que se complete la instalación. Esto puede tardar unos minutos. Una vez que su computadora se haya reiniciado, puede verificar que RSAT se haya instalado buscando cualquiera de las herramientas de RSAT, como Active Directory Users and Computers, desde el menú de inicio.

Eventos de Active Directory para Monitorear

Active Directory ofrece una función de registro para mantener la seguridad, integridad y rendimiento de su servicio de directorio. Monitorear estos eventos utilizando una herramienta como Windows Event Viewer le ayuda a detectar actividades sospechosas para que pueda solucionar problemas rápidamente y responder a violaciones de seguridad. A continuación, se presentan algunos eventos comunes a buscar.

Gestión de cuentas de usuario

• Creación de cuenta: Event ID 4720
• Eliminación de cuenta: Evento ID 4726
• Cuenta habilitada/deshabilitada: ID de eventos 4722, 4725
• Cambio/reinicio de contraseña: ID de eventos 4723, 4724, 4725
• Bloqueos de cuenta: Event ID 4740

Group Management

• Creación/eliminación de grupos: ID de eventos 4727, 4731
• Cambios en la membresía de grupos: Event IDs 4728, 4729, 4732, 4733.

Replicación de Active Directory

• Éxito/fallo de la replicación: ID de eventos 4928, 4929, 4932, 4933

Operaciones de Domain Controller

• Inicio/apagado de controlador de dominio/sistemas: Event IDs 6005,6006,6008,1074
• Acceso al servicio de Directory Management: Event IDs 2889, 2887

Autenticación y Autorización

• Inicios de sesión exitosos: ID de eventos 4624, 4648, 4768
• Inicios de sesión fallidos: ID de eventos 4625
• Acceso privilegiado: Event IDs 4672

Cambios en el Directory Service

• Modificaciones LDAP: Event IDs 5136, 5137, 5138
• Cambios de esquema: Event ID 5139