Administrando el Active Directory

Resumen

Este procedimiento técnico es una introducción a la administración del servicio de directorio Active Directory™ de Microsoft® Windows® 2000. Los procedimientos explicados en este documento demuestran cómo utilizar el complemento Usuarios y equipos de Active Directory para agregar, mover, eliminar y alterar las propiedades de objetos como usuarios, contactos, grupos, servidores, impresoras y carpetas compartidas.

Introducción

Este documento es una introducción a la administración de Active Directory y del complemento de Usuarios y equipos de Active Directory de Microsoft® Windows® 2000.

Este complemento permite agregar, mover, eliminar y modificar las propiedades de objetos como usuarios, contactos, grupos, servidores, impresoras y carpetas compartidas.

Debe tener instalada la versión beta 3 de Windows 2000 Server (que incluya Active Directory) en un servidor de la red. Las herramientas de administración se pueden ejecutar desde el servidor, o es posible ejecutar las herramientas desde una versión beta 3 de Windows 2000 Professional.

Las herramientas de administración se instalan de forma predeterminada en todos los controladores de dominio de Windows 2000. En los servidores o estaciones de trabajo independientes de Windows 2000, las herramientas administrativas de Active Directory son opcionales y se pueden instalar desde el paquete de componentes opcionales de Windows 2000.

En este procedimiento técnico se realizarán las siguientes tareas.

Tareas administrativas comunes

o Crear unidades organizativas o Crear usuarios y contactos

o Crear grupos y agregar miembros a grupos

Tareas administrativas avanzadas

o Publicar recursos compartidos de red, tales como carpetas e impresoras compartidas en el directorio.

o Mover usuarios, grupos y unidades organizativas en el directorio

o Usar filtros y búsquedas para recuperar objetos del directorio

1-27

Usar el complemento Dominios y confianzas de Active DirectoryEl complemento Dominios y confianzas de Active Directory proporciona una representación gráfica de todos los árboles de dominios que hay en el bosque. Al usar esta herramienta, un administrador puede administrar cada uno de los dominios del bosque, administrar relaciones de confianza entre dominios, configurar el modo de operación para cada dominio (Modo nativo o mixto) y configurar los sufijos alternativos de Nombre principal de usuario (UPN) para el bosque.

Para iniciar el complemento Dominios y confianzas de Active Directory

1. Inicie una sesión como administrador Si se inicia una sesión usando una cuenta que no tiene privilegios administrativos, es posible que no pueda administrar Active Directory.

2. Haga clic en el botón Inicio seleccione Programas y a continuación haga clic en Herramientas administrativas.

3. Haga clic en Dominios y confianzas de Active Directory. Aparece una ventana parecida a la siguiente.

4. Agregar sufijos alternativos de Nombre principal de usuario. El Nombre principal de usuario (UPN) proporciona un estilo de nomenclatura de fácil utilización para que los usuarios inicien una sesión en Active Directory. El estilo del UPN se basa en el estándar RFC 822 de Internet, al que también se hace referencia como dirección de correo. El sufijo UPN predeterminado es el nombre DNS del bosque, que es el nombre DNS del primer dominio del primer árbol del bosque. En este procedimiento técnico, el sufijo UPN predeterminado es antipodas.com.

5. Seleccione el nodo raíz de Dominios y confianzas de Active Directory , haga clic con el botón secundario del mouse (ratón) y seleccione Propiedades.

6. Agregue los siguientes sufijos UPN:

marsupiales.combosquimanos.com

2-27

7. Es posible administrar cada uno de los dominios que aparecen en la vista de árbol si se inicia el complemento Usuarios y equipos de Active Directory. Seleccione el nodo de dominio de antipodas.com, haga clic con el botón secundario del mouse y seleccione Administrar.

Para continuar administrando objetos del directorio, consulte la sección "Usar el complemento Usuarios y equipos de Active Directory", en este documento.

Los dominios de Windows 2000 operan en uno de estos dos modos:

o Modo mixto , el cual permite que coexistan en el dominio controladores de dominio que ejecutan tanto Windows 2000 como versiones anteriores de Windows NT Server. En modo mixto, siguen estando habilitadas las características de dominio de versiones anteriores de Windows NT Server, mientras que algunas características de Windows 2000 están deshabilitadas.

o Modo nativo, en el cual todos los controladores de dominio tienen que ejecutar Windows 2000 Server. En Modo nativo, se pueden aprovechar características nuevas tales como los Grupos universales, la pertenencia a grupos anidados y la pertenencia a grupos en varios dominios.

Para cambiar a modo nativo

1. Asegúrese que todos los controladores de dominio del dominio ejecutan Windows 2000 Server.

3-27

2. Haga clic con el botón secundario del mouse en el objeto dominio, y a continuación haga clic en Propiedades . Aparece una ventana parecida a la siguiente:

3. Haga clic en el botón Cambiar modo.

4-27

4. Reinicie el controlador de dominio.

Uso del complemento Usuarios y equipos de Active Directory Para iniciar el complemento Usuarios y equipos de Active Directory

1. Iniciar una sesión como administrador Si se inicia una sesión usando una cuenta que no tiene privilegios administrativos, es posible que no se pueda crear varios objetos de directorio.

Inicie el complemento Usuarios y equipos de Active Directory. Existen varios métodos para iniciar este complemento:

o Se puede invocar el complemento Usuarios y equipos de Active Directory desde el complemento Dominios y confianzas de Active Directory (según se describe en la sección anterior), o

o Se puede cargar el complemento desde el menú Herramientas administrativas. Haga clic en el botón Inicio seleccione Programasy a continuación haga clic en Herramientas administrativas. Haga clic en Usuarios y equipos de Active Directory para iniciar el complemento.

La siguiente ilustración y tabla identifican los componentes clave del complemento Usuarios y equipos de Active Directory.

5-27

Objeto Descripción Panel de ámbito Muestra todos los objetos del contenedor.Panel de resultados

Muestra todos los objetos que contiene el objeto seleccionado en el panel de ámbito.

Barra de herramientas de la consola

Barra de herramientas asociada a Management Console.

Barra de herramientas de complemento

Barra de herramientas asociada al complemento Usuarios y equipos de Active Directory

Barra descriptivaIndica si el complemento está funcionando en modo Avanzado o Normal, si se aplicó un filtro y el número de objetos mostrados en el panel de resultados.

Menú contextual Enumera las acciones que se pueden realizar sobre el objeto o los objetos seleccionados

Asistente Consiste en una serie de cuadros de diálogo que guían al usuario por una serie de pasos.

Hojas de propiedades

Cuadros de diálogo utilizados para presentar los atributos de un objeto.

Los objetos que se describen en la siguiente tabla se crean durante la instalación de Active Directory, ya sea una instalación nueva o una actualización de un dominio de Windows NT 4.0.

Icono Carpeta Descripción

Dominio El nodo raíz del complemento representa el dominio administrado.

6-27

Equipos

Contiene todos los equipos Windows NT y Windows 2000 que se unen a un dominio. Esto incluye a equipos que ejecutan las versiones 3.51 y 4.0 de Windows NT, así como a aquellos con Windows 2000. Si actualiza a partir de una versión anterior, Active Directory migra la cuenta de equipo a esta carpeta. Es posible mover estos objetos.

Sistema Contiene información de sistemas y servicios de Active Directory, tales como RPC, WinSock y otras informaciones.

Usuarios

Contiene a todos los usuarios del dominio. En una actualización, se migran todos los usuarios del dominio anterior. Al igual que los equipos, se puede mover los objetos usuario.

Se puede usar Active Directory para crear los siguientes objetos.

Icono Objeto Descripción

Usuario

Un objeto usuario es una entidad de seguridad en el directorio. Un usuario puede iniciar una sesión en la red con estas credenciales y a los usuarios se les puede conceder permisos de acceso.

Contacto

Un objeto contacto es una cuenta que no tiene ningún permiso de seguridad. No se puede iniciar una sesión como contacto. Los contactos se suelen utilizar para representar a usuarios externos con fines relacionados con el correo electrónico.

EquipoUn objeto que representa a un equipo en la red. Para las estaciones de trabajo y servidores Windows NT, esta es la cuenta de equipo.

Unidad organizativa

Las unidades organizativas se utilizan como contenedores para organizar de manera lógica objetos de directorio tales como usuarios, grupos y equipos, de forma muy parecida a como se utilizan las carpetas para organizar archivos en el disco duro.

Grupo Los grupos pueden contener usuarios, equipos y otros grupos. Los grupos simplifican la administración de cantidades grandes de objetos.

7-27

Carpeta compartida

Una carpeta compartida es un recurso compartido de red que se ha publicado en el directorio.

Impresora compartida

Una impresora compartida es una impresora de red que se ha publicado en el directorio

Con el siguiente procedimiento se crea una unidad organizativa en el dominio antipodes . Nótese que se pueden crear unidades organizativas anidadas, y no hay límite de niveles de anidamiento.

Para agregar una unidad organizativa (OU)

1. Haga clic con el botón secundario del mouse en un objeto del dominio. 2. Seleccione Nuevo, y haga clic en Unidad organizativa, o bien utilice el botón

de la barra de herramientas Nueva unidad organizativa. Escriba lo siguiente como nombre para la nueva unidad organizativa:

Ventas

3. Haga clic en Aceptar.

Para el resto de los ejercicios de este procedimiento técnico, repita los pasos 1 y 2 arriba indicados a fin de crear unidades organizativas adicionales, de la siguiente forma:

o Cree otra unidad organizativa llamada Mercadotecnia en el dominio. o Cree otra unidad organizativa llamada Fabricación en el dominio. o Cree otra unidad organizativa llamada Consumidor dentro de la unidad

organizativa Mercadotecnia. (Para hacer esto, haga clic con el botón secundario del mouse en Mercadotecnia, haga clic en Nuevoy a continuación haga clic en Unidad organizativa.)

o Cree dos unidades organizativas más llamadas Empresa y Gobierno dentro de la unidad organizativa Fabricación

8-27

Al terminar, debería quedar la siguiente jerarquía:

Con el siguiente procedimiento se crea la cuenta de usuario Juan Medina en la unidad organizativa Ventas.

Para crear una cuenta de usuario nueva

1. Haga clic con el botón secundario del mouse en la unidad organizativa Ventas , haga clic en Nuevo y a continuación haga clic en Usuario, o utilice el botón de la barra de herramientas Usuario nuevo .

2. Escriba la siguiente información:

En este cuadro de texto Escriba

Nombre Juan

Apellido Medina

Nombre y apellido Juan Medina

Nombre de inicio de sesión jmedina

9-27

3.

4. Escriba una contraseña tanto en el cuadro de Contraseña como en el cuadro Confirmar , y seleccione las opciones de cuenta apropiadas.

10-27

5. Acepte el cuadro de diálogo de confirmación. Acaba de crear una cuenta para Juan Medina en la unidad organizativa Ventas.

Para agregar información de usuario

Haga clic con el botón secundario del mouse en el objeto usuario, y a continuación haga clic en Propiedades

1. Haga clic con el botón secundario del mouse en el objeto usuario, y a continuación haga clic en Propiedades

2. Agregue más información acerca del usuario (según se muestra en la siguiente ilustración) y haga clic en Aceptar.

A los usuarios se les puede mover de una unidad organizativa a otra dentro del mismo dominio o a otro dominio distinto. Por ejemplo, en este procedimiento, Juan Medina se mueve desde la división de Ventas a la división de Mercadotecnia.

Para mover la cuenta de usuario

1. Seleccione la unidad organizativa Ventas.

11-27

2. Seleccione la cuenta de usuario de Juan Medina, haga clic con el botón secundario del mouse y seleccione Mover.

3. Haga clic en Examinar, seleccione la unidad organizativa Mercadotecnia y haga clic en Aceptar.

Nota Esta versión beta no admite la administración de usuarios mediante el procedimiento “arrastrar y colocar”.

Si actualiza a partir de una versión anterior de Windows NT Server, es posible que se desee mover a los usuarios existentes desde la carpeta Usuarios a algunas de las unidades organizativas que cree.

Para crear un grupo

1. Haga clic con el botón secundario del mouse en la unidad organizativa Mercadotecnia , haga clic en Nuevo y a continuación haga clic en Grupo, o bien seleccione el botón Crear nuevo grupo . de la barra de herramientas.

2. En el cuadro de texto Nombre del nuevo grupo, escriba

Enlace de prensa

12-27

Seleccione el Tipo de grupo y Ámbito de grupo apropiados:

o El Tipo de grupo indica si se puede usar el grupo para asignar permisos a otros recursos de la red, tales como archivos e impresoras. Tanto los grupos de seguridad como los de distribución se pueden utilizar para confeccionar listas de distribución de correo electrónico.

o El Ámbito de grupo determina la visibilidad del grupo y qué tipo de objetos puede contener el grupo.

Ambito Visibilidad Puede contener

Dominio local Dominio Grupos de usuarios, globales o universales

Globales Arbol Grupos de usuarios o globales

Universales Bosque Grupos de usuarios, globales o universales

 

Para agregar un usuario a un grupo

13-27

1. Haga clic con el botón secundario del mouse en el grupo Enlace de prensa y haga clic en Propiedades.

2. En la ficha Miembros haga clic en Agregar. 3. Esto iniciará el cuadro de diálogo Buscar Se puede utilizar este cuadro de

diálogo para establecer como ámbito de la consulta el bosque, un dominio específico o una unidad organizativa.

4. Haga clic en Juan Medina y a continuación haga clic en Agregar.

Nota Es posible seleccionar múltiples usuarios o grupos en este cuadro de diálogo si mantiene presionada la tecla CTRL mientras hace clic en cada uno de ellos. También se puede escribir directamente el nombre. Si el nombre es ambiguo, se muestra otra lista para confirmar la selección.

Como alternativa, es posible seleccionar los usuarios desde el panel de resultados, y después seleccionar Agregar a grupo en el menú contextual o usar el botón correspondiente de la barra de herramientas. Esto puede resultar más eficiente para agregar un gran número de miembros a un grupo.

14-27

Cualquier carpeta compartida en la red, incluida una carpeta de Sistema de archivos distribuido (DFS), se puede publicar en el directorio. Al crear un objeto carpeta compartida en el directorio no comparte la carpeta automáticamente. Este es un proceso en dos pasos: En primer lugar se debe compartir la carpeta y después publicarla en el directorio.

Para compartir una carpeta

1. Utilice el Explorador de Windows NT o la línea de comandos para crear una nueva carpeta llamada Comunicados de prensa en uno de los volúmenes del disco.

2. En el Explorador de Windows NT, haga clic con el botón secundario del mouse en el nombre de la carpeta, haga clic en Propiedades, haga clic en la ficha Compartir y haga clic en Compartida como.

3. En Nombre del recurso compartido, escriba

CP4. Haga clic en Aceptar. 5. Llene la carpeta con archivos, tales como documentos, hojas de cálculo o

presentaciones.

También se puede establecer un volumen Dfs. Para obtener más información, vea el documento de procedimiento técnico "Sistema de archivos distribuido".

Para publicar la carpeta compartida en el directorio

15-27

1. En la herramienta de Administración de directorio, haga clic con el botón secundario del mouse en la unidad organizativa Mercadotecnia, haga clic en Nuevo y haga clic en Carpeta compartida.

2. En el campo modificable Nombre, escriba

Comunicados de prensa

3. En el campo modificable Ruta UNC, escriba

///CP

por ejemplo, escriba

//koala.antipodas.com/PR

La unidad organizativa Mercadotecnia aparece ahora como se muestra en la siguiente ilustración.

16-27

Los usuarios pueden ver ahora este volumen al examinar el directorio.

Para examinar el directorio

1. Desde el escritorio, abra Mis sitios de red. 2. Haga clic en Directorio. 3. Haga clic en el nombre del dominio y a continuación en Mercadotecnia. 4. Para ver los archivos del volumen, o bien haga clic con el botón secundario del

mouse en el volumen Comunicados de prensa , y haga clic en Abrir, o bien haga doble clic en Comunicados de prensa.

Esta sección describe los procesos para publicar impresoras en un directorio de Windows 2000.

Impresoras de Windows 2000Es posible publicar una impresora compartida por un equipo que ejecuta Windows 2000: para ello se utiliza la ficha Compartir del cuadro de diálogo de propiedades de la impresora. De manera predeterminada, está activada la opción listada en <>directorio>. (Esto significa que la impresora compartida se publicará de manera predeterminada). La impresora se publica en el contenedor del equipo correspondiente, en el directorio. Se llamará -.

El subsistema de impresión propaga de forma automática al directorio los cambios realizados a los atributos de la impresora (ubicación, descripción, carga de papel y otros)

17-27

Para compartir y publicar una impresora

1. Cree una nueva impresora haga clic en Inicio, seleccione Configuración, haga clic en Impresoras y a continuación haga clic en Agregar Impresora. Siga las instrucciones proporcionadas en la pantalla para crear la impresora.

2. Una vez creada la impresora, seleccione la casilla de verificación Listada en directorio. Aparecerá una ventana parecida a la siguiente:

El objeto impresora se publicará bajo el objeto equipo al que está conectada.

Impresoras no Windows 2000

Es posible publicar impresoras compartidas por sistemas que no sean Windows 2000 en el directorio. La forma más sencilla de hacer esto es utilizando la secuencia de comandos pubprn . Esta secuencia de comandos publicará todas las impresoras compartidas en un servidor dado. Se encuentra en el directorio system32. La sintaxis es:

cscript pubprn.vbs server dspath [trace]

18-27

Por ejemplo:

Cscript pubprn.vbs prserv1 "LDAP://ou=mercadotecnia,dc=antipodas,dc=com"

publicará todas las impresoras en el servidor //prservl, y las impresoras se publicarán en la unidad organizativa de Mercadotecnia. Esta secuencia de comandos copia sólo el siguiente subconjunto de atributos de impresora:

o Ubicación o Modelo o Comentario o Ruta UNC

Es posible agregar otros atributos con el complemento de Administración de directorios. Observe que es posible volver a ejecutar pubprn y actualizará en lugar de sobrescribir las impresoras existentes.

Como alternativa, se puede utilizar el complemento DS MMC para publicar impresoras que se hallen en servidores que no tienen Windows 2000.

Para utilizar el complemento DS MMC para publicar impresoras

1. Haga clic con el botón secundario del mouse en la unidad organizativa Mercadotecnia, haga clic en Nuevo y haga clic en Impresora.

2. En el campo Nombre, escriba

Impresora de Comunicados de prensa

3. En el nombre de la Ruta UNC escriba la ruta a la impresora, tal como //wombat/prprint.

19-27

Los usuarios finales pueden apreciar la ventaja de que las impresoras se publiquen en el directorio porque les permite buscar impresoras, enviar documentos a esas impresoras e incluso instalar los controladores de impresora directamente desde el servidor.

Para examinar y utilizar impresoras en el directorio

1. Desde el escritorio, abra el Entorno de red. 2. Haga clic en Directorio. 3. Haga clic en el nombre de su dominio y a continuación haga clic en

Mercadotecnia. 4. Haga clic con el botón secundario del mouse en HPColor, y a continuación haga

clic en Instalar para instalar la impresora como una impresora local, o haga clic en Abrir para ver la cola de impresión actual.

20-27

Un objeto equipo se crea de forma automática cuando un equipo se une a un dominio. También se puede crear el objeto equipo antes de que el equipo se una al dominio.

Para crear un objeto equipo

1. Haga clic con el botón secundario del mouse en la unidad organizativa Mercadotecnia, haga clic en Nuevo y luego en Equipo.

2. Para el nombre de equipo, escriba

canguro

De forma opcional, es posible seleccionar a qué usuarios se les permite unir un equipo al dominio. Esto permite que el administrador cree la cuenta de equipo y que otra persona con menos permisos instale el equipo y lo una al dominio.

Ahora que se ha creado el objeto equipo, es posible que se quiera administrar este equipo de forma remota, diagnosticando los servicios que se ejecutan en este equipo, consultando el visor de sucesos, etc.

Para iniciar el complemento Administración de equipo

1. En la herramienta de Administración de directorio, haga clic con el botón secundario del mouse en el objeto equipo y haga clic en Administrar.

2. Se iniciará el complemento Administración de equipos para el equipo seleccionado.

21-27

Se puede cambiar el nombre y eliminar cada objeto del directorio , y se puede mover la mayor parte de los objetos a contenedores distintos.

Para mover un objeto

1. Haga clic con el botón secundario del mouse en el objeto, y a continuación haga clic en Mover

2. Haga clic en Examinar. Aparecerá el Explorador de directorios, lo que le permite seleccionar el contenedor de destino para el objeto que está moviendo.

22-27

Es posible utilizar grupos anidados siempre que se esté ejecutando Active Directory en Modo nativo. Los grupos anidados son más fáciles de administrar, por lo que se reduce la carga de administración.

Para crear un grupo anidado

1. Cree un nuevo grupo Haga clic con el botón secundario del mouse en la carpeta Mercadotecnia, haga clic en Nuevo y luego en Grupo. Escriba

Todo mercadotecnia

como nombre para el nuevo grupo.

2. Haga clic con el botón secundario del mouse en la carpeta Grupo Todo mercadotecnia y haga clic en Propiedades.

23-27

3. Incluya Enlace de prensa como miembro del grupo Todo mercadotecnia.

Para comprobar los grupos anidados

1. Haga clic con el botón secundario del mouse en Todo mercadotecnia, haga clic en Propiedades y, a continuación, en Pertenencia. Verá que Enlace de prensa es miembro de Todo mercadotecnia.

2. Haga doble clic en Enlace de prensa y a continuación haga clic en Pertenencia. Verá que Enlace de prensa aparece enumerado como miembro del grupo Todo mercadotecnia.

Buscar objetos específicos

En lugar de examinar la lista de objetos en el panel de resultados, a menudo es más eficiente buscar objetos específicos que se ajusten una serie de criterios. En este ejemplo, buscará a todos los usuarios que tengan el apellido "Medina" y estén en la unidad organizativa Mercadotecnia.

Para buscar a estos usuarios

1. Seleccione la unidad organizativa Mercadotecnia.

24-27

2. Inicie el cuadro de diálogo Buscar; para ello, haga clic en el botón Buscar en la barra de herramientas o bien haga clic con el botón secundario del mouse y seleccione Buscar en el menú contextual.

3. En el campo Nombre, escriba

Medina

4. Haga clic en el botón Buscar ahora.

Filtrar una lista de objetos

Filtrar la lista de objetos devueltos desde el directorio le permite administrar el directorio de forma más eficiente. Esta opción de filtrado permite restringir los tipos de objetos devueltos al complemento; por ejemplo, puede elegir ver sólo usuarios y grupos, o es posible que desee crear un filtro más complejo.

Además, si una unidad organizativa tiene más de un número especificado de objetos, el cuadro de diálogo de filtro permite restringir el número de objetos que se muestran en el panel de resultados. Se puede utilizar el cuadro de diálogo Filtrar para configurar esta opción.

En este ejemplo, se creará un filtro diseñado para recuperar usuarios solamente.

Para crear el filtro

25-27

1. Inicie el cuadro de diálogo del filtro; para ello haga clic en el botón Filtro de la barra de herramientas o bien haga clic en el elemento Ver del menú y seleccione Filtro.

2. Seleccione la opción Mostrar sólo los siguientes tipos de objetos y a continuación seleccione Usuarios y grupos.

3. Haga clic en Aceptar.

Después de hacer clic en Aceptar, siempre que vea un contenedor, éste recupera sólo objetos usuario y equipo. Si también habilita la barra descriptiva, se produce una indicación visual de que se aplicó un filtro

26-27

 

27-27