Servicios de Directorio en Windows Server 2003

Francisco Rojo Consultor Senior Consulting Services Getronics Iberia

Cross Forest Trust and Management - Domain Rename - Deactivation of Attributes and Class Definitions in Schema - Support for the inetOrgPerson Class - Install Replica from Media - Improved Replicacion of Group Membership - No GC Logon for Remote Offices - Improved Performance Features - Improved Synchronization Features - Increased Dependability - Disabling Compression of Replication between Sites - Forest and Domain Functional Levels - Forest and Domain Upgrade with ADPrep - Lightweight Directory Access Protocol - Metadirectory Support - DirSync Control Improvements - WMI Providers for Replication and Trust Monitoring - Application Directory Partitions - Lingering Objects Removal Mechanism - Prevent Overloading Domain Clusters - Remove non-X500 compliant RDN Restrictions - Improved Installation and Configuration - Active Directory Migration Tool - Enhanced User Interface - Object Picker Enhancements - Saved Queries - Multiple User Objects Edition- Resultant Set of Policies (RSoP) - New Policies - Manage DNS using Group Policy - Software Restriction Policies - Administrative Templates Web View - WMI Filtering - Group Policy Management Console - GPO’s Cross-Forest Support - Software Restriction Policies - GPO’s WMI Filtering - Enhancements to GPO-Based Software Distribution… Prep PrepDirector Provide Provide catio catio Prep PrepDirector Provide Provide catio catio

Usuarios y partners esperan un servicio de directorio… ¡¡¡…sin re-diseño de la infraestructura Windows 2000!!! …más fácil de implementar: más flexible durante y despues del despliegue más eficaz en la sincronización y replicación …más fácil de implementar: más flexible durante y despues del despliegue más eficaz en la sincronización y replicación …más global e interoperable: mas escalable y fiable más útil en escenarios Internet-extranet …más global e interoperable: mas escalable y fiable más útil en escenarios Internet-extranet …más fácil de integrar… …con más aplicaciones y en más escenarios que simplifique el Porting de aplicaciones …más fácil de integrar… …con más aplicaciones y en más escenarios que simplifique el Porting de aplicaciones

Active Directory en Windows 2003 Server: Mejoras en la Implementación

Necesidad de servidores adicionales ¡¡¡Las oficinas remotas necesitan servidores GC!!!

Necesidad de servidores adicionales (II) Inconvenientes: Inconvenientes:  Replicación adicional  Mayores requerimientos de hardware Explicación: Los DCs necesitan contactar un GC... Explicación: Los DCs necesitan contactar un GC... ...para el Logon en modo nativo:  Soporte de Grupos Universales

Mejora: Logon sin Global Catalog Los DCs pueden ahora guardar en caché la pertenencia a Grupos Universales Los DCs pueden ahora guardar en caché la pertenencia a Grupos Universales  El caché se carga durante el primer Logon  Los sucesivos logons ya no precisan contactar con un GC  El caché se refresca periódicamente...  El caché se activa como un atributo del Site

Despliegue problemático de nuevos DCS ¡¡¡El despliegue de nuevos DCS tarda horas o dias!!!

Despliegue problemático de nuevos DCS (II) Entornos de oficinas Entornos de oficinas  Enlaces de alta latencia y bajo ancho de banda  Replicación inicial de AD lenta y costosa  Solución de compromiso: instalación en plataforma y envío al Site

Mejora: Crear Réplica desde Media El origen de la replicacion inicial puede ahora ser un fichero de backup El origen de la replicacion inicial puede ahora ser un fichero de backup  Backup de DS  Restore/copy de ficheros de backup al DC  Funciona para DCs y GCs Todavía se requiere conectividad de red!!! Todavía se requiere conectividad de red!!! No debe contemplarse como un mecanismo habitual de replicacion!!! No debe contemplarse como un mecanismo habitual de replicacion!!!

Replicación ineficaz de cambios ¡¡¡Excesivo tráfico de replicación!!!

Replicación ineficaz de cambios (II) El contenido de un Grupo se almacena como un atributo multi-valor El contenido de un Grupo se almacena como un atributo multi-valor  El contenido completo se replica cuando se añade, borra o edita un usuario o un grupo Consumo de recursos y de ancho de banda Consumo de recursos y de ancho de banda Pueden descartarse cambios durante la resolución de conflictos Multi-master Pueden descartarse cambios durante la resolución de conflictos Multi-master

Mejora: Replicación por Valor Ahora los atributos multi-valor se almacenan y replican por valor Ahora los atributos multi-valor se almacenan y replican por valor  Se replican los cambios individuales  AD almacena meta-información de replicación por valor  Desaparece la limitación de 5000 miembros por grupo  Se activa a nivel de bosque como nivel funcional de 2003 Server

Limitaciones del Generador de Topología ¡¡¡No se puede usar la Topología Automática!!!

Limitaciones del Generador de Topología (II) El Inter-site Topology Generator (ISTG) no es útil por encima de 200 sites El Inter-site Topology Generator (ISTG) no es útil por encima de 200 sites Solución de compromiso: topología manual Solución de compromiso: topología manual  Configuración manual de conexiones inter-site  Seguimiento y re-configuración manual de DCs nuevos/retirados/offline

Mejora: Generador de Topología más escalable Escalabilidad mejorada del ISTG Escalabilidad mejorada del ISTG  El límite de Sites que puede gestionar el ISTG salta desde 200 a 5000  Se activa a nivel de bosque como nivel funcional de 2003 Server

Rigidez en el espacio de nombres ¡¡¡Planificar los nombres de dominio a largo plazo es difícil!!!

Rigidez en el espacio de nombres (II) Los nombres de las organizaciones cambian por... Los nombres de las organizaciones cambian por...  Fusiones y adquisiciones  Cambios en la política corporativa, en la legislación, nombre legal y/o comercial La decisión inicial pudo ser inadecuada La decisión inicial pudo ser inadecuada  Insuficiente soporte de la dirección  Análisis inadecuado o incompleto

Mejora: Renombrado de Dominios Se permite el cambio de nombre dns y/o netbios de cualquier dominio... Se permite el cambio de nombre dns y/o netbios de cualquier dominio... ...siempre que el bosque resultante esté bien- formado...  …y en tanto no cambien el GUID y/o SID  Evaluar el impacto y las limitaciones  Cada DC en el bosque debe ser actualizado y reiniciado  Cada máquina de un dominio renombrado debe ser reiniciada dos veces  Puede renombrarse el Forest root, pero el Rol de forest root no puede moverse  Se activa a nivel de bosque como nivel funcional de Windows 2003 Server

Active Directory en Windows 2003 Server: Integración de Aplicaciones Mejorada

Rigidez en el Esquema ¡¡¡Es dificil hacer que las aplicaciones aprovechen AD!!!

Rigidez en el Esquema (II) Reticencias a la hora de instalar aplicaciones y/o servicios que hacen cambios al esquema Reticencias a la hora de instalar aplicaciones y/o servicios que hacen cambios al esquema  Los cambios son permanentes  Trafico de sincronizacion adicional  La información se replica a todos los DCs

Mejora: Esquema más flexible Redefinición de atributos y clases Redefinición de atributos y clases  Preservando su identidad  La desactivación es ahora reversible Sincronización mejorada Sincronización mejorada  No se requiere una sincronización completa del GC cuando se extiende el PAS Replicación selectiva de atributos Replicación selectiva de atributos  Solo atributos nuevos o cambiados Particiones de Aplicación Particiones de Aplicación  Repositorio de información volátil  Las réplicas se crean donde se necesitan  No pueden contener security principals

Active Directory en Windows 2003 Server: Active Directory como directorio global

Demasiado orientado a Windows ¡¡¡AD no está optimizado como directorio Internet-extranet!!!

Demasiado orientado a Windows (II) Necesidades intensivas de hardware Necesidades intensivas de hardware Dependencias con Windows Dependencias con Windows Soporte limitado de estandares Soporte limitado de estandares

Mejora: más interoperable Soporte ampliado de estándares LDAP Soporte ampliado de estándares LDAP  Soporte para la clase inetOrgPerson  Compatibilidad entre inetOrgPerson y user  Soporte de Dynamic Entry  IETF estándar, RFC 2589  Conexiones LDAP seguras con TLS  IETF estándar, RFC 2830  Soporte de autentificación Fast-Bind  Sin información especifica de Windows  Autentificación Digest-MD5  IETF estándar, RFC 2829

Mejora: más escalable Menores Requisitos de almacenamiento Menores Requisitos de almacenamiento  Unica Instancia de security descriptor Reutilización de Conexiones para... Reutilización de Conexiones para... ...queries en nombre de distintos usuarios Soporte de 64-bit Soporte de 64-bit  El DS completo puede residir en memoria

Active Directory en Windows 2003 Server Actualización

Actualización a 2003 Server Desde Windows NT® Server 4.0 Desde Windows NT® Server 4.0  Actualización In-Situ o Migración Desde Windows® 2000 Desde Windows® 2000  Actualización In-Situ simplificada  adprep + forestprep / domainprep Mejoras en ADMT 2.0 Mejoras en ADMT 2.0  Migración de Passwords  Soporte para Scripting y Linea de Comandos  Puede usarse para la migración a W2K AD

Niveles Funcionales Permiten implementar características solo disponibles en 2003 Server Permiten implementar características solo disponibles en 2003 Server  El nivel funcional se cambia cuando todos los DCs han sido actualizados  Domain behavior version  Forest behavior version  Todos los cambios se hacen via NTDSUTIL  No se permite la vuelta atras  No se permite añadir DCs no 2003

Características y Niveles Funcionales De forma inmediata De forma inmediata  No-GC logon  Create replica from media  No-GC-full-sync  App Partitions  DNS Integration  Admin Tools  DC Renaming  DSRM password online reset  ADMT Enhancements  Reduced store requirements Nivel funcional de dominio 2003 Nivel funcional de dominio 2003  2-stage DC renaming Nivel funcional de bosque 2003 Nivel funcional de bosque 2003  Per-value replication  New ISTG algorithms  Domain Renaming  Schema Redefine  Compatibilidad LDAP mejorada

En definitiva... El feedback de clientes y partners ha jugado un papel fundamental... El feedback de clientes y partners ha jugado un papel fundamental... ...abordando los principales problemas ...aumentando la flexibilidad antes y despues del despliegue ...mejorando el soporte de aplicaciones directory-enabled La actualización desde Windows 2000 Server es sencilla y directa La actualización desde Windows 2000 Server es sencilla y directa  No se requiere ningún rediseño  Windows 2000 Server y Windows 2003 Server pueden inter-operar en entornos mixtos