Estructura lógica Active Directory

La estructura lógica del servicio de directorio pretende establecer la forma en que un Administrador de sistemas podría llegar a organizar el entorno que maneja, a fin de facilitar las tareas de almacenamiento de información, su ordenamiento, su explotación y su administración.

Como parte de los elementos más elementales de esta estructura lógica podemos mencionar:

• Objetos
• Unidades Organizacionales
• Dominios
• Árboles
• Bosques

Objetos.

Corresponden a la unidad mínima de manejo de información, tales objetos son la implementación de una clase definida previamente, a la que le son asociadas una serie de propiedades y características.  Entre los principales objetos podemos mencionar:

• Usuarios
• Equipos
• Grupos

Estos objetos, por defecto pueden ser creados dentro de contenedores o carpetas genéricas, creadas durante el proceso de instalación del directorio (carpeta Users y carpeta Computers); sin embargo, como principio administrativo, es recomendable hacer uso de otro tipo de contenedores que permitan una mejor gestión del entorno.

Unidades Organizacionales.

Las Unidades Organizacionales, Unidades Organizativas o incluso, OUs en su forma abreviada, consisten en contenedores que el servicio de directorio provee para permitir la agrupación de manera lógica, ordenada y organizada de los diferentes objetos.  En términos simples, una OU guarda una función idéntica a la tarea realizada por una carpeta o folder de un sistema operativo, en el sentido que únicamente procuran ofrecer un contenedor en el cual se pueden almacenar objetos de propósito o naturaleza similar.

Por ejemplo, en una organización que esté formada por los departamentos de Ventas, Compras y Contabilidad, sería posible crear tres unidades organizacionales (respectivamente: OU Ventas, OU Compras, OU Contabilidad).  De esta manera, la OU Ventas debería contener tanto las cuentas de Usuario del departamento de ventas, las cuentas de equipo del departamento de ventas y los grupos de usuarios en que están organizados los recursos del departamento de ventas.

Una OU cumple con tres principios o propósitos:

• Organización.
• Delegación.
• Aplicación de políticas o directivas de grupo.

Dominios.

El dominio corresponde con la piedra angular de administración para el directorio Active Directory. Un dominio consistirá en la representación de un entorno informático de una organización, en cuanto a su población, configuraciones, recursos y restricciones de seguridad aplicados en dicho entorno.

Un dominio, en principio, guardará una estrecha relación con DNS (incluida una notación de nombres basado en el espacio de nombres -namespace- ofrecido por el mismo DNS). Por buena práctica administrativa, el nombre de un dominio Active Directory, aunque deberá estar basado en el nombre de dominio DNS público de la organización, suele ser ligeramente diferente.  Por ejemplo, considerando el nombre de dominio DNS público GRE2.COM, el nombre de dominio Active Directory podría consistir en GRE2.LOCAL, GRE2.INTERNAL, etc.

Un dominio Active Directory es, por sí mismo, un contenedor y límite administrativo a la vez de configuraciones y restricciones de seguridad.

Árboles.

Dada la naturaleza de operación de una organización: participación en diversos segmentos de mercado, presencia en diversas zonas geográficas, restricciones legales, entre otras, el área informática podría verse en la necesidad de separar diferentes partes del entorno en diferentes contenedores (que, a su vez, ofrezcan limites administrativos). Esto es, al igual que en el caso de DNS, planificar la infraestructura en términos de subdominios (que aprovechen el espacio de nombres jerárquico) o ya sea dominios “hermanos” que formen parte de la misma infraestructura (árboles).

Al plantear dominios y subdominios, un entorno podría estar formado por los dominios:

• GRE2.LOCAL —> Dominio Raíz
• NORTE.GRE2.LOCAL —> Subdominio de primer nivel
• CANADA.NORTE.GRE2.LOCAL —> Subdominio de segundo nivel
• SUR.GRE2.LOCAL —> Subdominio de primer nivel

Al hacer uso de árboles, un entorno podría estar formado por una combinación de los siguientes dominios:

• GRE2.LOCAL —> Dominio Raíz
• NORTE.GRE2.LOCAL —> Subdominio de primer nivel
• REDES2.LOCAL —> Árbol de dominio, formará parte del mismo entorno, pero está basado en un espacio de nombres diferente.

Bosques.

La instancia completa de Active Directory, consiste en la unidad máxima administrativa, conformada por todos y cada uno de los dominios, árboles y hojas que estén siendo administradas en el entorno.