Windows Server 2012 Novedades de Directorio Activo

Presentación del tema: "Windows Server 2012 Novedades de Directorio Activo"— Transcripción de la presentación:

1 Windows Server 2012 Novedades de Directorio Activo
Julián Blázquez García Director Técnico Implantación de Sistemas Sidertia Solutions

2 Agenda Simplificado el proceso de instalación
Virtualización segura de controladores de dominio Despliegue más rápido Cambios en la arquitectura de Active Directory Mejoras en la administración

3 Despliegue Simplificado Problemática
Añadir a la replicación DCs que ejecutan las versiones más recientes de Windows Server ha demostrado ser: Consumo de tiempo Propenso a errores complejo En el pasado, los profesionales de IT eran obligados a: Obtener la nueva versión de las herramientas ADPrep Iniciar sesión interactiva en DCs de cada dominio Ejecutar las herramientas de preparación en la secuencia correcta y con los parámetros correctos Esperar a la convergencia de la replicación entre cada paso

4 Despliegue Simplificado Solución
Integrar los pasos de preparación dentro de proceso de promoción Automatizar las pre-requisitos entre cada paso Validar requisitos previos del entorno antes de comenzar la implementación Integración con Server Manager Construido bajo PowerShell Asistente de configuración cubre escenarios más comunes de implementación

5 Despliegue Simplificado Requisitos
Windows Server 2012 El bosque nivel funcional Windows Server 2003 o superior Agregar el primer DC Windows Server 2012 requiere privilegios de Administrador de Empresa y Esquema El resto de DCs requiere solo privilegios de Administrador del Dominio

6 Controlador de Dominio
DEMO Implementación Controlador de Dominio

7 Virtualización Segura Problemática
4/1/2017 6:51 PM Virtualización Segura Problemática Las operaciones más comunes de virtualización como crear instantáneas o copiar VMs/VHDs puede revertir el estado de un DC Virtual Introducir las burbujas USN conduce a un estado de divergente permanente causando: Objetos persistentes Contraseñas inconsistentes Valores de atributos incoherentes Errores de esquema si el maestro de es revertido También existe el riesgo de crear objetos con SIDs duplicados ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

8 Virtualización Segura Solución
DCs virtuales con Windows Server 2012 detectan cuando: Se aplica una instantánea Una máquina virtual es copiada Incluir un identificador de generación (VM-generation ID) que cambia cuando se usan funciones de virtualización DCs virtuales con Windows Server 2012 rastrea el identificador de generación para detectar cambios y proteger Active Directory Descartar pila RID Reestablecer el invocationID Recuperar INITSYNC requisito de FSMOs

9 Virtualización Segura Requisitos e Impacto
4/1/2017 6:51 PM Virtualización Segura Requisitos e Impacto DCs con Windows Server 2012 en plataforma de hypervisor que soporten VM-Generation ID Timeline of events DC1 DC2 TIME: T1 Create Snapshot USN: 100 ID: A RID Pool: USN rollback NOT detected: only 50 users converge across the two DCs All others are either on one or the other DC 100 security principals (users in this example) with RIDs have conflicting SIDs +100 users added TIME: T2 USN: 200 ID: A RID Pool: DC2 receives updates: USNs >100 = 200 TIME: T3 T1 Snapshot Applied! USN: 100 ID: A RID Pool: +150 more users created TIME: T4 = 250 USN: 250 ID: A RID Pool: DC2 receives updates: USNs >200 ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

10 Despliegue Rápido Problemática
Implementar DCs virtuales secundarios es tan costoso como DCs físicos La virtualización ofrece capacidades para simplificar la implementación El resultado de promover DCs adicionales en un dominio es una instancia idéntica Excluyendo nombre, dirección IP, etc. La implementación implica muchos pasos (posiblemente repetitivos) Preparación y despliegue de imagen servidor Syspreada Manualmente promocionar un DC usando: En línea: mucho tiempo dependiendo del tamaño de base de datos IFM: preparación de medio y la copia agregar tiempo y complejidad Pasos posteriores a la implementación son necesarios

11 Despliegue Rápido Solución: Clonar controlador de dominio
Crear replicas de DCs virtualizados mediante la clonación ej. Copiar el VHD a través de operaciones de exportación e importación Simplificar la interacción y despliegue entre administradores de HyperVisor y Active Director El clonado requiere privilegios de Administrador de Empresa o Dominio Cambio de juego para la recuperación frente a desastres Un solo DC virtual Windows Server 2012 para recuperar rápidamente un busque entero DCs posteriores pueden implementarse rápidamente reduciendo el tiempo hasta su puesta en producción Este despliegue soporta implementaciones de nube privada, etc.

12 Despliegue Rápido Flujo de Clonado
4/1/2017 6:51 PM Despliegue Rápido Flujo de Clonado Clone VM Windows Server 2012 PDC NTDS starts Configure network settings IDL_DRSAddCloneDC Obtain current VM-GenID Locate PDC Check authorization If different from value in DIT CN=Configuration |--CN=Sites |---CN=<site name> |---CN=Servers |---CN=<DC Name> |---CN=NTDS Settings Create new DC object by duplicating source DC objects (NTDSDSA, Server, Computer instances) Call _IDL_DRSAddCloneDC(name, site) Reset InvocationID, discard RID pool Save clone state (new name, password, site) Generate new DC machine account and password DCCloneConfig.xml available? Promote as replica (IFM) Dcpromo /fixclone Run (specific) sysprep providers Parse DCCloneConfig.xml Reboot ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

13 Despliegue Rápido Requisitos
DC Virtual Windows Server 2012 alojado sobre plataforma hypervisor con capacidad de VM-Generation-ID Maestro PDC debe ser Windows Server 2012 para autorizar operaciones de clonado El DC a clonar debe se autorizado para ello Añadir el DC al grupo “Cloneable Domain Controllers” DCCloneConfig.XML debe estar presente en el DC clonado en: Directorio que contiene NTDS.DIT Directorio DIT por defecto (%windir%\NTDS) Medio extraíble (USB, disquete virtual, etc.) Los servicios más comunes de los DCS soportan la clonación (DNS, FRS, DFSR) El resto de servicios o tareas programadas debe agregarse a una lista blanca Si el componente no está en la lista blanca, la clonación fallará y el DC resultante arrancará en DSRM

14 Desplegar Controlador de Dominio Virtual
DEMO Desplegar Controlador de Dominio Virtual

15 Arquitectura Active Directory Mejoras RID
Arreglado la perdida de RID durante la creación de la cuenta de usuario y equipo Aumentar el registro de eventos, por ejemplo: evento de registro cada vez que un grupo RID es invalidado en un DC ADVERTENCIA de consumo RID al 10% de espacio restante de RID global Imponer limite y parada del RID Manager en el reparto de grupos RID ELIMINAR asignación de grupos RID al 90% de espacio global de RID Desbloquear el bit 31 del espacio global RID ( )

16 Arquitectura Active Directory Creación de Indices Diferidos
Agregar índices a los atributos existentes dio lugar a problemas de rendimiento de DCs DCs recibieron actualización del esquema a través de la replicación 5 minutos más tarde, los DCs actualizaban su caché del esquema muchos / todos los DC ~ simultáneamente comenzar a construir el índice Windows Server 2012 introduce nueva heurística 18º se usa como base-cero Valor 1, los DCs Windows Server 2012 demoran la reconstrucción del índice: Reciba UpdateSchemaNow Sea reiniciado el DC cualquier atributo que se encuentra en un estado de índice diferido se registrarán en el registro de sucesos cada 24 horas

17 Arquitectura Active Directory Mejoras Unión al Dominio en modo Offline
Unión al dominio en modo offline fue agregado en AD DS en Windows Server 2008 R2 Permite a cliente unirse a un dominio sin necesidad de conectividad con un controlador de dominio Pero el equipo cliente no podía ser preconfigurado para DirectAccess. Windows Server 2012 AD DS proporciona las siguientes mejoras: Se extiende para preconfigurar DirectAccess Certificados Directivas de grupo ¿Qué significa esto? Un equipo puede ahora ser Unido a un dominio desde Internet, Si el dominio tiene habilitado DirectAccess El objeto binario de la máquina se realiza mediante un proceso offline bajo la responsabilidad del administrador Requisitos Controladores de dominio de Windows Server 2012

18 Papelera Reciclaje AD Interfaz Gráfica
Simplifica la recuperación de objetos a través del centro de administración de Active Directory Objetos eliminados se pueden recuperar ahora dentro de la interfaz gráfica de usuario Reduce considerablemente el tiempo de recuperación Vista consistente y detección de objetos eliminados

19 Papelera Reciclaje AD Requisitos
Nivel funcional de bosque Windows Server 2008 R2 Activar la característica de Papelera de reciclaje Windows Server 2012 Active Directory Administrative Center Los objetos a recuperar deben estar dentro del Tiempo de Vida de los Objetos Borrados (DOL) Por defecto 180 días

20 DEMO Interfaz Gráfica Papelera de Reciclaje

21 Activación Basada en AD Actualmente
Licenciamiento por Volumen para Windows/office requiere de servidores KMS requiere una capacitación mínima solución llave en mano cubre ~ 90% de implementaciones complejidad por la falta de una consola de administración gráfica requiere tráfico RPC en la red que complica las cosas no admite ningún tipo de autenticación CLUF prohíbe a clientes KMS conectarse a redes externas Una simple conexión al servicio equivale a activado

22 Activación Basada en AD Windows Server 2012
Utilizar Active Directory para activar sus clientes No hay máquinas adicionales requeridas No requiere RPC, utiliza exclusivamente LDAP incluidos los RODC Requiere activación inicial CSVLK (clave licencia de volumen específico del cliente): único contacto con los servicios de activación de Microsoft sobre Internet Escribir la clave utilizando la función de servidor de activación de volumen o línea de comandos. Repita el proceso de activación para los bosques adicionales hasta 6 veces por defecto Objeto de activación en la partición de configuración representa la prueba de compra las máquinas pueden ser miembros de cualquier dominio del bosque Todas las máquinas de Windows 8 se activarán automáticamente

23 Activación Basada en AD Requisitos
Solamente Windows 8 o Windows Server 2012 Pueden coexistir KMS y Activación AD KMS necesario para sistemas operativos anteriores Requiere Active Directory Schema basado en Windows Server 2012 No requiere Controladores de dominio Windows Server 2012

24 AD Windows PowerShell Visor de Historico
permiten a los administradores ver los comandos de Windows PowerShell ejecutados reduce la curva de aprendizaje aumenta la confianza en secuencias de comandos aumenta aún más la capacidad de descubrimiento de Windows PowerShell

25 AD Windows PowerShell Requisitos
4/1/2017 6:51 PM AD Windows PowerShell Requisitos Windows Server 2012 Active Directory Administrative Center Active Directory Web Service Ejecutar en un controlador de dominio del dominio objetivo ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

26 Política Granular de Contraseñas Actualmente
Las políticas granulares de contraseña proporciona flexibilidad en los requisitos de cumplimiento de las contraseñas Los administradores tenían que crear manualmente los objetos de configuración de contraseñas (PSO) difícil asegurar que los valores definidos se comporten como se esperaba Mucho tiempo, pruebas y errores

27 Política Granular de Contraseñas Windows Server 2012
creación, edición y asignación de PSOs ahora administrados por el centro de administración de Active Directory simplifica la administración de objetos de configuración de contraseñas

28 Administración de Política Granular de Contraseñas
DEMO Administración de Política Granular de Contraseñas

29 Flexible Authentication Secure Tunneling (FAST) Problemática
ataques offline de diccionario contra inicios de sesión basados en contraseña preocupación relativamente alrededor de la conocida falsificación de Kerberos Los clientes pueden: Caer a protocolos heredados menos seguros debilitar la fortaleza de las claves criptográficas

30 Flexible Authentication Secure Tunneling (FAST) Solución
4/1/2017 6:51 PM Flexible Authentication Secure Tunneling (FAST) Solución Kerberos en Windows Server 2012 soporta FAST Definido en RFC 6113 A menudo denominado como el blindaje de Kerberos Proporciona un canal protegido entre clients de dominio y DCs Protege los datos de pre-autenticación de los usuarios allows DCs to return authenticated Kerberos errors thereby protecting them from spoofing permite DCs a devolver errores de Kerberos autenticados protegiendo de suplantación de identidad una vez todos los clientes Kerberos y DCs soporten FAST el dominio se puede configurar para requieren blindaje de Kerberos o utilizar a petición primero debe asegurarse de todos o suficiente DCs están ejecutando Windows Server 2012 habilitar la directiva correspondiente ©2005 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

31 Grupo de Cuentas de Servicio Administradas Problemática
Las cuentas de servicio administradas aparecen con Windows Server 2008 R2 Servicios de Cluster y Balanceo de Carga no estában soportados Las cuentas de servicio administradas no puede utilizarse en mucho escenarios deseables

32 Grupo de Cuentas de Servicio Administradas Solución
Con los grupos de cuentas de servicio administradas (gMSA) los servicios que corren en multiples equipos están soportados Requerido 1 o más DCs Windows Server 2012 gMSAs puede autenticar contra cualquier version de DC Las contraseñas se generan por Group Key Distribution Service (GKDS) que existen en los DCs Windows Server 2012 Los equipos Windows Server 2012 usan gMSAs obteniendo y actualizando las contraseñas de GKDS recuperación de contraseña limitado a equipos autorizados intervalo definido en la creación de la cuenta de gMSA (30 días por defecto) de cambio de contraseña como MSAs, gMSAs son compatibles sólo con el administrador de Control de servicios de Windows (SCM) y grupos de aplicaciones de IIS

33 Grupo de Cuentas de Servicio Administradas Requisitos
Esquema de Active Directory en Windows Server 2012 en los bosques que contiene gMSAs 1 o más Windows Server 2012 DCs para proporcionar recuperación y cambio de la contraseña sólo los servicios que se ejecutan en Windows 8 o Windows Server 2012 pueden usar gMSAs Módulo de Active Directory Powershell Windows Server para crear cuentas de gMSA

34 Descargate Windows Server 2012 Evaluación

35

36 Más TechNet IT CAMPS Registro en futuros webcasts
Registro en futuros webcasts Suscripción al boletín TechNet Flash TechCenters de TechNet (información de productos) Suscripciones TechNet

37 Serie de Webcasts Windows Server 2012

38 Sigue a TechNet España http://www.facebook.com/TechNet.Spain

39 Contacto Julián Blázquez García