Definicin
En una red de Microsoft Windows Server 2003, el servicio de directorio Active Directory proporciona la estructura y las funciones para organizar, administrar y controlar el acceso a los recursos de red. Un servicio de directorio es aquel que almacena informacin acerca de los recursos de la red y permite que los mismos resulten accesibles a los usuarios y a las aplicaciones. Los servicios de directorio proporcionan una manera coherente de nombrar, describir, localizar, tener acceso, administrar y asegurar la informacin relativa a los recursos de red.
Funcionalidad
Active Directory proporciona funcionalidad de servicio de directorio, como medio para organizar, administrar y controlar centralmente el acceso a los recursos de red. Asimismo hace que la topologa fsica de red y los protocolos pasen desapercibidos, de manera que un usuario de una red pueda tener acceso a cualquier recurso sin saber dnde est el mismo o cmo est conectado fsicamente a la red. Un ejemplo de este tipo de recurso es una impresora. Active Directory est organizado en secciones que permiten el almacenamiento de una gran cantidad de objetos. Como resultado, es posible ampliar Active Directory a medida que crece una organizacin, permitiendo que una organizacin que tenga un nico servidor con unos cuantos
Instalacin Active Directory
El Servicio de nombres de dominio (DNS) y DCPromo (la herramienta de la lnea de comandos que crea DNS y Active Directory) pueden instalarse manualmente o mediante el Asistente para configurar su servidor de Windows Server 2003.
Para instalar DNS y Active Directory mediante las herramientas manuales
1- Ir a Inicio/Ejecutar, escribir DCPROMO y, a continuacin, hacer clic en Aceptar. 2- Cuando aparezca el Asistente para instalacin de Active Directory, hacer clic en Siguiente para iniciar la instalacin. 3- Despus de revisar la informacin de Compatibilidad de sistema operativo, hacer clic en Siguiente. 4- Seleccionar Controlador de dominio para un dominio nuevo (opcin predeterminada) y, a continuacin, hacer clic en Siguiente.
5- Seleccionar Dominio en un nuevo bosque (opcin predeterminada) y, a continuacin, hacer clic en Siguiente. 6- Para Nombre DNS completo, escribir [Link] y, despus, hacer clic en Siguiente. (Esta opcin representa un nombre completo.)
7- Hacer clic en Siguiente para aceptar la opcin predeterminada Nombre NetBIOS del dominio de EJEMPLO. (El nombre NetBIOS proporciona compatibilidad de bajo nivel.) 8- En la pantalla Carpetas de la base de datos y del registro, establecer la Carpeta de registro de Active Directory de forma que apunte a C:\Windows\NTDS y, a continuacin, hacer clic en Siguiente para continuar.
9- Deje la ubicacin de la carpeta predeterminada para Volumen del sistema compartido y, despus, hacer clic en Siguiente. 10- En la pantalla Diagnsticos de registro de DNS, hacer clic en Instalar y configurar el servidor DNS en este equipo. Hacer clic en Siguiente para continuar. 11- Seleccionar Permisos compatibles slo con sistemas operativos de servidor Windows 2000 o Windows Server 2003 (opcin predeterminada) y, a continuacin, hacer clic en Siguiente. 12- Escribir la contrasea para Contrasea de modo de restauracin y Confirmar contrasea y, despus, haga clic en Siguiente para continuar. Nota: los entornos de produccin deben emplear contraseas complejas para las contraseas de restauracin de servicios de directorio.
La Figura representa un resumen de las opciones de instalacin de Active Directory. Hace clic en Siguiente para iniciar la instalacin de Active Directory. Si nos indica, insertaremos el CD de instalacin de Windows Server 2003.
14- Hacer clic en Aceptar para confirmar la advertencia de que se va a asignar una direccin IP de forma dinmica a un servidor DNS. 15- Si dispone de varias interfaces de red, seleccione la interfaz de red [Link] de la lista desplegable Elegir conexin y, a continuacin, haga clic en Propiedades. 16- En la seccin Esta conexin utiliza los siguientes elementos, hacer clic en Protocolo Internet (TCP/IP) y luego en Propiedades. 17- Seleccione Usar la siguiente direccin IP y, a continuacin, escribir [Link] para Direccin IP. Presione dos veces la tecla Tab y, despus, escribir [Link] para Puerta de enlace predeterminada. Escribir [Link] para Servidor DNS preferido y, a continuacin, hacer clic en Aceptar. Hacer clic en Cerrar para continuar. 18- Hacer clic en Finalizar cuando termine el Asistente para instalacin de Active Directory. 19- Hacer clic en Reiniciar ahora para reiniciar el equipo.
Autorizar el servidor DHCP
1- Una vez reiniciado el equipo, presionamos Ctrl+Alt+Supr e iniciamos sesin en el servidor como administrator@[Link]. Dejar en blanco el cuadro de la contrasea. 2- Hacer clic en el men Inicio/Herramientas administrativas y, a continuacin, hacer clic en DHCP. 3- Hacer clic en [Link]. Hacer clic con el botn secundario del mouse en [Link] y, despus, hacer clic en Autorizar. 4- Cerrar la consola de administracin de DHCP.
Ejemplo de infraestructura de Active Directory
Esta infraestructura comn se basa en la organizacin ficticia Ejemplo. Ejemplo posee el nombre DNS [Link], que se configur con el Asistente para instalacin de Active Directory en la seccin anterior. En esta figura se ilustra la estructura de ejemplo de Active Directory.
Herramientas
Las herramientas administrativas de Active Directory simplifican la administracin del servicio de directorio . Se pueden utilizar las herramientas estndar o Microsoft Management Console (MMC) para crear herramientas personalizadas centradas en tareas de administracin nicas. Estas herramientas slo se pueden utilizar desde un equipo con acceso a un dominio. Las siguientes herramientas administrativas de Active Directory estn disponibles en el men Herramientas administrativas: Usuarios y equipos de Active Directory Dominios y confianzas de Active Directory Sitios y servicios de Active Directory
Tambin se puede administrar Active Directory de forma remota desde un equipo que no sea un controlador de dominio, como un equipo que ejecute Windows XP Professional. Para ello, debe instalar el Paquete de herramientas de administracin de Windows Server 2003
Complemento Dominios y confianzas de Active Directory
Para iniciar el complemento
Inicio/Todos los programas/ Herramientas administrativas/Dominios y confianzas de Active Directory.
Complemento Dominios y confianzas de Active Directory
El Nombre principal del usuario (UPN) proporciona un estilo de nomenclatura fcil de usar para que los usuarios inicien sesin en Active Directory. El estilo del UPN se basa en el estndar RFC 822 de Internet, al que tambin se hace referencia como direccin de correo. El sufijo UPN predeterminado es el nombre DNS del bosque, que es el nombre DNS del primer dominio del primer rbol del bosque. El sufijo UPN predeterminado es [Link] o como hemos llamado anteriormente [Link] Se pueden agregar sufijos UPN alternativos, lo que aumenta la seguridad del inicio de sesin. Tambin puede simplificar los nombres de inicio de sesin de usuario si utiliza un solo sufijo UPN para todos los usuarios. El sufijo UPN slo se utiliza dentro del dominio de Windows Server 2003 y no es necesario que sea un nombre vlido de dominio DNS.
Agregar sufijos UPN adicionales 1- Seleccionar Dominios y confianzas de Active Directory en el panel superior izquierdo, hacer clic con el botn secundario del mouse y, a continuacin, hacer clic en Propiedades. 2- Especificar cualquier sufijo UPN alternativo en el cuadro Sufijos UPN alternativos y hacer clic en Agregar. 3- Hacer clic en Aceptar para cerrar la ventana.
Cambiar la funcionalidad de dominios y bosques
La funcionalidad de dominios y bosques, incluida en Active Directory de Windows Server 2003, proporciona un modo de habilitar las caractersticas de Active Directory para todo el dominio o todo el bosque dentro del entorno de red. Existen diferentes niveles de funcionalidad de dominios y de bosques, que dependen del entorno.
Si todos los controladores de dominio de su dominio o bosque ejecutan Windows Server 2003 y el nivel funcional est establecido en Windows Server 2003, estarn disponibles todas las caractersticas para todo el dominio y para todo el bosque. Cuando se incluyen controladores de dominio Windows NT 4.0 o Windows 2000 en el dominio o bosque con controladores de dominio que ejecutan Windows Server 2003, slo est disponible un subconjunto de las caractersticas de Active Directory para todo el dominio y todo el bosque. El concepto de habilitar funciones adicionales de Active Directory existe en Windows 2000 con modos mixtos y nativos. Los dominios de modo mixto puede contener controladores de dominio de reserva Windows NT 4.0 y no pueden utilizar las caractersticas de grupos de seguridad universal, anidacin de grupos ni historial de Id. de seguridad (SID). Cuando el dominio est establecido en modo nativo, se pueden utilizar las caractersticas de grupos de seguridad universal, anidacin de grupos e historial de SID. Los controladores de dominio que ejecutan Windows 2000 Server no admiten la funcionalidad de dominio y bosque.
Advertencia: una vez elevado el nivel funcional del dominio, los controladores de dominio que ejecutan sistemas operativos anteriores no podrn incluirse en el dominio. Por ejemplo, si eleva el nivel funcional del dominio a Windows Server 2003, los controladores de dominio que ejecutan Windows 2000 Server no se podrn agregar a dicho dominio. La funcionalidad de dominio habilita caractersticas que afectan a todo el dominio y slo a ese dominio. Existen cuatro niveles funcionales de dominio: Windows 2000 mixto (opcin predeterminada), Windows 2000 nativo, Windows Server 2003 versin provisional y Windows Server 2003. De forma predeterminada, los dominios operan en el nivel funcional Windows 2000 mixto. Para elevar la funcionalidad del dominio 1- Haga clic con el botn secundario del mouse en el objeto de dominio (en el ejemplo, [Link]) y, a continuacin, haga clic en Elevar el nivel funcional del dominio. 2- En la lista desplegable Seleccione un nivel funcional del dominio disponible, seleccione Windows Server 2003 y, a continuacin, haga clic en Elevar. 3- Haga clic en Aceptar en el mensaje de advertencia para elevar la funcionalidad del dominio. Haga clic de nuevo en Aceptar para finalizar el proceso. 4- Cierre la ventana Dominios y confianzas de Active Directory.
Usar el complemento Usuarios y equipos de Active Directory
Para iniciar el complemento Usuarios y equipos de Active Directory 1- Haga clic en el botn Inicio, seleccione Todos los programas, Herramientas administrativas y, a continuacin, haga clic en Usuarios y equipos de Active Directory. 2- Expanda [Link] haciendo clic en el signo +. La Figura siguiente muestra los componentes clave del complemento Usuarios y equipos de Active Directory.
Objetos de Active Directory
Los objetos descritos en la lista siguiente se crean durante la instalacin de Active Directory.
Dominio
El nodo raz del complemento representa el dominio que se va a administrar.
Equipos
Contiene todos los equipos con Windows NT, Windows 2000, Windows XP y Windows Server 2003 que se unen a un dominio. Entre stos se incluyen los equipos que ejecutan Windows NT versiones 3.51 y 4.0. Si actualiza de una versin anterior, Active Directory migra la cuenta de equipo a esta carpeta. Es posible mover estos objetos.
Sistema Usuarios
Contiene informacin de sistemas y servicios de Active Directory.
Contiene todos los usuarios del dominio. En una actualizacin, se migran todos los usuarios del dominio anterior. Al igual que los equipos, se posible mover los objetos de usuario.
Se puede usar Active Directory para crear los siguientes objetos Usuario Un objeto de usuario es un objeto que es un principal de seguridad en el directorio. Un usuario puede iniciar sesin en la red con estas credenciales y a los usuarios se les puede conceder permisos de acceso. Contacto Un objeto de contacto es una cuenta que no tiene ningn permiso de seguridad. No se puede iniciar sesin como contacto. Los contactos se suelen utilizar para representar a usuarios externos con fines relacionados con el correo electrnico. Equipo Objeto que representa un equipo en la red. Para las estaciones de trabajo y servidores con Windows NT, sta es la cuenta de equipo.
Unidad organizativa Las unidades organizativas se utilizan como contenedores para organizar de manera lgica objetos de directorio tales como usuarios, grupos y equipos, de forma muy parecida a como se utilizan las carpetas para organizar archivos en el disco duro. Grupo Los grupos pueden contener usuarios, equipos y otros grupos. Los grupos simplifican la administracin de cantidades grandes de objetos. Carpeta compartida Una carpeta compartida es un recurso compartido de red que se ha publicado en el directorio. Impresora compartida Una impresora compartida es una impresora de red que se ha publicado en el directorio.
Agregar una unidad organizativa
Hay que tener en cuenta que se pueden crear unidades organizativas anidadas, y que no hay lmite de niveles de anidacin.
Para agregar una unidad organizativa 1- Hacer clic en el signo + situado junto a Cuentas para expandirlo. 2- Hacer clic con el botn secundario del mouse en Cuentas. 3- Seleccionar Nuevo y hacer clic en Unidad organizativa. Escribir Construccin como el nombre de la nueva unidad organizativa y, a continuacin, hacer clic en Aceptar.
Crear una cuenta de usuario El siguiente procedimiento crea la cuenta de usuario Juan Garca en la unidad organizativa Construccin. Para crear una cuenta de usuario 1- Hacer clic con el botn secundario del mouse en la unidad organizativa Construccin, seleccionar Nuevo y, a continuacin, hacer clic en Usuario o Usuario nuevo en la barra de herramientas del complemento. 2- Escribir la informacin del usuario que se muestra en la Figura.
3-Hacer clic en Siguiente para continuar. [Link] pass#word1 en los cuadros Contrasea y Confirmar contrasea y, despus, hacer clic en Siguiente. Nota: el papel que desempean las contraseas en la proteccin de la red de una organizacin se subestima y no se tiene en cuenta. Las contraseas proporcionan el primer mecanismo de defensa contra el acceso no autorizado a la organizacin. La familia Windows Server 2003 dispone de una caracterstica que requiere contraseas complejas para todas las cuentas de usuario de nueva creacin. [Link] clic en Finalizar para aceptar la confirmacin en el siguiente cuadro de dilogo. Acaba de crear una cuenta para Juan Garca en la unidad organizativa Construccin.
Para agregar informacin adicional sobre este usuario 1- Seleccionar Construccin en el panel de la izquierda, hacer clic con el botn secundario del mouse en Juan Garca en el panel de la derecha y, a continuacin, hacer clic en Propiedades. 2- Agregar ms informacin sobre el usuario en el cuadro de dilogo Propiedades en la ficha General como se muestra en la Figura y, a continuacin, hacer clic en Aceptar. Hacer clic en cada ficha disponible y revise la informacin opcional del usuario que se puede definir. Ej: direccin, telefono, etc del usuario.
Crear un grupo
Para crear un grupo 1- Hacer clic con el botn secundario del mouse en la unidad organizativa [Link], hacer clic en Nuevo y despus en Grupo. 2- En el cuadro de dilogo Nuevo objeto Grupo, escriba Herramientas para el nombre. 3- Revisar el tipo y el mbito de los grupos disponibles en Windows Server 2003, mostrados en la tabla siguiente. Mantenga la configuracin predeterminada y, a continuacin, hacer clic en Aceptar para crear el grupo Herramientas.
El Tipo de grupo indica si se puede utilizar el grupo para asignar permisos a otros recursos de la red, como archivos e impresoras. Tanto los grupos de seguridad como los de distribucin se pueden utilizar para confeccionar listas de distribucin de correo electrnico. El mbito de grupo determina la visibilidad del grupo y qu tipo de objetos puede contener el grupo. mbito Visibilidad Dominio local Dominio Global Universal Bosque Bosque Puede contener
Grupos Usuario, Dominio local, Global o Universal
Grupos Usuarios o Global Grupos Usuarios, Global o Universal
Agregar un usuario a un grupo
Para agregar un usuario a un grupo 1- Hacer clic en la unidad organizativa Ingeniera en el panel de la izquierda. 2- Hacer clic con el botn secundario del mouse en el grupo Herramientas en el panel de la derecha y, a continuacin, hacer clic en Propiedades. 3- Hacer clic en la ficha Miembros y luego en Agregar. 4- En el cuadro de texto Escriba los nombres de objeto que desea seleccionar, escribir Ej. Juan y, a continuacin, hacer clic en Aceptar.
Publicar una carpeta compartida
Para que los usuarios puedan encontrar ms fcilmente las carpetas compartidas, puede publicar informacin sobre dichas carpetas en Active Directory. Cualquier carpeta compartida en la red, incluida una carpeta de Sistema de archivos distribuido (DFS), se puede publicar en Active Directory. Cuando se crea un objeto de carpeta compartida en el directorio, la carpeta no se comparte automticamente. ste es un proceso que consta de dos pasos: en primer lugar se debe compartir la carpeta y despus publicarla en Active Directory.
Para compartir una carpeta
1- Utilizar el Explorador de Windows para crear una nueva carpeta llamada Especificaciones de ingeniera en uno de los volmenes del disco. 2- En el Explorador de Windows, hacer clic con el botn secundario del mouse en la carpeta Especificaciones de ingeniera y, a continuacin, hacer clic en Propiedades. Hacer clic en Compartir y despus en Compartir esta carpeta. 3- En la pantalla Propiedades de especificaciones de ingeniera, escribir ES en el cuadro Nombre del recurso y, a continuacin, hacer clic en Aceptar. Cierre el Explorador de Windows cuando termine. Nota: de forma predeterminada, el grupo integrado Todos tiene permisos en esta carpeta compartida. Puede cambiar el permiso predeterminado haciendo clic en el botn Permisos.
Publicar la carpeta compartida en el directorio
Para publicar la carpeta compartida en el directorio 1- En el complemento Usuarios y equipos de Active Directory, haga clic con el botn secundario del mouse en la unidad organizativa [Link], seleccionar Nuevo y, a continuacin, hacer clic en Carpeta compartida. 2- En la pantalla Nuevo objeto Carpeta compartida, escribir Especificaciones de ingeniera en el cuadro Nombre. 3- En el cuadro Ruta de acceso de red, escribir (nombre o ip del servidor) Ej. \\[Link]\ES y haga clic en Aceptar. 4- Hacer clic con el botn secundario del mouse en Especificaciones de ingeniera y, despus, hacer clic en Propiedades. 5- Hacer clic en Palabras clave. Para Valor nuevo, escribir especificaciones y, a continuacin, hacer clic en Agregar para continuar. Hacer clic dos veces en Aceptar para [Link] usuarios ahora pueden buscar en Active Directory por nombre de recurso compartido o palabra clave para localizar este recurso compartido.
Buscar una carpeta compartida
Para buscar una carpeta compartida 1- En el complemento de MMC Usuarios y equipos de Active Directory, hacer clic con el botn secundario del mouse en Contoso y, a continuacin, hacer clic en Buscar. 2- En la lista desplegable Buscar, hacer clic en Carpetas compartidas. Escriba especificaciones en el cuadro de texto Palabras clave y, despus, hacer clic en Buscar ahora. 3- En Resultados de la bsqueda, hacer clic con el botn secundario del mouse en Especificaciones de ingeniera y, a continuacin, hacer clic en Abrir.
Publicar una impresora
Puede publicar tambin informacin sobre impresoras compartidas en Active Directory. La informacin de las impresoras compartidas de Windows NT debe publicarse manualmente. La informacin de las impresoras compartidas de la familia Windows Server 2003 o de la familia Windows 2000 Server se publica automticamente en el directorio cuando se crea una impresora compartida. Utilizar Usuarios y equipo de Active Directory para publicar manualmente informacin sobre impresoras compartidas. El subsistema de impresin propaga de forma automtica al directorio los cambios realizados en los atributos de la impresora (ubicacin, descripcin, carga de papel. etc.). Nota: en esta seccin se describen los pasos para configurar y publicar una impresora que imprime directamente en un archivo. Si desea utilizar una impresora basada en IP, LPT o USB, debe modificar los pasos de estos procedimientos.
Agregar una nueva impresora
Para agregar una nueva impresora 1- Hacer clic en el botn Inicio, en Impresoras y faxes y, despus, haga doble clic en Agregar impresora. Aparece el Asistente para agregar impresoras. Hacer clic en Siguiente. 2- Hacer clic en Impresora local conectada a este equipo, desactive la casilla de verificacin Detectar e instalar mi impresora Plug and Play automticamente y, a continuacin, hacer clic en Siguiente. 3- En la lista desplegable Usar el puerto siguiente, hacer clic en la opcin ARCHIVO: (Imprimir a archivo) y despus en Siguiente. 4- En el panel de resultados Fabricante, hacer clic en Genrico. En el panel de resultados Impresoras, hacer clic en Genrico / slo texto. Hacer clic en Siguiente para continuar. 5- En la pgina Dar un nombre a su impresora, cambie el nombre de la impresora por Imprimir a archivo y, despus, hacer clic en Siguiente. 6- En la pgina Compartir impresora, cambie el Nombre del recurso por ImpresoraArchivo y, a continuacin, hacer clic en Siguiente. 7- Para Ubicacin en la pgina Ubicacin y comentario, escribir Ej. Oficinas centrales Edificio 4 Oficina 2200. Hacer clic en Siguiente para continuar. 8- Hacer clic en Siguiente para imprimir una pgina de prueba y, despus, haga clic en Finalizar para completar la instalacin. 9- Cuando se le indique, escriba Impresin de prueba como nombre del archivo para la pgina de prueba de la impresora. Cuando termine, haga clic en Aceptar.
Buscar una impresora en Active Directory Para buscar una impresora en Active Directory 1- En la pantalla Impresoras y faxes, hacer doble clic en el icono Agregar impresora. 2- Aparece el cuadro de dilogo Asistente para agregar impresoras. Hacer clic en Siguiente para continuar. 3- Hacer clic en Una impresora de red y luego en Siguiente. 4- Hacera clic en Buscar una impresora en el directorio (opcin predeterminada) y, despus, hacer clic en Siguiente. 5- Aparece el cuadro de dilogo Buscar impresoras. Hacer clic en Buscar ahora para buscar todas las impresoras publicadas en Active Directory. Si define opciones de bsqueda adicionales, puede limitar los resultados a las caractersticas disponibles o a la ubicacin de la impresora. [Link] Resultados de la bsqueda en la pgina Buscar impresoras, hacer doble clic en Imprimir a un archivo para instalar la impresora. Hacer clic en S (opcin predeterminada) para definir esta impresora como la impresora predeterminada del sistema y, despus, hacer clic en Siguiente.
Crear un objeto de equipo
Un objeto de equipo se crea de forma automtica cuando un equipo se une a un dominio. Si no desea otorgar a todos los usuarios la capacidad de agregar equipos al dominio, puede crear objetos de equipo antes de que el equipo se una a un dominio de forma manual o mediante secuencias de comandos.
Para agregar manualmente un equipo al dominio 1- Hacer clic con el botn secundario del mouse en la unidad organizativa Ingeniera, seleccionar Nuevo y, despus, hacer clic en Equipo. 2- Para el nombre del equipo, escribir Heredado y, a continuacin, hacer clic en Siguiente. 3- Si el equipo es un sistema administrado, puede especificar el GUID del sistema. En este ejemplo, dejar el GUID del sistema en blanco, hacer clic en Siguiente y despus en Finalizar. 4- Para administrar este equipo desde el complemento Usuarios y equipos de Active Directory, hacer clic con el botn secundario del mouse en el objeto de equipo y, a continuacin, hacer clic en Administrar. De forma opcional, es posible seleccionar a qu usuarios se les permite unir un equipo al dominio. Esto permite que el administrador cree la cuenta de equipo y que otra persona con menos permisos instale el equipo y lo una al dominio.
Administrar objetos de equipo
Los objetos de equipo de Active Directory se pueden administrar directamente desde el complemento Usuarios y equipos de Active Directory. Administracin de equipos es un componente que sirve para ver y controlar numerosos aspectos de la configuracin del equipo. Administracin de equipos combina varias utilidades de administracin en un nico rbol de consola, lo que proporciona un fcil acceso a las propiedades administrativas y herramientas de los equipos locales o remotos.
Administrar un equipo remoto
Para administrar un equipo remoto 1- En el complemento Usuarios y equipos de Active Directory, hacer clic con el botn secundario del mouse en [Link] y, despus, hacer clic en Conectar con el dominio. 2- Hacer clic en Examinar y luego en el signo + situado junto a [Link]. Hacer doble clic en [Link] y, a continuacin, hacer clic en Aceptar. 3- Expandir [Link] haciendo clic en el signo + y, despus, hacer clic en Controladores de dominio. 4- Hacer clic con el botn secundario del mouse en (equipo) Ej. HQ-CON-DC-02 y, despus, hacer clic en Administrar. El sistema se puede administrar ahora de forma remota, como se ilustra en la Figura.
En este ejemplo se asume que trabaja desde la consola HQ-CONDC-01 y que HQ-CON-DC-02 se est ejecutando
Grupos anidados
Los grupos anidados permiten proporcionar acceso a los recursos a toda la empresa o a todo el departamento con un mantenimiento mnimo. Colocar cada grupo de cuentas de equipo en un nico grupo de recursos de toda la empresa no es una solucin eficaz, ya que para ello es necesario crear y mantener un gran nmero de vnculos de pertenencia. Para utilizar grupos anidados, los administradores crean una serie de grupos de cuentas que representan las divisiones administrativas de la empresa.
Por ejemplo, el grupo de cuentas superior podra llamarse "Todos los empleados", y estara asociado a un grupo de recursos que otorga acceso a los recursos y a los directorios compartidos. El siguiente nivel podra contener grupos de cuentas que representaran las principales divisiones de la empresa. Cada grupo de este nivel es miembro de Todos los empleados y est asociado a un grupo de recursos que otorga acceso a los recursos compartidos y a otros recursos pertinentes de la divisin que representa.
Dentro de una divisin, el siguiente nivel de grupos de cuentas podra representar los departamentos. Los recursos compartidos del departamento podran incluir calendarios de proyectos, calendarios de reuniones, calendarios de vacaciones o cualquier otra informacin de red pertinente a todo el departamento. Los grupos de cuentas de departamento son todos miembros del grupo de cuentas de divisin. Dentro de un departamento, la estructura de administracin puede organizarse en grupos de seguridad en cualquier nivel necesario de especificidad. stos podran ser grupos de cuentas de equipo que representaran nodos secundarios del rbol jerrquico de la organizacin. Con esta jerarqua de grupos establecida, puede asignar a un nuevo empleado acceso inmediato a los recursos del equipo, del departamento, de la divisin y de la compaa en su totalidad colocando al empleado en un grupo de cuentas de equipo. Este sistema admite el principio de mnimo acceso, ya que el nuevo empleado no puede ver los recursos de los equipos contiguos, de otros departamentos o de otras divisiones.
Crear grupos anidados
Para crear un grupo anidado 1- En el complemento Usuarios y equipos de Active Directory, hacer clic con el botn secundario del mouse en [Link] y, despus, hacer clic en Conectar con el dominio. 2- Hacer clic en Examinar y luego en [Link]. Hacer clic dos veces en Aceptar para finalizar. 3- Expandir [Link] y, despus, expandir la unidad organizativa Cuentas. 4- Crear un nuevo grupo haciendo clic con el botn secundario del mouse en Ingeniera, seleccionando Nuevo y haciendo clic en Grupo. Escribir Toda la ingeniera y, a continuacin, hacer clic en Aceptar. 5- Hacer clic con el botn secundario del mouse en el grupo Toda la ingeniera y, despus, hacer clic en Propiedades. 6- Hacer clic en la ficha Miembros y luego en Agregar. 7- En el cuadro Escribir los nombres de objeto que desea seleccionar, escribir Herramientas y, a continuacin, haga clic en Aceptar. 8- Hacer clic de nuevo en Aceptar. Se crea un grupo anidado.
Buscar objetos especficos
En una implementacin de directorios de gran tamao sera absurdo examinar una gran lista de objetos en busca de un nico objeto. Suele ser ms eficaz buscar objetos especficos que satisfagan determinados criterios. En el ejemplo siguiente, buscar todos los usuarios con un nombre de inicio de sesin que empiece por J en el dominio. Para buscar usuarios con un nombre de inicio de sesin que empiece por J 1- Hacer clic para seleccionar [Link]. Haga clic con el botn secundario del mouse en [Link] y, despus, hacer clic en Buscar. 2- Hacer clic en la ficha Opciones avanzadas. En la lista desplegable Campo, seleccione Usuario y, a continuacin, hacer clic en Nombre de inicio de sesin.
3- Escribir J para Valor y, despus, hacer clic en Agregar. Hacer clic en Buscar ahora. Los resultados deben ser similares a los que se muestran en la Figura.