Tutorial de Active Directory para Iniciantes

Neste tutorial de Active Directory para iniciantes, mostraremos como instalar, como configurar e como usar o Active Directory. Você também pode obter este eBook em PDF do Active Directory fornecendo seu endereço de e-mail e o tutorial de AD será enviado para você.

O que é Active Directory?

Vamos começar este tutorial de Active Directory definindo o que exatamente é o Active Directory. Microsoft Active Directory (AD) é um componente central do sistema operacional Server. É um diretório (banco de dados) e um conjunto de serviços que permitem acesso seguro a recursos em um ambiente Windows em rede. Outros tipos de ambientes possuem diferentes serviços de diretório; por exemplo, OpenLDAP é usado em vários ambientes Unix/Linux.

Benefícios do Active Directory

O Active Directory oferece uma ampla gama de benefícios para organizações de todos os tamanhos, sendo assim um componente fundamental de muitas infraestruturas de TI. Abaixo estão alguns dos principais benefícios do uso do Active Directory:

• O Active Directory oferece serviços centralizados de autenticação e autorização que permitem aos usuários fazer login na rede e acessar os recursos para os quais os administradores concederam permissões de acesso.
• O Active Directory suporta single sign-on (SSO), que permite aos usuários acessar múltiplos recursos na rede sem ter que fazer login separadamente em cada recurso.
• AD inclui a Política de Grupo, que permite aos administradores definir e aplicar configurações de segurança, configurações e políticas em vários computadores e usuários dentro da rede.
• O Active Directory atua como um repositório central para gerenciar recursos de rede, como usuários, grupos, computadores, impressoras e dispositivos de rede.
• O AD armazena informações sobre objetos de rede como usuários, grupos, computadores e impressoras em um banco de dados hierárquico estruturado.
• O Active Directory oferece recursos de segurança como criptografia, controles de acesso e auditoria para proteger informações sensíveis e garantir conformidade com padrões de segurança.
• O Active Directory é projetado para escalar com o crescimento de uma organização, suportando milhares ou até milhões de usuários, computadores, grupos e outros objetos dentro de um único diretório.
• O Active Directory integra-se perfeitamente com outros produtos e serviços da Microsoft, como o Microsoft Exchange Server, SharePoint, Microsoft 365 (anteriormente Office 365) e serviços Azure, fornecendo uma solução unificada de Identity Management e gestão de acesso em todo o ecossistema da Microsoft.

O que o Active Directory faz?

Os serviços que o AD fornece ou suporta incluem:

• Autenticação — Active Directory fornece autenticação, que é o processo de verificar se os usuários são quem eles afirmam ser. Active Directory suporta single sign-on, permitindo que os usuários se autentiquem uma vez e, em seguida, acessem múltiplos recursos através da rede.
• Autorização — O Active Directory também gerencia a autorização, que é o processo de determinar se um usuário pode acessar recursos solicitados usando critérios como seus papéis e a associação a grupos de segurança.
• Gestão de recursos — Active Directory serve como um repositório central para gerir recursos de rede como computadores, servidores, impressoras e dispositivos de rede. Permite que os administradores organizem esses recursos em agrupamentos lógicos, facilitando a gestão e alocação de recursos dentro da rede.
• Política de Grupo — AD inclui Política de Grupo, que permite aos administradores definir e impor políticas de segurança, configurações e definições em vários computadores e usuários dentro da rede. Isso garante consistência nas configurações e ajuda a impor padrões de segurança.
• Serviços de diretório — Active Directory armazena informações sobre objetos de rede como usuários, grupos, computadores e impressoras em um banco de dados hierárquico estruturado chamado diretório. Este serviço de diretório oferece uma maneira escalável e eficiente de organizar e acessar informações sobre recursos de rede.
• LDAP — Active Directory suporta o Lightweight Directory Access Protocol (LDAP), que oferece um método padrão para acessar e consultar dados de diretórios. LDAP permite que aplicações e serviços interajam com o diretório para autenticação, recuperação de informações e outros propósitos.
• DNS — O Active Directory integra-se com o Domain Name System (DNS) para fornecer serviços de resolução de nomes dentro da rede. O DNS permite que usuários e computadores localizem controladores de domínio e outros recursos de rede usando nomes amigáveis (como nomes de host) em vez de endereços IP.
• Relacionamentos de confiança — O Active Directory suporta relacionamentos de confiança entre domínios para permitir que usuários e recursos em um domínio acessem recursos em outro domínio. Relacionamentos de confiança são automaticamente estabelecidos entre todos os domínios em uma floresta, o que permite que usuários acessem recursos de forma transparente entre domínios. Administradores também podem estabelecer confianças externas para permitir que usuários em um domínio do Active Directory acessem recursos em outro domínio em uma floresta diferente. Confianças podem ser unidirecionais ou bidirecionais. Com uma confiança unidirecional, usuários em um domínio podem acessar recursos em outro domínio, mas o inverso não é verdadeiro. Em uma confiança bidirecional, usuários em ambos os domínios podem acessar recursos no outro domínio. Por exemplo, uma confiança externa bidirecional pode ser estabelecida entre organizações parceiras para facilitar a colaboração. Ambos os tipos de confianças podem ser transitivas ou não transitivas. Uma confiança não transitiva é limitada aos domínios específicos envolvidos. Uma confiança transitiva permite acesso a recursos em outros domínios confiáveis na mesma floresta. Por exemplo, suponha que exista uma confiança transitiva entre o Domínio A e o Domínio B. Se o Domínio B confia no Domínio C, então o Domínio A também confia no Domínio C.
• Replicação — O Active Directory utiliza replicação multi-master para garantir que os dados do diretório sejam sincronizados em todos os controladores de domínio dentro do domínio. A replicação assegura a consistência dos dados e a tolerância a falhas, permitindo que os usuários acessem informações do diretório mesmo que alguns controladores de domínio estejam indisponíveis.

Estrutura do Active Directory

O Active Directory possui uma estrutura hierárquica com os seguintes componentes:

• Floresta — A floresta é o contêiner de nível superior no Active Directory e um limite de segurança. Contém um ou mais domínios, que compartilham um esquema comum, configurações e catálogo global. O primeiro domínio criado na floresta é o domínio raiz da floresta; domínios adicionados à floresta posteriormente são chamados de domínios filhos. Organizações tipicamente têm uma única floresta, mas podem ter mais.
• Árvore — Uma árvore é uma estrutura hierárquica dentro de uma floresta AD que consiste em um ou mais domínios organizados em um espaço de nomes contíguo. O domínio raiz da árvore é o primeiro domínio criado dentro da árvore. Subdomínios criados sob o domínio raiz são chamados de domínios filhos, e domínios filhos adicionais podem ser criados sob esses domínios filhos, formando uma estrutura de árvore hierárquica. Domínios dentro da mesma árvore compartilham um espaço de nomes contíguo e são conectados por relações de confiança transitivas, permitindo que usuários e recursos acessem recursos entre domínios dentro da mesma árvore.
• Domínio — Um domínio é um grupo de usuários, computadores e outros objetos que são armazenados em um único banco de dados do Active Directory e podem ser gerenciados juntos. Cada domínio possui suas próprias políticas de segurança, relações de confiança e controladores de domínio. Por exemplo, uma organização pode ter um domínio para cada um de seus locais, que é gerido pela equipe de TI local.
• Unidade organizacional (OU) — Unidades organizacionais são contêineres dentro de um domínio que são usados para organizar e gerenciar subconjuntos de objetos AD naquele domínio. Por exemplo, o domínio da filial de uma empresa em São Francisco pode ter OUs para cada departamento lá, como Vendas e Finanças.
• Objeto AD — Os objetos do Active Directory incluem contas de usuário, contas de computador e grupos de segurança e distribuição. Cada objeto AD possui um conjunto de atributos. Por exemplo, os atributos de uma conta de usuário incluem seu nome de usuário, senha, informações de contato, funções e grupos.

Controladores de Domínio do Active Directory

Cada domínio possui um ou mais controladores de domínio. Os DCs são os servidores que armazenam o banco de dados do Active Directory e fornecem serviços de diretório como autenticação e autorização. Todos os controladores de domínio executam o sistema operacional Windows Server.
Se um domínio tem vários DCs, as alterações no banco de dados do AD em um DC são replicadas para os outros. Essa redundância oferece tolerância a falhas caso um DC tenha problemas.

Como configurar um Domain Controller

Para criar um controlador de domínio, você precisa realizar dois passos:

• Instale o papel de Active Directory Domain Services (AD DS) em uma máquina Windows Server.
• Promova o servidor a controlador de domínio.

Estes passos estão detalhados abaixo.

Instale o papel de Active Directory Domain Services em um servidor Windows

1. Faça login no Windows Server usando uma conta com privilégios administrativos. Abra o Server Manager clicando no ícone do Server Manager na barra de tarefas ou procurando por "Server Manager" no menu Iniciar.
2. No menu superior, clique em Gerenciar e selecione Adicionar Funções e Recursos.
3. No Assistente de Adicionar Funções e Recursos, selecione Instalação baseada em função ou em recursos e clique em Avançar.
4. Certifique-se de que o servidor correto está selecionado e clique em Avançar.
5. Na página “Selecionar funções do servidor”, clique em Active Directory Domain Services. Na janela pop-up, clique em Adicionar Recursos.
6. Na página “Selecionar recursos”, não selecione nenhum recurso adicional. Clique em Avançar.
7. Na página “Active Directory Domain Services”, revise as informações e clique em Avançar.
8. Revise suas seleções de instalação e clique em Instalar.
9. Aguarde a conclusão do processo de instalação, o que pode levar alguns minutos. Em seguida, clique em Fechar para sair do assistente.

Promova o servidor a Controlador de Domínio

1. Quando a instalação estiver completa, uma notificação aparecerá no Server Manager. Na notificação, clique em Promover este servidor a um controlador de domínio.
2. O Assistente de Configuração dos Serviços de Domínio do Active Directory será aberto. Primeiro, especifique se deseja adicionar um controlador de domínio a um domínio existente, adicionar um novo domínio a uma floresta existente ou adicionar uma nova floresta. Para este exemplo, selecione Adicionar uma nova floresta, insira um nome para o domínio raiz e clique em Avançar.
3. Selecione os níveis funcionais para a floresta e seu domínio raiz, adicione capacidades como DNS e defina a senha do Modo de Restauração dos Serviços de Diretório (DSRM). Clique em Avançar para continuar.
4. Se você selecionou a opção DNS, a página “DNS Options” pode exibir um aviso. Como estamos criando uma nova floresta, podemos ignorar este aviso com segurança. Clique em Next para continuar.
5. O assistente irá procurar a rede no domínio e atribuir um nome de domínio NetBIOS automaticamente. Você pode alterá-lo se necessário. Clique em Próximo para continuar.
6. Na página “Caminhos”, especifique a localização do banco de dados AD DS, arquivos de log e arquivos SYSVOL. Você pode alterar o local padrão fornecido. Em ambientes grandes, é recomendado mantê-los em um disco separado para que possam ser usados para restaurar o Active Directory se o disco do sistema for corrompido. Clique em Avançar para continuar.
7. Revise o resumo das suas seleções e clique em Próximo.
8. O assistente verificará se o computador atende aos pré-requisitos. Assim que você receber a confirmação de que o computador passou, clique em Instalar.
9. Uma vez que a instalação esteja concluída, o servidor será reiniciado automaticamente. Após a reinicialização, o servidor será um controlador de domínio com os Serviços de Domínio do Active Directory instalados.
10. Para verificar se a estrutura do domínio foi criada, abra o Gerenciador de Servidores, clique em Ferramentas e clique em Usuários e Computadores do Active Directory.

Como instalar as Ferramentas de Administração de Servidor Remoto (RSAT) para AD Management

Para gerenciar o Active Directory, você precisa instalar ferramentas administrativas em uma máquina cliente. Para instalar o RSAT no Windows 11, siga estes passos:

1. Abra Configurações, clique em Aplicativos na barra lateral esquerda e, em seguida, clique em Recursos opcionais.
2. Clique em Ver recursos.
3. Pesquise por “RSAT” (ou simplesmente desça a página) e marque a caixa ao lado de RSAT: Active Directory Domain Services and Lightweight Directory Services Tools. Em seguida, clique em Next.
4. Clique no botão Instalar para iniciar o processo de instalação.
5. Aguarde a conclusão da instalação. Isso pode levar alguns minutos. Após o reinício do seu computador, você pode verificar se o RSAT foi instalado procurando por qualquer uma das ferramentas do RSAT, como Active Directory Users and Computers, a partir do menu Iniciar.

Eventos do Active Directory para Monitorar

O Active Directory oferece um recurso de registro para manter a segurança, integridade e desempenho do seu serviço de diretório. Monitorar esses eventos usando uma ferramenta como o Windows Event Viewer ajuda você a detectar atividades suspeitas para que possa solucionar problemas prontamente e responder a violações de segurança. Abaixo estão alguns eventos comuns a serem observados.

Gestão de Contas de Usuário

• Criação de conta: Evento ID 4720
• Exclusão de conta: Evento ID 4726
• Conta habilitada/desabilitada: IDs de evento 4722, 4725
• Alteração/reset de senha: IDs de evento 4723, 4724, 4725
• Bloqueios de conta: Evento ID 4740

Gerenciamento de Grupos

• Criação/exclusão de grupos: IDs de evento 4727, 4731
• Group membership changes: Event IDs 4728, 4729, 4732, 4733.

Replicação do Active Directory

• Sucesso/fracasso da replicação: IDs de evento 4928, 4929, 4932, 4933

Operações do Controlador de Domínio

• Inicialização/desligamento do controlador de domínio/sistemas: IDs de evento 6005, 6006, 6008, 1074
• Acesso ao serviço de diretório: IDs de evento 2889, 2887

Autenticação e Autorização

• Logons bem-sucedidos: IDs de evento 4624, 4648, 4768
• Logons falhados: ID de evento 4625
• Acesso privilegiado: ID de evento 4672

Alterações no Serviço de Diretório

• Modificações LDAP: IDs de evento 5136, 5137, 5138
• Alterações de esquema: ID de evento 5139