Dominios y usuarios globales en AD

Un dominio de AD es cualquier dominio de seguridad que albergue cuentas de
usuario, ya sea un dominio raíz, un dominio hijo, o cualquier otro dominio
del forest a cualquier nivel

Salu2!!
Javier Inglés
MS MVP, Windows Server-Directory Services





"**anibal**" escribió en el mensaje
news:ecZ%

Tengo una pequeña confusion en relacion a la concepcion de un dominio para
Active Directory.
Cuando se habla de dominios de AD no se si se refieren al dominio
principal
de un arbol de dominios , o es que tambien un SUBDOMINIO de dicho arbol
tambien se le puede llamar dominio si tiene su propio DomainController.
Por ejemplo : si el dominio raiz de un arbol es "tacna.com" y este a su
vez
contiene a "sama.tacna.com" y "ite.tacna.com", ¿estos dos últimos porque
no
podrian considerarse como un dominio cada uno si tuvieran su propio DC?

Esta duda viene en razon a que en
http://groucho.dsic.upv.es/cursos/I...1s03.html, se
expresa:
-
"...Los datos de una cuenta de usuario global se almacenan en el
Directorio
Activo y por tanto son conocidos por todos los ordenadores del dominio (en
realidad, por todos los ordenadores de bosque)..."
-



Partiendo del concepto que solo se llama dominio al dominio raiz de un
arbol
¿como es que todos los ordenadores de un bosque pueden conocer los datos
de
una cuenta de usuario global?



Saludos

Angel,

-

"Rico no es el que más tiene, sino el que menos necesita"

Perdón, donde pone cuentas de usuario me refiero a cuaqluier objeto de AD

Salu2!!
Javier Inglés
MS MVP, Windows Server-Directory Services





"Javier Inglés [MS MVP]" escribió en el mensaje
news:

Un dominio de AD es cualquier dominio de seguridad que albergue cuentas de
usuario, ya sea un dominio raíz, un dominio hijo, o cualquier otro dominio
del forest a cualquier nivel

Salu2!!
Javier Inglés
MS MVP, Windows Server-Directory Services





"**anibal**" escribió en el mensaje
news:ecZ%

Tengo una pequeña confusion en relacion a la concepcion de un dominio
para
Active Directory.
Cuando se habla de dominios de AD no se si se refieren al dominio
principal
de un arbol de dominios , o es que tambien un SUBDOMINIO de dicho arbol
tambien se le puede llamar dominio si tiene su propio DomainController.
Por ejemplo : si el dominio raiz de un arbol es "tacna.com" y este a su
vez
contiene a "sama.tacna.com" y "ite.tacna.com", ¿estos dos últimos porque
no
podrian considerarse como un dominio cada uno si tuvieran su propio DC?

Esta duda viene en razon a que en
http://groucho.dsic.upv.es/cursos/I...1s03.html, se
expresa:
-
"...Los datos de una cuenta de usuario global se almacenan en el
Directorio
Activo y por tanto son conocidos por todos los ordenadores del dominio
(en
realidad, por todos los ordenadores de bosque)..."
-



Partiendo del concepto que solo se llama dominio al dominio raiz de un
arbol
¿como es que todos los ordenadores de un bosque pueden conocer los datos
de
una cuenta de usuario global?



Saludos

Angel,

-

"Rico no es el que más tiene, sino el que menos necesita"

¿como es que todos los ordenadores de un bosque pueden conocer los datos de
una cuenta de usuario global?

Precisamente porque son "Globales" en el dominio y se pueden ver en el DC
padre y en los hijos. Si fueran locales, sólo se verían en el dominio para el
que se crean y no en los hijos o en el padre.

Luego tienes los universales, que es para "compartir usuarios" entre
diferentes dominios.

Saludos,

Marc
MCP - MVP Windows Shell/User
Oracle9i Certified Associate (OCA)

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y no
otorga ningún derecho.


"**anibal**" wrote:

Tengo una pequeña confusion en relacion a la concepcion de un dominio para
Active Directory.
Cuando se habla de dominios de AD no se si se refieren al dominio principal
de un arbol de dominios , o es que tambien un SUBDOMINIO de dicho arbol
tambien se le puede llamar dominio si tiene su propio DomainController.
Por ejemplo : si el dominio raiz de un arbol es "tacna.com" y este a su vez
contiene a "sama.tacna.com" y "ite.tacna.com", ¿estos dos últimos porque no
podrian considerarse como un dominio cada uno si tuvieran su propio DC?

Esta duda viene en razon a que en
http://groucho.dsic.upv.es/cursos/I...1s03.html, se
expresa:
-
"...Los datos de una cuenta de usuario global se almacenan en el Directorio
Activo y por tanto son conocidos por todos los ordenadores del dominio (en
realidad, por todos los ordenadores de bosque)..."
-



Partiendo del concepto que solo se llama dominio al dominio raiz de un arbol
¿como es que todos los ordenadores de un bosque pueden conocer los datos de
una cuenta de usuario global?



Saludos

Angel,

-

"Rico no es el que más tiene, sino el que menos necesita"

1.-No, el AD es una base de datos, la cual se replica entre los DC's; una
parte de la base de datos sólo se réplica entre DC's del mismo dominio,
otras, en TODOS.
Las réplicas no tienen que ver con las relciones de confianza en nada.
Las réplicas sirven para mantener la información actualizada de la base de
datos del directorio; las relaciones de confiazna son para temas de
seguridad -por decirlo de forma breve-

2.-El AD como te he dicho no se almacena independientemente en cada DC de su
dominio; si tienes un DC en un subdominio, y se te rompe, eso repercute en
tu infraestructura del AD entera a menos que borres ese DC del AD,
independientemente de si es de un dominio u otro del bosque, por poner un
ejemplo (ya que las réplicas y conexiones siguen intentándose, y es una
referencia inválida en la base de datos).
Y el AD, puede ser accedido desde cualquier equipo del bosque para ahcer
cualquier consulta a éste (por ejempl, un usuario del dominio de un país
puede necesitar buscar un contacto de un usuario de la misma emrpesa pero en
otro dominio diferente de otro país)

Salu2!!
Javier Inglés
MS MVP, Windows Server-Directory Services





"**anibal**" escribió en el mensaje
news:

Marc ,voy a puntualizar mi duda por partes :

1. "...Los datos de una cuenta de usuario global se almacenan en el
Directorio
Activo y por tanto son conocidos por todos los ordenadores del dominio .."

Partiendo de que cada Dominio debe tener su propio DC, y ahora viendo el
gráfico adjunto ¿porque es que NECESARIAMENTE los ordenadores del DOMINIO
"madrid.miempresa.com" deben concer los usuarios globales que puedan
haberse
creado en equipos que estan en los otros domininios del mismo arbol ?

¿no es que el AD es una base de datos de objetos "independiente en cada
dominio" y que solo si se configura o autoriza alguna REPLICACION
entonces
los demas dominios (de otros árboles) o subdominios del mismo árbol podran
recien conocer de todos los objetos que almacena ?

¿las replicaciones tienen que ver con las "relaciones de confianza" que
puedan establecerse entre arboles, o es independiente que éstas existan
para
que las replicaciones se lleven a cabo ?


2.- "... (en realidad, por todos los ordenadores de bosque)..."
¿ Como es que NECESARIAMENTE los ADs de cada dominio (que estan
almacenados
independientemente en los equipos de sus propios DCs) pueden ser
accesados
AUTOMATICAMENTE por todos los otros ordenadores del bosque ?


Saludos

Angel,

-

"Rico no es el que más tiene, sino el que menos necesita"
"Marc [MVP Windows]" escribió en el mensaje
news:

> ¿como es que todos los ordenadores de un bosque pueden conocer los

datos de

> una cuenta de usuario global?

Precisamente porque son "Globales" en el dominio y se pueden ver en el DC
padre y en los hijos. Si fueran locales, sólo se verían en el dominio
para

el

que se crean y no en los hijos o en el padre.

Luego tienes los universales, que es para "compartir usuarios" entre
diferentes dominios.

Saludos,

Marc
MCP - MVP Windows Shell/User
Oracle9i Certified Associate (OCA)

Este mensaje se proporciona "como está" sin garantías de ninguna clase, y

no

otorga ningún derecho.


"**anibal**" wrote:

> Tengo una pequeña confusion en relacion a la concepcion de un dominio

para

> Active Directory.
> Cuando se habla de dominios de AD no se si se refieren al dominio

principal

> de un arbol de dominios , o es que tambien un SUBDOMINIO de dicho
> arbol
> tambien se le puede llamar dominio si tiene su propio DomainController.
> Por ejemplo : si el dominio raiz de un arbol es "tacna.com" y este a
> su

vez

> contiene a "sama.tacna.com" y "ite.tacna.com", ¿estos dos últimos

porque no

> podrian considerarse como un dominio cada uno si tuvieran su propio DC?
>
> Esta duda viene en razon a que en
> http://groucho.dsic.upv.es/cursos/I...1s03.html, se
> expresa:

> "...Los datos de una cuenta de usuario global se almacenan en el

Directorio

> Activo y por tanto son conocidos por todos los ordenadores del dominio

(en

> realidad, por todos los ordenadores de bosque)..."

>
>
>
> Partiendo del concepto que solo se llama dominio al dominio raiz de un

arbol

> ¿como es que todos los ordenadores de un bosque pueden conocer los

datos de

> una cuenta de usuario global?
>
>
>
> Saludos
>
> Angel,
>

>
> "Rico no es el que más tiene, sino el que menos necesita"
>
>
>

1.- Entonces podemos decir que :

a) En un bosque, todos los DCs tienen informacion sobre la base de datos
de todos los otros dominios en la parte que sea necesaria para la
ubicacion de los recursos.

b) Las replicas de las bases de datos del AD son AUTOMATICAS hacia todo el
bosque.

En este sentido ¿que diferencia en particular existe entre una replica hacia
un subdominio (del mismo arbol) y una replica hacia otros dominios de
arboles distintos?


2.- Planteando de una forma distinta mi consulta:

Supongamos que una LAN cuenta con 20 equipos en el rango IP de 192.168.0.1
al 192.168.0.20 . En una pc con w2003server de esta LAN instalamos AD ,
creando asi el primer dominio "ventas.com" , y por consecuencia el primer
arbol (A1) y el primer bosque (B1).Este dominio comprende a los 10 primeros
equipos de la red (incluido el servidor w2003). Hasta aqui ya tenemos un DC
para este primero dominio raiz.
Luego en el equipo numero 11(por ejemplo), tambien instalamos AD cuyo
dominio sera un SUBDOMINIO del primero ("credito.ventas.com").Este equipo
sera entonces el DC de las otras 10 maquinas restantes.Hasta aqui tenemos 2
DCs que existiran en el arbol A1.

la pregunta es ¿porque habrian necesariamente de compartir sus DAs estos
dominios? ¿acaso porque uno es "subdominio" del otro esta en la OBLIGACION
de replicar su base de datos del DA ?





Saludos

Angel,

-

"Rico no es el que más tiene, sino el que menos necesita"
"Javier Inglés [MS MVP]" escribió en el mensaje
news:

1.-No, el AD es una base de datos, la cual se replica entre los DC's; una
parte de la base de datos sólo se réplica entre DC's del mismo dominio,
otras, en TODOS.
Las réplicas no tienen que ver con las relciones de confianza en nada.
Las réplicas sirven para mantener la información actualizada de la base de
datos del directorio; las relaciones de confiazna son para temas de
seguridad -por decirlo de forma breve-

2.-El AD como te he dicho no se almacena independientemente en cada DC de

su

dominio; si tienes un DC en un subdominio, y se te rompe, eso repercute en
tu infraestructura del AD entera a menos que borres ese DC del AD,
independientemente de si es de un dominio u otro del bosque, por poner un
ejemplo (ya que las réplicas y conexiones siguen intentándose, y es una
referencia inválida en la base de datos).
Y el AD, puede ser accedido desde cualquier equipo del bosque para ahcer
cualquier consulta a éste (por ejempl, un usuario del dominio de un país
puede necesitar buscar un contacto de un usuario de la misma emrpesa pero

en

otro dominio diferente de otro país)

Salu2!!
Javier Inglés
MS MVP, Windows Server-Directory Services





"**anibal**" escribió en el mensaje
news:
> Marc ,voy a puntualizar mi duda por partes :
>
> 1. "...Los datos de una cuenta de usuario global se almacenan en el
> Directorio
> Activo y por tanto son conocidos por todos los ordenadores del dominio

.."

>
> Partiendo de que cada Dominio debe tener su propio DC, y ahora viendo el
> gráfico adjunto ¿porque es que NECESARIAMENTE los ordenadores del

DOMINIO

> "madrid.miempresa.com" deben concer los usuarios globales que puedan
> haberse
> creado en equipos que estan en los otros domininios del mismo arbol ?
>
> ¿no es que el AD es una base de datos de objetos "independiente en cada
> dominio" y que solo si se configura o autoriza alguna REPLICACION
> entonces
> los demas dominios (de otros árboles) o subdominios del mismo árbol

podran

> recien conocer de todos los objetos que almacena ?
>
> ¿las replicaciones tienen que ver con las "relaciones de confianza" que
> puedan establecerse entre arboles, o es independiente que éstas existan
> para
> que las replicaciones se lleven a cabo ?
>
>
> 2.- "... (en realidad, por todos los ordenadores de bosque)..."
> ¿ Como es que NECESARIAMENTE los ADs de cada dominio (que estan
> almacenados
> independientemente en los equipos de sus propios DCs) pueden ser
> accesados
> AUTOMATICAMENTE por todos los otros ordenadores del bosque ?
>
>
> Saludos
>
> Angel,
>

>
> "Rico no es el que más tiene, sino el que menos necesita"
> "Marc [MVP Windows]" escribió en el mensaje
> news:
>> > ¿como es que todos los ordenadores de un bosque pueden conocer los
> datos de
>> > una cuenta de usuario global?
>>
>> Precisamente porque son "Globales" en el dominio y se pueden ver en el

DC

>> padre y en los hijos. Si fueran locales, sólo se verían en el dominio
>> para
> el
>> que se crean y no en los hijos o en el padre.
>>
>> Luego tienes los universales, que es para "compartir usuarios" entre
>> diferentes dominios.
>>
>> Saludos,
>>
>> Marc
>> MCP - MVP Windows Shell/User
>> Oracle9i Certified Associate (OCA)
>>
>> Este mensaje se proporciona "como está" sin garantías de ninguna clase,

y

> no
>> otorga ningún derecho.
>>
>>
>> "**anibal**" wrote:
>>
>> > Tengo una pequeña confusion en relacion a la concepcion de un dominio
> para
>> > Active Directory.
>> > Cuando se habla de dominios de AD no se si se refieren al dominio
> principal
>> > de un arbol de dominios , o es que tambien un SUBDOMINIO de dicho
>> > arbol
>> > tambien se le puede llamar dominio si tiene su propio

DomainController.

>> > Por ejemplo : si el dominio raiz de un arbol es "tacna.com" y este a
>> > su
> vez
>> > contiene a "sama.tacna.com" y "ite.tacna.com", ¿estos dos últimos
> porque no
>> > podrian considerarse como un dominio cada uno si tuvieran su propio

DC?

>> >
>> > Esta duda viene en razon a que en
>> > http://groucho.dsic.upv.es/cursos/I...1s03.html, se
>> > expresa:
>>

-

-

>> > "...Los datos de una cuenta de usuario global se almacenan en el
> Directorio
>> > Activo y por tanto son conocidos por todos los ordenadores del

dominio

> (en
>> > realidad, por todos los ordenadores de bosque)..."
>>

-

-

>> >
>> >
>> >
>> > Partiendo del concepto que solo se llama dominio al dominio raiz de

un

> arbol
>> > ¿como es que todos los ordenadores de un bosque pueden conocer los
> datos de
>> > una cuenta de usuario global?
>> >
>> >
>> >
>> > Saludos
>> >
>> > Angel,
>> >
>>

-

-

>> >
>> > "Rico no es el que más tiene, sino el que menos necesita"
>> >
>> >
>> >
>
>
>