El Blog de Quilez

2.- DE GRUPO DE TRABAJO A DOMINIO

El trabajo en Dominio supone un cambio radical en el concepto de uso de los recursos de la red. En lugar de que cada equipo de la red sea una Unidad de Administración, éstos pasan a ser meros componentes de una única entidad, el dominio, que es en conjunto lo que podríamos llamar una Unidad de Administración Global. De esta forma, en un único punto de administración podemos definir todos los parámetros que necesitemos de comportamiento de todos los recursos que pertenezcan al dominio, y hacer que estos parámetros se distribuyan en la forma que queramos por todos los equipos del mismo.

Tareas tan simples como establecer la longitud de la contraseña de los usuarios, en un grupo de trabajo implica configurarlo en todos y cada uno de los ordenadores, y cada vez que queramos cambiar un parámetro tendremos que volver a pasar por todos los equipos. En un dominio, lo definimos es un único sitio y hacemos que se distribuyan estas modificaciones.

Otra gran ventaja que nos va a proporcionar un dominio es la gestión única de las cuentas de usuario. En un grupo de trabajo, éstas se definen localmente en cada uno de los equipos, en una base de datos de usuarios local. En un dominio, las cuentas se definen en una base de datos centralizada, lo que nos permitirá en todo momento saber el estado de cada una de ellas, y gestionar una política de cuentas común. Una gran dificultad en los grupos de trabajo es compartir recursos en red a usuarios de otros equipos. Para validarse, es preciso hacerlo definiendo en cada equipo el acceso con las credenciales de un usuario y contraseña del equipo que comparte. Si posteriormente en éste se cambia la contraseña, hay que realizar la modificación en todos y cada uno de los equipos que acceden a ese recurso. En un dominio, sin embargo, en el que desde todos los equipos del mismo se puede leer la base de datos de usuarios común, se comparten los recursos con permisos a los usuarios del dominio, y simplemente con estar en la lista de usuarios con permisos ya se puede acceder al recurso compartido, sin tener más que hacer.

Un concepto importante a la hora de trabajar en dominio es el de la pertenencia al mismo. En un grupo de trabajo, tan sólo con conectar un equipo físicamente a la red y ponerle una configuración de red adecuada, ya está en igualdad de oportunidades que los demás para poder acceder a los recursos de la red. En dominio, el primer paso que hay que hacer para poder acceder a todos los recursos del mismo es establecer la pertenencia al dominio del equipo. Es decir, que salvo determinados accesos a recursos compartidos, para aprovechar la inmensa mayoría de lo que nos ofrece un dominio es preciso primero pertenecer al mismo, proceso que podemos hacer que sea totalmente controlado por quién se hace.

El concepto de dominio en las redes Microsoft apareció de la mano de Windows NT, como una base de datos plana en la que definíamos usuarios y equipos, y roles tanto para los usuarios como para los equipos. Este primer concepto de dominio se mantuvo hasta Windows NT 4.0, y con Server 2000 cambió al modelo vigente hasta ahora con Server 2008, el Directorio Activo, en el que nos vamos a centrar.

¿Y por qué este cambio al Directorio Activo? Como he dicho antes, la base de datos de un dominio NT era plana, lo que quiere decir que todos los usuarios y equipos se definen y ven en una única lista, todos juntos. Para dominios pequeños no supone gran problema, pero si empieza a crecer el número de usuarios y equipos, la dificultad de su gestión aumenta de forma considerable. Por otro lado, si queremos relacionar recursos de nuestro dominio con otros dominios de nuestra misma organización, es preciso realizar expresamente una serie de operaciones para poder establecer las relaciones de confianza adecuadas, y en ningún momento vamos a poder gestionar una política común a todos los dominios de nuestra organización.

Con el concepto de Directorio Activo (AD = Active Directory) disminuyen en gran manera esas dificultades; por un lado, en un dominio vamos a poder organizar los recursos en una estructura similar a un árbol de carpetas de archivos, y establecer parámetros comunes a los componentes de cada rama. Por otro lado, la estructura ya no va a estar ligada solamente a un único dominio, sino que comenzaremos definiendo una superestructura común para toda nuestra organización, en la que colgarán todos los dominios que necesitemos para nuestras empresas y departamentos, permitiendo por un lado tener organismos con administración independiente de los demás (cada dominio), pero manteniendo un margen de gestión común a todos los elementos de nuestra organización.