Pues si, ha cambiado hasta el nombre J. Lo que antes conocíamos como Directorio Activo, tiene ahora el nombre oficial de Servicios de Dominio de Directorio Activo. Esta cambio de nomenclatura, afecta también a otros servicios. En la siguiente tabla podéis ver las correspondencias de los nombres, como referencia.

Pero además de los cambios de nomenclatura, existen otros detalles que varían con respecto a versiones anteriores. Realmente la Arquitectura base se mantiene con respecto a versiones anteriores, pero se añaden nuevas funcionalidades demandadas desde hace tiempo. En este post intentaremos resumir estas novedades y analizar los escenarios en los que pueden ser má útiles. Probablemente el cambio más interesante sea la aparición de los Controladores de Dominio de Solo Lectura. ¿Has trabajado con NT 4.0?¿Recuerdas los controladores de Dominio de Backup (BDC)? ¿Todavía crees que la historia no es cíclica? J Realmente la funcionalidad de los RODC (Read Only Domain Controller) es muy superior a la que proporcionaban los BDC, pero son un concepto similar. El caso es que el hecho de que en las versiones anteriores de Directorio Activo, todos los controladores de dominio, tuviesen copias modificables, planteaba en muchos casos problemas de seguridad. Si alguien se hacía con el control de uno de esos Controladores, teníamos un serio problema. En primer lugar, podrían obtener acceso a todas las claves Hash de las contraseñas de usuarios. Además, podría eliminar las cuentas, cambiar contraseñas de usuario administrador, etc, etc.  Para evitar estos problemas, este tipo de Controladores de Dominio incorporan otras características:

• Por defecto, no almacenan los hashes de las contraseñas en su copia del DIT (Directory Information Tree). Esto quiere decir que cuando un usuario se autentique, será necesario que el RODC compruebe sus credenciales con una copia completa de otro Controlador de Dominio (denominados Full Domain Controllers FDC).
• Disponemos de la posibilidad de configurar una política de replicación de contraseñas para cada RODC. De este modo, cuando un FDC recibe una petición, valida si esa cuenta debe replicarse o no. En caso positivo, se replicará el hash de esa cuenta al RODC. De este modo, podemos limitar que solo se repliquen las cuentas de usuario necesarias, evitando que en el RODC se mantengan copias de contraseñas de cuentas sensibles. Para configurarlo, disponemos de un atributo denominada msDS-NeverRevealGroup, que contiene la lista de usuarios, grupos y máquinas que nunca deben de replicarse.