Windows Server Cómo validar usuarios con LDAP en Windows 2003 Server

[akhasis]

¡Hola!

Los usuarios de mi empresa tienen ahora mismo una contraseña por cada aplicación que quieran utilizar. Queremos optimizar el sistema de login, para evitar que los usuarios tengan que recordar tantas contraseñas y porque, debido a la ley de proteccion de datos, estamos obligados a modificar todas las contraseñas periódicamente.

Por esta razón estoy investigando sobre LDAP, pero no encuentro ningún manual básico para empezar desde cero. Tan de cero que ni siquiera sé si hay que instalar algo en el servidor donde están creados los usuarios o simplemente teniendo un Active Directory ya hay forma de conectarse por LDAP.

He leído sobre OpenLDAP, pero si viene algún software de este tipo incluido con el sistema operativo preferiría evitar instalar más programas.

Utilizo Windows 2003 server, y los usuarios están creados en el Active Directory. Pero el servidor funciona sólo como servidor de archivos, no hay ningún equipo dentro del dominio y la administración de usuarios se utiliza sólo para dar permisos a los archivos y carpetas a los que pueden acceder.

[BrujoNic]

El problema que tenes, es de conceptos debido a que Active Directory ya utiliza implícitamente LDAP.

El otro problema que tenes, es que NO estas utilizando un servidor de dominio por lo que no hay usuarios que se autentiquen al mismo y por lo tanto, vas a tener que poner claves por cada carpeta que compartas o crear grupos con permisos.

Si queres un buen orden, simplemente promociona ese servidor como de dominio y ahí administras todo a como se debe.

[akhasis]

Muchas gracias BrujoNic por tu rápida respuesta.

No he explicado bien la situación del servidor, sí que es un servidor de dominio y sí que tiene creados usuarios y grupos, pero estos usuarios y grupos sólo se utilizan para acceder a los archivos del servidor. Es decir, si un usuario del área económica quiere acceder a documentos de su área en el servidor, accede a \\MiServidor y, con su nombre de usuario y contraseña creados en el Active Directory, accede a la carpeta "Económica".

A la vez, tenemos varios programas y aplicaciones web que los usuarios utilizan, y que están en otro servidor en la misma red. Cada aplicación tiene una contraseña diferente, con lo que cada usuario se junta con muchísimas contraseñas para recordar.

Queremos que las nuevas aplicaciones que se creen validen los usuarios contra el servidor de dominio, de forma que de alguna manera las contraseñas estén centralizadas. Y poco a poco ir modificando las aplicaciones ya existentes con este mismo fin.

Entiendo que la configuración de los ordenadores no es óptima y que lo deseable sería que pertenecieran todos al dominio, pero no es algo que dependa de mí y de momento no es una opción.

No sé si en este post estaré contradiciendo en algo tu respuesta, como puedes ver no tengo los conceptos muy claros sobre este tema y por mucho que leo no sé por dónde empezar.

Un saludo

[BrujoNic]

Todos estamos para aprender y por lo tanto, es mejor que investigues todo lo que se te diga aquí por mi parte o por parte de otros para que te aclares.

Voy a tratar de ir despacio para que trates de comprender.

Empecemos por el Servidor (esperando que sea un equipo servidor y no un simple PC). Una cosa es que un equipo tenga instalado un sistema operativo (SO) Servidor pero otra que cumpla esa función. En otras palabras, si yo instalo un SO servidor pero NO lo promociono (indicarle que va a ser un servidor de dominio) es como si tuvieras instalado un simple equipo para un grupo de trabajo, o sea, ESO ES INCORRECTO y creo que es lo que tienen donde laboras.

¿Cuáles son los problemas que se te van a presentar? exactamente todo lo que estas mencionando porque NO están autenticados con un servidor de dominio y por lo tanto, el ingreso a los recursos va a ser completamente engorroso, complicado y poco amigable para los usuarios.

Si ese equipo con SO servidor se promociona, se crean los usuarios en el AD con sus respectivas contraseñas, entonces ya tenes un centro de contraseñas centralizadas y únicas en lo referente a los recursos que se comparten en la red.

Con un servidor de dominio, registrando los equipos al dominio y teniendo los usuarios creados, los permisos por carpetas van a ser muy pero muy simples, debido a que solo creas la carpeta a como pones en tu ejemplo "Economía", le das compartir, seleccionas a los usuarios que deseas que la vean, podes poner que otros no la puedan accesar, podes decirle que solo ciertos usuarios puedan copiar, borrar o agregar archivos, etc y los usarios NO tienen que aprenderse ninguna contraseña.

Es así de sencillo, si donde laboras, no quieren ver eso, tendrás que seguir trabajando tal y como lo estas haciendo.

¿Qué otra cosa podrías hacer con lo limitado que estas? muy simple, crear siempre el AD, crear los usuarios en el mismo. Por cada usuario, le pones una contraseña, en los equipos de los clientes, deben ingresar SI o SI con esa clave asignada y en el servidor creas las carpetas con los permisos tal y como te lo especifiqué arriba.

Nada cómodo, funcional, pero nada seguro.

[akhasis]

A eso me refiero, BrujoNic, el ordenador que tiene instalado Windows 2003 Server sí que es un servidor de dominio, de hecho, si ejecuto un dcpromo, me dice que ya es servidor de dominio y que si quiero "despromocionarlo" (¿existe esa palabra?).

Por si acaso me estaba equivocando en algo, ayer hice la prueba de incluir el ordenador desde el que trabajo en el dominio creado en el servidor W2003s, y accedí sin problemas. De hecho, desde mi punto de vista, es como deberían estar todos los ordenadores, y así se lo hice saber al administrador de sistemas de la empresa, pero me dijo que antes lo tenían así y que les dio problemas, y por eso tuvieron que quitarlo (¿?).

De todas maneras, aunque el resto de ordenadores no pertenezcan al dominio y sólo se logueen contra él para acceder a los archivos compartidos, como digo más arriba el ordenador con W2003s sí está promocionado y tiene creado el listado de grupos y usuarios.

Creo que el siguiente paso sería poder validar a los usuarios contra LDAP, pero no se ni por dónde empezar, ni qué pruebas debo hacer para comprobar si efectivamente puedo comprobar los usuarios contra LDAP.

Gracias de nuevo BrujoNic por tu interés y tus detalladas explicaciones.

[BrujoNic]

¿De qué les sirve tener un servidor de dominio promocionado y trabajando si no lo usan como tal?

El problema ahí, es que la persona quien lo administra, tiene CERO conocimiento sobre ese tema.

Es más, yo no soy un experto pero he tenido que trabajar con servidores de dominio y con lo poco que sé, el AD se administra muy fácil, los permisos es algo ya implícito en el servidor y solo cuando tenes que hacer script complejos contra equipos y usuarios, es cuando debes investigar.

Ya solo si queres pagarle a Micro$oft sus caros cursos solo para tener un papel de que los llevaste y en muchos casos NO saber nada (me he topado muchas veces con ese tipo de personas), pues mejor le pagan a esa persona para que sepa como administrar por lo menos lo más básico un servidor de dominio.

Ya si queres quebrarte la cabeza, complicarte y que te hagan responsable de que falle al tratar de autenticar equipos contra LDAP, entonces investiga sobre este tema: como autenticar clientes windows a ldap
Validar usuarios LDAP en PC fuera de dominio

Por cierto, si existe esa palabra MUY FEA de "despromocionarlo" que ahora veo que la real academia aprueba cualquier palabra fea por no decir estúpida.

[akhasis]

Muchas gracias BrujoNic. Seguiré investigando sobre AD e informaré cuando consiga que funcione la autenticación LDAP.