4. Gestión de dominios Windows Server

El Directorio Activo, tal como ya hemos visto, es en realidad una base de datos jerárquica de objetos, que representan las entidades que pueden administrarse en una red de ordenadores, en nuestro caso, en un dominio de sistemas Windows 2008 R2 Server.

De esta forma, en general en todas las versiones de Windows Server, la gestión de un dominio puede realizarse de forma centralizada desde cualquier equipo que pertenezca al dominio, ya que solamente es necesario administrar en sí mismo el Directorio Activo. Cuando nos referimos a «administrar», estamos hablando de crear, gestionar y configurar adecuadamente los objetos del directorio que representan a las entidades o recursos que existen en el dominio (recursos como usuarios, grupos, equipos, etc.).

4.1. Objetos que administra un dominio

Veamos cuáles son los objetos que pueden manejarse en un dominio Windows Server y que se muestran en la Figura 2.14.

Fig. 2.14. Objetos del Directorio Activo.

A. Usuarios globales

Cuando tenemos instalado un controlador de dominio con Windows Server, se crean en el sistema cuentas de usuario y de grupo globales (users).

Las cuentas y grupos locales del equipo desaparecen, ya que ahora en el controlador de dominio solamente se gestionan cuentas de usuario y grupo globales. Estas cuentas globales sirven para:

Identificar y autentificar a las personas (usuarios) que podrán acceder al sistema, es decir, loguearse al controlador de dominio.

Administrar y gestionar los permisos y privilegios que servirán para controlar el acceso que los usuarios hacen a los recursos del sistema.

Supongamos que trabajamos en un grupo de trabajo, es decir, sin dominio. Si una persona (usuario) quiere trabajar en varios equipos, necesita disponer de una cuenta local de usuario dada de alta en cada uno de ellos. Esta cuestión queda solucionada al trabajar en un dominio, ya que el usuario es de dominio y no local, lo cual le proporciona la posibilidad de iniciar sesión en cualquier equipo del dominio.

En un controlador de dominio con Windows Server, se pueden crear cuentas de usuario global. El término «global» debe interpretarse como global al dominio. Los datos de una cuenta de usuario global se almacenan en el Directorio Activo y por tanto en su base de datos, y son conocidos por todos los ordenadores del dominio (en realidad, por todos los ordenadores de bosque).

Más adelante veremos de qué forma integramos los equipos clientes en el dominio para que esta funcionalidad se pueda utilizar.

Las cuentas de usuario globales representan una cuenta única de usuario que se puede utilizar desde cualquier ordenador integrado en el dominio. En este caso, cuando una persona se conecta a cualquiera de dichos ordenadores haciendo uso de su cuenta de usuario global, el ordenador en cuestión realiza una consulta al Directorio Activo, que valida las credenciales del usuario, y el resultado de la validación es enviado al ordenador cliente, que concede o rechaza la conexión.

No es incompatible que los equipos que actúan como clientes de un dominio, además de conocer a los usuarios globales del dominio, puedan tener también sus propios usuarios locales. En este caso, dichos usuarios son únicamente visibles en el ordenador en el que han sido creados. Cuando una persona desea entrar en el sistema utilizando una cuenta local, dicha cuenta se valida contra la base de datos local de ese ordenador. A este usuario local jamás se le podrán asignar permisos de acceso a recursos del dominio, puesto que allí no tiene cuenta.

B. Grupos

De forma similar a los usuarios globales, existen grupos (groups) que son almacenados en el Directorio Activo y que por tanto son visibles desde todos los ordenadores del dominio.

En el controlador de dominio pueden crearse diferentes tipos de grupos de usuarios: grupos de distribución y grupos de seguridad.

La gestión de usuarios y grupos la veremos detenidamente en la siguiente unidad. Ahora solamente nos interesa saber que los grupos son otro tipo de objetos gestionados por DA y que implementan una agrupación de usuarios para conceder o no permisos de utilización de recursos del dominio.

C. Equipos

La misma base de datos del Directorio Activo de un dominio que conserva toda la información relativa a cuentas de usuarios y grupos globales almacena asimismo información relativa a los equipos (computers) que forman parte del dominio.

Se almacena el nombre del ordenador, así como un identificador único y privado que lo identifica unívocamente y que solamente conoce el controlador de dominio. Gracias a esta identificación unívoca, a cada equipo (objeto en general) se pueden asignar permisos y derechos. Objetos como usuarios, grupos y equipos quedan identificados cada uno de ellos por un número o identificación en el equipo.

D. Unidades organizativas

Como ya hemos visto, las «unidades organizativas» también son conocidas como UO (Organization Units). Son objetos del directorio que a su vez pueden contener otros objetos. El uso fundamental de las UO es delegar la administración de sus objetos a otros usuarios distintos del administrador del dominio y personalizar el comportamiento de los usuarios y/o equipos mediante la aplicación de directivas.

4.2. Herramientas básicas de administración de dominios

Una vez instalado DA y configurado el controlador de dominio, disponemos de una serie de herramientas para administrar la base de datos, objetos y recursos que serán gestionados por el dominio. Veamos cuáles son estas herramientas:

Utilización e identificación de herramientas para la gestión del Directorio Activo

Para conocer y utilizar las herramientas que sirven para la gestión del DA en un servidor Windows Server, tenemos que ejecutar Inicio > Panel de control > Herramientas Administrativas . También podemos ejecutar Inicio > Herramientas Administrativas (Fig. 2.15).

Fig. 2.15. Herramientas administrativas.

Administración de equipos. Con esta herramienta administramos y configuramos opciones básicas del controlador de dominio. Podemos administrar usuarios y grupos locales, espacio de almacenamiento en disco, recursos compartidos, etc. Como esta herramienta la vamos a utilizar de forma habitual, de momento no haremos un análisis detallado de la misma. Cuando integramos un equipo en un dominio, esta herramienta tiene menos utilidad, ya que entre otras cosas desaparece la gestión de usuarios y grupos locales, puesto que pasan a gestionarse desde una de las opciones que veremos a continuación.

Cuando ejecutamos esta herramienta, vemos una pantalla como la de la Figura 2.16.

Fig. 2.16. Administración de equipos.

Las opciones que se presentan son las siguientes:

Herramientas del sistema:

– Programador de tareas. Su funcionamiento es prácticamente el mismo que en Windows Vista/7/8, por lo que repasaremos cómo lo hicimos con esta versión del sistema para proceder de la misma forma en Windows 2008 Server.
– Visor de eventos. En esta opción, podemos analizar un histórico de los sucesos que han ocurrido en nuestro sistema, como errores de inicio o cierre del equipo, interrupción de servicios, acceso a recursos del equipo, etc.
– Carpetas compartidas. Nos muestra en una sola ventana todos los recursos compartidos desde este equipo. Esta opción es muy interesante, ya que a veces es difícil localizar las carpetas compartidas en todas sus ubicaciones.
– Rendimiento. Podemos analizar los recursos consumidos por el equipo en cuanto a CPU, disco, red y memoria. El resto de opciones son objeto de administración más avanzada, que en nuestro caso no veremos.
– Administrador de dispositivos. Podemos gestionar el hardware de nuestro equipo igual que lo hacíamos en las versiones Windows de sobremesa. Podemos desinstalar o deshabilitar dispositivos, así como ver los recursos que consume o solucionar problemas específicos, como actualización de controladores. El procedimiento es el mismo que en versiones Windows Vista/7/8 o XP.
Almacenamiento. Concretamente en Almacenamiento de disco podemos gestionar los discos duros y/o volúmenes de nuestro sistema de forma muy similar a como se hacía en las versiones de sobremesa. Este punto lo trataremos más adelante.
Servicios y aplicaciones. Aquí gestionamos precisamente eso, los servicios que se están ejecutando en nuestro equipo. Esta opción también la trataremos más adelante.

DNS. Desde aquí administramos este servicio, que nos permite asociar nombres de equipo o host con direcciones IP. Durante el proceso de instalación de DA se instala y configura automáticamente este servicio, por lo que de momento no es necesario realizar ninguna operación sobre el mismo.
Dominios y confianzas de Active Directory. Con esta herramienta podemos configurar algo muy importante: «las relaciones de confianza». Las relaciones de confianza se configuran cuando en una organización existen dos o más dominios diferentes y deseamos unificar la administración de toda la organización desde cualquiera de los controladores de dominio existentes. Con este tipo de relaciones varios dominios se administran como si fueran uno solo.

Usuarios y equipos de Active Directory. Desde esta herramienta podemos administrar usuarios globales, grupos y equipos del dominio, entre otras cosas. A diferencia de la herramienta Administración de equipos, que se utiliza para la gestión de usuarios, grupos y recursos locales, con esta otra herramienta se gestionan los objetos del dominio.

Al ejecutar esta herramienta, vemos una pantalla como la de la Figura 2.17.

Fig. 2.17. Usuarios y equipos de Active Directory.

Con esta herramienta podemos manejar la mayoría de los objetos que vamos a tratar en este curso. Gestionaremos usuarios, grupos, controladores de dominio, equipos, unidades organizativas, etc.

Como podemos apreciar en la Figura 2.17, está directamente seleccionada la opción de Users y podemos apreciar en la parte derecha la lista de usuarios predefinidos que existen en el dominio.

En la siguiente unidad veremos detalladamente la gestión de este tipo de objetos.

El resto de herramientas no las trataremos de momento, pero a lo largo del libro iremos utilizando alguna más.

Respecto de Usuarios y equipos de Active Directory, se ha de recordar que es una herramienta que se instala cuando se crea el dominio, algo que se produce cuando instalamos los servicios de DA en el primer equipo de la infraestructura.

Por ello al realizar esta instalación los usuarios locales del equipo en el que hemos instalado DA dejarán de existir inmediatamente; no podremos gestionar usuarios locales.

Ahora los usuarios que se gestionen serán usuarios del dominio, pudiendo identificarse al dominio desde cualquier equipo que añadamos, incluyendo el propio controlador de dominio, que, por cierto, es una operación poco habitual.

Si en nuestra infraestructura tuviéramos más de un controlador de dominio, es decir, si contáramos con un controlador de dominio principal y uno de reserva o de seguridad, la gestión y administración de usuarios equipos, grupos, etc., podrían hacerse desde cualquiera de estos equipos con la herramienta Usuarios y equipos de Active Directory, independientemente del servidor desde el que estuviésemos trabajando.

Debemos tener muy presente que los usuarios locales solamente existen en equipos Windows 2008 R2 Server no promovidos a controladores de dominio. Una vez promovidos, los usuarios locales no existen; solamente existen usuarios del domino.

,
You have completed the lesson!

Below is the time you have spent on the activity and the score you obtained.

Time spent

Score

How can we help you?

Couldn't find what you were looking for?

Please describe the issue you are experiencing and provide as many details as possible. Let us know the book, class, access device, licence code, username, used browser or if it occcurs in our app: