La descarga está en progreso. Por favor, espere

La descarga está en progreso. Por favor, espere

Windows Server 2012 Novedades de Directorio Activo Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions

Presentaciones similares


Presentación del tema: "Windows Server 2012 Novedades de Directorio Activo Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions"— Transcripción de la presentación:

1 Windows Server 2012 Novedades de Directorio Activo Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions

2 Agenda Simplificado el proceso de instalación Virtualización segura de controladores de dominio Despliegue más rápido Cambios en la arquitectura de Active Directory Mejoras en la administración

3 Despliegue Simplificado Problemática Añadir a la replicación DCs que ejecutan las versiones más recientes de Windows Server ha demostrado ser: – Consumo de tiempo – Propenso a errores – complejo En el pasado, los profesionales de IT eran obligados a: – Obtener la nueva versión de las herramientas ADPrep – Iniciar sesión interactiva en DCs de cada dominio – Ejecutar las herramientas de preparación en la secuencia correcta y con los parámetros correctos – Esperar a la convergencia de la replicación entre cada paso

4 Despliegue Simplificado Solución Integrar los pasos de preparación dentro de proceso de promoción – Automatizar las pre-requisitos entre cada paso Validar requisitos previos del entorno antes de comenzar la implementación Integración con Server Manager Construido bajo PowerShell Asistente de configuración cubre escenarios más comunes de implementación

5 Despliegue Simplificado Requisitos Windows Server 2012 El bosque nivel funcional Windows Server 2003 o superior Agregar el primer DC Windows Server 2012 requiere privilegios de Administrador de Empresa y Esquema – El resto de DCs requiere solo privilegios de Administrador del Dominio

6 DEMO Implementación Controlador de Dominio

7 Virtualización Segura Problemática Las operaciones más comunes de virtualización como crear instantáneas o copiar VMs/VHDs puede revertir el estado de un DC Virtual Introducir las burbujas USN conduce a un estado de divergente permanente causando: – Objetos persistentes – Contraseñas inconsistentes – Valores de atributos incoherentes – Errores de esquema si el maestro de es revertido También existe el riesgo de crear objetos con SIDs duplicados

8 Virtualización Segura Solución DCs virtuales con Windows Server 2012 detectan cuando: – Se aplica una instantánea – Una máquina virtual es copiada Incluir un identificador de generación (VM-generation ID) que cambia cuando se usan funciones de virtualización DCs virtuales con Windows Server 2012 rastrea el identificador de generación para detectar cambios y proteger Active Directory – Descartar pila RID – Reestablecer el invocationID – Recuperar INITSYNC requisito de FSMOs

9 USN rollback NOT detected: only 50 users converge across the two DCs All others are either on one or the other DC 100 security principals (users in this example) with RIDs have conflicting SIDs Virtualización Segura Requisitos e Impacto DCs con Windows Server 2012 en plataforma de hypervisor que soporten VM-Generation ID Timeline of events TIME: T2TIME: T3 TIME: T4 Create Snapshot T1 Snapshot Applied! USN: 100 ID: ARID Pool: USN: 100 ID: ARID Pool: USN: 250 ID: ARID Pool: more users created = 200 DC2 receives updates: USNs >200 = 250 USN: 200 ID: ARID Pool: users added DC2 receives updates: USNs >100 DC1 DC2 TIME: T1

10 Despliegue Rápido Problemática Implementar DCs virtuales secundarios es tan costoso como DCs físicos – La virtualización ofrece capacidades para simplificar la implementación – El resultado de promover DCs adicionales en un dominio es una instancia idéntica Excluyendo nombre, dirección IP, etc. La implementación implica muchos pasos (posiblemente repetitivos) – Preparación y despliegue de imagen servidor Syspreada – Manualmente promocionar un DC usando: En línea: mucho tiempo dependiendo del tamaño de base de datos IFM: preparación de medio y la copia agregar tiempo y complejidad – Pasos posteriores a la implementación son necesarios

11 Despliegue Rápido Solución: Clonar controlador de dominio Crear replicas de DCs virtualizados mediante la clonación – ej. Copiar el VHD a través de operaciones de exportación e importación Simplificar la interacción y despliegue entre administradores de HyperVisor y Active Director – El clonado requiere privilegios de Administrador de Empresa o Dominio Cambio de juego para la recuperación frente a desastres – Un solo DC virtual Windows Server 2012 para recuperar rápidamente un busque entero – DCs posteriores pueden implementarse rápidamente reduciendo el tiempo hasta su puesta en producción Este despliegue soporta implementaciones de nube privada, etc.

12 NTDS starts Obtain current VM-GenID If different from value in DIT Reset InvocationID, discard RID pool DCCloneConfig.xml available? Dcpromo /fixclone Parse DCCloneConfig.xml Configure network settings Locate PDC Call _ IDL_DRSAddCloneDC(name, site) Check authorization Create new DC object by duplicating source DC objects (NTDSDSA, Server, Computer instances) Generate new DC machine account and password Save clone state (new name, password, site) Promote as replica (IFM) Run (specific) sysprep providers Reboot IDL_DRSAddCloneDC Despliegue Rápido Flujo de Clonado

13 Despliegue Rápido Requisitos DC Virtual Windows Server 2012 alojado sobre plataforma hypervisor con capacidad de VM-Generation-ID Maestro PDC debe ser Windows Server 2012 para autorizar operaciones de clonado El DC a clonar debe se autorizado para ello – Añadir el DC al grupo Cloneable Domain Controllers DCCloneConfig.XML debe estar presente en el DC clonado en: – Directorio que contiene NTDS.DIT – Directorio DIT por defecto (%windir%\NTDS) – Medio extraíble (USB, disquete virtual, etc.) Los servicios más comunes de los DCS soportan la clonación (DNS, FRS, DFSR) – El resto de servicios o tareas programadas debe agregarse a una lista blanca – Si el componente no está en la lista blanca, la clonación fallará y el DC resultante arrancará en DSRM

14 DEMO Desplegar Controlador de Dominio Virtual

15 Arquitectura Active Directory Mejoras RID Arreglado la perdida de RID durante la creación de la cuenta de usuario y equipo Aumentar el registro de eventos, por ejemplo: – evento de registro cada vez que un grupo RID es invalidado en un DC – ADVERTENCIA de consumo RID al 10% de espacio restante de RID global Imponer limite y parada del RID Manager en el reparto de grupos RID – ELIMINAR asignación de grupos RID al 90% de espacio global de RID Desbloquear el bit 31 del espacio global RID ( )

16 Arquitectura Active Directory Creación de Indices Diferidos Agregar índices a los atributos existentes dio lugar a problemas de rendimiento de DCs – DCs recibieron actualización del esquema a través de la replicación – 5 minutos más tarde, los DCs actualizaban su caché del esquema muchos / todos los DC ~ simultáneamente comenzar a construir el índice Windows Server 2012 introduce nueva heurística – 18º se usa como base-cero – Valor 1, los DCs Windows Server 2012 demoran la reconstrucción del índice: Reciba UpdateSchemaNow Sea reiniciado el DC – cualquier atributo que se encuentra en un estado de índice diferido se registrarán en el registro de sucesos cada 24 horas

17 Arquitectura Active Directory Mejoras Unión al Dominio en modo Offline Unión al dominio en modo offline fue agregado en AD DS en Windows Server 2008 R2 – Permite a cliente unirse a un dominio sin necesidad de conectividad con un controlador de dominio – Pero el equipo cliente no podía ser preconfigurado para DirectAccess. Windows Server 2012 AD DS proporciona las siguientes mejoras: – Se extiende para preconfigurar DirectAccess – Certificados – Directivas de grupo ¿Qué significa esto? – Un equipo puede ahora ser Unido a un dominio desde Internet, Si el dominio tiene habilitado DirectAccess – El objeto binario de la máquina se realiza mediante un proceso offline bajo la responsabilidad del administrador Requisitos – Controladores de dominio de Windows Server 2012

18 Papelera Reciclaje AD Interfaz Gráfica Simplifica la recuperación de objetos a través del centro de administración de Active Directory – Objetos eliminados se pueden recuperar ahora dentro de la interfaz gráfica de usuario Reduce considerablemente el tiempo de recuperación Vista consistente y detección de objetos eliminados

19 Papelera Reciclaje AD Requisitos Nivel funcional de bosque Windows Server 2008 R2 Activar la característica de Papelera de reciclaje Windows Server 2012 Active Directory Administrative Center Los objetos a recuperar deben estar dentro del Tiempo de Vida de los Objetos Borrados (DOL) – Por defecto 180 días

20 DEMO Interfaz Gráfica Papelera de Reciclaje

21 Activación Basada en AD Actualmente Licenciamiento por Volumen para Windows/office requiere de servidores KMS requiere una capacitación mínima – solución llave en mano cubre ~ 90% de implementaciones – complejidad por la falta de una consola de administración gráfica requiere tráfico RPC en la red que complica las cosas no admite ningún tipo de autenticación CLUF prohíbe a clientes KMS conectarse a redes externas Una simple conexión al servicio equivale a activado

22 Activación Basada en AD Windows Server 2012 Utilizar Active Directory para activar sus clientes – No hay máquinas adicionales requeridas – No requiere RPC, utiliza exclusivamente LDAP – incluidos los RODC Requiere activación inicial CSVLK (clave licencia de volumen específico del cliente): – único contacto con los servicios de activación de Microsoft sobre Internet – Escribir la clave utilizando la función de servidor de activación de volumen o línea de comandos. – Repita el proceso de activación para los bosques adicionales hasta 6 veces por defecto Objeto de activación en la partición de configuración – representa la prueba de compra – las máquinas pueden ser miembros de cualquier dominio del bosque Todas las máquinas de Windows 8 se activarán automáticamente

23 Activación Basada en AD Requisitos Solamente Windows 8 o Windows Server 2012 Pueden coexistir KMS y Activación AD – KMS necesario para sistemas operativos anteriores Requiere Active Directory Schema basado en Windows Server 2012 No requiere Controladores de dominio Windows Server 2012

24 AD Windows PowerShell Visor de Historico permiten a los administradores ver los comandos de Windows PowerShell ejecutados reduce la curva de aprendizaje aumenta la confianza en secuencias de comandos aumenta aún más la capacidad de descubrimiento de Windows PowerShell

25 AD Windows PowerShell Requisitos Windows Server 2012 Active Directory Administrative Center Active Directory Web Service – Ejecutar en un controlador de dominio del dominio objetivo

26 Política Granular de Contraseñas Actualmente Las políticas granulares de contraseña proporciona flexibilidad en los requisitos de cumplimiento de las contraseñas Los administradores tenían que crear manualmente los objetos de configuración de contraseñas (PSO) – difícil asegurar que los valores definidos se comporten como se esperaba – Mucho tiempo, pruebas y errores

27 Política Granular de Contraseñas Windows Server 2012 creación, edición y asignación de PSOs ahora administrados por el centro de administración de Active Directory simplifica la administración de objetos de configuración de contraseñas

28 DEMO Administración de Política Granular de Contraseñas

29 Flexible Authentication Secure Tunneling (FAST) Problemática ataques offline de diccionario contra inicios de sesión basados en contraseña preocupación relativamente alrededor de la conocida falsificación de Kerberos Los clientes pueden: – Caer a protocolos heredados menos seguros – debilitar la fortaleza de las claves criptográficas

30 Flexible Authentication Secure Tunneling (FAST) Solución Kerberos en Windows Server 2012 soporta FAST – Definido en RFC 6113 – A menudo denominado como el blindaje de Kerberos Proporciona un canal protegido entre clients de dominio y DCs – Protege los datos de pre-autenticación de los usuarios – allows DCs to return authenticated Kerberos errors thereby protecting them from spoofing permite DCs a devolver errores de Kerberos autenticados protegiendo de suplantación de identidad una vez todos los clientes Kerberos y DCs soporten FAST – el dominio se puede configurar para requieren blindaje de Kerberos o utilizar a petición primero debe asegurarse de todos o suficiente DCs están ejecutando Windows Server 2012 habilitar la directiva correspondiente

31 Grupo de Cuentas de Servicio Administradas Problemática Las cuentas de servicio administradas aparecen con Windows Server 2008 R2 Servicios de Cluster y Balanceo de Carga no estában soportados – Las cuentas de servicio administradas no puede utilizarse en mucho escenarios deseables

32 Grupo de Cuentas de Servicio Administradas Solución Con los grupos de cuentas de servicio administradas (gMSA) los servicios que corren en multiples equipos están soportados Requerido 1 o más DCs Windows Server 2012 – gMSAs puede autenticar contra cualquier version de DC – Las contraseñas se generan por Group Key Distribution Service (GKDS) que existen en los DCs Windows Server 2012 Los equipos Windows Server 2012 usan gMSAs obteniendo y actualizando las contraseñas de GKDS – recuperación de contraseña limitado a equipos autorizados intervalo definido en la creación de la cuenta de gMSA (30 días por defecto) de cambio de contraseña como MSAs, gMSAs son compatibles sólo con el administrador de Control de servicios de Windows (SCM) y grupos de aplicaciones de IIS

33 Grupo de Cuentas de Servicio Administradas Requisitos Esquema de Active Directory en Windows Server 2012 en los bosques que contiene gMSAs 1 o más Windows Server 2012 DCs para proporcionar recuperación y cambio de la contraseña sólo los servicios que se ejecutan en Windows 8 o Windows Server 2012 pueden usar gMSAs Módulo de Active Directory Powershell Windows Server 2012 para crear cuentas de gMSA

34 Descargate Windows Server 2012 Evaluación

35

36 Más TechNet IT CAMPS Registro en futuros webcasts Suscripción al boletín TechNet Flash TechCenters de TechNet (información de productos) Suscripciones TechNet

37 Serie de Webcasts Windows Server 2012

38 Sigue a TechNet España

39 Contacto Julián Blázquez García


Descargar ppt "Windows Server 2012 Novedades de Directorio Activo Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions"

Presentaciones similares


Anuncios Google