Toda organizaci贸n cuenta con una estructura bien definida que delimita las funciones y responsabilidades de los empleados en distintos departamentos, como ventas, marketing e inform谩tica. Para utilizar eficazmente los recursos de la empresa y seguir siendo productivas, las organizaciones deben desarrollar medidas de control de acceso.
La autenticaci贸n de Active Directory (AD) es una de esas medidas que puede utilizar para gestionar usuarios, aplicaciones y otros activos dentro de la organizaci贸n. Cuando se implementa, la autenticaci贸n de Active Directory puede simplificar la administraci贸n de TI y mejorar la postura de seguridad general de la empresa. Obtenga m谩s informaci贸n sobre la autenticaci贸n de AD, c贸mo funciona y c贸mo 黑料海角91入口 puede ayudarle a mejorar sus operaciones.
驴Qu茅 es la autenticaci贸n de Active Directory?
La autenticaci贸n de AD es un sistema basado en Windows que autentica y autoriza a usuarios, puntos finales y servicios en Active Directory. Los equipos de TI pueden utilizar la autenticaci贸n de AD para agilizar la gesti贸n de usuarios y derechos, a la vez que consiguen un control centralizado sobre los dispositivos y las configuraciones de usuario mediante la funci贸n de directiva de grupo de AD.
Tambi茅n ofrece la funci贸n de inicio de sesi贸n 煤nico (SSO, por sus siglas en ingl茅s), que permite a los usuarios autenticarse una sola vez y acceder sin problemas a cualquier recurso corporativo del dominio para el que est茅n autorizados. La autenticaci贸n AD es la sucesora de los protocolos LAN Manager (LM) y NT LAN Manager (NTLM), que eran f谩cilmente explotables.
Por ejemplo, LM utilizaba un esquema criptogr谩fico fr谩gil que los procesadores modernos pod铆an descifrar f谩cilmente. Aunque NTLM que sucedi贸 a LM contaba con algunas mejoras de seguridad en torno a la fortaleza de la criptograf铆a, no pod铆a proporcionar servicios de autenticaci贸n mutua y autenticaci贸n con tarjetas inteligentes. Debido a estos puntos d茅biles, Microsoft sustituy贸 los protocolos LM y NTLM por AD a partir de los sistemas operativos Windows 2000 Server.
驴C贸mo funciona la autenticaci贸n en Active Directory?
La autenticaci贸n de Active Directory es un proceso compatible con dos est谩ndares: Kerberos y Lightweight Directory Access Protocol (LDAP).
1. Protocolo Kerberos
En una autenticaci贸n AD basada en Kerberos, los usuarios s贸lo inician sesi贸n una vez para acceder a los recursos de la empresa. En lugar de transmitir las credenciales de inicio de sesi贸n a trav茅s de la red, como ocurre con los protocolos LM y NTLM, el sistema Kerberos genera una clave de sesi贸n para el usuario. La clave de sesi贸n generada dura un periodo determinado, lo que proporciona flexibilidad a los usuarios a la hora de autenticarse.
Adem谩s de la clave de sesi贸n, el sistema Kerberos tambi茅n genera un token que contiene todas las pol铆ticas y derechos de acceso asociados al usuario. Esto garantiza que los usuarios s贸lo accedan a los recursos para los que est谩n autorizados.
Si un cliente quiere conectarse al servidor AD o al controlador de dominio (DC, por sus siglas en ingl茅s) en este caso, debe autenticarse en un centro de distribuci贸n de claves (KDC, por sus siglas en ingl茅s), que es un tercero de confianza. El KDC consta de dos servidores: el servidor de autenticaci贸n (AS, por sus siglas en ingl茅s) y el servidor de concesi贸n de tickets (TGS, por sus siglas en ingl茅s). El AS cifra las credenciales de acceso de los clientes utilizando la clave secreta de su contrase帽a. As铆 es como el AS autentica a los clientes en la red.
Tras autenticarse, el AS env铆a al usuario un ticket de concesi贸n (TGT, por sus siglas en ingl茅s) cifrado con otra clave secreta. Cuando el cliente recibe el TGT, lo transmite al TGS junto con una solicitud de autorizaci贸n para acceder al recurso de destino en el servidor. A continuaci贸n, el TGS descifra el ticket de concesi贸n (TGT) con su clave secreta, que comparte con el AS.
A continuaci贸n, el TGS emite un token al cliente que cifra con otra clave. La tercera clave secreta se comparte entre el servidor de destino y el TGS. Por 煤ltimo, el cliente transmite el token recibido al servidor de destino. Cuando el servidor de destino recibe el token, lo descifra con la clave compartida del TGS para permitir que el cliente acceda a los recursos durante un tiempo limitado (sesi贸n).
2. Lightweight Directory Access Protocol
LDAP es un protocolo de c贸digo abierto y multiplataforma que proporciona servicios de autenticaci贸n AD. Existen dos opciones asociadas a la autenticaci贸n basada en LDAP en AD:Autenticaci贸n simple. En la autenticaci贸n simple, LDAP se basa en las credenciales de inicio de sesi贸n para crear una solicitud al servidor. Tambi茅n admite solicitudes an贸nimas y no autenticadas a recursos corporativos.
- Autenticaci贸n simple y capa de seguridad (SASL, por sus siglas en ingl茅s). El m茅todo SASL utiliza otros servicios de autenticaci贸n, como Kerberos, para conectarse al servidor LDAP. Los equipos inform谩ticos pueden utilizar este m茅todo para mejorar la seguridad debido a que separa los m茅todos de autenticaci贸n de los protocolos de aplicaci贸n.
Autenticaci贸n de dispositivos Linux a trav茅s de Active Directory
AD funciona a la perfecci贸n con los sistemas y servicios basados en Windows. Si bien es cierto que Windows dominaba la cuota de mercado de los sistemas operativos en la d茅cada de 1990, no ocurre lo mismo hoy en d铆a. Linux y macOS son ahora componentes integrales de cualquier infraestructura de TI. A medida que las empresas siguen aprovechando los diferentes sistemas operativos, la presi贸n para proporcionar una gesti贸n de acceso centralizada se convierte en una realidad.
Existen dos m茅todos principales que puede aprovechar para conectar los dispositivos basados en Linux al Active Directory.
LDAP
Este enfoque requiere que los equipos inform谩ticos reconfiguren los dispositivos basados en Linux para aprovechar el m贸dulo de autenticaci贸n conectable (PAM, por sus siglas en ingl茅s) de LDAP. Dado que la autenticaci贸n AD se centra en gran medida en el protocolo Kerberos, los equipos inform谩ticos deben gestionar manualmente todo el proceso de autenticaci贸n.
Samba
Se trata de una herramienta est谩ndar de interoperabilidad de Windows paea sistemas Linux. Los equipos de TI pueden utilizar Samba como intermediario para soportar la autenticaci贸n AD en equipos Linux. Por ejemplo, los equipos de TI pueden utilizar el servicio para crear dominios, configurar un servidor de impresi贸n compartido y configurar PAM para permitir a los usuarios autenticarse en servicios instalados localmente.
Autenticando Macs a trav茅s de Active Directory
Los equipos de TI pueden utilizar un conector LDAP y AD para configurar los Macs con el fin de acceder a los detalles b谩sicos de las cuentas en infraestructuras AD DS (Active Directory Domain Services). Estas herramientas permiten a los equipos de TI aprovechar la autenticaci贸n de AD para permitir a los usuarios acceder a los recursos corporativos desde sus Mac cuando se implementan. El conector AD tambi茅n puede proporcionar SSO federado mediante la asignaci贸n de identidades AD a roles de gesti贸n de acceso e identidades (IAM) de macOS.
Por ejemplo, el conector AD puede generar todos los atributos necesarios para autenticar dispositivos macOS en la infraestructura AD. Sin embargo, los equipos con macOS 10.12 o posterior no pueden unirse a un dominio AD sin servicios de dominio de al menos Windows Server 2008. Para utilizar AD en estos dispositivos, los equipos de TI deben habilitar una criptograf铆a d茅bil, lo que pone en peligro la seguridad de la organizaci贸n.
Deficiencias de la autenticaci贸n de Active Directory
En la d茅cada de 1990 y principios de la de 2000, la mayor铆a de las herramientas y sistemas de gesti贸n de dispositivos se basaban principalmente en sistemas operativos Windows locales, y la autenticaci贸n AD funcionaba bien en estos entornos de TI. Sin embargo, el panorama actual de los sistemas operativos es cada vez m谩s heterog茅neo, con la aparici贸n de plataformas Linux y macOS, as铆 como de infraestructuras basadas en la cloud.
En consecuencia, proporcionar controles de acceso y gesti贸n en un entorno de TI heterog茅neo se ha convertido en un dolor de cabeza para los equipos de TI de las organizaciones. Aunque la autenticaci贸n AD heredada puede abordar IAM, est谩 lejos de ser eficiente. En la mayor铆a de los casos, los equipos de TI se han visto obligados a utilizar LDAP para autenticar dispositivos Linux y macOS en AD, lo que crea una capa a帽adida que integrar y gestionar.
Esencialmente, las organizaciones acaban teniendo m煤ltiples “mini directorios” en lugar de una plataforma de directorio centralizada y autorizada para ofrecer servicios de autenticaci贸n y autorizaci贸n. Adem谩s de los sistemas operativos heterog茅neos, la tasa de adopci贸n de aplicaciones de software como servicio (SaaS, por sus siglas en ingl茅s) y otros servicios basados en la cloud ha sido espectacular en los 煤ltimos a帽os.
Esta adopci贸n conlleva su propia cuota de desaf铆os en el panorama de IAM. Por ejemplo, la mayor铆a de las aplicaciones SaaS tienden a estar aisladas, lo que complica su gesti贸n desde el punto de vista de la autorizaci贸n. Adem谩s, la incorporaci贸n de usuarios en un entorno SaaS resulta lenta y tediosa porque implica a usuarios de varios departamentos.
Aproveche 黑料海角91入口 Directory para ampliar la autenticaci贸n de Active Directory en entornos de TI heterog茅neos
黑料海角91入口 es una plataforma de directorio completa basada en la cloud que las empresas pueden aprovechar para solucionar las deficiencias de la autenticaci贸n AD en entornos de TI heterog茅neos. Puede utilizar la 黑料海角91入口 Directory Platform para extender la autenticaci贸n AD a pr谩cticamente todos los recursos de TI de la organizaci贸n. Tambi茅n puede utilizar 黑料海角91入口 para extender AD a la cloud o eliminar por completo los DCs locales.
