Active Directory
Active Directory (AD) es un servicio de directorio desarrollado por Microsoft para redes de dominio de Windows, que proporciona una gestión centralizada de usuarios, equipos y otros recursos.
Microsoft Active Directory (AD) es un servicio de directorio desarrollado por Microsoft para redes de dominio de Windows. Es un componente fundamental de la mayoría de las infraestructuras de TI empresariales, proporcionando gestión y organización centralizadas de los recursos de red. AD almacena información sobre objetos como usuarios, equipos, grupos, impresoras y aplicaciones, y pone esta información a disposición de usuarios y administradores. La funcionalidad principal de AD gira en torno al concepto de dominio, que es una agrupación lógica de objetos de red. Dentro de un dominio, AD aplica políticas de seguridad, gestiona la autenticación y autorización de usuarios, y controla el acceso a los recursos. Utiliza una estructura jerárquica, típicamente organizada en árboles y bosques, lo que permite la escalabilidad y la gestión de organizaciones grandes y distribuidas. Los protocolos clave utilizados por AD incluyen LDAP (Lightweight Directory Access Protocol) para consultar y modificar información del directorio, Kerberos para la autenticación y DNS (Domain Name System) para localizar controladores de dominio y otros recursos de red. AD Domain Services (AD DS) es el rol principal que proporciona la base de datos del directorio, los servicios de autenticación y autorización. Otros servicios relacionados incluyen Active Directory Certificate Services (AD CS) para la infraestructura de clave pública, Active Directory Federation Services (AD FS) para el inicio de sesión único (SSO) entre diferentes organizaciones y Active Directory Rights Management Services (AD RMS) para la protección de datos. La principal contrapartida es la complejidad de la configuración y el mantenimiento, que requiere experiencia especializada, y los posibles riesgos de seguridad si no se configura y gestiona correctamente, como vulnerabilidades a ataques pass-the-hash o Kerberoasting.
graph LR
Center["Active Directory"]:::main
Pre_dns["dns"]:::pre --> Center
click Pre_dns "/terms/dns"
Pre_authentication["authentication"]:::pre --> Center
click Pre_authentication "/terms/authentication"
Pre_authorization["authorization"]:::pre --> Center
click Pre_authorization "/terms/authorization"
Rel_ldap["ldap"]:::related -.-> Center
click Rel_ldap "/terms/ldap"
Rel_kerberos["kerberos"]:::related -.-> Center
click Rel_kerberos "/terms/kerberos"
Rel_group_policy["group-policy"]:::related -.-> Center
click Rel_group_policy "/terms/group-policy"
classDef main fill:#7c3aed,stroke:#8b5cf6,stroke-width:2px,color:white,font-weight:bold,rx:5,ry:5;
classDef pre fill:#0f172a,stroke:#3b82f6,color:#94a3b8,rx:5,ry:5;
classDef child fill:#0f172a,stroke:#10b981,color:#94a3b8,rx:5,ry:5;
classDef related fill:#0f172a,stroke:#8b5cf6,stroke-dasharray: 5 5,color:#94a3b8,rx:5,ry:5;
linkStyle default stroke:#4b5563,stroke-width:2px;
🧒 Explícalo como si tuviera 5 años
Active Directory es como la oficina principal de una gran empresa que lleva un registro de las tarjetas de identificación de todos, dónde están sus escritorios y a qué habitaciones pueden entrar, asegurándose de que solo las personas adecuadas puedan acceder a los lugares correctos.
🤓 Expert Deep Dive
Active Directory Domain Services (AD DS) implementa una base de datos distribuida y jerárquica que almacena información sobre objetos dentro de una red, como usuarios, equipos, grupos y políticas. Se basa en el protocolo Kerberos (RFC 4120) para la autenticación y LDAP (Lightweight Directory Access Protocol, RFC 4511) para consultar y modificar información del directorio. AD DS se organiza en dominios, árboles y bosques, formando una estructura lógica para la gestión de recursos. Cada dominio tiene su propio límite de seguridad y contiene uno o más Controladores de Dominio (DCs) que replican los datos del directorio. La replicación puede ser unidireccional o bidireccional, utilizando típicamente el modelo de Replicación Multimaster. Los componentes arquitectónicos clave incluyen el archivo NTDS.DIT (una base de datos JET Blue), el recurso compartido SYSVOL para Objetos de Directiva de Grupo (GPOs) y scripts de inicio de sesión, y el Catálogo Global (GC) que proporciona una réplica parcial de todos los objetos del bosque para búsquedas más rápidas entre los límites del dominio. La autenticación implica la obtención de un Ticket Granting Ticket (TGT) del Servicio de Autenticación (AS) en un DC, que luego se utiliza para solicitar un Service Ticket (ST) para recursos específicos. La autorización se gestiona a través de Listas de Control de Acceso (ACLs) aplicadas a objetos, haciendo referencia a Identificadores de Seguridad (SIDs) de usuarios y grupos.
ldap
# Ejemplo de consulta LDAP para encontrar un usuario
(objectClass=user)(sAMAccountName=johndoe)