Acerca de esta Guía
Publicado : junio 27, 2006
En esta página
Introducción
Introducción a la guía
Recursos
Reconocimientos
Introducción
La Guía de Seguridad y Servicios de Directorio Windows para UNIX se centra en el uso de Microsoft® Windows Server™ 2003 o en el servicio de directorio Windows® 2000 Server Active Directory® para ofrecer servicios centralizados de autenticación y autorización a los usuarios de una red que incluya tanto equipos basados en UNIX como en Windows.
La autenticación (validación de la identidad de usuario) y la autorización (aprobación de usuarios para que puedan tener acceso a los datos) son requisitos muy importantes para garantizar la seguridad de los datos. A medida que aumenta el número de conexiones en todo el mundo, la visión de la información disponible en cualquier lugar, momento o dispositivo es cada vez una realidad más cercana. Sin embargo, las organizaciones solo confiarán en un entorno interconectado para almacenar datos confidenciales si pueden comprobar la identidad de los usuarios que soliciten el acceso a los datos. Además, ninguna organización desea permitir el acceso ilimitado a todos sus activos de información aunque se trate de un usuario identificado.
La Guía de Seguridad y Servicios de Directorio Windows para UNIX ofrece orientación para ayudarle a elegir la mejor solución para cumplir las necesidades de autenticación y autorización de su organización. La guía explica también las prácticas recomendadas y los principales problemas a los que probablemente se enfrentará a la hora de implementar la solución más apropiada para la organización.
Audiencia de destino
Esta guía está destinada a profesionales empresariales e informáticos responsables de la planificación, diseño e implementación de soluciones de interoperabilidad para la seguridad y servicios de directorio, incluidos los siguientes:
-
Analistas y responsables de la toma de decisiones empresariales que determinan cuáles de los cambios que se deben implementar en la red son suficientemente importantes para incluirlos en el presupuesto.
-
Los arquitectos y los planificadores responsables de la estructura de red de la organización, incluido el diseño de la interacción entre estaciones de trabajo y servidores para sistemas operativos Windows y UNIX.
-
Expertos en seguridad de TI que se centren en el abastecimiento de seguridad a través de plataformas dentro de una organización.
-
Consultores, tanto de Microsoft Worldwide Services como de los socios, que ayuden a desarrollar soluciones para integrar Windows y UNIX para clientes de empresa y socios comerciales.
-
Profesionales de TI, responsables de información corporativa, directores de TI, administradores de centros de datos e ingenieros de red sénior que evalúen las opciones de autenticación y autorización de la organización y que desarrollen e implementen una solución nueva o actualizada.
Requisitos previos de conocimiento
En esta guía presupone que el usuario está familiarizado con los sistemas operativos Windows y UNIX y que conoce bien la terminología y las técnicas relativas a la seguridad de la información. Tal como se indica más adelante en "Introducción a la guía", debe estar familiarizado con la Guía de Proyecto de Migración desde UNIX (UMPG), que está disponible en http://go.microsoft.com/fwlink/?LinkId=20012.
En concreto, en esta guía se presupone que su equipo técnico tiene además los siguientes niveles de competencia:
-
Familiaridad con la administración de UNIX.
-
Familiaridad con la administración de Windows, incluido Active Directory.
-
Conocimiento de DNS en entornos Windows y UNIX.
-
Buen conocimiento de los Servicios de Windows para UNIX en el caso de que opte por una solución que requiera servicios para UNIX. Los Servicios de Windows para UNIX son necesarios para algunas soluciones que usan la autorización de Active Directory para clientes de UNIX. No son necesarios para soluciones que solo usan la autenticación de Active Directory.
-
Familiaridad con los protocolos LDAP.
-
Familiaridad con el protocolo Kerberos.
Si decide implementar una de las dos soluciones comerciales ofrecidas en esta guía, los niveles de competencia serán menores que si opta por implementar una de las múltiples soluciones para implementar uno mismo.
Ámbito
Con el objeto de desarrollar e implementar una solución centralizada de autenticación y autorización de Windows Active Directory que incluya tanto equipos basados en UNIX como en Windows, debe investigar, en primer lugar, las opciones posibles. Esta guía incluye varias opciones, cada una de ellas trata la autenticación y la autorización de una manera diferente y ofrece soluciones específicas para alcanzar cada estado final.
Estados finales
En esta guía, un estado final es un modelo que define un conjunto específico de opciones de interoperabilidad de autenticación y autorización, o solo de autenticación, para Windows y UNIX.
Esta guía le muestra cómo lograr la implementación de cinco estados finales significativamente diferentes:
-
Estado final 1. Los clientes de UNIX usan Active Directory (Kerberos) para la autenticación pero continúan utilizando un almacén de datos existente basado en UNIX para la autorización.
-
Estado final 2. Los clientes de UNIX usan Active Directory (Kerberos) para la autenticación y Active Directory (LDAP) para la autorización.
-
Estado final 3. Los clientes de UNIX usan Active Directory (LDAP) para la autenticación, pero continúan utilizando un almacén de datos existente basado en UNIX para la autorización.
-
Estado final 4. Los clientes de UNIX usan Active Directory (LDAP) tanto para la autenticación como para la autorización.
-
Estado final 5. Las infraestructuras de UNIX y Windows permanecen separadas: Los clientes de UNIX usan Kerberos basado en UNIX para la autenticación, los clientes de Windows Active Directory (Kerberos) para la autenticación y una confianza entre territorios permite a los usuarios de UNIX y de Windows (si la confianza entre territorios es bidireccional) tener acceso a los servicios del otro lado.
Para alcanzar los estados finales 1 a 4, puede migrar únicamente los datos de autenticación para usuarios de UNIX a Active Directory, o bien migrar los datos de autenticación y de autorización para usuarios de UNIX a Windows Active Directory. Para lograr el estado final 5, no se migra ninguna información del usuario de UNIX.
Soluciones tecnológicas para implementar cada uno de los estados finales
La implementación de cada estado final se denomina en esta guía solución o solución tecnológica. Las soluciones tecnológicas son distintas de los estados finales debido a la variedad de medios que puede usar para lograr cualquier estado final.
La funcionalidad centralizada de autenticación y autorización presentada en esta guía para los estados finales 1 a 4 se basa en los servicios LDAP y Kerberos de Active Directory ofrecidos por un controlador de dominio que ejecuta Windows Server 2003 o Windows 2000 Server.
Nota Los procedimientos para todas las soluciones presentadas en esta guía se desarrollaron y probaron en servidores que ejecutan Windows Server 2003.
Usted puede usar cualquiera de los enfoques siguientes para configurar soluciones para los distintos estados finales:
Esta guía ofrece directrices preceptivas para determinar cuál de estos enfoques, utilizados para implementar uno o más de los cinco estados finales, cumple mejor con sus objetivos y requisitos empresariales.
Introducción a la guía
Esta guía proporciona unas completas instrucciones para llevar a cabo un proyecto de Seguridad de Windows y Servicios de directorio para UNIX y está dirigida a personas responsables de distintos aspectos del proyecto.
La organización de la guía se basa en dos puntos de vista:
-
Organización por estructura de proyecto. El contenido de la guía se organiza, generalmente, según etapas del ciclo de vida de la solución ampliamente aceptadas, como la planificación, la generación, la implementación y el funcionamiento, tal como se describe en Microsoft Solutions Framework (MSF) y Microsoft Operations Framework (MOF). La siguiente sección incluye información complementaria acerca de MSF y MOF y cómo ambos se relacionan entre sí.
-
Organización por volumen. Puesto que la guía cubre varias soluciones diferentes de autenticación y autorización (llamados estados finales), no todo el contenido de la guía será de interés para usted. Todo dependerá de la solución de estado final que decida implementar. Vea la sección "Organización de la guía por volúmenes" para obtener información acerca de la determinación de los volúmenes que debe leer.
Organización de la guía por estructura de proyecto.
La figura 0.1 ilustra la correlación entre las etapas de la solución de TI y las fases de MSF y MOF en torno a las cuales se organiza esta guía. Vea las secciones siguientes para obtener información general acerca de MSF y MOF.
.gif)
Figura 0.1. Correlación de las etapas de ciclo de vida del proyecto con MSF y MOF
MSF y escenarios reales
Esta guía se basa en el método Microsoft Solutions Framework (MSF) acreditado por la industria para administrar proyectos de TI. MSF 3.0 es un marco de trabajo lineal, basado en hitos para proyectos de TI que incluye cinco fases de proyecto distintas: visualización, planificación, desarrollo (en este caso, desarrollo de una solución de interoperabilidad), estabilización e implementación. Los volúmenes que forman parte de la Guía de Seguridad y Servicios de Directorio Windows para UNIX están organizados en torno a estas fases y ofrecen información técnica y específica de la solución necesaria para completar el proyecto.
Además, esta guía emplea escenarios reales que convierten los principios y conceptos abstractos en consejos prácticos y prescriptivos. Los distintos capítulos le guían a través de las etapas que intervienen en el desarrollo, prueba y estabilización, implementación, funcionamiento y evolución de cada solución tecnológica presentada en esta guía.
Directrices de UMPG y MOF
La Guía de Seguridad y Servicios de Directorio Windows para UNIX está diseñada para ser utilizada junto a una guía complementaria, la Guía de Proyecto de Migración desde UNIX (UMPG). Ambas guías se organizan según las cinco fases del proyecto de MSF, pero UMPG se centra en ofrecer instrucciones sobre "personas y procesos". UMPG describe los procesos y materiales que se deben entregar para cada fase de MSF, así como las funciones del modelo de equipos de MSF y sus responsabilidades. Incluye también una descripción breve de Microsoft Operations Framework (MOF), que forma parte del capítulo Operaciones de esta guía.
Las instrucciones del proceso proporcionadas en la UMPG están separadas de las instrucciones técnicas y específicas de proyecto con el objeto de que la guía sea lo más concisa posible. Los administradores del proyecto y los coordinadores de equipo deben leer la UMPG para aplicar sus recomendaciones al proyecto en general. Sin embargo, muchos miembros del equipo necesitan centrarse solo en aquellas tareas del proyecto descritas en la Guía de Seguridad y Servicios de Directorio Windows para UNIX de las que son responsables.
Note Aunque esta guía y la guía UMPG se han diseñado para usarse conjuntamente, su organización puede usar una metodología alternativa para el proyecto. Si lo desea, puede usar la UMPG para asignar las fases de MSF y la estructura de equipo de MSF a los elementos que forman parte de la metodología de la organización. Para ello, puede leer la introducción a MSF en la UMPG y familiarizarse con el modelo de procesos de MSF, el modelo de equipo de MSF y la terminología de MSF.
Para obtener más información sobre MSF y MOF, vea:
Puede descargar la UMPG en http://go.microsoft.com/fwlink/?LinkId=20012.
Organización de la guía por volúmenes
Esta guía se divide en cuatro volúmenes. Necesita leer el Volumen 1: Información general y Visualización para evaluar qué estado final es el apropiado para la organización. A continuación, necesita leer solo uno de los volúmenes (2, 3 ó 4), dependiendo del estado final que decida implementar. Nota: Es probable que a distintos destinatarios les interesen diferentes secciones del contenido de los volúmenes específicos. Por ejemplo, los responsables de la toma de decisiones necesitarán leer el capítulo Visualización y los desarrolladores estarán más interesados en los capítulos de desarrollo. Además, hay apéndices aplicables para cada estado final.
La figura siguiente representa la organización de la guía por volúmenes. La parte con sombreado indica la posición del volumen actual en el esquema de toda la guía.
.gif)
Figura 0.2. Estructura de volúmenes y capítulos de la Guía de Seguridad y Servicios de Directorio Windows para UNIX
-
Volumen 1: Información general y Visualización Este volumen está destinado a los lectores potencialmente interesados en cualquiera de las soluciones en esta guía. Incluye información general sobre la autenticación y la autorización y una descripción de los cinco estados finales así como información acerca de la fase Visualización del proyecto. El capítulo Visualización incluye ayudas de trabajo para facilitar la elección del estado final.
-
Volumen 2: Soluciones que usan la autenticación Kerberos (estados finales 1 y 2). Este volumen ofrece información sobre las etapas de planificación, desarrollo, estabilización, implementación, funcionamiento y evolución para los estados finales 1 y 2. El volumen 2 ofrece dos soluciones comercialmente disponibles y varias soluciones personalizadas o para implementar uno mismo. El volumen 2 (capítulo 1), "Elección de la tecnología adecuada y planificación de la solución", incluye ayudas de trabajo para facilitarle la elección de la solución tecnológica específica que desee implementar.
-
Volumen 3: Soluciones que usan la autenticación Kerberos (estados finales 3 y 4). Este volumen ofrece información sobre las etapas de planificación, desarrollo, estabilización, implementación, funcionamiento y evolución de varias soluciones para implementar uno mismo para los estados finales 3 y 4. El volumen 3 (capítulo 1), "Elección de la tecnología adecuada y planificación de la solución", incluye ayudas de trabajo para facilitarle la elección de la solución tecnológica específica que desee implementar. (Nota: el volumen 3 se incluirá en el próximo lanzamiento de esta guía).
-
Volumen 4: Soluciones que usan la interoperabilidad de Kerberos (estado final 5). Este volumen ofrece información sobre las etapas de planificación, desarrollo, estabilización, implementación, funcionamiento y evolución de varias soluciones para implementar uno mismo para el estado final 5. El volumen 4 (capítulo 1), "Elección de la tecnología adecuada y planificación de la solución", incluye ayudas de trabajo para facilitarle la elección de la solución tecnológica específica que desee implementar. (Nota: el volumen 4 se incluirá en el próximo lanzamiento de esta guía).
Todos los volúmenes, apéndices y ayudas de trabajo se incluyen en la descarga de esta guía de soluciones.
Capítulos incluidos en este volumen
Esta sección describe los capítulos del volumen 1: Información general y Visualización de la Guía
de Seguridad y Servicios de Directorio Windows para UNIX. (Nota: la sección "Acerca de este volumen" de los volúmenes 2, 3 y 4 proporciona resúmenes de cada uno de los capítulos incluidos en ese volumen).
-
Acerca de esta Guía. Ofrece una introducción al objetivo de la guía, contenido, organización y convenciones.
-
Capítulo 1:
Introducción a las tecnologías de autenticación y autorización y estados finales de la solución. Ofrece una introducción a Active Directory (que se puede usar para proporcionar autenticación y autorización a los usuarios de UNIX y de Windows); los conceptos de autenticación y autorización; y tecnologías clave, como el protocolo Kerberos v5 y el LDAP. Este capítulo ofrece una introducción de los estados finales y las soluciones tecnológicas proporcionadas en esta guía.
-
Capítulo 2:
Visualización de la solución de Seguridad y Servicios de Directorio Windows. Ofrece información que puede ayudarle a determinar sus objetivos y requisitos empresariales, a producir documentos de visión/alcance, a determinar qué estado final es el más apropiado para la organización y a valorar el nivel de riesgo del proyecto. Se ofrecen plantillas de ayuda de trabajo para los documentos que utilice para realizar estas tareas.
Recursos
Esta sección describe los distintos recursos incluidos en la Guía de Seguridad y Servicios de Directorio Windows para UNIX e incluye información acerca del uso de la guía.
Apéndices
La guía incluye un conjunto de los apéndices a los que se hace referencia a lo largo de la guía. Algunos apéndices están pensados para soluciones específicas; otros son de carácter más general, por ejemplo, los apéndices "Lista de acrónimos" y "Bibliografía/Referencias".
Se incluyen los siguientes apéndices en esta guía de soluciones:
-
Apéndice A: Introducción a la arquitectura de la autenticación y autorización de UNIX y Windows
-
Apéndice B: RFC aplicables
-
Apéndice C: Mensajes de error de Kerberos y LDAP
-
Apéndice D: Consejos para solución de problemas de Kerberos y LDAP
-
Apéndice E: Herramientas aplicables a Windows y UNIX
-
Apéndice F: Migración de información de identidad digital a Active Directory
-
Apéndice G: Configuración de DNS para entornos UNIX y Windows heterogéneos
-
Apéndice H: Configuración de los servicios de tiempo para entornos UNIX y Windows heterogéneos
-
Apéndice I: Archivos de configuración de muestra para soluciones personalizadas
-
Apéndice J: Matriz de capacidades de soluciones tecnológicas personalizadas
-
Apéndice K: Lista de acrónimos
-
Apéndice L: Instalación y configuración de Active Directory y DNS en el laboratorio
-
Apéndice M: Bibliografía/Referencia
Ayudas de trabajo
Esta guía de soluciones incluye las siguientes ayudas de trabajo:
-
Plantilla del plan de presupuesto. Ofrece un resumen de alto nivel de los costos estimados para la organización a efectos de la generación e implementación de la solución.
-
Plantilla del informe de infraestructura del estado actual. Describe el entorno en el cual se instalará la solución. Ofrece información sobre cualquier sistema heredado que deba tenerse en cuenta para el diseño de la solución.
-
Plantilla del plan de implementación. Define las acciones necesarias para una implementación y transición sencillas de la solución en el entorno de producción.
-
Plantilla del plan de desarrollo. Describe el proceso de desarrollo de la solución utilizado para el proyecto.
-
Herramienta de selección del estado final. Compara todos los estados finales según su capacidad de cumplir los requisitos empresariales y técnicos comunes que se puedan expresar como objetivos de diseño.
-
Plantilla del plan de operaciones. Define las acciones requeridas para garantizar la apropiada puesta en funcionamiento de la solución en el entorno de producción.
-
Plantilla del plan piloto. Describe lo que incluirá la implementación piloto y ofrece información acerca de cómo llevar a cabo el plan piloto correctamente. Explica cómo evaluar el plan piloto, incluida la posibilidad de determinar si se está preparado para trasladar la solución a producción o si es necesario llevar a cabo otro plan piloto.
-
Plantilla de la estructura del proyecto. Define el enfoque que adoptará el equipo de trabajo para organizar y administrar el proyecto, incluidos los objetivos, el ámbito de trabajo, los requisitos y procesos del equipo y el riesgo.
-
Plantilla de capacidades del equipo del proyecto. Enumera las habilidades que debe tener el equipo del proyecto. También incluye recursos de formación.
-
Herramienta de valoración de riesgos. Ayuda a identificar, priorizar y administrar los riesgos de proyecto. Contiene una lista extensa de los riesgos comunes asociados a cada estado final.
-
Plantilla del plan de seguridad. Define las acciones necesarias para garantizar una solución segura en el entorno de producción.
-
Archivo Solaris_native_LDAP_config. Archivo que contiene la secuencia de comandos para configurar el host de Solaris como un cliente LDAP para la solución Estado fina 2 del SO nativo Solaris.
-
Plantilla del plan de prueba. Define las acciones necesarias para garantizar que la solución se compruebe y apruebe antes del lanzamiento.
-
Plantilla de visión/alcance. Ofrece una vista de alto nivel de la solución e incluye oportunidades de negocio, el concepto de la solución, el alcance y estrategias de diseño de la solución.
Requisitos de software
Dependiendo de la solución que elija implementar, el siguiente software será necesario para implementar las soluciones descritas en esta guía:
Para obtener información específica acerca de la solución que requiere cada software, consulte los capítulos acerca de la solución o las soluciones que piense implementar en los volúmenes 2, 3 y 4 de esta guía.
Convenciones del documento
Esta guía usa las convenciones de documento mostradas en la tabla siguiente.
Tabla 0.1: Convenciones del documento
|
Elemento de texto
|
Significado
|
|---|
|
Texto en negrita
|
El texto en negrita se usa para comandos, argumentos literales a comandos (incluidas las rutas cuando forman la parte del comando), parámetros y elementos de programación como métodos, funciones, llamadas al sistema de UNIX y Linux, clases de objetos LDAP, nombres de atributo LDAP, tipos de datos, estructuras de datos y nombres de demonio (programa). También se ponen en negrita elementos de la interfaz de usuario.
|
|
Texto en cursiva
|
El texto en cursiva se usa para las variables que van a ser reemplazadas por el usuario. Se usa también para destacar información importante, tal como un término clave utilizado por primera vez.
|
|
Texto mecanografiado
|
Se usa para extractos de archivos de configuración, ejemplos de código y sesiones de terminal.
|
|
Texto mecanografiado en negrita
|
Se usa para representar comandos u otros textos que los usuarios teclean tal y como se muestran.
|
|
Texto mecanografiado en cursiva
|
Representa variables que el lector debe sustituir con los valores adecuados en ejemplos de la línea de comandos y sesiones de terminal.
|
|
Nota
|
Se usa para indicar información neutral o positiva que acentúa o complementa puntos importantes del texto principal.
|
|
Importante
|
Acotaciones de información esencial para realizar alguna tarea.
|
|
Advertencia
|
Se usa para indicar a los usuarios que si no llevan a cabo una acción específica o la evitan, el software, el hardware o los datos podrían resultar dañados.
|
Reconocimientos
El grupo Microsoft Interoperability and Migration Solutions (MIMS) quiere ofrecer su reconocimiento al equipo que creó la Guía de Seguridad y Servicios de Directorio Windows para UNIX. Las siguientes personas fueron responsables directos o participaron sustancialmente en el texto, el desarrollo y la realización de pruebas de las soluciones descritas en esta guía.
Administradores de programa
Luis Camara Manoel (Microsoft Corporation)
Mark Short (Microsoft Corporation)
Arquitecto técnico
Jason D. Zions (Microsoft Corporation)
Revisores técnicos
Sarah Duncan (Certified Security Solutions)
Peter Larsen (Microsoft Corporation)
Doug McDorman (Certified Security Solutions)
Doug Miller (Centrify)
Jason D. Zions (Microsoft Corporation)
Responsable de pruebas
Sandor Kiss (Microsoft Corporation)
Personal de pruebas
Chris Edgin (Excell Data Corporation)
Director de producto
Dhilip Gopalakrishnan (Microsoft Corporation)
Responsable de UE
Gaile Simmons (Microsoft Corporation)
Escritor principal
Laurie McKnight (Volt Technical Services and Wadeware)
Autores y especialistas en la materia
Arlene Berry (Certified Security Solutions)
Sarah Duncan (Certified Security Solutions)
David Eyes (Vintela)
Doug McDorman (Certified Security Solutions)
Doug Miller (Centrify)
Escritor
Thomas Olsen (Volt Technical Services)
Gaile Simmons (Microsoft Corporation)
Tatsuo Yamada (Volt Technical Services)
Editor
Patricia Rytkonen (Volt Technical Services)
Otros colaboradores
Bill Miller (Interopsystems)
Descargar
Obtenga la Guía de Seguridad y Servicios de Directorio Windows para UNIX
Notificaciones de actualización
Regístrese para recibir información acerca de actualizaciones y versiones nuevas
Comentarios
Envíenos sus comentarios o sugerencias