Source: http://docplayer.es/2321980-Universidad-nacional-autonoma-de-mexico-facultad-de-ingenieria.html
Timestamp: 2016-12-04 04:02:07+00:00

Document:
⭐UNIVERSIDAD NACIONAL AUTÓNOMA DE MÉXICO FACULTAD DE INGENIERÍA
Vicente Caballero Peralta
1 UNIVERSIDAD NACIONAL AUTÓNOMA DE MÉXICO FACULTAD DE INGENIERÍA INTEGRACIÓN DE SISTEMAS MAC OS X EN LA INFRAESTRUCTURA DE DIRECTORIO DEL INSTITUTO DE INGENIERÍA DE LA UNAM I N F O R M E D E T R A B A J O QUE PARA OBTENER EL TITULO DE INGENIERO EN COMPUTACIÓN MEDIANTE LA MODALIDAD DE TRABAJO PROFESIONAL PRESENTA LUIS ALBERTO ARELLANO FIGUEROA AVAL DR. LUIS ÁLVAREZ-ICAZA LONGORIA MÉXICO D.F2 3 Índice General ESTRUCTURA 1 PARTICIPACIÓN PROFESIONAL 5 OBJETIVO 11 INTRODUCCIÓN 13 CAPÍTULO 1 DEFINICIÓN DEL PROBLEMA 17 CAPÍTULO 2 ANTECEDENTES INSTITUTO DE INGENIERÍA, UNAM 23 A. ORGANIZACIÓN 23 B. INSTALACIONES COORDINACIÓN DE SISTEMAS DE CÓMPUTO 26 A. ORGANIZACIÓN INFRAESTRUCTURA DE DIRECTORIO DEL INSTITUTO DE INGENIERÍA, UNAM 29 CAPÍTULO 3 MARCO TEÓRICO SERVICIOS DE DIRECTORIO 37 A. DIRECTORIO 37 B. DIRECTORIOS DISTRIBUIDOS 38 C. BENEFICIOS DE LOS SERVICIOS DE DIRECTORIO ESTÁNDARES PARA EL ACCESO A DIRECTORIOS 39 A. X B. LDAP 40 i. Modelo de Información 41 ii. Modelo de Nombres 44 iii. Modelo Funcional 45 iv. Modelo de Seguridad KERBEROS 46 A. PROTOCOLO NEEDHAM-SCHROEDER 48 B. OPERACIÓN DE KERBEROS 50 i. Realm 50 ii. Principal 50 iii. Llave 51 i4 iv. Ticket 51 v. KDC 51 vi. Servidor de Autenticación (AS) 52 vii. Servidor de Otorgamiento de Tickets (TGS) ACTIVE DIRECTORY 54 A. COMPONENTES DE UNA INFRAESTRUCTURA DE ACTIVE DIRECTORY OPEN DIRECTORY 57 A. NETINFO 58 B. DOMINIOS Y SERVICIOS DE DIRECTORIO EN OPEN DIRECTORY 58 C. CONSOLIDACIÓN DE INFORMACIÓN 59 D. DOMINIO DE DIRECTORIO LOCAL 60 E. DOMINIO DE DIRECTORIO COMPARTIDO 61 F. DOMINIOS DE DIRECTORIO EXISTENTES 62 G. ROLES DE OPEN DIRECTORY 62 CAPÍTULO 4 ANÁLISIS Y METODOLOGÍA EMPLEADA EVALUACIÓN DE TECNOLOGÍAS 67 A. COMPLEMENTOS NATIVOS DE MAC OS X 67 B. CENTRIFY 69 C. BEYONDTRUST 71 D. QUEST SELECCIÓN DE LA SOLUCIÓN DISEÑO DE LA ARQUITECTURA IMPLEMENTACIÓN CONFIGURACIÓN DE SERVIDORES CONFIGURACIÓN DE CLIENTES 84 CONCLUSIONES 87 RESULTADOS Y APORTACIONES 91 APÉNDICE 95 GLOSARIO 103 BIBLIOGRAFÍA 109 ii5 Índice de Figuras CAPÍTULO 2 Figura 2-1 Organigrama del Instituto de Ingeniería, UNAM Figura 2-2 Instalaciones del Instituto de Ingeniería, UNAM Figura 2-3 Organigrama de la Coordinación de Sistemas de Cómputo Figura 2-4 Estructura de Dominios del Instituto de Ingeniería para la Ciudad de México Figura 2-5 Estructura de Dominios del Instituto de Ingeniería para la Unidad Académica Juriquilla Figura 2-6 Estructura de Dominios del Instituto de Ingeniería para la Unidad Académica Sisal CAPÍTULO 3 Figura 3-1 Elementos de un Objeto Figura 3-2 Árbol de Información del Directorio Figura 3-3 Intercambio de Tickets en Kerberos Figura 3-4 Servicios de Directorio y Open Directory Figura 3-5 Almacenamiento de información en UNIX Figura 3-6 Consolidación de información con Open Directory Figura 3-7 Dominio de Directorio Local Figura 3-8 Dominio de Directorio Compartido Figura 3-9 Integración con Dominios de Directorio de terceros CAPÍTULO 4 Figura 4-1 Herramienta Workgroup Manager de Apple Figura 4-2 Plantilla Administrativa de Centrify para GPOs en Active Directory Figura 4-3 Directivas de PowerBroker Identity Services con Group Policy Figura 4-4 Administración de Preferencias mediante GPOs con Quest Authentication Services Figura 4-5 Sincronización de reloj en Mac OS X Figura 4-6 Utilidad de Directorio Figura 4-7 Configuración de cuentas móviles en Mac OS X Figura 4-8 Integración de Administradores de Active Directory en Mac OS X Figura 4-9 Creación de un nuevo Dominio Open Directory Figura 4-10 Creación de la cuenta de Administrador del Directorio Figura 4-11 Asignación del nombre de la organización Figura 4-12 Creación de réplicas de Open Directory Figura 4-13 Definición del servidor padre para la réplica de Open Directory iii6 iv7 Índice de Tablas CAPÍTULO 4 Tabla 4-1 Comparativa de las soluciones evaluadas Tabla 4-2 Características del servidor de Ciudad Universitaria Tabla 4-3 Características del servidor de Juriquilla Tabla 4-4 Características del servidor de Sisal v8 vi9 Estructura Estructura El presente trabajo está dividido en varios capítulos que proporcionan un orden lógico a la información expuesta, esperando que mediante esta estructura el lector pueda acceder a la misma de una forma rápida, facilitando así su consulta bibliográfica. Página 110 Estructura Página 211 Estructura Participación profesional En esta sección se hace una presentación de mi participación profesional en este proyecto y el crecimiento profesional que he experimentado desde que ingresé a la Facultad de Ingeniería y durante los casi 20 años que he laborado en el Instituto de Ingeniería de la UNAM. Objetivo En este apartado se plantea el objetivo que me motivó para la realización de este trabajo Introducción Este punto presenta un panorama general de la evolución de las Tecnologías de la Información en el Instituto de Ingeniería de la UNAM y la forma en la que ha respondido a los nuevos cambios tecnológicos. Capítulo 1 - Definición del problema En este capítulo se trata la problemática observada con la incursión de equipos de cómputo con sistema operativo Mac OS X en el Instituto de Ingeniería, UNAM y se plantea una serie de elementos que deben ser resueltos por la implementación de la solución. Capítulo 2 - Antecedentes Este capítulo documenta la organización del Instituto de Ingeniería y de su Coordinación de Sistemas de Cómputo. De igual forma, se presenta una visión general de la organización del servicio de directorios ya implementado en el Instituto. Capítulo 3 - Marco teórico Durante este capítulo se hace un resumen de conceptos teóricos que son necesarios para comprender mejor el problema y que intervendrán durante el proceso de implantación de la solución. Capítulo 4 - Análisis y metodología empleada A lo largo de este capítulo se detalla el análisis realizado a las diferentes soluciones disponibles para la integración de Mac OS X con Active Directory, la selección de la mejor opción y el proceso de implementación. Conclusiones En este apartado se hace un resumen del trabajo realizado y de cómo el Instituto de Ingeniería utiliza el resultado de este proyecto en su beneficio. Resultados y aportaciones Esta sección presenta los resultados obtenidos después de la implantación de la solución, así como los beneficios obtenidos en el Instituto de Ingeniería, tanto para la Coordinación de Sistemas de Cómputo como para los usuarios. Página 312 Estructura Apéndice El apéndice de este trabajo incluye el código fuente en Apple Script que se desarrolló durante la ejecución de este proyecto, y que sirve para automatizar el proceso de unión a dominio de los equipos cliente con sistema operativo Mac OS X a la infraestructura de Active Directory del Instituto de Ingeniería de la UNAM. Página 413 Participación Profesional Participación profesional En esta sección se hace una presentación de mi participación profesional en este proyecto y el crecimiento profesional que he experimentado desde que ingresé a la Facultad de Ingeniería y durante los casi 20 años que he laborado en el Instituto de Ingeniería de la UNAM. Página 514 Participación Profesional Página 615 Participación Profesional Como Jefe del Área de Servidores Windows del Instituto de Ingeniería, desde el año 1999, me he especializado en tecnologías Microsoft y he trabajado en la implementación de soluciones empresariales de toda índole que involucran a la plataforma de Microsoft como el diseño de arquitecturas cliente y servidor con Windows, Active Directory, Exchange Server, SQL Server, SharePoint Server, entre otros. Desde mi ingreso al Instituto en el año 1994 como estudiante sin estipendio, fui asignado al área de soporte técnico por la experiencia empírica que tenía de sistemas operativos DOS y fue en esta área en donde amplié y adquirí nuevos conocimientos, principalmente los relacionados con sistemas UNIX (Solaris) y redes de computadoras. Con el paso del tiempo mi interés se centró en el sistema operativo Windows, ya que era el sistema más utilizado y, día con día, se integraban más computadoras personales con este sistema a la red del Instituto, además de que a mi parecer Windows es un sistema operativo muy interesante con características avanzadas para proporcionar excelentes soluciones. Al ser un estudiante de licenciatura de la Facultad de Ingeniería en la carrera de Ingeniería en Computación, que a la vez realizaba prácticas en el Instituto de Ingeniería, poco a poco tuve la oportunidad de ir aplicando los conocimientos adquiridos en la Facultad en el Instituto de Ingeniería, conocimientos que me permitieron cambiar la experiencia empírica por el análisis y metodologías de ingeniería que permiten la resolución de problemas bajo un enfoque más profesional. El conocimiento adquirido a lo largo de mis estudios en la Facultad de Ingeniería con materias como Computadoras y Programación y Programación Estructurada y Características de Lenguajes, me proporcionaron las bases para la elaboración de programas para la automatización de algunas tareas repetitivas en el proceso de configuración de equipos; sin embargo fueron las materias de Sistemas Operativos, Organización de Computadoras, Redes de Computadoras Organización y Administración de Centros de Cómputo y Temas Especiales de Computación (Seguridad Informática) las que me marcaron e hicieron que mi interés se enfocara a buscar una especialización en la gestión e implementación de nuevas tecnologías, así como a las operaciones de TI. Desde el año 1996 implementé el primer servicio de Directorio en el Instituto de Ingeniería al percatarme de la necesidad de reducir las llamadas de soporte que manejaba la CSC y desde ese entonces este servicio se transformó en la parte medular de la infraestructura de cómputo del Instituto. Esto me llevó a buscar especializarme en este tipo de arquitecturas logrando obtener varias certificaciones avaladas por Microsoft como son Microsoft Certified Professional (MCP), Microsoft Certified Systems Administrator (MCSA) y Microsoft Certified Systems Engineer (MCSE). A partir del año 1999 el coordinador de Sistemas de Cómputo creó el Área de Servidores Windows (Página 26), para la cual fui designado como el jefe de esta y así poder Página 716 Participación Profesional continuar mi trabajo con sistemas Microsoft, pero también para implementar e integrar nuevas tecnologías de forma agnóstica al fabricante, por lo que mis responsabilidades se ampliaron y estas abarcan desde la administración de servidores, hasta las tecnologías de audio y video, pasando por la seguridad informática y las bases de datos. Actualmente tengo las siguientes responsabilidades a mi cargo en el Instituto de Ingeniería: administración del Directorio institucional, administración de servicios esenciales de red como DNS, DHCP y RADIUS, definición y aplicación de directivas de seguridad en equipos cliente, administración del servicio de correo electrónico, administración de los servidores de sitios Web y portales de colaboración, administración de servidores de impresión y NAS 1, administración de los sistemas de almacenamiento masivo SAN 2, administración del firewall perimetral, administración del sistema antimalware en clientes, administración del IPS 3 perimetral, administración de los servidores de Bases de Datos SQL, aprovisionamiento automatizado de sistemas operativos y aplicaciones en equipos cliente a través de la red, administración y operación de los sistemas de Videoconferencia, administración y operación del servicio de streaming, entre otros. Por toda esta experiencia que he tenido la fortuna de ir adquiriendo en el Instituto de Ingeniería, a finales del año 2011 se me confió la tarea de trabajar en la integración de la plataforma Mac OS X a la infraestructura actual de Directorio que previamente había implementado y de cuya administración soy responsable hasta la fecha. La implementación de la integración del sistema Mac OS X con Active Directory y la divulgación a los usuarios de las mejores prácticas para su uso, representó un nuevo reto para mi desarrollo profesional, pues se trata de un sistema operativo que a pesar de tener bastantes similitudes con Windows, también tiene diferencias muy marcadas al tratarse de un sistema UNIX. Para este proyecto estuve dedicado al cien por ciento en un inicio al aprendizaje del funcionamiento del sistema operativo Mac OS X, sobre todo para familiarizarme con la interfaz gráfica, las herramientas de configuración gráficas y las herramientas de línea de comandos más utilizadas para automatizar y cubrir actividades que no se pueden hacer gráficamente. Posteriormente trabajé en la integración con Active Directory, principalmente aplicando los conceptos de redes como DNS, LDAP y Kerberos, pero sin limitarme a ello exclusivamente, pues también realicé una serie de avances sobre la instalación remota de Mac OS X a través de la red utilizando el protocolo NetBoot/NetInstall, el anuncio y configuración de servicios automáticamente mediante el protocolo Bonjour, que está basado en la iniciativa Zeroconf de la IETF, y la implementación de Apple Remote 1 Network Attached Storage Almacenamiento Compartido en Red 2 Storage Area Network Red de Área de Almacenamiento 3 Intrusion Prevention System Sistema de Prevención de Intrusos Página 817 Participación Profesional Desktop para la administración remota, recolección de inventarios y distribución de software de forma centralizada. Finalmente, considero importante resaltar que el éxito de este proyecto lo atribuyo a la aplicación de los conocimientos que adquirí a lo largo de mi formación en la Facultad de Ingeniería de la UNAM, que incluyó la mezcla ideal de una preparación teórica y práctica, además de formación ética y de disciplina a la que todo ingeniero se debe ceñir. Página 918 Participación Profesional Página 1019 Objetivo Objetivo El objetivo de este trabajo consistió en diseñar una infraestructura de cómputo que permitiera la integración de sistemas Mac OS X al servicio de Directorio de la red de datos del Instituto de Ingeniería de la UNAM para obtener el máximo aprovechamiento de los recursos de red disponibles proporcionando una integración robusta que brinde acceso transparente a los servicios y optimizando su utilización. Para esto, se trabajó en implantar la tecnología adecuada que permitiera proporcionar el soporte técnico adecuado a la comunidad del Instituto de Ingeniería de la UNAM, con base en la aplicación de las mejores prácticas de administración de sistemas Apple y utilizando todos los recursos disponibles en el área de tecnologías de la información. Página 1120 Objetivo Página 1221 Introducción Introducción Este punto presenta un panorama general de la evolución de las Tecnologías de la Información en el Instituto de Ingeniería de la UNAM y la forma en la que ha respondido a los nuevos cambios tecnológicos. Página 1322 Introducción Página 1423 Introducción El Instituto de Ingeniería de la UNAM es uno de los centros de investigación con más prestigio en el país, que se dedica a la investigación aplicada en diversas áreas de la ingeniería. Desde su fundación, el Instituto de Ingeniería se ha enfocado a la generación de nuevos conocimientos y técnicas que contribuyen al desarrollo, implementación y mantenimiento de sistemas físicos y teóricos, para resolver problemas que afectan a la sociedad mexicana. La extensa comunidad de ingenieros que forman parte del Instituto utiliza la ciencia y herramientas tecnológicas para la resolución de problemas concretos mediante la elaboración de modelos matemáticos, diseños y tecnologías que se adaptan a las necesidades sociales, industriales e incluso económicas. La complejidad de los retos modernos para encontrar soluciones de ingeniería, ha ocasionado que la comunidad del Instituto forme grupos interdisciplinarios que participan en distintos proyectos auspiciados por la industria privada, gobierno y la propia Universidad. Estos retos y la integración de distintas áreas de conocimiento, apremiaron al Instituto a adoptar nuevas tecnologías como el cómputo, para acelerar el procesamiento de datos, hacer más eficiente el almacenamiento de información y agilizar la colaboración; por lo que creó la Coordinación de Sistemas de Cómputo y la designó como el ente encargado de diseñar, implementar y mantener la infraestructura de cómputo del Instituto. La rápida adopción de computadoras personales entre la comunidad del Instituto, hizo que la Coordinación de Sistemas de Cómputo comenzara a trabajar desde sus inicios, en proveer una infraestructura de red robusta que interconectara estos equipos, pero a la vez, se hizo presente la necesidad de proporcionar servicios centralizados a través de servidores dedicados. La evolución de los servicios de red, poco a poco llevó a la necesidad de optimizar los recursos disponibles, pero también a pensar en la implementación de sistemas que facilitaran el uso de estos servicios por parte de los usuarios y mejoraran las capacidades de administración de los mismos por parte de la Coordinación de Sistemas de Cómputo. Uno de los principios básicos de una red distribuida moderna, implica el uso de un sistema de Directorio que permita la centralización de la autenticación de usuarios para reducir la carga de trabajo de los administradores y para hacer transparente el acceso a los usuarios. El Instituto de Ingeniería cuenta con este sistema de Directorio desde 1996, el cual ha evolucionado a través de los años para convertirse en una parte esencial en las Página 1524 Introducción actividades de su comunidad y para la implementación de nuevas tecnologías o sistemas. El uso del Directorio facilita a los usuarios la localización de recursos de red, entre los que se encuentran otros usuarios, carpetas compartidas, servicios de impresión, etc.; mientras que a los administradores y desarrolladores los habilita con herramientas adecuadas para simplificar sus actividades de monitoreo, mantenimiento y control de acceso a recursos que deben tener ciertas restricciones. Durante las últimas dos décadas el Instituto había homologado su infraestructura de cómputo a una plataforma de cómputo personal que esencialmente estaba orientada al sistema operativo Windows y esto funcionó correctamente por estar alineado a las tendencias mundiales para las áreas de tecnologías de la información. Sin embargo, durante los últimos años, las tecnologías de la información han sufrido cambios enormes, sobre todo debido al aceleramiento del surgimiento de nuevas tecnologías como los dispositivos móviles, y esto ha colocado en posiciones de ventaja tecnológica a nuevos jugadores en la industria del cómputo, además de que los nuevos dispositivos han reducido los costos de la tecnología, haciéndola accesible a un número mayor de personas. Esto ha obligado a la industria a adoptar nuevos paradigmas de trabajo como es el uso de equipos o dispositivos personales en el área de trabajo (BYOD 1 ), la virtualización, el cómputo móvil y el uso de nubes públicas y privadas entre otros, y a partir de estas nuevas tecnologías se ha hecho imprescindible la instauración de ambientes heterogéneos. Estos cambios no son excluyentes de la Universidad y mucho menos del Instituto de Ingeniería, que se ha caracterizado por mantenerse a la vanguardia tecnológica en todas sus áreas de investigación y que ahora se enfrenta a nuevos retos para mantener su infraestructura de cómputo congruente con las nuevas exigencias de sus usuarios. Uno de los cambios importantes que se han presentado es el rompimiento del ambiente homogéneo que se tenía, para dar paso a nuevos sistemas operativos como Linux y Mac OS X, siendo el segundo el sistema operativo con mayor crecimiento en uso por parte de la comunidad del Instituto. Dada esta situación, la Coordinación de Sistemas de Cómputo inició una serie de proyectos para la adecuación de la infraestructura de cómputo del Instituto a los nuevos modelos de TI 2 que involucran la adopción de nuevas tecnologías y su integración con la infraestructura existente para mantener la optimización, el monitoreo y la seguridad de los recursos y la información de la institución. 1 Bring Your Own Device 2 Tecnologías de la Información Página 1625 Definición del Problema Capítulo 1 Definición del Problema En este capítulo se trata la problemática observada con la incursión de equipos de cómputo con sistema operativo Mac OS X en el Instituto de Ingeniería, UNAM y se plantea una serie de elementos que deben ser resueltos por la implementación de la solución. Página 1726 Definición del Problema Página 1827 Definición del Problema Durante los últimos 18 años, el Instituto de Ingeniería ha basado su infraestructura de cómputo principalmente en la plataforma Microsoft, con una base instalada de equipos cliente con el sistema operativo Windows que alcanza el 85% y un porcentaje similar en servidores que se aproximan a la cantidad de 65. Desde hace 3 años el Instituto ha visto crecer entre su comunidad la demanda de equipos con el sistema Mac OS X para su uso en actividades académicas, y la adquisición de este tipo de sistemas ha aumentado rápidamente, alcanzando un 10% de la base instalada de equipos cliente. Esto ocasionó que el Instituto de Ingeniería a través del Área de Servidores Windows y Mac de la Coordinación de Sistemas de Cómputo, se planteara la necesidad de ampliar la infraestructura de cómputo actual con los elementos necesarios que permitieran integrar este tipo de equipos y así mantener el nivel de servicio a los usuarios en cuestión de soporte técnico, soporte de aplicaciones e integración con el esquema de autenticación del Instituto. Para la integración de equipos Mac OS X a la infraestructura del Instituto, consideré como objetivo que se debería tomar en cuenta la facilidad de uso y operación de estos sistemas tanto por parte de los usuarios y el personal de soporte técnico, además de poder contar con los mecanismos necesarios para mantener el control de estos y así poder optimizar los recursos y mantener la seguridad de la red en niveles óptimos, por lo que se plantearon los siguientes puntos a cubrir. 1) Implementar un mecanismo sencillo para unir equipos Mac OS X a un Dominio de Active Directory. 2) Poder retirar los equipos Mac OS X de un Dominio de Active Directory cuando se requiera. 3) Sustituir el inicio de sesión local de los usuarios mediante la autenticación con Active Directory utilizando Kerberos. 4) Contar con la capacidad de migrar fácilmente las cuentas de usuario locales a cuentas de Dominio. 5) La solución debe permitir la distribución de configuraciones mediante grupos de Dominio y con la facilidad de los GPOs de Active Directory. 6) Ofrecer la capacidad de utilizar grupos de Active Directory para la asignación de permisos en el sistema de archivos de forma local (ACLs 1 ) y para carpetas compartidas. 7) Los equipos cliente deberán tener la capacidad de usar credenciales en caché cuando los equipos Mac OS X estén desconectados. 8) Minimizar el impacto que pueda generar el software que se requiera instalar en clientes y servidores, y en general sobre la infraestructura actual del servicio de Directorio del Instituto. 1 Access Control Lists Listas de Control de Acceso Página 1928 Definición del Problema Página 2029 Antecedentes Capítulo 2 Antecedentes Este capítulo documenta la organización del Instituto de Ingeniería y de su Coordinación de Sistemas de Cómputo. De igual forma, se presenta una visión general de la organización del servicio de directorios ya implementado en el Instituto. Página 2130 Antecedentes Página 2231 Antecedentes 2.1 Instituto de Ingeniería, UNAM El Instituto de Ingeniería es uno de los centros de investigación en diversas áreas de la ingeniería que forma parte del Subsistema de la Investigación Científica de la Universidad Nacional Autónoma de México (UNAM). Desde sus inicios, se ha dado a la tarea de realizar investigación orientada a problemas generales de la ingeniería, colaborando con entidades públicas y privadas, siempre buscando mejorar la práctica de la ingeniería en el ámbito nacional proporcionando servicios de ingeniería a los diversos sectores de la sociedad. Además de las actividades de investigación, el Instituto de Ingeniería ha dedicado buena parte de sus esfuerzos a la formación de recursos humanos y a la difusión de los resultados de sus investigaciones, contribuyendo así al desarrollo del país. El prestigio del Instituto de Ingeniería es ampliamente reconocido mediante la amplia variedad de convenios de investigación que tiene con empresas o corporaciones, y por la gran capacidad de los integrantes de su comunidad que está conformada por casi 100 investigadores, una cantidad similar de técnicos académicos, una población oscilante de más de 500 estudiantes que realizan trabajos de tesis de licenciatura, maestría y doctorado, y 140 personas del área administrativa. En sus albores el Instituto se enfocó a resolver problemas que atañen a la ingeniería civil, pero en la actualidad cerca de la mitad de los miembros del Instituto provienen de disciplinas distintas de esta área e incluyen una mezcla de las distintas disciplinas de la ingeniería moderna. Actualmente el Instituto de Ingeniería trabaja en tres grandes grupos de investigación que comprenden a la ingeniería estructural, desde la sismología, geotecnia y dinámica de las estructuras hasta la elaboración de normas constructivas urbanas; la ingeniería hidráulica y ambiental, que incluye la dinámica de fluidos, la biorremediación y los procesos biológicos del ambiente; y la ingeniería electromecánica, que abarca la automatización, los sistemas, la instrumentación y la ingeniería en computación (hardware y software), con grupos emergentes en manejo de bases de datos, seguridad informática, inteligencia artificial y las telecomunicaciones. Esto ha hecho que el Instituto preserve su importante función de hacer ingeniería de calidad, original, útil y altamente competitiva, para resguardar su papel de árbitro nacional de la ingeniería y actor principal del desarrollo tecnológico, al mismo tiempo de que apoya a la docencia y la formación de expertos mediante la vinculación con la industria, el desarrollo de nuevas tecnologías y la colaboración con instituciones afines. a. Organización El Instituto de Ingeniería agrupa a sus diferentes áreas de investigación y operación de acuerdo con el siguiente organigrama funcional (Figura 2-1), en el que destacan sus tres Secretarías y tres Subdirecciones, por albergar al grueso de su población académica y estudiantil. Página 2332 Antecedentes Figura 2-1 Organigrama del Instituto de Ingeniería, UNAM b. Instalaciones El Instituto de Ingeniería tiene instalaciones (Figura 2-2) que ocupan 15 edificios en la zona de Ciudad Universitaria, en la Ciudad de México, con una extensión de 26,020 metros cuadrados construidos entre laboratorios, cubículos, áreas comunes y un auditorio y además posee dos Unidades foráneas en Juriquilla, Querétaro y Sisal, Yucatán. Página 2433 Antecedentes Figura 2-2 Instalaciones del Instituto de Ingeniería, UNAM Página 2534 Antecedentes 2.2 Coordinación de Sistemas de Cómputo La Coordinación de Sistemas de Cómputo (CSC) forma parte de la Subdirección de Electromecánica del Instituto de Ingeniería (Figura 2-1) y desde su formación en 1989 se ha dedicado a apoyar al personal académico en diversos proyectos de investigación, propiciando que la convergencia y el uso de las tecnologías de cómputo, informática, telecomunicaciones y microelectrónica, se asimilen y aprovechen como una herramienta de cambio. La CSC trabaja en diversos temas de cómputo y telecomunicaciones, y se ha convertido en un agente importante dentro del Instituto para operar como una palanca de modernización e innovación que mejora la productividad de la comunidad en general. Entre los temas tecnológicos en los que la CSC se ha involucrado, se encuentra el estudio de sistemas operativos, el supercómputo, las redes de telecomunicaciones convergentes, la ingeniería de software, el desarrollo Web, la telefonía IP, la educación a distancia, el diseño de bases de datos, el cómputo móvil y los sistemas de audio y video digitales. Para cubrir de forma adecuada cada una de las áreas tecnológicas que abarca el cómputo, la CSC se ha organizado en varias áreas de trabajo, lo que le permite generar grupos de conocimiento especializado que respondan de forma ágil a las demandas actuales del Instituto y a su vez le facilita la formación de recursos humanos que se dediquen a la investigación y aplicación de nuevos conocimientos. a. Organización La Coordinación de Sistemas de Cómputo está organizada en 7 áreas, entre las cuales se encuentra el Área de Servidores Windows y Mac, que es el área en la que se desarrolló este proyecto (Figura 2-3). Coordinación de Sistemas de Cómputo Soporte Técnico a PC s Capacitación Ingeniería de Software Diseño Web y Redes Sociales Sistemas Linux Redes y Telecom Servidores Windows y Mac Figura 2-3 Organigrama de la Coordinación de Sistemas de Cómputo Página 2635 Antecedentes 1. Área de Soporte Técnico a PC s Esta área es la encargada de atender a los usuarios del Instituto en la resolución problemas cotidianos que involucran la instalación de software, configuración de sistema operativo, instalación de dispositivos como impresoras o tarjetas de expansión, y en general la resolución de problemas sobre la plataforma Windows. 2. Área de Capacitación Está dedicada a la elaboración de planes de capacitación interna e impartición de cursos de software de uso general a la comunidad del Instituto. De igual forma, esta área está incursionando en la elaboración de material educativo en video para ser publicado en redes sociales o transmitido por streaming. 3. Área de Ingeniería de Software Esta área se dedica al desarrollo de sistemas de escritorio y web, además de aplicaciones móviles que son de uso interno o como apoyo en la realización de proyectos a cargo de otras áreas de investigación del Instituto. El trabajo del área de Ingeniería de Software implica el desarrollo y mantenimiento de aplicaciones administrativas internas que requieren un conocimiento profundo de los procesos de operación del Instituto, hasta el desarrollo de aplicaciones que recolectan, difunden y generan información de carácter científico que son utilizadas por otras coordinaciones del Instituto y otras dependencias universitarias y sus patrocinadores. 4. Área de Diseño Web y Redes Sociales Esta área se encarga de la creación y mantenimiento de los diferentes sitios web públicos y privados que tiene el Instituto, que incluyen el portal Web público, el sitio de la Intranet, sitios Web de los distintos proyectos de investigación, páginas de congresos y sitios de colaboración interna o interinstitucionales. Todo esto considerando la parte creativa, mediante el desarrollo de la imagen gráfica de los sitios Web y el tratamiento de video que se difunde por streaming bajo demanda. Además, en esta área de lleva a cabo la administración y publicación de la información que se difunde en las distintas redes sociales públicas en las que tiene presencia el Instituto. 5. Área de Sistemas Linux Esta área se encarga de mantener la infraestructura de servidores Linux del Instituto y de proporcionar el soporte técnico necesario a los usuarios de este sistema operativo. Página 2736 Antecedentes Trabaja en áreas del cómputo como la virtualización, la implementación de herramientas de uso científico y el desarrollo de portales Web, además de administrar uno de los dos servicios de correo electrónico del Instituto. De igual forma, se encarga de administrar y optimizar el uso de un cluster de supercómputo que corre sobre la plataforma Linux y que sirve como apoyo a distintos grupos de investigación del Instituto de Ingeniería para la ejecución de aplicaciones de propósito científico y que les permite acelerar la obtención de resultados necesarios para sus estudios. 6. Área de Redes y Telecomunicaciones En esta área se mantiene y administra la infraestructura física de la red del Instituto de Ingeniería, al igual que el sistema de telefonía que utiliza VoIP. Los integrantes de esta área están a cargo del diseño, planeación y administración del cableado estructurado en las instalaciones del Instituto y de los equipos de red involucrados en la comunicación como son switches Ethernet de capa 2 y 3, puntos de acceso y switches inalámbricos, transceivers, etc. También se encargan de la implementación de la segmentación de redes mediante VLANs, el ruteo interno de VLANs y la asignación del direccionamiento IP interno y externo. 7. Área de Servidores Windows y Mac Esta es el área que dirijo desde el año 1999 y es la responsable de llevar a cabo la implementación de los servicios de red esenciales para la administración y operación de la red del Instituto, como son los servicios de resolución de nombres DNS y WINS, el servicio DHCP para asignación de direcciones IP y el realm Kerberos, así como el Directorio institucional basado en Active Directory. Además está encargada de la administración de los recursos de archivos e impresión que se comparten en red, mediante la implementación de servidores dedicados utilizando las plataformas Windows y Mac OS X. Esto hace que opere como un pilar de apoyo para las otras áreas de la CSC, al proporcionar los servicios necesarios para el alojamiento de sitios y portales web, la implementación y puesta en producción de aplicaciones desarrolladas internamente, la implementación de tecnologías para la transmisión por secuencias de audio y video (streaming), el diseño de estrategias de distribución de sistemas operativos y aplicaciones de forma automatizada a través de la red, la instauración de ambientes de prueba para desarrollo y en general el control de las operaciones de TI. Esta área se especializa en la investigación de nuevas tecnologías y en diseñar los esquemas necesarios que permitan que sean adoptadas por la comunidad del Página 2837 Antecedentes Instituto. Entre los temas que desarrolla actualmente, están la virtualización de escritorios, la consolidación de servidores mediante virtualización, el diseño de centros de datos, el supercómputo, el manejo de grandes volúmenes de datos y la implementación de redes sociales corporativas. El área también se dedica a mantener y operar la seguridad informática interna y perimetral del Instituto mediante la ejecución de análisis seguridad en equipos cliente, y la implementación y administración del firewall e IPS perimetrales, así como de la red de videoconferencia del Instituto mediante la administración de 6 salas dedicadas a este propósito. Todas estas áreas están regidas por un Coordinador de Sistemas de Cómputo, quien es el responsable de coordinación de estas áreas de trabajo, la asignación de recursos y la asignación de proyectos, además de reportar directamente al Subdirector de Electromecánica. 2.3 Infraestructura de Directorio del Instituto de Ingeniería, UNAM El Instituto de Ingeniería ha confiado la planeación, diseño, implementación y operación de su infraestructura de red, a la Coordinación de Sistemas de Cómputo desde el año 1989, por lo que se ha beneficiado con la integración de sus servicios y operaciones a través de una sola instancia que provee soluciones integrales y con una visión y planeación unificada. El Área de Servidores Windows y Mac de la CSC ha puesto en operación una infraestructura integral que desde hace años ha permitido que la comunidad académica del Instituto aumente su productividad al abstraerles la carga de la operación de una red de datos compleja y en constante cambio, y siempre ha procurado proporcionar tecnología de punta que mantenga a la vanguardia los procesos de investigación que el Instituto desarrolla. Unos de los puntos esenciales para las operaciones de red del Instituto fue la implementación de un Directorio institucional que desde el año 2000 puse en operación utilizando la plataforma de Active Directory. La cantidad de equipos que asciende a casi 1,000 y el creciente número de usuarios de aproximadamente 1,500, hace prácticamente imposible pensar en mantener un esquema de trabajo monolítico, y es por esto que se decidí implementar un Directorio que permitiera la autenticación centralizada y el control distribuido de configuraciones en los equipos de cómputo cliente y servidores. Actualmente se tiene una infraestructura de Active Directory formada por un Dominio maestro y diecisiete Dominios de recursos, mediante los cuales se realiza la autenticación de usuarios y equipos, e igualmente se distribuyen directivas de uso de los recursos de red para usuarios y directivas de configuración para los equipos de cómputo. Página 2938 Antecedentes Esta estructura de Dominios ( Figura 2-4) está definida por el organigrama funcional del Instituto para que corresponda con sus distintas áreas de trabajo, en especial las Coordinaciones; por lo que el Dominio maestro representa a la institución y los Dominios hijo o de recursos, representan a la Dirección, las Secretarías y cada una de las Coordinaciones. Los Dominios de recursos son utilizados para alojar las cuentas de los equipos de cómputo de cada área de trabajo del Instituto, que se integran mediante una unión autenticada al Dominio correspondiente, pero no contienen cuentas de usuario. Cada Dominio de recursos distribuye mediante Group Policy una serie de directivas de configuración a los equipos que se le han unido; una directivas han sido planeadas para responder a las necesidades globales de seguridad y homogeneidad del Instituto, y otras directivas se aplican de forma local de acuerdo con las necesidades y lineamientos de cada una de las áreas de trabajo. IINGEN GPOs de Directivas Institucionales Dirección Secretarías MAplicada Estructuras ISismológica ISísmica Geotecnia Hidráulica Ambiental IPIA UAJuriquilla Cómputo Electrónica Sistemas MecánicaEnergía Eléctrica UASisal Ciudad Universitaria, D.F. Figura 2-4 Estructura de Dominios del Instituto de Ingeniería para la Ciudad de México El Dominio maestro se encarga de concentrar la totalidad de las cuentas de usuario de la comunidad del Instituto, por lo que es el Dominio que se encarga de realizar la autenticación y de validar el acceso a los recursos de red al formar el origen del Realm de Kerberos. En este Dominio las cuentas de usuario también son organizadas de acuerdo con el organigrama funcional del Instituto mediante Unidades Organizativas para la asignación de directivas de Group Policy que permiten aplicar configuraciones de usuario de una forma más granular. El nombre que se asignó al Dominio maestro corresponde con el dominio DNS que tiene asignado el Instituto, para simplificar la administración de los recursos y facilitar a los Página 3039 Antecedentes usuarios la identificación de los mismos. Para lograr esta coexistencia de dominios, se tiene implementado un servicio interno de DNS que sigue los principios de un Split DNS al complementarse con el servicio de DNS de la UNAM provisto por la DGTIC. El servicio interno de DNS tiene la autoridad de las zonas iingen.unam.mx e ii.unam.mx, y de los subdominios que se originan a partir del Dominio IINGEN; en estas zonas se almacenan los registros de todos los servidores y todas las computadoras cliente del Instituto, mediante la actualización dinámica para sistemas Windows y Mac OS X y mediante registros estáticos para sistemas Linux. Los equipos del Instituto localizan algunos de los recursos de red a través del servicio de DNS interno mediante solicitudes de resolución de nombres para ubicar la dirección IP de un servidor en particular, pero también para identificar mediante registros SRV, las direcciones IP de los servidores de autenticación LDAP, los servidores KDC de Kerberos, los servidores con el rol de Catálogo Global y los recursos compartidos mediante el protocolo Bonjour de servidores Apple. Para sistemas y usuarios ubicados en Internet, es el servicio de DNS administrado por la DGTIC el que les responde y resuelve los nombres de los servidores del Instituto, y este solamente contiene un subconjunto de los registros que se tienen en el servicio de DNS interno, ya que solamente se registran los servidores que ofrecen servicios externos. Otro mecanismo implementado en el Instituto y mediante el cual se resuelven los nombres de los equipos para obtener su dirección IP, es el servicio WINS, el cual mantiene limpios de broadcasts los segmentos de red y permite que se tenga comunicación entre equipos en distintos segmentos de red mediante el protocolo NetBIOS, que por diseño no puede ser ruteado. La infraestructura de Directorio del Instituto de Ingeniería, está implementada de forma tal que ofrece una alta disponibilidad mediante mecanismos de cómputo distribuido y redundancia a fallos; por lo que se cuenta con suficiente hardware especializado distribuido a través de las distintas ubicaciones geográficas en donde el Instituto tiene presencia. En las instalaciones de Ciudad Universitaria se tienen implementados tres servidores Windows Server 2012 R2 que ejecutan el rol de AD DS para formar el Dominio maestro IINGEN, y al mismo tiempo operan como servidores de DNS para resolución interna y como servidores WINS para resolución NetBIOS. Estos servidores mantienen una base de datos de Active Directory independiente, pero que es replicada de manera permanente y constante entre sí, por lo que si uno de los servidores llegase a fallar, las operaciones de autenticación no se verían afectadas. Para el servicio de WINS se mantiene un diseño similar con bases de datos independientes que se replican cada 10 cambios o cada 15 minutos. Página 3140 Antecedentes El servicio de DNS es un caso especial, ya que este también se mantiene actualizado mediante la replicación de la información que almacena, pero no utiliza los mecanismos tradicionales de transferencia de zonas que define el RFC, sino que la replicación está supeditada a los mecanismos de replicación de Active Directory al almacenar sus zonas en una partición de este servicio de Directorio, por cuestiones de rendimiento, compatibilidad y seguridad. Adicionalmente, se tienen dos servidores Windows Server 2008 R2 que mediante virtualización con Hyper-V ejecutan instancias de 34 servidores que actúan como Controladores de Dominio para la Dirección, Secretarías y las Coordinaciones del Instituto; diecisiete de estos servidores se ejecutan en un servidor de virtualización para formar los dominio y los otros diecisiete se ejecutan en el segundo servidor para proporcionar controladores de dominio redundantes, que mantienen una réplica entre ellos y brindan la redundancia suficiente para que las actividades del Instituto no se afecten. En las instalaciones de las sedes foráneas del Instituto, se tienen implementados dos centros de datos que alojan servidores que proporcionan los servicios básicos de red para que la comunidad que ahí labora pueda desempeñar correctamente sus actividades, y entre los servicios críticos e indispensables están los servicios de Directorios, DNS y WINS. En la Unidad Académica Juriquilla se tienen dos servidores Windows Server 2012 R2 que actúan como Controladores de Dominio del Dominio IINGEN y por lo tanto replican sus bases de datos con los servidores centrales de Ciudad Universitaria. Además se tienen dos servidores de virtualización con Hyper-V que alojan servidores de infraestructura como un servidor de impresión, DHCP y al Dominio UAJuriquilla, que opera con dos Controladores de Dominio adicionales a los implementados en el sitio central ( Figura 2-5). IINGEN Firewall Servidores de Virtualización UAJuriquilla Domain Controllers IINGEN Juriquilla, Querétaro Figura 2-5 Estructura de Dominios del Instituto de Ingeniería para la Unidad Académica Juriquilla Página 3241 Antecedentes En la Unidad Académica Sisal se implementaron dos servidores con Hyper-V para virtualización en los que se ejecuta la totalidad de la infraestructura que da servicio a esta sede foránea del Instituto, y en estos se tienen de igual forma dos servidores virtuales que fungen como Controladores de Dominio para el Dominio IINGEN y dos servidores Controladores de Dominio para el Dominio UASisal ( Figura 2-6), todos ellos manteniendo un calendario de replicación de una hora con el sitio central ubicado en CU. IINGEN Firewall UASisal Servidor de VideoSeguridad Servidores de Virtualización Sisal, Yucatán Figura 2-6 Estructura de Dominios del Instituto de Ingeniería para la Unidad Académica Sisal El hardware utilizado en los servidores de Ciudad Universitaria, Juriquilla y Sisal, tiene los elementos indispensables de redundancia para prevenir la interrupción en sus operaciones en caso de una falla de hardware, como son fuentes de energía redundantes, discos duros configurados en RAID1 para los volúmenes del sistema operativo y RAID5 para los volúmenes de datos, esto aplica especialmente para el almacenamiento de máquinas virtuales en el caso de los servidores con Hyper-V. Además, estos servidores cuentan con tecnología hotplug, que permite el cambio de discos duros, fuentes de energía y ventiladores sin necesidad de apagarse. Página 3342 Antecedentes Página 3443 Marco Teórico Capítulo 3 Marco Teórico Aquí se hace un resumen de conceptos teóricos que son necesarios para comprender mejor el problema y que intervendrán durante el proceso de implantación de la solución. Página 3544 Marco Teórico Página 3645 Marco Teórico 3.1 Servicios de directorio En la actualidad prácticamente todo el mundo que hace uso de computadoras depende de que sus equipos estén conectados a través de una red de datos para poder compartir y tener acceso a información a través de aplicaciones distribuidas. Esta información debe estar organizada de forma clara y consistente para mejorar su facilidad de uso, funcionalidad y reducir costos de administración. La información que describe a usuarios, aplicaciones, servicios, archivos, impresoras y otros recursos accesibles a través de una red de datos, a menudo es almacenada en una base de datos especial llamada Directorio y es posible consumirla por medio de un modelo cliente-servidor en el que un cliente de directorio solicita la búsqueda de información a un servidor de directorio y este último es el responsable de hacer la búsqueda en todo el Directorio para entregarla al solicitante. a. Directorio Un Directorio es un conjunto de información de objetos almacenada con un orden determinado para proporcionar detalles de cada objeto. Un ejemplo clásico de un Directorio es el directorio telefónico que acostumbran distribuir en la ciudades las compañías telefónicas; en este directorio telefónico se almacena el nombre de las personas en forma alfabética (objetos) y se les asocia su número telefónico y su dirección (características), de igual forma este directorio suele contener una sección en la que se listan negocios o profesiones en la llamada sección amarilla. Cuando se desea consultar la información de este directorio solo basta con buscar el nombre de la persona o el nombre del negocio o profesión para obtener toda la información necesaria para contactarlos. Este comportamiento de un Directorio se puede plasmar perfectamente en sistemas de cómputo para poder almacenar objetos que representen usuarios, computadoras u otros dispositivos como impresoras y para poder utilizarlos en un ambiente de red. Un Directorio permite a usuarios o aplicaciones encontrar recursos con características particulares para la realización de alguna tarea. Por ejemplo, un usuario puede buscar impresoras que estén ubicadas en el mismo piso en el que trabaja, que tenga papel tamaño oficio y que cuente con la capacidad de imprimir a doble cara. Un términos generales, un Directorio es una base de datos especializada y es muy diferente a las bases de datos relacionales de propósito general, pues esta base de datos está optimizada para la lectura y búsqueda de información y relega la escritura de nueva información ya que se considera una operación limitada para uso de los administradores del directorio. Debido a que un Directorio está diseñado para almacenar información relativamente estática y está optimizado para este propósito, un Directorio no es la herramienta adecuada para almacenar información que cambia constantemente y de forma muy rápida. Para este propósito se sigue haciendo necesario el uso de bases de datos relacionales. Página 3746 Marco Teórico Además de las diferencias en optimización de lectura y escritura que tiene un Directorio con respecto a las bases de datos relacionales, existen otras diferencias que vale la pena mencionar. 1) Los Directorios comúnmente no soportan transacciones y si las soportan, son transacciones de todo a nada. 2) Los Directorios suelen estar limitados en el tipo de datos que almacenan y no suelen almacenar colecciones arbitrarias de datos. 3) Otra diferencia es la forma de obtener la información, pues comúnmente las bases de datos relacionales utilizan lenguajes muy poderosos como SQL 1, mientras que los Directorios utilizan protocolos simplificados y optimizados para la velocidad como LDAP 2. b. Directorios Distribuidos Dependiendo de su implementación, los Directorios puede ser centralizados o distribuidos. Si solamente se tiene un servidor de directorio que aloja la información, se dice que el Directorio es centralizado, y cuando se tiene más de un servidor de directorio para tener acceso a la información, se habla de que el Directorio es distribuido. Cuando un Directorio es distribuido, la información que almacena puede ser particionada o replicada. Si la información se particiona, cada servidor de directorio almacena un subconjunto de la información que no se repite entre sí; y cuando la información se replica, la misma información del Directorio se almacena en cada servidor de directorio. c. Beneficios de los Servicios de Directorio La implementación de Servicios de Directorio en una red de cómputo, indudablemente proporciona beneficios importantes a cualquier organización, ya que simplifican la administración de la red y de los equipos, además de que simplifican la experiencia de los usuarios. Con los Servicios de Directorio, pueden mantener centralizada la información de todos los usuarios, contraseñas, ubicación de archivos en red, impresoras, computadoras e incluso otras redes de datos. Al almacenar este tipo de información de forma centralizada se obtienen los siguientes beneficios: 1) Se reduce la complejidad en la captura de información. 1 Structured Query Language Leguaje de Consultas Estructurado 2 Lightweight Directory Access Protocol Protocolo Ligero de Acceso a Directorios Página 3847 Marco Teórico 2) Se tiene la certeza de que la información sobre usuarios y recursos en consistente. 3) Se simplifica la administración de usuarios y recursos de red. 4) Se puede contar con la capacidad de dotar de servicios de identificación, autenticación y autorización a diferentes servicios de red. 3.2 Estándares para el Acceso a Directorios En la década de los años setenta comenzó el apogeo de nuevas tecnologías de comunicación que se basaban en sistemas de cómputo, pero en aquella época los diferentes fabricantes de tecnología construían sistemas propietarios que eran incompatibles con otros sistemas, por lo que se hizo evidente que era necesario generar estándares que permitieran la interacción e integración de estos sistemas, y esto dio origen a dos grupos que emitieron estándares para intentar cubrir esta necesidad. Uno de estos grupos fue dirigido por la CCITT 1 (ahora ITU-T 2 ) y la ISO 3, las cuales trabajaron para dar origen al Modelo de Referencia OSI 4, el cual definió un modelo de siete capas para la comunicación de datos. El otro grupo fue encabezado por la DARPA y a través del Grupo de Trabajo de Ingeniería de Internet (IETF 5 ) generó una serie de estándares para Internet mediante la publicación de documentos llamados Petición de Comentarios (RFC - Request for Comments) a. X.500 En 1988 la CCITT creó el estándar X.500 para cubrir los Servicios de Directorios mediante el modelo OSI. X.500 define la organización de elementos en un Directorio, las capacidades de búsqueda para facilitar la extracción de información del Directorio y la comunicación entre los clientes y el Servicio de Directorio. El principio básico de operación de X.500 consiste en la generación de una organización jerárquica de objetos llamada Árbol de Información del Directorio (DIT Directory Information Tree) que es almacenada de forma distribuida en uno o más servidores llamados Agentes del Sistema del Directorio (DSA Directory System Agents) y que son consultados por aplicaciones llamadas Agentes de Usuario del Directorio (DUA Directory User Agents). 1 Comité Consultatif International Téléphonique et Télégraphique 2 International Telegraph Union Telecommunication Standardization Sector 3 International Standards Organization 4 Open Systems Interconnect 5 Internet Engineering Task Force Página 3948 Marco Teórico Cada objeto contiene un conjunto de atributos que a su vez pueden tener uno o más valores. A estos objetos se les asigna un único Nombre Distintivo (DN - Distinguished Name) formado por la combinación de su Nombre Distintivo Relativo (RDN - Relative Distinguished Name) más uno o varios atributos del objeto y el RDN de cada objeto superior hasta alcanzar la raíz del DIT. De igual forma, X.500 definió una serie de protocolos que utilizaban las capas del modelo OSI, entre los cuales se incluyen los siguientes: 1) DAP - Protocolo de Acceso al Directorio (Directory Access Protocol) 2) DSP - Protocolo de Servicios del Directorio (Directory Service Protocol) 3) DISP - Protocolo de Replicación de Información del Directorio (Directory Information Shadowing Protocol) 4) DOP - Protocolo de Operaciones de Directorio (Directory Operations Protocol) Un problema con la adopción del estándar X.500 fue su complejidad y la gran cantidad de recursos necesarios para su implementación en la época de su publicación. b. LDAP El Protocolo Ligero de Acceso a Directorios (LDAP) fue diseñado por la Universidad de Michigan y originalmente fue pensado como una alternativa al protocolo DAP de los clientes por la necesidad de contar con una alternativa menos compleja y que redujera la carga de los clientes con respecto al protocolo DAP que permite el acceso a Directorios X.500. LDAP utiliza una arquitectura cliente-servidor que transporta sus mensajes a través de TCP/IP en lugar del modelo OSI, y fue diseñado para simplificar algunas de las operaciones de X.500, incluso mediante la omisión de varias funciones complejas de este protocolo, y con el tiempo evolucionó para también sustituir al protocolo DSP que es la parte servidor de X.500. El modelo de nombres de LDAP define la forma en la que los objetos son organizados e identificados, ya que utiliza la misma estructura de árbol DIT de X.500. Esto quiere decir que en LDAP cada objeto tiene un nombre llamado Nombre Distintivo (DN) que está formado por una secuencia de Nombres Distintivos Relativos (RDN) que siguen la jerarquía del DIT. La simplicidad de LDAP ha ocasionado que sea aceptado ampliamente como el método de acceso a directorios en Internet y por lo tanto se ha convertido en un elemento indispensable en las Intranets de muchas organizaciones, siendo LDAPv3 la versión más reciente y utilizada. La arquitectura de LDAP está definida en los RFC 2251, 2252, 2253, 2254, 2255 y 2256 en los que se crearon una serie de modelos básicos que permiten su implementación y que se resumen a continuación. Página 4049 Marco Teórico i. Modelo de Información Este modelo define la creación de elementos en el Directorio y las características que los harán únicos. La unidad básica de información que se almacena en el Directorio es llamada Objeto y su función es representar objetos de la vida real como personas, servidores, computadoras, impresoras, organizaciones, etc. Los Objetos están formados por un conjunto de Atributos que contienen información sobre él y cada Atributo puede tener uno o más Valores pero un solo Tipo de información (Figura 3-1). Objeto Atributo Atributo Atributo Atributo Tipo Valor Valor Valor Figura 3-1 Elementos de un Objeto El Tipo de un Atributo está asociado a una Sintaxis que define el patrón de información que puede ser almacenada en sus Valores y también determina el comportamiento de los Valores durante las búsquedas u otras operaciones de directorio. Para determinar y acotar los tipos de Objetos que se pueden almacenar en el Directorio se definió el Esquema, que además mantiene una lista de los Atributos de cada Objeto e indica cuándo un Atributo es opcional u obligatorio. El Esquema certifica la consistencia de datos en el Directorio al asegurarse que ningún Objeto será almacenado si no cuenta con los Atributos elementales o que no se almacenarán Atributos de Objeto que no estén definidos por él. Además, el Esquema Página 4150 Marco Teórico define la jerarquía o estructura del DIT en la que se almacenan los Objetos, así como la herencia y las subclases de los Objetos mismos. Una Subclase es el resultado de formar Objetos a partir de otros Objetos y consiste en crear un Objeto que integre los mismos Atributos de una Clase de Objeto pero agregando un número pequeño de Atributos que lo hagan exclusivo, por lo que este nuevo Objeto heredará la mayoría de los Atributos de un Objeto superior. Existe una clase de objeto especial llamada Top que no tiene superiores. Todos y cada uno de los Objetos del Directorio incluyen un Atributo especial llamado objectclass cuyo Valor será uno o más nombres de Esquema que representan el Tipo de Objeto que representan. Entre los valores que puede tener objectclass están Top o Alias, se utiliza Alias para definir que el Objeto es un seudónimo de otro Objeto o Top para definir que el Objeto está en la cima de la jerarquía y tiene Objetos subordinados. Al igual que objectclass, existe otra clase de objeto llamada extensibleobject que hace a un Objeto capaz de almacenar cualquier atributo y se utiliza para agregar Atributos especiales a pocos Objetos sin la necesidad de generar una nueva clase de objeto. Esta capacidad debe tratarse con mucho cuidado ya que un Objeto podría incluir cualquier tipo de información y generaría conflictos o desorden en un sistema estructurado como es el Directorio. Una Clase de Objeto define los tipos de Objetos en un Directorio como pueden ser una persona, organización, unidad organizacional y un componente de dominio, de igual forma una Clase de Objeto puede definir la relación de un Objeto con otros Objetos, un ejemplo sería la clase Top que indica la relación del Objeto con sus subordinados en forma de una estructura de árbol jerárquica. Una Clase de Objeto define también los Atributos obligatorios y los Atributos opcionales de los Objetos, estos Atributos pueden ser coincidentes o redundantes con los de otras Clases de Objeto, por lo que en LDAP es común que un Objeto esté definido por varias Clases de Objeto. Las Clases de Objeto pueden ser definidas de tres formas: 1) Abstractas Usada como plantilla para crear otras Clases de Objeto. 2) Estructurales Se utilizan para instanciar Objetos de Directorio 3) Auxiliares Pueden adjuntarse a Objetos instanciados por Clases de Objeto estructurales y sirven para extender una Clase de Objeto estructural sin modificar su definición en el Esquema. Página 4251 Marco Teórico La estructura del registro de una Clase de Objeto comienza con un número llamado Identificador de Objeto (OID Object Identifier) seguida del Nombre (NAME) y Descripción (DESC) de la Clase de Objeto, a continuación se agrega la Clase de Objeto superior (SUP) en caso de ser subordinada de otra Clase de Objeto, y finalmente se agregan los Atributos obligatorios (MUST) y opcionales (MAY). Por ejemplo, la clase de objeto top está en la cima de la jerarquía y todas las Clases de Objeto que no estén planeadas para ser subordinadas de otra Clase, deberán tener a la Clase top como su superior. objectclass: top objectclasses=( NAME 'top' DESC 'Standard ObjectClass' ABSTRACT MUST (objectclass ) ) La Clase person se define como subordinada de la Clase top y requiere que los atributos cn (common name) y sn (surname) tengan definido un valor de forma obligatoria, mientras que de forma opcional, debe contener valores en los atributos userpassword, telephonenumber, seealso y description. objectclass: person objectclasses=( NAME 'person' DESC 'Defines entries that generically represent people.' SUP 'top' STRUCTURAL MUST ( cn $ sn ) MAY ( userpassword $ telephonenumber $ seealso $ description ) ) Un Identificador de Objeto (OID) es una cadena numérica que sirve para identificar Objetos o Atributos de Objeto de forma única a nivel internacional y está formado por una serie de números separados por puntos. Cada uno de estos números forman parte de una jerarquía que es administrada por la ISO y la ITU, estas organizaciones delegan la administración de los OID a otras organizaciones al asignarles números OID y estas organizaciones pueden asignar OIDs a Objetos propios e incluso delegar nuevamente la administración a otras organizaciones asignándoles otro grupo de OIDs. Los OIDs se forman por una cadena numérica inicial llamada raíz o vértice, y a la cual se le van agregando números de forma única para formar ramas o arcos, por ejemplo es el vórtice y , , , , etc., son los arcos que pueden ser usados para asignarse a Objetos o para delegarlos a otras organizaciones que a su vez pueden generar nuevos arcos o ramas para su uso como , , , , etc. El arco o rama inicial de una organización refleja la estructura jerárquica del OID a nivel global, por ejemplo es el OID asignado al proyecto UNAM Grid de la DGTIC (antes DGSCA) y se separa de la siguiente forma: 1 (OID asignado a ISO) 1.2 (Entidades miembro de ISO) (Estados Unidos de América) (Energy Sciences Network ESnet) (International Grid Trust Federation IGTF) Página 4352 Marco Teórico (Member Policy Management Authorities (PMA) ) (IGTF Member Issuing Authorities) (UNAM DSC, Grid Certification Authority) Si una organización requiere agregar Clases de Objeto o Atributos propios a su Directorio, es recomendable que se obtenga un arco o rama de alguna organización autorizada como ISO, ITU o IANA para garantizar la interoperabilidad del Directorio ii. Modelo de Nombres Este modelo define cómo los Objetos son identificados y organizados en el Directorio. LDAP organiza los Objetos en una estructura de árbol jerárquica llamada Árbol de Información del Directorio o DIT 1 ( Figura 3-2) y estos Objetos son organizados en el DIT de acuerdo con su Nombre Distintivo (DN). Directory root c=mx o=unam ou=ingenieria ou=iingen ou=dgtic cn=luis Arellano Figura 3-2 Árbol de Información del Directorio Un DN es un nombre único que identifica a un Objeto de forma indudable y está formado por una secuencia de Nombres Distintivos Relativos (RDN) separados por comas. Cada RDN es obtenido de un Atributo de un Objeto o una rama del DIT y está definido por <nombre del atributo> = <valor> y representa un punto dentro de la jerarquía de espacio de nombres del Directorio. El DN de un Objeto se forma de izquierda a derecha correspondiendo a los RDN de la parte más profunda del árbol hasta llegar a la raíz. 1 Directory Information Tree Página 4453 Marco Teórico iii. Modelo Funcional Este modelo incluye tres categorías de operaciones que pueden ser llevadas a cabo en el Servicio de Directorio. 1) Autorización Incluye las operaciones de Vincular (Bind), Desvincular (Unbind) y Abandonar (Abandon) que sirven para realizar conexiones y desconexiones a servidores LDAP, establecer privilegios de acceso y proteger la información. 2) Consulta Incluye las operaciones Buscar (Search) y Comparar (Compare) para Objetos que cumplan con un criterio establecido por los usuarios. 3) Actualización Incluye las operaciones Agregar (Add) para crear Objetos, Borrar (Delete) para eliminar Objetos, Modificar (Modify) para cambiar Atributos en los Objetos y Modificar RDN (ModifyRDN) para cambiar el Nombre Distintivo Relativo de los Objetos. iv. Modelo de Seguridad Este modelo está ligado a la operación Vincular del modelo funcional de LDAP y define los mecanismos de seguridad para proteger la información sensible del Directorio que es transportada o actualizada a través de la red. El paradigma de seguridad en sistemas informáticos comprende cuatro aspectos que se deben cubrir para poder mantener un sistema libre de inconvenientes y accesos no deseados. 1) Autenticación Asegura que el usuario es quién realmente dice ser. 2) Integridad Asegura que la información transmitida no es modificada en el transcurso de la transmisión. 3) Confidencialidad Previene la divulgación de información a usuarios que no deberían tener acceso a ella. 4) Autorización Asegura que el usuario tenga permitido llevar a cabo la acción que esté intentando hacer. Hasta el momento el estándar LDAPv3 solamente cubre los aspectos de autenticación, integridad y confidencialidad, siendo necesario cubrir el aspecto de autorización con otros medios. Página 4554 Marco Teórico Las operaciones de Vinculación pueden utilizar diferentes mecanismos de seguridad para acceder a información del Directorio y los más relevantes son los siguientes: 1) Autenticación Anónima Es el método de autenticación más simple y se utiliza cuando se dejan vacíos los campos del DN y la contraseña durante una operación de Vinculación a LDAP. 2) Autenticación Básica Este método de autenticación es utilizado cuando se envía un DN y una contraseña en texto plano y estos coinciden con los que están almacenados en el Directorio. Obviamente no se recomienda el uso de este método de autenticación, ya que se corre el riesgo de que se vulnere la confidencialidad de la información transmitida. 3) Capa de Seguridad y Autenticación Simple (SASL 1 ) SASL es un marco de trabajo general en el que se dispone de diferentes métodos de autenticación para protocolos orientados a conexión, por lo que se puede definir a SASL como un sistema general que sirve para mediar entre protocolos y sistemas de autenticación, por ejemplo LDAP y Kerberos. Adicionalmente, SASL puede negociar la seguridad necesaria para cifrar los datos que se transmitan después de la autenticación, con lo que se asegura la confidencialidad de la información. Además de estos mecanismos de seguridad, LDAPv3 define una extensión de protocolo llamada extensión de Seguridad de la Capa de Transporte (TLS Transport Layer Security), que permite que las operaciones de Directorio sean cifradas para proteger la integridad y confidencialidad de las sesiones. 3.3 Kerberos Kerberos es un protocolo de autenticación cuyo desarrollo inició en el año 1983 como parte del Proyecto Athena del Instituto de Tecnología de Massachusetts (MIT). Las primeras tres versiones del protocolo solamente fueron usadas de forma interna en el MIT con fines de prueba y fue hasta la versión 4, que se distribuyó al público general en 1989, sin embargo su distribución y uso se limitó a los Estados Unidos de América debido a que el protocolo define el uso del algoritmo de cifrado DES y en esa época el gobierno estadounidense restringía la exportación de software de cifrado complejo. La versión actual de Kerberos es la versión 5 que se definió en el RFC 1510 y a pesar de es una evolución de la versión 4 y que cubre la misma funcionalidad, Kerberos 5 fue rediseñado completamente y se puede decir que es una implementación nueva con 1 Simple Authentication and Security Layer Página 4655 Marco Teórico código que no se parece en nada a la versión 4, lo cual permitió corregir deficiencias e incluir nuevas características. El protocolo Kerberos se diseñó desde un inicio para ser una solución de red basada en un modelo cliente-servidor, que permitiera tener un inicio de sesión único en la red (SSO 1 ) y cubrir los principios básicos de seguridad de sistemas como la autenticación, la integridad, la confidencialidad y el no repudio. La principal característica de Kerberos es la autenticación a través de Boletos o Tickets de autenticación, que son asignados a los clientes para acceder a recursos de red como carpetas compartidas, correo electrónico, sitios Web y mensajería instantánea entre otros. La implementación de Kerberos como sistema de autenticación permite eliminar el riesgo ancestral de los sistemas cliente-servidor como es la intercepción de contraseñas, la suplantación de clientes y servidores con ataques del tipo Man-in-the- Middle, ya que nunca envía información de autenticación en Texto Plano y siempre lleva a cabo una autenticación mutua. La meta del protocolo Kerberos consiste en mejorar la seguridad y la facilidad para el usuario y se puede definir con los siguientes conceptos: 1) Seguridad Kerberos ofrece seguridad ya que nunca transmite contraseñas en texto plano y nunca envía contraseñas a través de la red para probar la identidad de un usuario ante algún servidor y en su lugar envía Tickets que utilizan mensajes criptográficos limitados por tiempo. 2) Inicio de Sesión Único Esta característica permite que los usuarios solamente inicien sesión para poder tener acceso a recursos de red, una vez que el usuario ha sido autenticado al iniciar sesión, este es autenticado de forma transparente mediante Tickets ante los servicios de red que soporten Kerberos. 3) Confianza de un Tercero En una infraestructura de red con Kerberos, todas las peticiones de autenticación son orquestadas por un servidor Kerberos centralizado en el cual todos los equipos de la red confían. 4) Autenticación Mutua La autenticación mutua no solo permite identificar al usuario que intenta acceder a un recurso de red, sino que también provee la certeza de que el servidor al que se hace la conexión es el correcto. 1 Single Sign-On Página 4756 Marco Teórico Para cumplir con los conceptos anteriores, Kerberos debe mantener segura la comunicación entre los equipos de la red y para ello hace uso de dos elementos: 1) Cifrado El Cifrado de información permite transformar un mensaje de forma tal que solamente las partes involucradas que tengan la llave de Descifrado puedan leer el contenido original, lo cual mantiene la confidencialidad de la información en ambientes cliente-servidor y redes distribuidas en las que cualquiera puede escuchar el tráfico transmitido (Sniff). Kerberos soporta varios algoritmos de Cifrado para lograr la confidencialidad de sus comunicaciones, entre los que se encuentran DES, 3DES, AES y RC4, siendo DES el algoritmo más ampliamente soportado, pero que rápidamente está siendo remplazado por AES o RC4 que es el algoritmo que Microsoft está utilizando en sus más recientes implementaciones de Kerberos. 2) Integridad La Integridad de Mensajes permite asegurar que un mensaje transmitido a través de la red no sea modificado durante el tránsito a su destino, normalmente se busca que esta verificación sea confiable y fácil de decodificar, por lo que desde hace tiempo se han diseñado diversos algoritmos de Integridad de Mensajes. Los algoritmos de Integridad de Mensajes son llamados a menudo Hashes y son funciones matemáticas de un solo camino en las que se introduce un mensaje de entrada con longitud variable y se obtiene un mensaje de tamaño fijo que representa de forma única al mensaje de entrada, siendo muy fácil de calcular la salida a partir de la entrada pero matemáticamente difícil de calcular el mensaje de entrada a partir del mensaje de salida. Kerberos soporta varios algoritmos de Hash que van desde los más simples y débiles hasta los más fuertes con evasión de colisiones, como son los algoritmos CRC-32, MD5 y SHA. a. Protocolo Needham-Schroeder El protocolo Kerberos fue diseñado con los principios del protocolo Needham- Schroeder que fue publicado en 1978 por Roger Needham y Michael Schroeder de Xerox PARC 1, en el que se detalla la implementación de un servicio seguro de autenticación distribuida a través de criptografía de llave secreta. El protocolo Needham-Schroeder define tres participantes en el intercambio de información durante la autenticación: 1 Xerox Palo Alto Research Center Página 4857 Marco Teórico 1) Cliente Es cualquier computadora que solicita la autenticación, usualmente es el equipo del usuario final. 2) Servidor de Aplicación Es cualquier servidor de aplicaciones o servicios al que el cliente desee conectarse. 3) Servidor de Autenticación Es un servidor dedicado que almacena las llaves de cifrado de todos los usuarios y servidores de la red, y es un servidor en el que todos confían. El principio básico del protocolo Needham-Schroeder consiste en proveer un mecanismo para distribuir de forma segura una llave de cifrado de vigencia corta entre dos entidades para que estas puedan comunicarse mediante una transmisión de datos cifrados con dicha llave. Este mecanismo es esencial para evitar la transmisión de Contraseñas o Hashes en texto plano directamente al Servidor de Autenticación. El proceso de autenticación definido por el protocolo Needham-Schroeder se lleva a cabo de la siguiente forma: 1) El Cliente contacta al Servidor de Autenticación enviándole un mensaje que contiene la identidad del Cliente, la identidad del Servidor de Aplicación al que desea acceder y un valor aleatorio llamado Nonce. 2) El Servidor de Autenticación recibe el mensaje inicial del Cliente y obtiene de su almacén de información las llaves de cifrado del Cliente y del Servidor de Aplicación; además genera una Llave de Sesión que será usada para establecer una comunicación segura entre el Cliente y el Servidor de Aplicación. 3) El Servidor de Autenticación envía un mensaje de respuesta al Cliente, formado por dos capas. En primer lugar, se crea un mensaje cifrado con la llave del Servidor de Aplicación que incluye la Llave de Sesión y el nombre del Cliente. Posteriormente este mensaje es empaquetado dentro de otro mensaje cifrado con la llave del Cliente y que incluye el nombre del Servidor de Aplicación, la Llave de Sesión y el Nonce originalmente enviado por el Cliente. 4) El Cliente recibe el mensaje de respuesta del Servidor de Autenticación y descifra la primera capa utilizando su llave de seguridad. Página 4958 Marco Teórico 5) El Cliente envía al Servidor de Aplicación el mensaje que estaba envuelto en la primera capa de la respuesta del Servidor de Autenticación. 6) El Servidor de Aplicación recibe el mensaje enviado por el Cliente y lo descifra con su llave de seguridad, aceptándolo como válido y considera la conexión como autenticada correctamente. 7) El Servidor de Aplicación hace una verificación del Cliente mediante el envío de un método de desafío-respuesta (challenge-response) al enviarle un Nonce cifrado con la Llave de Sesión. 8) El Cliente recibe el mensaje del desafío, lo descifra y aplica una operación al Nonce. 9) El Cliente cifra el nuevo Nonce, lo cifra con la Llave de Sesión y lo envía de regreso al Servidor de Aplicación. 10) El Servidor de Aplicación recibe el mensaje del Cliente, lo descifra y verifica la operación sobre el Nonce, con lo que comprueba la identidad del cliente. Una vez que se completa el proceso de autenticación, toda la comunicación que se lleva a cabo entre el Cliente y el Servidor de Aplicación se cifra con la Llave de Sesión, con lo que se previene cualquier tipo de ataque por manipulación, violación a la confidencialidad y suplantación. b. Operación de Kerberos El protocolo Kerberos está formado por varios elementos que están definidos por cierta terminología que es importante conocer para comprender a fondo su proceso de operación (Figura 3-3). i. Realm Un Realm o Reino es una frontera administrativa de control definida por uno o más servidores KDC 1 y por computadoras cliente. Aunque no es obligatorio, por convención se suele utilizar como nombre del Realm el nombre del dominio DNS en mayúsculas, por ejemplo el dominio DNS iingen.unam.mx da lugar al Realm IINGEN.UNAM.MX ii. Principal Un Principal es un término que está asociado con un objeto de un Realm de Kerberos almacenado en el KDC y que representa a un usuario, un servicio o un equipo. 1 Key Distribution Center Centro de Distribución de Llaves Página 5059 Marco Teórico Un Principal está definido por tres partes, el nombre del usuario, servicio o equipo, el nombre de la instancia precedido por el símbolo / [opcional] y el nombre del Realm precedido por el por ejemplo, iii. Llave Cada Principal de Kerberos tiene asignada una Llave privada que solamente conocen él y el KDC, esta Llave es generada mediante una función de un solo sentido que se aplica a la contraseña del usuario para convertirla en una Llave de Cifrado binaria que será usada para cifrar y descifrar mensajes. Durante el proceso de transformación de la contraseña a una Llave de Cifrado, entra en juego un elemento llamado Salt, que es una secuencia de caracteres que se agrega a la contraseña antes de obtener el hash y tiene como objetivo el hacer única la Llave. Para la versión 5 de Kerberos, el Salt que se emplea es el nombre del Realm, por lo que si un usuario utiliza la misma contraseña en dos Realms distintos y su Llave es comprometida en uno de los Realms, no se compromete la Llave del otro Realm. iv. Ticket Un Ticket es una estructura de datos cifrada que ha sido emitida por un KDC y que incluye una Llave de Cifrado única para cada sesión y varios campos que indican el alcance de uso del Ticket, la validez del Ticket y las capacidades e información del Principal. Los Tickets sirven para confirmar la identidad de los participantes en una comunicación y para establecer una Llave de Cifrado de corta duración que ambas partes pueden compartir para asegurar la comunicación, llamada Llave de Sesión. Los principales campos que se incluyen en un Ticket son: El nombre del Principal que lo solicita El nombre de servicio del Principal La expiración del Ticket Una lista de direcciones IP desde donde se puede usar el Ticket La Llave de Sesión (Llave de Cifrado de secreto compartido (shared secret) El tiempo de vida del Ticket Los Tickets tiene un periodo de vida relativamente corto para minimizar el daño que se pudiese ocasionar en caso de que un atacante llegue a robar uno y normalmente duran entre 10 y 24 horas. v. KDC El Centro de Distribución de Llaves (Key Distribution Center) o KDC, es la parte esencial de cualquier Realm de Kerberos y su función es proveer los servicios de autenticación de Kerberos mediante a emisión de Tickets cifrados que requieren una Llave secreta para ser descifrados. Página 5160 Marco Teórico El KDC está formado por tres elementos lógicos que son una base de datos que almacena todos los Principals y sus Llaves de cifrado asociadas, un Servidor de Autenticación (AS) y un Servidor de Otorgamiento de Tickets (TGS), y aunque estos tres elementos están separados lógicamente, normalmente son implementados en un solo programa que los ejecuta en un único proceso. Cada Realm de Kerberos puede tener varios KDC y debido a que cada uno de ellos tiene su propia base de datos, todos los KDC deben estar sincronizados para asegurar la consistencia de la autenticación, y al menos uno de ellos deberá siempre estar en operación para mantener su disponibilidad. Los KDC deben estar altamente resguardados y deben mantener una configuración de seguridad lo más alta posible, ya que contienen las Llaves Secretas de cada Principal del Realm que son información sensible y crucial. vi. Servidor de Autenticación (AS) Este servidor emite un Ticket Granting Ticket o TGT a los clientes que desean iniciar sesión al Realm de Kerberos. Durante el proceso de inicio de sesión al Realm el cliente nunca envía su contraseña al KDC y en lugar de ello solamente solicita un TGT. Este TGT es cifrado con la contraseña del cliente y debido a que solamente el cliente y el KDC conocen la contraseña, este podrá ser descifrado únicamente por la contraseña correcta del cliente. El TGT es el responsable de brindar la capacidad de SSO 1 en Kerberos ya que una vez que el TGT es descifrado por el cliente, este puede ser utilizado para solicitar Tickets individuales de servicio, eliminando la necesidad al usuario de escribir su contraseña para cada servicio que contacte. En Kerberos v5 se introduce un proceso adicional previo a que el AS emita un TGT que es llamado Autenticación Previa (Pre-Authentication), este proceso hace más difícil los ataques por fuerza bruta o por diccionario fuera de línea, y a los que eran susceptibles las versiones anteriores. Esta vulnerabilidad consiste en el hecho de que el KDC de las versiones anteriores de Kerberos emite un TGT para cualquier Principal a cualquier cliente que lo solicite, y como este TGT está cifrado con la Llave secreta del Principal se puede montar un ataque para determinarla, sobre todo cuando los usuarios utilizan contraseñas débiles. La Autenticación Previa requiere que los solicitantes de TGTs prueben su identidad antes de que el KDC emita un Ticket para un Principal en particular. Cuando un cliente intenta adquirir un TGT, el KDC le envía un mensaje KRB_ERROR en lugar de un AS_REP como respuesta a la petición, esto le indica al cliente que debe autenticarse previamente por lo que el cliente genera los datos necesarios y vuelve a enviar la petición AS_REQ 1 Single Sign-On Inicio de Sesión Único Página 5261 Marco Teórico con los datos de autenticación adjuntados. Si la autenticación es aceptada por el KDC, este responde con el TGT, si la autenticación falla, el KDC vuelve a regresar un mensaje KRB_ERROR y no se emite el TGT. vii. Servidor de Otorgamiento de Tickets (TGS) Este servidor emite Tickets individuales de servicio a los clientes que los soliciten. El TGS solicita al cliente dos datos: la solicitud de Ticket con el nombre de Principal que representa al servicio que se quiere contactar, y el TGT emitido por el AS. Una vez que el TGS verifica que el TGT es válido, emite el Ticket de servicio solicitado al usuario. 1 Mi nombre es Luis y necesito un TGT Key Distribution Center (KDC) Authentication Service (AS) Ticket Granting Service (TGS) 3 Aquí está mi TGT, proporcióname un Service Ticket Servicios de Red El usuario inicia sesión para obtener acceso a la red 4 Aquí está tu Service Ticket 5 Este es mi Service Ticket, Autentícame 6 Sesión Cliente/Servidor Figura 3-3 Intercambio de Tickets en Kerberos Página 5362 Marco Teórico 3.4 Active Directory Active Directory o Directorio Activo, es un servicio de directorio desarrollado por Microsoft que es utilizado comúnmente para la plataforma de clientes Windows y su estructura está basada en estándares abiertos como el protocolo Kerberos v5 definido en el RFC y el protocolo LDAP definido en el RFC Este servicio de directorio provee la funcionalidad de una solución de identidad y acceso a redes, lo que lo hace un elemento esencial para proteger recursos como archivos, correo electrónico, bases de datos y aplicaciones. Las funciones básicas de Active Directory son las siguientes: 1) Almacenar información de usuarios, computadoras y cualquier otra identidad. Active Directory provee un almacén de identidades, también conocido como Directorio, en el cual almacena objetos que interactúan con recursos de red. Estos objetos pueden ser usuarios, computadoras, grupos y servicios, los cuales tendrán propiedades asociadas a ellos como puede ser su nombre y su identificador de seguridad. El almacén de identidades es suministrado por un servidor que aloja y ejecuta el rol de Servicios de Directorio de Active Directory (AD DS) llamado Domain Controller y desde este mismo se administra. 2) Autenticar identidades. Active Directory lleva a cabo el proceso de autenticación que consiste en verificar peticiones de acceso solicitadas por una identidad. Para verificar una identidad, esta debe proporcionar un elemento secreto que solo es conocido por la propia identidad y la infraestructura de identidad y acceso mediante el almacén de identidades. 3) Controlar el acceso. El control de acceso a recursos se realiza mediante la infraestructura de identidad y acceso para proteger información confidencial de acuerdo a las directivas de cada organización. Para controlar el acceso a recursos se asignan permisos mediante listas de control de acceso (ACL) que especifican el nivel de acceso para cada identidad. 4) Proveer rastros para auditoría. Active Directory provee los mecanismos de auditoría necesarios para monitorear cambios o accesos a recursos por parte de una identidad y los almacena en registros que pueden ser consultados en cualquier momento. 1 The Kerberos Network Authentication Service (V5) 2 An Approach for Using LDAP as a Network Information Service Página 5463 Marco Teórico Además de los elementos básicos antes mencionados, Microsoft ha integrado una serie de componentes adicionales que consolidan su plataforma de identidad y acceso, proveyendo una infraestructura integral de seguridad que proporciona no solamente el manejo de identidades y control de acceso, sino también integridad y confianza en datos y entre organizaciones mediante servicios de certificados y administración de privilegios. Adicionalmente, Active Directory ofrece mecanismos para administrar y configurar recursos en ambientes de red distribuidos mediante la asignación centralizada de directivas de administración, lo cual hace de este servicio una poderosa herramienta de administración de redes de cómputo. a. Componentes de una Infraestructura de Active Directory Una infraestructura de Active Directory está constituida por varios componentes que se definen por su función lógica o física. 1) Controlador de Dominio Es un servidor que aloja el servicio de directorio y ejecuta los servicios de administración de identidad y acceso dentro de una organización. Debido a que un Controlador de Dominio (DC) provee funcionalidad crítica para el control de acceso, la falla de este tipo de servidores puede ocasionar la pérdida de continuidad de las operaciones en una organización y por lo tanto se deberá considerar implantar al menos dos servidores que alojen el servicio de AD DS 1. 2) Sitios Un sitio es una ubicación física dentro de la infraestructura de red de una organización, como puede ser una oficina o una ciudad. Una organización puede tener uno o varios sitios, dentro de los cuales comúnmente implementa equipos de red que proveen una conectividad de buena calidad. En el caso de contar con varios sitios, es común que las organizaciones utilicen enlaces de red que los unan para integrar el acceso a recursos de red. Estos enlaces pueden variar en calidad y costo, y pueden ser tan básicos como un enlace dial-up o tan sofisticados con un enlace de fibra óptica. Active Directory proporciona una clase de objeto llamada Site mediante la cual se pueden generar objetos de Sitio que representan las redes de una organización con conectividad rápida y confiable. La segmentación de Active Directory en Sitios permite crear fronteras de replicación y facilita la localización de servicios de red, por ejemplo, los Controladores de Dominio replican la información de su almacén de datos en segundos cuando están en el mismo Sitio y en periodos controlados cuando están en diferentes Sitios con conexión poco fiable; de igual forma, cuando un 1 Active Directory Directory Services Página 5564 Marco Teórico usuario inicia sesión, este es autenticado por un Controlador de Dominio ubicado en el mismo Sitio que su equipo de cómputo. 3) Almacén de Datos Es una base de datos que almacena las identidades de Active Directory y básicamente es un archivo llamado Ntds.dit que se aloja en el directorio %SystemRoot%\Ntds de los Controladores de Dominio. Esta base de datos está dividida en particiones que comprenden el esquema, configuración, catálogo global y el contexto de nombres del dominio; además de proveer particiones de aplicación para que aplicaciones o servicios almacenen datos que requieran ser replicados y que no estén relacionados directamente con los servicios de directorio. 4) Dominio Un Dominio es la unidad lógica básica de una infraestructura de Active Directory dentro de la cual se comparten características y capacidades entre los objetos pertenecientes al mismo y es necesario un Controlador de Dominio para poder crearlo. Entre otras cosas, un Dominio contiene datos de identidad de los usuarios, grupos y computadoras dentro de la partición de dominio del almacén de datos. Adicionalmente, un Dominio define un ámbito para la aplicación de directivas de administración de seguridad o configuración, por lo que al crear varios dominios en una organización es posible asignar diferentes directivas a los equipos de cómputo de acuerdo a lineamientos o necesidades específicas. Otra característica de los Dominios es la capacidad de segmentar el espacio de nombres de las identidades para adecuarlo a la estructura organizacional, facilitando su identificación. 5) Bosque Un Bosque es una colección de uno o más Dominios que contiene una única definición de la configuración de la red y una única instancia del esquema del directorio. En Active Directory el Bosque define la frontera de seguridad del directorio, ya que nunca se replicará información del mismo fuera de este límite. Cuando se crea el primer Dominio en una organización, se crea de forma implícita el Bosque y este Dominio es definido como el Dominio Raíz del Bosque. Página 5665 Marco Teórico 6) Árbol Desde el momento en que se crea el primer Dominio de una organización se puede hablar de la existencia inherente de un Árbol y este Árbol puede crecer a través de la generación de Subdominios o se pueden generar Árboles nuevos con sus propios Subdominios. Los Árboles se definen por el espacio de nombres de DNS 1 de los Dominios y estos pueden ser contiguos o no contiguos. Cuando se tiene un Dominio raíz cuyo espacio de nombres es unam.mx y se genera un Subdominio iingen.unam.mx, estamos hablando de que estos dos Dominios forman parte del mismo Árbol ya que su espacio de nombres de DNS es contiguo. Por el contrario, si se tiene un Dominio raíz llamado iingen.unam.mx y se crea otro Dominio con el nombre ingenieria.unam.mx, estos se considerarán dos Árboles pues su espacio de nombres es no contiguo. 7) Unidad Organizacional Active Directory es una base de datos jerárquica que almacena Objetos, estos Objetos pueden ser agrupados en contenedores, que básicamente son una Clase. Una Unidad Organizacional (OU) es un tipo especial de contenedor que no solamente sirve para agrupar Objetos sino que además sirve como un ámbito de administración de los mismos mediante Objetos de Directivas de Grupo (GPOs) que contienen configuraciones para usuarios o computadoras. 3.5 Open Directory Open Directory es un concepto que sirve para referirse a dos entidades dentro de ambientes Apple. Por un lado, Open Directory define a la arquitectura extensible de Servicios de Directorio para el sistema operativo Mac OS X (Figura 3-4), mediante la cual clientes y servidores Mac OS X pueden obtener información de usuarios y recursos de red desde una amplia variedad de servicios de directorio como pueden ser el servicio de LDAP de Mac OS X Server llamado Open Directory, Microsoft Active Directory, OpenLDAP, IBM Tivoli Directory Server, Novell edirectory, Red Hat Directory Server y el servicio NIS de UNIX. Por otro lado, Open Directory también es el nombre que recibe la implementación del servicio LDAP de Apple para sistemas Mac OS X y que es utilizada para almacenar y organizar objetos de usuario y de recursos de red en un Directorio. 1 Domain Name System Sistema de Nombres de Dominio Página 5766 Marco Teórico Figura 3-4 Servicios de Directorio y Open Directory La implementación de Open Directory como Directorio LDAP está basada en OpenLDAP y fue implementada por primera vez en la versión 10.5 del sistema Mac OS X. a. NetInfo La primera implementación de Open Directory se presentó con la versión 10.2 de Mac OS X y estaba basada en un Dominio NetInfo y un servicio separado de administración de autenticación. NetInfo es una base de datos de configuración que remplaza la mayoría de los archivos de configuración UNIX en los sistemas NeXTSTEP y posteriormente en Mac OS X 10.2 a 10.4, y entre la información que almacena se encuentra la siguiente: Alias Afpuser Alias Exports (comparticiones nfs) Grupos Equipos Puntos de montaje Redes Impresoras Protocolos RPCs Servicios Usuarios Debido a que NetInfo no fue bien aceptado por la comunidad de usuarios y desarrolladores de sistemas UNIX, este no tuvo una amplia difusión y finalmente Apple lo sustituyó por LDAP. b. Dominios y Servicios de Directorio en Open Directory Open Directory provee de servicios de Directorio a los clientes y servidores Mac OS X actuando como un intermediario entre las aplicaciones y procesos del sistema que Página 5867 Marco Teórico necesitan leer o escribir información de usuarios y recursos de red, y uno o varios Dominios de Directorio que almacenan esa información. El sistema operativo Mac OS X es un sistema UNIX certificado que está basado en NeXTSTEP, que a su vez está basado en FreeBSD y OpenBSD, pero a diferencia de estos sistemas UNIX que almacenan sus datos de administración en archivos de cofiguración, Mac OS X utiliza Open Directory para almacenar estos datos de administración. c. Consolidación de Información Tradicionalmente, los sistemas UNIX almacenan su información administrativa en un conjunto de archivos localizados en el directorio /etc, por lo que cada computadora UNIX requiere tener su propio conjunto de archivos para que los procesos que ejecute puedan leerlos cuando necesiten información administrativa. Por ejemplo, si un proceso requiere la contraseña de un usuario, este lee el archivo /etc/master.passwd y si requiere obtener información de la pertenencia de un usuario a un grupo, lee el archivo /etc/group (Figura 3-5). Figura 3-5 Almacenamiento de información en UNIX En Mac OS X, Open Directory consolida la información administrativa mediante la implementación de un Directorio LDAP y fungiendo como intermediario con este u otros Directorios, por lo que los procesos que ejecuta un equipo Apple no requieren saber cómo y dónde está almacenada la información administrativa. Por ejemplo, si un proceso requiere saber la pertenencia de un usuario a un grupo, este hace la solicitud a Open Directory para que él obtenga la información desde los Directorios que tenga configurados, aislando al proceso de los detalles sobre la forma en que está almacenada la información. Página 5968 Marco Teórico Figura 3-6 Consolidación de información con Open Directory Una desventaja de los sistemas UNIX tradicionales, es que almacenan la información administrativa en archivos que solamente están disponibles en ese equipo, por lo que si un usuario requiere utilizar varios equipos, este deberá estar registrado en los archivos de configuración de cada uno de ellos, haciendo que las tareas administrativas se incrementen al tener que realizar cambios múltiples y con el consecuente riesgo de equivocaciones en la asignación de los permisos correctos. En general, Open Directory consolida y distribuye la información para facilitar su acceso y mantenimiento, liberando a los administradores del pesado trabajo de mantener archivos independientes de configuración y permitiendo una administración centralizada de la información. d. Dominio de Directorio Local A partir de la versión 10.5 de Mac OS X, Apple sustituyó NetInfo por un directorio LDAP, por lo que cada computadora Mac tiene un Directorio de Dominio Local ejecutándose para administrar el almacenamiento de información administrativa, como la creación de cuentas de usuarios locales al equipo. La información almacenada en un Directorio de Dominio Local, solamente está disponible para aplicaciones y procesos que se ejecuten en el equipo que aloja el Directorio, ya que esta información no puede ser compartida a otros equipos en la red. Los Directorios de Dominio Locales están disponibles tanto en clientes como en servidores OS X y debido a que cada equipo tiene su propio Directorio, las cuentas de usuario deberán crearse en cada uno de ellos para poder compartir recursos en red, por ejemplo una carpeta compartida o SharePoint. Al tenerse Directorios separados o independientes de manera local en cada equipo, se pierde la capacidad de Single-SignOn, sobre todo si se crea un usuario en varios directorios locales pero con contraseñas distintas (Figura 3-7). Página 6069 Marco Teórico Figura 3-7 Dominio de Directorio Local Es este caso, cuando un usuario inicia sesión en un cliente Mac OS X, este es autenticado por el Directorio Local y se le permitirá el acceso, pero una vez que ingrese al sistema solo tendrá acceso a recursos locales, a menos que se autentique a través de la red a otro equipo en el que también tenga creada una cuenta de usuario y enviando la contraseña apropiada para ese otro directorio local. e. Dominio de Directorio Compartido Para obtener el máximo poder de Open Directory, es necesario pasar de un Directorio local a un Directorio de Dominio Compartido que permita a varios equipos Mac OS X compartir información administrativa almacenada en un sistema central ( Figura 3-8). Figura 3-8 Dominio de Directorio Compartido Cuando se configura un equipo para que utilice un dominio compartido, la información de este dominio compartido también estará disponible para las aplicaciones y software de sistema que se ejecute en ese equipo, por lo que si un usuario quiere iniciar sesión, Open Directory podrá buscar el registro del usuario en cualquier directorio compartido que tenga configurado el equipo para autenticarlo. Debido a que los Dominios de Directorio almacenan información crítica para cualquier organización, como lo es la información de autenticación de usuarios, los Dominios Compartidos deben residir en servidores estrictamente protegidos y con características de hardware que garanticen una alta disponibilidad. Página 6170 Marco Teórico f. Dominios de Directorio Existentes En la mayoría de las grandes organizaciones es común el uso de un Directorio para almacenar información de los usuarios, y de igual forma es común que estos directorios estén implementados en servidores Windows con Active Directory. Open Directory es capaz de acceder a Dominios de Directorio de terceros como Open LDAP y Active Directory, y al mismo tiempo acceder a dominios Open Directory (Figura 3-9). A esta configuración se le conoce como el Triángulo Mágico. Figura 3-9 Integración con Dominios de Directorio de terceros g. Roles de Open Directory Cada servidor Mac OS X que participa en un ambiente Open Directory puede tener los siguientes roles: 1) Open Directory Master Este rol se aplica al servidor Open Directory primario que ejecuta la implementación de LDAP desarrollada por Apple y que almacena todas las configuraciones de la organización en un Directorio. Este rol es único y solamente un servidor puede tener este rol dentro de la organización, replicando su información a otros servidores Open Directory. 2) Open Directory Replica Este rol define a los servidores Open Directory que almacenan una copia completa de la configuración del servidor Open Directory Master y su función principal consiste en distribuir la carga y proporcionar redundancia del Directorio principal. Página 6271 Marco Teórico Las réplicas también son útiles para reducir el tráfico entre los enlaces de red a oficinas remotas, pues permiten que los clientes autentiquen de forma local, evitando el ruteo al sitio central. En una infraestrucura Open Directory solamente puede existir un solo servidor Open Directory Master y este puede tener hasta 32 servidores Open Directory Replica conectados a él, y en el caso de que se requiera implementar más de 32 réplicas, cada uno de estos servidores réplica pueden tener otros 32 servidores conectados por su cuenta. 3) Conectado a un Servicio de Directorio Este rol implica que el servidor esté conectado como cliente a un sistema soportado por Open Directory, por lo que no replica ningún tipo de información de Kerberos o LDAP y no provee ningún servicio de autenticación central y solamente consumirá los servicios de otros servidores Open Directory Master o Replica para autenticar usuarios de forma local. Página 6372 Marco Teórico Página 6473 Análisis y Metodología Capítulo 4 Análisis y metodología empleada A lo largo de este capítulo se detalla el análisis realizado a las diferentes soluciones disponibles para la integración de Mac OS X con Active Directory, la selección de la mejor opción y el proceso de implementación. Página 6574 Análisis y Metodología Página 6675 Análisis y Metodología 4.1 Evaluación de Tecnologías Durante el proceso de evaluación de las tecnologías disponibles para la integración de equipos Apple a la infraestructura de cómputo del Instituto de Ingeniería, se analizaron las distintas opciones que existen actualmente para integración del sistema operativo Mac OS X con Active Directory (Página 74 Selección de la Solución), siendo este el punto principal a tomar en cuenta debido a que el Instituto ya cuenta con esta plataforma y ha alcanzado un nivel de madurez que la hace muy robusta. Se analizaron las alternativas existentes para la administración de sistemas Mac OS X en ambientes empresariales que brindan la capacidad de tener una administración centralizada de estos equipos, tanto para distribuir configuraciones y aplicaciones a equipos en producción, como para aprovisionar equipos nuevos o que requieren ser reinstalados. El análisis abarcó los complementos (plug-ins) nativos del sistema Mac OS X y soluciones de terceros como Centrify, PowerBroker y Quest (Tabla 4-1), y mostró que para una amplia mayoría de ambientes de red, la funcionalidad de los complementos nativos de Mac OS X son suficientes para proveer la funcionalidad necesaria para una integración exitosa, sin embargo, habrá escenarios en los que se requieran funcionalidades que estos no cubren y será necesario considerar una solución de terceros. a. Complementos Nativos de Mac OS X El sistema operativo Mac OS X incluye varios complementos que forman parte de su arquitectura extensible de Directorios llamada Open Directory, estos complementos son los que le permiten al sistema conectarse y hacer uso de los recursos almacenados en los distintos servicios de Directorio soportados. Uno de los complementos incluidos es el complemento LDAPv3, el cual permite la integración con servicios de Directorio como Open Directory, OpenLDAP, IBM Tivoli Directory Server, Novell edirectory y Red Hat Directory, pero este complemento no es compatible al cien por ciento con Microsoft Active Directory. Esta incompatibilidad no está relacionada con la comunicación de fondo que se realiza mediante el estándar LDAP, sino que se refleja en atributos que no están disponibles en las versiones de Active Directory de Windows 2000 Server y Windows Server 2003, pues estas versiones no se apegaban completamente al estándar del RFC 2307 y fue hasta la versión de Windows Server 2003 R2 que Microsoft alineó los atributos de Active Directory a este estándar. Debido a esta incompatibilidad, Apple diseñó un complemento especial para la integración de sus sistemas con Active Directory que es llamado el complemento Active Directory, pues aunque en versiones recientes de sistemas Microsoft, estos se apegan al RFC 2307, este complemento se encarga de operar como intermediario que hace una correlación de los atributos LDAP faltantes en versiones anteriores de Active Directory con atributos generados por el mismo complemento. Página 6776 Análisis y Metodología El complemento Active Directory también se encarga de hacer la traducción del formato de los valores de algunos de los atributos que no son compatibles entre sistemas Windows y Mac OS X, por ejemplo, si un usuario tiene definido un espacio de almacenamiento en red en el valor del atributo Home Folder, en Windows la ruta se define en formato UNC 1 como \\servidor\carpeta y para que esta ubicación de red pueda ser utilizada en Mac OS X, el complemento de Active Directory se encarga de traducirlo como smb://servidor/carpeta. Un factor importante a considerar es que los complementos de Open Directory, solamente resuelven la integración de la autenticación de usuarios, equipos y servicios, pero no proporcionan ninguna capacidad de administración centralizada mediante directivas. Para esto, es necesaria la implementación de un mecanismo de distribución de configuraciones que, para Mac OS X, Apple proporciona mediante una arquitectura basada en Preferencias Administradas (Managed Preferences). Las Preferencias Administradas proveen a los administradores de las herramientas necesarias para controlar muchas de las funciones del sistema Mac OS X y están basadas en el sistema MCX de Apple; estas preferencias se editan con la herramienta Workgroup Manager y su distribución se hace básicamente con Open Directory, ya que las Preferencias Administradas utilizan LDAP y se almacenan como atributos dentro de los objetos de Open Directory (Figura 4-1). En caso de que se deseen utilizar otros servicios de Directorio como Active Directory para almacenar y distribuir Preferencias Administradas a clientes Mac OS X, es necesario modificar o ampliar el esquema del Directorio. Este proceso de ampliación del esquema involucra la creación de clases de objeto y atributos especiales para Objetos Apple, y aunque estas modificaciones están plenamente identificadas, aún no existe un proceso automático para realizarlas y se requiere seguir un procedimiento manual de exportación e importación que implica los siguientes pasos. 1) Usar la herramienta de Microsoft Active Directory Schema Analyzer para comparar el esquema de Open Directory y Active Directory. 2) Seleccionar las clases de objeto y los atributos que existen en el esquema de Open Directory pero que no existen aún en Active Directory y exportarlos a un archivo LDIF. 3) Editar el archivo LDIF resultante para que sea posible importarlo a Active Directory. 4) Importar en Active Directory el archivo LDIF editado utilizando la herramienta de línea de comandos ldifde de Microsoft. 1 Universal Naming Convention Convención de Nombres Universal Página 6877 Análisis y Metodología Figura 4-1 Herramienta Workgroup Manager de Apple El proceso de ampliación o modificación del esquema de Active Directory es un tema delicado, pues una vez que se lleva a cabo, los cambios son replicados a todo el Bosque y revertir estas modificaciones implican una tarea complicada y de riesgo para la implementación del Directorio, por lo que muchas organizaciones optan por no realizar esta ampliación. Como alternativa a la ampliación del esquema de Active Directory, se puede implementar un ambiente de Directorio Dual, en el que se utilicen de forma conjunta Active Directory y Open Directory, en un modelo que Apple llama el Triángulo Mágico o Triángulo Dorado. La implementación de un ambiente de Directorio Dual, implica contar con dos Directorios, un Active Directory y un Open Directory completamente funcionales, a los cuales se unirán de forma simultánea los equipos cliente con sistema Mac OS X, por lo que estos realizarán consultas a los dos directorios de forma secuencial en el orden en que se hayan configurado en su ruta de búsqueda. b. Centrify Centrify DirectControl es una solución de integración de sistemas UNIX y Linux con Active Directory que incluye un componente de software para servidor que Página 6978 Análisis y Metodología complementa al Active Directory y un complemento o plug-in de Active Directory para los equipos cliente. El componente de servidor extiende la funcionalidad de Active Directory sin que sea necesario extender su esquema para distribuir directivas de configuración a los clientes, mientras que el complemento de cliente utiliza la API 1 de los Servicios de Directorio de Mac OS X, por lo que se puede considerar que el complemento está al nivel de los complementos nativos de LDAPv3 y de Active Directory desarrollados por Apple. La consola de administración de Centrify utiliza Zonas para agrupar computadoras UNIX, Linux y Mac OS X, estas Zonas permiten la distribución de directivas de configuración a los equipos cliente y se almacenan en un contenedor de Active Directory que se ubica en /Program Data/Centrify/Zones. El complemento de cliente de Centrify provee las capacidades de inicio de sesión autenticando con Active Directory y aplica configuraciones definidas por GPOs desde los Controladores de Dominio, además de permitir el inicio de sesión con credenciales en caché. El proceso de instalación de este complemento es sencillo y durante este, se realizan las verificaciones necesarias para asegurar que está disponible el servidor con Centrify DirectControl y que la unión al Dominio será posible, por ejemplo verifica que exista un DC en el Site, que los relojes de los DCs y el cliente estén sincronizados y que funcione correctamente el servicio de DNS. Del lado del servidor, Centrify se integra de forma muy robusta con las herramientas de administración de Windows Server, particularmente con la herramienta de gestión de usuarios Active Directory Users and Computers y con la Consola de Administración de Directivas de Grupo (GPMC 2 ), haciendo la administración de equipos UNIX una tarea sencilla para cualquier administrador de redes Microsoft (Figura 4-2). 1 Application Programming Interface 2 Group Policy Management Console Página 7079 Análisis y Metodología Figura 4-2 Plantilla Administrativa de Centrify para GPOs en Active Directory c. BeyondTrust PowerBroker Identity Services (antes Likewise) es una solución de BeyondTrust similar a la que provee Centrify, que permite la integración con Active Directory para sistemas UNIX y Linux mediante la instalación de dos elementos, uno en un servidor Windows y otro en los equipos cliente. El componente de servidor de PowerBroker Identity Services se encarga de ampliar las características de las herramientas administrativas nativas de Active Directory en Windows como son Active Directory Users and Computers y la Consola de Administración de Directivas de Grupo, pues esta solución proporciona una alta integración con Group Policy (Figura 4-3). Al igual que Centrify, PowerBroker Identity Services utiliza un concepto llamado Células para agrupar objetos de computadora y controlar su información. Estas Células están ligadas a Unidades Organizacionales (OUs), por lo que es posible asociar usuarios con estas Células modificando los atributos de la cuenta con la herramienta nativa de Active Directory Users and Computers. Página 7180 Análisis y Metodología Figura 4-3 Directivas de PowerBroker Identity Services con Group Policy Una característica interesante de PowerBroker Identity Services es que el componente de servidor puede actuar en un Modo Esquema o en un Modo Sin Esquema, y estos modos determinan la forma en que se hará la integración con Active Directory. El Modo Esquema solamente puede ser utilizado si el Directorio está ejecutándose con el nivel de funcionalidad de Windows Server 2003 R2 o posterior, y no requiere que se hagan modificaciones al esquema de Active Directory. Por otro lado, el Modo Sin Esquema está diseñado para trabajar con sistemas Windows 2000 Server y Windows Server 2003, que por diseño no se apegan completamente al RFC En este caso PowerBroker Identity Services ofrece dos opciones de implementación, una implica permitir a PowerBroker Identity Services que haga una ampliación al esquema de Active Directory, y la otra opción consiste en almacenar la información de usuario o grupo en los atributos keywords y description del Objeto usuario o computadora. El componente de cliente de PowerBroker Identity Services puede instalarse a través de una aplicación gráfica de forma local en el equipo o a través de la red mediante SSH con una aplicación de línea de comandos. Página 7281 Análisis y Metodología El cliente de PowerBroker Identity Services se integra a la Utilidad de Directorios del sistema Mac OS X agregándose como un complemento más y por lo tanto se configura de forma similar al complemento nativo de Active Directory de Apple, proporcionando la capacidad de unir a Dominio el equipo y permitir la autenticación de usuarios durante el inicio de sesión en e equipo cliente. Además de la instalación de este complemento, PowerBroker Identity Services incluye una herramienta de migración de perfiles locales de usuario a perfiles de Directorio, por lo que se facilita la integración de equipos Mac OS X existentes a la infraestructura de Active Directory. d. Quest La solución de integración con Active Directory de Quest es llamada Authentication Services y es la evolución de Vintela Authentication Services o VAS que adquirieron tiempo atrás. Authentication Services no utiliza Zonas o Células para agrupar objetos en Active Directory, por lo que la administración de la solución se simplifica al eliminar la complejidad de estos conceptos lógicos de agrupación. Al igual que otras soluciones, Authentication Services requiere la instalación de un componente de servidor que se integra con las herramientas de administración de Active Directory (Figura 4-4) y que opera apegándose al RFC 2307 de LDAP, por lo que requiere que se extienda el esquema en caso de que no se esté utilizando Active Directory con un nivel de funcionalidad Windows Server 2003 R2 o posterior. Figura 4-4 Administración de Preferencias mediante GPOs con Quest Authentication Services A pesar de ofrecer una administración simplificada, Authentcation Services requiere que para iniciar sesión en un sistema UNIX, se habiliten las cuentas de los usuarios autorizados mediante la modificación del atributo UNIX-Enabled en su Objeto de Active Directory. Página 7382 Análisis y Metodología El componente de cliente para Mac OS X puede ser instalado localmente o por SSH a través de la red, además de que el proceso de instalación se encarga de unir el equipo al Dominio, haciendo las revisiones necesarias de cumplimiento de requisitos como el registro dinámico previo a DNS por parte del cliente, la sincronización de fecha y hora con los DCs y los permisos necesarios para la creación del Objeto en Active Directory. 4.2 Selección de la Solución Una vez que evalué las tecnologías que pudiesen proveer la solución de integración de equipos Mac OS X en ambientes de red Microsoft para el Instituto de Ingeniería (Tabla 4-1), establecí que la elección de esta no debería estar solamente determinada por el costo de implementación, sino que se deberían considerar otros factores como la continuidad, el soporte del fabricante y la facilidad de administración; planteamiento que expuse al Coordinador de Sistemas de Cómputo, que al coincidir plenamente respaldó esta idea. De acuerdo con los requerimientos observados durante la evaluación, se determinó que la infraestructura de Active Directory del Instituto cumple cabalmente con el RFC 2307 al ejecutarse sobre Windows Server 2012 R2 y por lo tanto se puede utilizar cualquiera de las soluciones para cubrir el requerimiento de autenticación de usuarios con Active Directory utilizando Kerberos. Sin embargo, para cubrir el requerimiento de distribución de configuraciones de forma centralizada a través de la red, se analizaron las distintas técnicas que utilizan las soluciones evaluadas para almacenarlas y distribuirlas, y así determinar la opción que ofrezca una mejor compatibilidad, menor esfuerzo de implementación, soporte técnico confiable y un bajo costo total de propiedad a largo plazo. Tabla 4-1 Comparativa de las soluciones evaluadas Solución Características Complemento de Active No se requiere hardware adicional Directory nativo de Mac Se logra la integración con cualquier versión de Active Directory OS X Requiere la modificación del esquema de Active Directory Soporta Kerberos Es compatible con relaciones de confianza entre Dominios del Bosque Soporta Firmado y Cifrado de paquetes Directorio Dual (AD y Requiere implementar un servidor Mac OS X con Open Directory OD) Se logra la integración con cualquier versión de Active Directory No requiere modificar el esquema de Active Directory Soporta Kerberos Es compatible con relaciones de confianza entre Dominios del Bosque Soporta Firmado y Cifrado de paquetes Centrify Direct Control Se recomienda usar un servidor Windows dedicado Se logra la integración solamente con Active Directory en Windows Server 2003 R2 o posterior No requiere modificar el esquema de Active Directory Soporta Kerberos Es compatible con relaciones de confianza entre Dominios del Bosque Soporta Firmado y Cifrado de paquetes Página 7483 Análisis y Metodología Solución PowerBroker Identity Services Quest Authentication Services Características Se requiere un servidor Windows dedicado Se logra la integración con cualquier versión de Active Directory Requiere la modificación del esquema de Active Directory solamente para versiones previas a Windows Server 2003 R2 Soporta Kerberos Es compatible con relaciones de confianza entre Dominios del Bosque Soporta Firmado y Cifrado de paquetes Se recomienda usar un servidor Windows dedicado Se logra la integración solamente con Active Directory en Windows Server 2003 R2 o posterior No requiere modificar el esquema de Active Directory Soporta Kerberos Es compatible con relaciones de confianza entre Dominios del Bosque Soporta Firmado y Cifrado de paquetes Un punto crucial que se alcanzó en el proyecto durante la selección de la solución a utilizar, fue la toma de decisión para elegir si se aceptaría la extensión del esquema de Active Directory, pues este es un elemento muy importante en la infraestructura del Instituto de Ingeniería y cualquier fallo puede causar daños serios a las operaciones académicas y administrativas diarias del Instituto. El análisis del impacto que tendría realizar cambios al esquema del Directorio del Instituto junto con el análisis del comportamiento de la empresa Apple respecto al control de cambios que lleva de sus productos y soporte de compatibilidad para productos clasificados como en desuso, llevó a concluir que no se realizara la modificación al esquema de Active Directory. Para esto se consideró que al hacer cambios al esquema del Directorio del Instituto, se harían modificaciones exclusivas para sistemas Mac OS X y no modificaciones genéricas que pudiesen ser aprovechadas por otros sistemas, además de que estos cambios no podrían revertirse fácilmente en caso de que se hiciera necesario modificarlos o prescindir de ellos en un futuro. Además, se tomó en cuenta que la empresa Apple frecuentemente ha realizado cambios en su sistema operativo que no ofrecen compatibilidad con versiones anteriores, obligando a hacer actualizaciones que pudiesen generar problemas de convivencia con software o hardware, por lo que se concluyó que este era un riesgo que no se debería correr y esto hizo necesario considerar la opción de implementar una solución de Directorio Dual o de software de terceros. El utilizar una solución de terceros fue una opción que en un principio se consideró viable, ya que las tres propuestas cubren los requisitos de implementación e integración básicos que estableció el Instituto de Ingeniería, pero esto implica introducir un tercer elemento a considerar en disputas de soporte técnico que pudiesen generar retrasos en la atención a los usuarios. El Instituto de Ingeniería tiene lineamientos claros sobre el uso de sus equipos de cómputo, que básicamente debe apegarse a actividades estrictamente académicas, y sobre las configuraciones básicas de seguridad de estos, que deben ser homogéneas a Página 7584 Análisis y Metodología lo largo de la institución y se controlan de forma centralizada por la Coordinación de Sistemas de Cómputo. Si bien estos lineamientos definen el uso y configuración de los equipos, en lo que se refiere a la instalación del tipo de sistema operativo, versión del mismo sistema operativo o las aplicaciones que deben tener los equipos de cómputo, el Instituto permite a los usuarios que ellos tomen la decisión de acuerdo a lo que mejor les convenga para la realización de sus actividades académicas, de acuerdo con la libertad académica a la que está acostumbrada la comunidad universitaria. La libertad de decisión de los usuarios sobre la versión del sistema operativo que pueden elegir, complica el uso de una solución de terceros para la integración con Active Directory, pues normalmente después de la liberación de una versión nueva del sistema Mac OS X, los fabricantes de las soluciones de integración tardan bastante tiempo en ofrecer una actualización a su software que lo haga compatible con la nueva versión. Por lo que usuarios que actualicen su sistema operativo pueden llegar a perder la posibilidad de iniciar sesión en sus equipos y se incrementarían las solicitudes de soporte técnico a la CSC. Para el caso de los servidores Windows con Active Directory la situación sería similar, pues aunque las actualizaciones de versión del sistema operativo se hacen mediante un proceso de evaluación e implementación controlado, una incompatibilidad del componente de integración puede llegar a retrasar las actividades de actualización hasta que el fabricante libere su actualización respectiva. Estos puntos llevaron a descartar la utilización de las soluciones de terceros y finalmente se optó por la implementación de una infraestructura de Directorio Dual, que ofrece la ventaja de ser una solución que mantiene separados los procesos de actualización de cada sistema operativo pero sin descuidar la integración de Directorios. Las actualizaciones de los sistemas Mac OS X cliente obtendrán una versión reciente de sus complementos de Directorio que mantienen su compatibilidad con Open Directory y Active Directory, sin necesidad de esperar a un tercero. Y las actualizaciones de los servidores Windows con Active Directory se podrán realizar de acuerdo con los tiempos planeados por el Instituto. Otro elemento importante que llevó a descartar la implementación de una solución de terceros fue la inestabilidad de los grupos de soporte y la casi nula presencia que tienen en México, como es el caso de Centrify. A pesar de que Dell recientemente adquirió a Quest, el acercamiento que se tuvo con esta empresa reflejó poco conocimiento de los productos de Quest y un compromiso incierto para promover la solución; este caso se repite con BeyondTrust que ofrece su solución de integración a través de la compra que Página 7685 Análisis y Metodología hizo de la empresa Likewise, proceso en el que solamente conservaron 23 empleados 1. Debido a estas situaciones, se decidió solamente considerar la solución nativa de Directorio Dual, en la que se puede contar con el soporte total de Microsoft y Apple. 4.3 Diseño de la Arquitectura Para el diseño de la arquitectura de la solución se consideró que existen equipos Mac OS X cliente en las tres ubicaciones geográficas del Instituto y por lo tanto era necesario implementar al menos un servidor Mac OS X en las instalaciones de cada una de las sedes. Estos servidores Mac OS X deberían formar la infraestructura de Open Directory del Instituto y por la criticidad de este nuevo servicio, estos deberían proveer el servicio de forma continua y sin interrupciones, por lo que se decidió implementar un servidor XServe con características altamente redundantes en el sitio central ubicado en Ciudad Universitaria (D.F.) y un servidor Mac Mini en cada una de las sedes remotas ubicadas en Juriquilla (Querétaro) y Sisal (Yucatán). Tabla 4-2 Características del servidor de Ciudad Universitaria Procesador RAM Almacenamiento Alimentación eléctrica Apple XServe Doble procesador Quad-Core Intel Xeon de 2.26 GHz 24 GB DDR MHz 1 Disco Duro de estado sólido de 128 GB 3 Discos Duros SCSI de 1 TB en RAID 5 Dos fuentes redundantes de 127V Tabla 4-3 Características del servidor de Juriquilla Procesador RAM Almacenamiento Alimentación eléctrica Apple Mac Mini 1 Procesador Intel Core i7 de 2 GHz 16 GB DDR MHz 1 Disco Duro de estado sólido de 256 GB 1 Disco Duro de SATA de 750 GB 1 fuente de 127V Tabla 4-4 Características del servidor de Sisal Procesador RAM Almacenamiento Alimentación eléctrica Apple Mac Mini 1 Procesador Intel Core i7 de 2 GHz 16 GB DDR MHz 1 Disco Duro de estado sólido de 256 GB 1 Disco Duro de SATA de 750 GB 1 fuente de 127V El servidor XServe de Ciudad Universitaria fue configurado como Open Directory Master y los servidores Mac Mini de Juriquilla y Sisal se configuraron como Open Directory Replicas para mantener la sincronización de la base de datos del Directorio y aislar las peticiones de autenticación de los clientes a su localidad geográfica. 1 Fuente: Página 7786 Análisis y Metodología Cada uno de los servidores se configuraron para proporcionar una carpeta compartida en red para almacenar el software para el sistema Mac OS X que se distribuirá a los equipos cliente mediante la herramienta Apple Remote Desktop (ARD) que también fue instalada en cada uno de estos servidores para la administración remota de equipos cliente con fines de proporcionar soporte técnico y para la recolección de inventarios de hardware y software de los mismos clientes. El principal motivo por el cual se implementó un servidor por localidad fue para separar los servicios de distribución de configuraciones y de distribución de software, de forma tal que no se saturaran los enlaces de comunicación a Internet. El hecho de que un cliente ubicado en Sisal Yucatán acuda al servidor Mac OS X para actualizar su configuración o autenticar un usuario, sería un proceso inaceptable por oponerse a las mejores prácticas de las Tecnologías de la Información. El proceso de autenticación de los clientes se lleva a cabo directamente en los servidores de Active Directory mediante la resolución de nombres con DNS, proceso en el que se identifican a los servidores de autenticación con LDAP y los servidores de generación de llaves de Kerberos que dan el servicio a la sede correspondiente. De igual forma la distribución de políticas la realiza Open Directory a través del servidor local de la sede al identificar los rangos de direcciones IP asignados a los segmentos de red convenientes. 4.4 Implementación El proceso de implementación lo dividí en dos etapas, una etapa involucró la instalación, configuración y puesta a punto de los servidores Mac OS X y la otra etapa radicó en la configuración de los equipos cliente para unirlos a un Dominio de la infraestructura de Active Directory del Instituto, y a su vez unirlos al Directorio formado por Open Directory, para lo cual desarrollé un script que permitiera la automatización de este proceso. Durante este proceso se definieron las versiones de los sistemas operativos que se utilizarían en los servidores y los sistemas operativos que se soportarían en el lado de los clientes. Durante el inicio del proyecto se decidió trabajar con la versión 10.9 de Mac OS X Mavericks en los servidores, que es la última y más reciente versión liberada por Apple. Del lado de los clientes se dio por sentado que se tendría que trabajar con una serie de equipos con versiones heterogéneas del sistema operativo Mac OS X, y de acuerdo con un censo que se realizó previo a la implementación, se determinó que la versión del sistema operativo de los equipos que el Instituto de Ingeniería había adquirido en los últimos años comprendían las versiones 10.5 Leopard, 10.6 Snow Leopard, 10.7 Lion, 10.8 Mountain Lion y 10.9 Mavericks, por lo que solamente estas versiones fueron consideradas para las pruebas de compatibilidad de la solución. Página 7887 Análisis y Metodología 4.5 Configuración de Servidores La etapa de implementación de los servidores comenzó con la actualización del servidor XServe de Ciudad Universitaria, cambiando su sistema operativo que era Snow Leopard Server por la versión 10.9 Mavericks. Lo mismo se aplicó a los dos servidores Mac Mini al actualizarlos de la versión 10.8 Mountain Lion a la versión 10.9 Mavericks, con lo que se tuvo una plataforma homogénea sobre la cual se ejecutará Open Directory. Una vez actualizados los servidores se realizó la configuración de cada uno de ellos, siguiendo el procedimiento descrito a continuación. 1. Debido a que la infraestructura actual de Active Directory utiliza Kerberos como método de autenticación, fue necesario sincronizar el reloj de los servidores Mac OS X con los Controladores de Dominio, que además de actuar como KDCs, proveen el servicio de sincronización de hora por medio del protocolo NTP. Figura 4-5 Sincronización de reloj en Mac OS X 2. El segundo paso consistió en realizar la unión de todos los servidores Mac OS X al dominio maestro IINGEN de Active Directory utilizando la herramienta Utilidad de Directorios. Figura 4-6 Utilidad de Directorio Para esto se definieron los nombres iingen-osx01, iingen-jq-osx01 e iingen-ssosx01 para los servidores de CU, Juriquilla y Sisal respectivamente, y el Dominio Página 7988 Análisis y Metodología iingen.unam.mx como su Dominio de pertenencia; además se definió que los servidores deberían mantener cuentas móviles que mantengan un caché de inicio de sesión para poder ingresar al servidor con cuentas de dominio en caso de que se pierda la conectividad de red, y el uso de rutas UNC mediante el protocolo SMB para el acceso a la carpeta Home asignada a través de la red. Figura 4-7 Configuración de cuentas móviles en Mac OS X Finalmente, se configuraron los grupos Domain Admins y Enterprise Admins del Dominio IINGEN, con privilegios de administración sobre cada servidor, para que las cuentas que pertenezcan a ellos puedan administrar los servidores y así evitar la necesidad de volver a realizar esta configuración con la integración de nuevos miembros al equipo de trabajo de administración de servidores. Página 8089 Análisis y Metodología Figura 4-8 Integración de Administradores de Active Directory en Mac OS X 3. Se configuró el rol de Open Directory Master en el servidor de CU mediante la herramienta Server. Figura 4-9 Creación de un nuevo Dominio Open Directory Este procedimiento es extremadamente sencillo y solamente es necesario seguir el asistente de configuración que proporciona la interfaz gráfica, en la que se debe proporcionar el nombre de la cuenta que operará como administrador del Página 8190 Análisis y Metodología directorio, la contraseña de la cuenta, una dirección de correo electrónico de contacto para los usuarios del Directorio y el nombre de la organización. Figura 4-10 Creación de la cuenta de Administrador del Directorio Figura 4-11 Asignación del nombre de la organización 4. Una vez creado el Directorio basado en Open Directory, se agregaron como servidores réplica los equipos Mac Mini de Juriquilla y Sisal Página 82 Mostrar más
Administración de servidores WINDOWS Tema 1. Active Directory Francisco Medina López paco.medina@gmail.com http://www.paconetworks.com/cursos Centro Coapa Dirección General de Servicios de Cómputo Académico Más detalles Introducción a Windows 2000 Server
Funciones de servidor La familia Windows Server 2003 ofrece varias funciones de servidor. Para configurar una función de servidor, instale dicha función mediante el Asistente para configurar su servidor; Más detalles 1. Objetivos generales del título
1. Objetivos generales del título a) Organizar los componentes físicos y lógicos que forman un sistema microinformático, interpretando su documentación técnica, para aplicar los medios y métodos adecuados Más detalles 4.1. Introducción. 4.2.1. Servicios de Dominio del Directorio Activo
4.1. Introducción 4.1. Introducción Este capítulo introduce los conceptos fundamentales sobre dominios Windows Server 2008, que permiten unificar y centralizar la administración de conjuntos de sistemas Más detalles Programa de Capacitación y Certificación. Asociado de Soluciones Ms Windows Server 2012
Programa de Capacitación y Certificación. Asociado de Soluciones Ms Windows Server 2012 Contenido 20410 - Instalación y Configuración de Windows Server 2012 3 20411. Administración de Windows Server 2012 Más detalles Domine Microsoft Windows Server 2003. José Luis Raya Laura Raya Miguel Á. Martínez
Domine Microsoft Windows Server 2003 José Luis Raya Laura Raya Miguel Á. Martínez Reseña: Este libro ofrece al lector, de forma sencilla, el proceso de instalación y configuración de un servidor Windows Más detalles documento ejecutivo >>
documento ejecutivo >> >> ASTEIN TECNOLOGIAS S.L, es una empresa mercantil constituida a tiempo indefinido, e inicio de sus actividades en fecha ocho de agosto de dos mil seis, siendo el objeto principal Más detalles Ing. Víctor Cuchillac
Nota sobre la creación de este material Implementación LDAP en Windows El material ha sido tomado de archivos elaborados por Andres Holguin Coral, Mª Pilar González Férez, Información en TechNET. Yo he Más detalles CARACTERÍSTICAS O APTITUDES DESEABLES DEL ASPIRANTE AL INGRESAR:
FORMATO 2 NOMBRE DEL DIPLOMADO DIPLOMADO EN REDES DE CÓMPUTO No. DE MÓDULOS cinco HORAS 130 OBJETIVO GENERAL Fortalecer y actualizar las habilidades de instalación y configuración de redes de computadoras Más detalles Catedrática: Ana Lissette Girón. Materia: Sistemas Operativos. Sección: 2-1. Tema: Roles de Windows Server 2008
Catedrática: Ana Lissette Girón Materia: Sistemas Operativos Sección: 2-1 Tema: Roles de Windows Server 2008 Alumno: Jonathan Alexis Escobar Campos Fecha de entrega: 02 de Abril del 2012 Servicios de Directorio Más detalles GLOSARIO DE TERMINOS
GLOSARIO DE TERMINOS A Aplicaciones Legacy.- Conjunto de aplicaciones desarrolladas o implementadas en plataformas de sistemas anteriores o antiguos. B Bases de Datos.- Organización y conservación de datos Más detalles Índice. Capítulo 1. Novedades y características... 1
Índice Capítulo 1. Novedades y características... 1 Introducción a Windows Server 2008... 1 Administración de servidor... 3 Seguridad y cumplimiento de directivas... 5 El concepto de Virtualización... Más detalles MS_20413 Designing and Implementing a Server Infrastructure
Designing and Implementing a Server Infrastructure www.ked.com.mx Av. Revolución No. 374 Col. San Pedro de los Pinos, C.P. 03800, México, D.F. Tel/Fax: 52785560 Introducción Este curso de cinco días impartido Más detalles índice CONVENCIONES USADAs...17
Configurando Windows 8.1 MOC 20487 Duración: 35 Horas Perfil de audiencia Este curso está dirigido a profesionales de ti que administran y soporte Windows 8.1 PC, dispositivos, usuarios y recursos de red Más detalles WINDOWS SERVER 2003. Universidad Nacional del Nordeste. Ibarra maría de los Ángeles. Licenciatura en Sistemas de Información. Corrientes Argentina
WINDOWS SERVER 2003 WINDOWS SERVER 2003 Universidad Nacional del Nordeste Ibarra maría de los Ángeles Licenciatura en Sistemas de Información Corrientes Argentina Año: 2005 Introducción Las nuevas características Más detalles MS_20416 Implementing Desktop Application Environments
Implementing Desktop Application Environments www.ked.com.mx Av. Revolución No. 374 Col. San Pedro de los Pinos, C.P. 03800, México, D.F. Tel/Fax: 52785560 Introducción En este curso ayuda a construir Más detalles VICERRECTORADO ACADÉMICO Unidad de Desarrollo Educativo
1. DATOS INFORMATIVOS VICERRECTORADO ACADÉMICO ASIGNATURA: SISTEMAS OPERATIVOS Y REDES CÓDIGO: EMEC-26033 NRC: 307 DEPARTAMENTO: ELÉCTRICA Y ELECTRÓNICA CARRERAS: MECATRÓNICA DOCENTE: PERÍODO ACADÉMICO: Más detalles Modernización del escritorio
Modernización del escritorio Una guía para abordar los requisitos del usuario final y los desafíos de TI con la virtualización de escritorio de VMware Contenido Capítulo 1: El dilema de los escritorios Más detalles MS_20410 Installing and Configuring Windows Server 2012
Gold Learning Gold Business Intelligence Silver Data Plataform Installing and Configuring Windows Server 2012 www.ked.com.mx Por favor no imprimas este documento si no es necesario. Introducción. Este Más detalles Programa de Capacitación y Certificación.
NIVEL 1.- INFRAESTRUCTURA DE REDES Programa de Capacitación y Certificación. INFORMES@COMPUSUR.COM.MX WWW.COMPUSUR.COM.MX 1 Contenido NIVEL 1. INFRAESTRUCTURA DE REDES... 4 6421 CONFIGURANDO Y RESOLVIENDO Más detalles MS_10747 Administering System Center 2012 Configuration Manager
Administering System Center 2012 Configuration Manager www.ked.com.mx Av. Revolución No. 374 Col. San Pedro de los Pinos, C.P. 03800, México, D.F. Tel/Fax: 52785560 Introducción Este curso describe cómo Más detalles Familia de Windows Server 2003
Familia de Windows Server 2003 Windows Server 2003 está disponible en cuatro ediciones. Cada edición se ha desarrollado para una función de servidor específica, como se describe en la tabla siguiente: Más detalles Se espera que resurjan las pésimas ventas de periféricos. Y por último encontramos al verdadero beneficiado, el
Windows XP Professional proporciona herramientas de productividad avanzadas que su organización necesita y le ofrece el poder de administrar, implementar y soportar su ambiente de computación de una manera Más detalles MS_20687 Configuring Windows 8.1
Gold Learning Gold Business Intelligence Silver Data Plataform www.ked.com.mx Por favor no imprimas este documento si no es necesario. Introducción. Este curso provee a estudiantes con experiencia práctica Más detalles Unicenter Asset Management versión 4.0
D A T A S H E E T Unicenter Asset Management versión 4.0 Unicenter Asset Management es una completa solución para gestionar los activos TI de su entorno empresarial de forma activa. Proporciona funciones Más detalles 20687 Configuring Windows 8
20687 Configuring Windows 8 Introducción Este curso de cinco días, provee a estudiantes con experiencia práctica con Windows 8. Este provee guía en instalación, actualización, y licenciamiento para Windows Más detalles La inscripción sólo se realiza rellenando en Internet la ficha de inscripción:
DuocUC Vicerrectoría Académica Programa Instruccional de Asignatura ASF6501 10 créditos 90 horas ADMINISTRACION DE SISTEMAS OPERATIVOS Requisitos: SOF3501 SOF440 SOD30 Fecha Actualización: 31-JUL-13 ESCUELA Más detalles Master MCSA Windows Server 2012
Master MCSA Windows Server 2012 Material: El material a entregar será el MOC oficial en formato electrónico además de documentación digital aportada por el instructor. Entorno de laboratorio para prácticas Más detalles OpenText Exceed ondemand
OpenText Exceed ondemand Acceso a aplicaciones empresariales confiable y seguro O pentext Exceed ondemand es la solución para el acceso seguro a las aplicaciones gestionadas. Ella permite que las empresas Más detalles ADMINISTRADOR DE XARXES LOCALS
ADMINISTRADOR DE XARXES LOCALS Administración de un entorno Microsoft Windows Server 2003 Módulo 1: Introducción a la administración de cuentas y recursos El entorno Windows Server 2003 Iniciar la sesión Más detalles Más allá de BYOD, hacia una experiencia óptima en cualquier lugar de trabajo
Descripción general de la solución Más allá de BYOD, hacia una experiencia óptima en cualquier lugar de trabajo Optimización de la experiencia para todos los usuarios que utilizan una variedad dispositivos, Más detalles INDICE. Agradecimientos Introducción Parte I Fundamentos de la conectividad de redes XIX XXI
INDICE Agradecimientos Introducción Parte I Fundamentos de la conectividad de redes 3 1 El negocio de la conectividad Conectividad de redes: la perspectiva corporativa Qué necesita su compañía? 4 Puestos Más detalles WINDOWS SERVER 2003 - SERVICIOS DE RED Y DIRECTORIO ACTIVO
WINDOWS SERVER 2003 - SERVICIOS DE RED Y DIRECTORIO ACTIVO ESTRUCTURA DEL SEMINARIO Descripción del Seminario: Este Seminario combina contenidos del seminario de Infraestructura de Redes, Tecnología Especializad Más detalles Autenticación Centralizada
Autenticación Centralizada Ing. Carlos Rojas Castro Herramientas de Gestión de Redes Introducción En el mundo actual, pero en especial las organizaciones actuales, los usuarios deben dar pruebas de quiénes Más detalles MS_20411 Administering Windows Server 2012
Administering Windows Server 2012 www.ked.com.mx Av. Revolución No. 374 Col. San Pedro de los Pinos, C.P. 03800, México, D.F. Tel/Fax: 52785560 Introducción Aprenda como administrar Windows Server 2012 Más detalles Índice general. Índice general
Índice general Índice general 5 Capítulo 1: Presentación de Windows Server 2008... 19 LAS NOVEDADES EN WINDOWS SERVER 2008... 21 LAS EDICIONES DE WINDOWS SERVER 2008... 25 Edición Standard... 26 Edición Más detalles Diferencias entre Windows 2003 Server con Windows 2008 Server
Diferencias entre Windows 2003 Server con Windows 2008 Server WINDOWS SERVER 2003 Windows Server 2003 es un sistema operativo de propósitos múltiples capaz de manejar una gran gama de funsiones de servidor, Más detalles MASTER MCSA WINDOWS SERVER 2012
MASTER MCSA WINDOWS SERVER 2012 El Máster MCSA Windows Server 2012 proporciona al alumno los conocimientos y habilidades necesarias que lo capacitan para la administración eficiente de Windows Server 2012 Más detalles Resumen General del Manual de Organización y Funciones
Gerencia de Tecnologías de Información Resumen General del Manual de Organización y Funciones (El Manual de Organización y Funciones fue aprobado por Resolución Administrativa SBS N 354-2011, del 17 de Más detalles Hoja de datos: Copias de seguridad y recuperación Symantec Backup Exec 12.5 for Windows Servers El referente en la protección de datos de Windows
El referente en la protección de datos de Windows Descripción general 12.5 ofrece protección líder del sector en copia de seguridad y recuperación, desde servidores hasta equipos de escritorio. Proporciona Más detalles Guía detallada de administración de Active Directory
Guía detallada de administración de Active Directory Esta guía es una introducción a la administración del servicio Active Directory y del complemento Usuarios y equipos de Active Directory de Windows Más detalles Administración de un ambiente de trabajo con Microsoft Windows Server 2003 Soporte de un ambiente de trabajo con Microsoft Windows Server 2003
Temario W@D MCP Cursos Requeridos Administración de un ambiente de trabajo con Microsoft Windows Server 2003 W@D MCSA + Seguridad Cursos Administración de un ambiente de trabajo con Microsoft Windows Server Más detalles El valor de una infraestructura optimizada
El valor de una infraestructura optimizada El Estudio del Estado del CIO 2006 (CIO Research, 2006) muestra que los CIO están buscando, cada vez más, introducir, de forma proactiva, soluciones de tecnología Más detalles Manual avanzado Windows Server 2012 (c) Francisco Charte Ojeda
Manual avanzado Windows Server 2012 (c) Francisco Charte Ojeda Agradecimientos Introducción Necesidades de las empresas Sistemas operativos de servidor Windows Server 2012 Este libro Requerimientos Cómo Más detalles NUESTROS SERVICIOS SE DIVIDEN EN TRES GRANDES GRUPOS, LOS CUALES SON: 1. SOFTWARE 3 3. COMUNICACIONES 14
1 NUESTROS SERVICIOS SE DIVIDEN EN TRES GRANDES GRUPOS, LOS CUALES SON: 1. SOFTWARE 3 2. HARDWARE 13 3. COMUNICACIONES 14 2 SOFTWARE Consultoría Tecnológica Su empresa hoy cuenta con el presupuesto necesario Más detalles Single-Sign-On Índice de contenido
Single-Sign-On Índice de contenido Introducción...2 Que es Single Sign-On...2 Descripción del esquema y componentes...2 Kerberos...3 LDAP...5 Consideraciones de Seguridad...6 Alcances de la solución implementada...7 Más detalles Implementación, aprovisionamiento y actualización de Windows Server con System Center
Implementación automatizada y centralizada, aprovisionamiento y actualización de Windows Server La implementación y el mantenimiento de Windows Server en sistemas operativos de centros de datos y entornos Más detalles Cómo superar los desafíos de administración para explotar el potencial de múltiples plataformas de virtualización
INFORME OFICIAL Septiembre de 2012 mejores prácticas para agilizar la administración en entornos virtualizados heterogéneos Cómo superar los desafíos de administración para explotar el potencial de múltiples Más detalles Introducción a Oracle Identity Management Informe Ejecutivo de Oracle Junio de 2008
Introducción a Oracle Identity Management Informe Ejecutivo de Oracle Junio de 2008 Introducción a Oracle Identity Management INTRODUCCIÓN Oracle Identity Management, la mejor suite de soluciones para Más detalles PROGRAMA FORMATIVO OBJETIVOS CONTENIDOS
Windows Server 2012 Introducir al alumno en los conceptos de redes (a nivel físico (hardware) y de programas para gestionarlas (software). Lo prepara además para crear y montar este sistema dentro de una Más detalles REPORTE OFICIAL OCTUBRE DE 2014. CA Unified Infrastructure Management para servidores
REPORTE OFICIAL OCTUBRE DE 2014 CA Unified Infrastructure Management para servidores 2 Reporte oficial: CA Unified Infrastructure Management para servidores Tabla de contenidos Descripción general de la Más detalles Beneficios estratégicos para su organización. Beneficios
La solución ideal para controlar la totalidad de su infraestructura IT mediante un inventario automatizado, control remoto y Gestión de activos informáticos. Beneficios Características Inventario actualizado Más detalles PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE HA DE REGIR EL SUMINISTRO DE LICENCIAS DE PRODUCTOS DE LA FIRMA MICROSOFT, MEDIANTE PROCEDIMIENTO ABIERTO
PLIEGO DE PRESCRIPCIONES TÉCNICAS QUE HA DE REGIR EL SUMINISTRO DE LICENCIAS DE PRODUCTOS DE LA FIRMA MICROSOFT, MEDIANTE PROCEDIMIENTO ABIERTO 1.- Introducción.- Los productos de Microsoft de gama ofimática, Más detalles Dirección General de Educación Superior Tecnológica
Dirección General de Educación Superior Tecnológica 1. Datos Generales de la asignatura Nombre de la asignatura: Clave de la asignatura: Créditos (Ht-Hp_ créditos): Carrera: Administración de Servidores Más detalles IDS-Virtualiza. IDS-Virtualiza. es la solución que ofrece IDSénia para la optimización de sus servidores y estaciones.
IDS-Virtualiza es la solución que ofrece IDSénia para la optimización de sus servidores y estaciones. Qué es la virtualización? La virtualización es una tecnología probada de software que está cambiando Más detalles La Arquitectura de las Máquinas Virtuales.
La Arquitectura de las Máquinas Virtuales. La virtualización se ha convertido en una importante herramienta en el diseño de sistemas de computación, las máquinas virtuales (VMs) son usadas en varias subdiciplinas, Más detalles Administración de un ambiente de trabajo con Microsoft Windows Server 2003 Soporte de un ambiente de trabajo con Microsoft Windows Server 2003
Temario W@D MCP Cursos Requeridos Administración de un ambiente de trabajo con Microsoft Windows Server 2003 W@D MCSA + Seguridad Cursos Administración de un ambiente de trabajo con Microsoft Windows Server Más detalles Hoja de datos: Protección de datos Symantec Backup Exec 2010 Copias de seguridad y recuperación de confianza para las empresas en crecimiento
Copias de seguridad y recuperación de confianza para las empresas en crecimiento Descripción general ofrece protección mediante copias de seguridad y recuperación líder del sector desde servidores hasta Más detalles WINDOWS 2003 SERVER DIRECTORIO ACTIVO Y DNS
WINDOWS 2003 SERVER DIRECTORIO ACTIVO Y DNS ESCUELA COLOMBIANA DE INGENIERÍA JULIO GARAVITO LABORATORIO DE INFORMÁTICA BOGOTÁ D. C. 2007-2 TABLA DE CONTENIDO INTRODUCCIÓN... 3 1. EL DIRECTORIO ACTIVO Y Más detalles Braulio Ricardo Alvarez Gonzaga INTERNET INFORMATION SERVER (IIS) WINDOWS SERVER 2003
INTERNET INFORMATION SERVER (IIS) WINDOWS SERVER 2003 1 INTRODUCCIÓN Cuando nosotros ingresamos a una página web, en busca de información no somos conscientes de los muchos procesos que se realizan entre Más detalles Symantec Mobile Management for Configuration Manager 7.2
Symantec Mobile Management for Configuration Manager 7.2 Gestión de dispositivos integrada, segura y escalable Hoja de datos: Gestión y movilidad de puntos finales Descripción general La rápida proliferación Más detalles 1.- DATOS DE LA ASIGNATURA
1.- DATOS DE LA ASIGNATURA Nombre de la asignatura: Administración de servidores Carrera: Ingeniería es Sistemas Computacionales Clave de la asignatura: ISQ-1301 (Créditos) SATCA 1 1-2 - 3 2.- PRESENTACIÓN Más detalles Arcserve Backup: Protección para entornos NAS heterogéneos con NDMP
Arcserve Backup: Protección para entornos NAS heterogéneos con NDMP Phil Maynard DATA MANAGEMENT CUSTOMER SOLUTIONS UNIT FEBRERO DE 2012 Introducción Adonde quiera que mire, la cantidad de aplicaciones Más detalles Infraestructura Tecnológica
Infraestructura Tecnológica 1 Sesión No. 1 Nombre: Infraestructura de servidores Contextualización La infraestructura de cualquier servicio o mecanismo es importante, define el funcionamiento de los elementos Más detalles DIPLOMADO DE INFRAESTRUCTURA DE SERVIDORES MICROSOFT
Gold Learning Gold Business Intelligence Silver Data Plataform Installing and Configuring Windows 10 www.ked.com.mx Por favor no imprimas este documento si no es necesario. Introducción. Este curso está Más detalles PROYECTO. Solución Empresarial Ingeniería y Desarrollo de Software www.solucionempresarial.com.ar - info@solucionempresarial.com.
PROYECTO 1 ÍNDICE 1. Presentación 2. Que es LDAP 3. Ventajas 4. Funcionamientos 5. Paquetes Adicionales 6. Requisitos 7. Objetivos 8. Presupuesto 7. Presupuesto 2 Presentación Se quiere implementar un Más detalles Mgter. Alejandro Ramos
Mgter. Alejandro Ramos Servidores Centralizados de Ficheros. Sistemas de Base de Datos. Sistemas Distribuidos. Evolución de la Tecnología Cliente Servidor 1 2 3 4 5 1982 1986 1990 1995 1995 - actualmente Más detalles PROGRAMA FORMATIVO. MCSA Windows Server 2012
PROGRAMA FORMATIVO MCSA Windows Server 2012 Julio 2014 DATOS GENERALES DE LA ESPECIALIDAD 1. Familia Profesional: INFORMÁTICA Y COMUNICACIONES Área Profesional: SISTEMAS Y TELEMÁTICA 2. Denominación: MCSA Más detalles MS_6435 Designing a Windows Server 2008 Network Infrastructure
Programa de actualización profesional ACTI Windows Windows Support Specialist para MCSA en la plataforma Windows Server 2012 Incluye el conocimiento para poder hacer frente a los siguientes exámenes: 1 Más detalles Diseño de arquitectura segura para redes inalámbricas
Diseño de arquitectura segura para redes inalámbricas Alfredo Reino [areino@forbes-sinclair.com] La tecnología de redes inalámbricas basada en el estándar IEEE 802.11 tiene unos beneficios incuestionables Más detalles Renovación tecnológica y ampliación de la capacidad de almacenamiento.
El Centre de Supercomputació de Catalunya (CESCA) es un organismo cuyo objetivo fundamental es gestionar un gran complejo de sistemas de cálculo y de comunicaciones para dar servicio a la universidad y Más detalles difusión de la investigación
Capítulo 3 difusión de la investigación ambiental aplicada Publicaciones La difusión de los resultados de la investigación ambiental siguió varios caminos durante esta administración. Con la transformación Más detalles Windows Server 2012: Identidad y Acceso. Módulo 2: Descripción General de Windows Server 2012 Remote Desktop Services.
Windows Server 2012: Identidad y Acceso Módulo 2: Descripción General de Windows Server 2012 Remote Desktop Services. Manual del Módulo Autor: Andrew J Warren, Content Master Publicado: Septiembre 10 de Más detalles Cómo protejo de forma eficaz el acceso a Microsoft SharePoint?
RESUMEN DE LA SOLUCIÓN SharePoint Security Solution de CA Technologies Cómo protejo de forma eficaz el acceso a Microsoft SharePoint? agility made possible La solución de seguridad para SharePoint que Más detalles Universidad Digital. Conocimiento y compromiso. Experiencia para el futuro. Diálogo y consenso
Universidad Digital Pilar Aranda Ramírez Catedrática de Universidad Aspiro a ser la próxima Rectora de la Universidad de Granada La universalización de las TIC ha propiciado nuevas fórmulas de generar, Más detalles La Pirámide de Solución de TriActive TRICENTER
Información sobre el Producto de TriActive: Página 1 Documento Informativo La Administración de Sistemas Hecha Simple La Pirámide de Solución de TriActive TRICENTER Información sobre las Soluciones de Más detalles Administración de Sistemas Operativos Fecha: 20-09-13
Página 1 de 19 RESUMEN DE LA PROGRAMACIÓN ADMINISTRACIÓN DE SISTEMAS INFORMÁTICOS EN RED CURSO AC. 2012 / 2013 ÁREA / MATERIA / MÓDULO PROFESIONAL Administración de Sistemas Operativos (126 horas 6 h. Más detalles Unicenter Remote Control Versión 6.0
D A T A S H E E T Unicenter Remote Control Versión 6.0 Unicenter Remote Control es una aplicación altamente fiable y segura para controlar y dar soporte a sistemas Windows remotos. Puede mejorar significativamente Más detalles INFORME DE ACCESO REMOTO SEGURO CON PROTECCIÓN WAF WEB APPLICATION FIREWALL. Universidad de Alcalá Departamento de Ciencias de la Computación
MANUAL DE ORGANIZACIÓN Y FUNCIONES GERENCIA DE INFORMÁTICA Aprobando mediante Resolución de Gerencia General N 052-2015 de fecha 26 Junio 2015 ELABORADO POR: APROBADO POR: 1 de 82 ÍNDICE 1 INTRODUCCIÓN... Más detalles TCP/IP. IRI 2 do cuatrimestre 2015
TCP/IP IRI 2 do cuatrimestre 2015 Redes y Protocolos Una red es un conjunto de computadoras o dispositivos que pueden comunicarse a través de un medio de transmisión en una red. Los pedidos y datos de Más detalles VDI In a Box. Estés donde estés... preocúpate de encontrar una buena silla. Las tenemos todas conectadas a la nube.
Estés donde estés... preocúpate de encontrar una buena silla. Las tenemos todas conectadas a la nube. Céntrate en tu negocio. Déjanos la tecnología. Solución avanzada VDI In a Box Estés donde estés... Más detalles Infraestructura Tecnológica
Soluciones innovadoras para optimizar su infraestructura TI Virtualización con el sistema operativo i, PowerVM y Power Systems de IBM Características principales Tenga éxito en su negocio simplemente con Más detalles Ofiproductos de Computación S.A DE C.V
Ofiproductos de Computación S.A DE C.V Ofiproductos de Computación, S.A. de C.V., es una empresa fundada en 1985 por un grupo de funcionarios y técnicos que trabajamos durante más de 20 años en IBM de Más detalles UNIVERSIDAD DR. JOSE MATIAS DELGADO
NOMBRE DE LA ASIGNATURA: GESTIÓN DE REDES 1 a. Generalidades. Número de Orden: Prerrequisito (s): 34 Código: GRE 1 SOP 0 Ciclo Académico: Área: VII Especializada U.V.: 4 Duración del Ciclo en Semanas: Más detalles Universidad Tecnológica Nacional Facultad Regional San Francisco. Ingeniería en Sistemas de Información. Redes Avanzadas
Universidad Tecnológica Nacional Facultad Regional San Francisco Ingeniería en Sistemas de Información PLANIFICACIÓN CICLO LECTIVO 2015 ÍNDICE ÍNDICE... 2 PROFESIONAL DOCENTE A CARGO... 3 UBICACIÓN... Más detalles Las ventajas de cloud computing se hacen cada día más evidentes.
Resumen ejecutivo Las ventajas de cloud computing se hacen cada día más evidentes. La informática en la nube, o cloud computing, es un tema de gran actualidad y por buenos motivos. Con este tipo de solución, Más detalles Seguridad en dispositivos móviles. Fabián Romo Z. DSSI DGTIC - UNAM
Seguridad en dispositivos móviles Fabián Romo Z. DSSI DGTIC - UNAM El mayor peligro para el mundo móvil Componentes del universo móvil Dispositivos Aplicaciones Nube Redes sociales Dispositivos Mejoras Más detalles Hoja de datos: Protección de datos Symantec Backup Exec 2010 Copias de seguridad y recuperaciones fiables para empresas en crecimiento
Copias de seguridad y recuperaciones fiables para empresas en crecimiento Presentación ofrece protección de copia de seguridad y recuperación líder del sector desde los servidores a los equipos de escritorio. Más detalles Índice Introducción... 2 Metodología... 3 Gestión de solicitudes y parque informático...3 Centro de Atención al Usuario...3 Funcionamiento...
Índice Introducción... 2 Metodología... 3 Gestión de solicitudes y parque informático...3 Centro de Atención al Usuario...3 Funcionamiento...3 Soporte Aplicado y Preventivo...4 Plan de actividades...5 Más detalles LINEAMIENTOS DE ESQUEMAS DE SEGURIDAD DE LA INFORMACIÓN

References: resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 resolución 
 Resolución 
 Resolución