Qué es Active Directory
La documentación de Microsoft lo define así: un directorio es «una estructura jerárquica que almacena información sobre los objetos de una red», y un servicio de directorio como Active Directory Domain Services «proporciona los métodos para almacenar datos de directorio y poner dichos datos a disposición de los usuarios y administradores de la red».
Dicho sin jerga: es una base de datos con reglas. La base de datos guarda los objetos de la red. Las reglas dicen quién puede verlos, usarlos y modificarlos.
Lo que almacena, según la propia documentación del fabricante:
- Cuentas de usuario: nombres, contraseñas, teléfonos y demás atributos de cada persona.
- Cuentas de equipo: los computadores y servidores que forman parte de la red.
- Recursos compartidos: servidores, volúmenes de disco e impresoras.
- Grupos y permisos: quién pertenece a qué y qué puede hacer.
La seguridad no es un añadido posterior: Microsoft señala que «se integra con AD DS mediante la autenticación de inicio de sesión y el control de acceso a los objetos del directorio».
Para qué sirve Active Directory en una empresa
Cumple cuatro funciones que, sin él, hay que resolver equipo por equipo.
Hay un quinto efecto, menos obvio y muy útil en auditorías: como todo pasa por el directorio, queda registro de quién accedió a qué y cuándo.
Cómo se organiza: bosque, dominio, unidad organizativa y objeto
Active Directory no es una lista plana. Es una jerarquía, y entenderla es la diferencia entre administrarlo y pelearse con él.
Las unidades organizativas son la pieza que más se subestima. Microsoft las describe como «límites administrativos» que permiten «controlar el ámbito de autoridad de los administradores de datos»: una OU bien diseñada es lo que hace posible delegar la administración de un área sin entregar la llave de todo el dominio.
Qué es un controlador de dominio
Un controlador de dominio es el servidor que ejecuta Active Directory. Guarda una copia completa de la información del directorio de su dominio, atiende las peticiones de inicio de sesión y replica los cambios hacia los demás controladores.
De ahí se deducen dos cosas prácticas. La primera: si el controlador de dominio no está disponible, la red no autentica, y por eso en cualquier implementación seria hay más de uno. La segunda: como los controladores replican entre sí, un cambio hecho en uno aparece en el resto, y también lo hace un error.
Qué son las directivas de grupo o GPO
Microsoft define la directiva de grupo como «una característica de Windows que proporciona administración centralizada y configuración de sistemas operativos, aplicaciones y configuración de usuario». Un GPO, u objeto de directiva de grupo, es «una colección virtual de ajustes de directivas, permisos de seguridad y ámbito de administración que puede aplicar a usuarios y equipos en Active Directory».
Los GPO se vinculan «a varios niveles dentro de la jerarquía de AD, como sitios, dominios y unidades organizativas». Es el mecanismo con el que se define, por ejemplo, la longitud mínima de contraseña, qué unidades USB se pueden usar o qué aplicaciones se instalan solas al arrancar.
Qué protocolos usa Active Directory
Es la pregunta que separa a Active Directory de las soluciones de identidad en la nube. La documentación de Microsoft lista para Active Directory:
- LDAP, para consultar y modificar el directorio.
- Kerberos y NTLM, la autenticación integrada de Windows.
- Autenticación basada en encabezados, para aplicaciones web internas.
Son protocolos pensados para una red corporativa. No son los que hablan las aplicaciones SaaS modernas, y ese es exactamente el punto de la sección siguiente.
Qué servicios incluye Active Directory
«Active Directory» se usa en el habla diaria como sinónimo de AD DS, pero en Windows Server es una familia de roles:
Active Directory y Microsoft Entra ID no son lo mismo
Es la confusión más cara de este tema, porque lleva a comprar lo que no se necesita. Microsoft describe Entra ID —antes llamado Azure Active Directory— como «la próxima evolución de las soluciones de gestión de acceso e identidad para la nube» y como una «solución de identidad como servicio (IDaaS)». Evolución no es reemplazo automático: son piezas distintas, con protocolos distintos.
Los dos mundos se conectan: Microsoft indica que las organizaciones con Active Directory existente usan Microsoft Entra Connect para sincronizar identidades con la nube. Ese escenario híbrido —el directorio en casa, la identidad también en la nube— es hoy el más frecuente en empresas que ya tenían dominio.
Qué hace falta para implementar Active Directory
Lo mínimo, sin entrar en dimensionamiento:
- Al menos un servidor con Windows Server y el rol AD DS instalado, y en cualquier implementación seria un segundo controlador de dominio para que la caída de uno no deje a nadie sin iniciar sesión.
- DNS bien resuelto. Active Directory depende de DNS para localizar los controladores de dominio; la mayoría de las fallas «raras» de un dominio son en realidad fallas de DNS.
- Un plan de nombres y una estructura de unidades organizativas pensados antes de crear el primer usuario. Rehacerlos después es caro.
- Respaldo y prueba de restauración del directorio, no solo de los archivos.
El diseño de la estructura pesa más que la instalación. Instalar el rol toma poco; convivir diez años con unidades organizativas mal pensadas toma mucho.
Preguntas frecuentes sobre Active Directory
Cómo abordamos Active Directory en TECDEX
TECDEX trabaja el directorio como parte de la infraestructura, no como una instalación aislada: el diseño de dominios y unidades organizativas, la operación del día a día y el soporte cuando algo falla.
- Servicios de Active Directory, la visión general de la línea.
- Sistemas de gestión Microsoft Active Directory, el enfoque sobre el ecosistema Microsoft.
- Administración de plataformas, para la operación continua del directorio.
- Soporte a infraestructura computacional, cuando el problema es de red, servidor o DNS.
Si estás evaluando implementar, migrar o simplemente ordenar un dominio que creció sin plan, escríbenos a contacto@tecdex.net y lo revisamos.
