Conceitos e administração do Active Directory

Procurar tópicos de postagem

• Introdução
• Alguns conceitos importantes do Active Directory
  • Controlador de domínio AD
  • Esquema do Active Directory
  • Floresta do Active Directory
    • Tipos de confianças do AD
  • Domínio AD
  • Sites do Active Directory
  • Replicação do AD
  • Mestres de Operações do Active Directory
    • Mestre do esquema
    • Mestre de nomes de domínio
    • Mestre RID
    • O mestre do emulador PDC
    • Mestre de Infraestrutura (IM)
  • Servidores de Catálogo Global (GC)
  • Cache de associação de grupos universais
  • Controladores de domínio somente leitura (RoDCs)
• Estrutura física e lógica do Active Directory
  • Estrutura Física da AD
  • Estrutura lógica do Active Directory
• Administração do Active Directory
  • Usuários e computadores do Active Directory
  • Sites e serviços do AD
  • Domínios e relações de confiança do Active Directory
  • Módulo AD para Windows PowerShell
  • Console de Gerenciamento de Diretiva de Grupo (GPMC)
• Outros tutoriais úteis
• Recursos e referências adicionais

Introdução

O Active Directory (AD) é um serviço de diretório da Microsoft que armazena informações sobre objetos em uma rede. O AD também facilita o acesso dos dados armazenados por usuários autorizados.

Exemplos de objetos do Active Directory são usuários, computadores, impressoras e outros recursos em uma rede.

Um usuário deve ser autenticado antes que o usuário possa fazer logon em uma rede AD. A autenticação geralmente é obtida verificando o nome de usuário e a senha dos usuários.

Depois que um usuário faz logon na rede, o Active Directory armazena informações sobre as permissões dos usuários (associações a grupos, etc.) e direitos de acesso. Quando o usuário solicita acesso a um recurso, o AD concede ou nega o acesso. O processo de concessão ou negação de acesso é chamado de Autorização.

Este tutorial abordará os principais conceitos do AD, incluindo sua estrutura física e lógica. Também abrangerá Controladores de Domínio, Esquema AD, Floresta e Domínio. Alguns outros conceitos que você aprenderá incluem replicação, funções de controlador de domínio (funções de mestre de operações), servidores de catálogo global, cache de associação de grupo universal e controladores de domínio somente leitura.

Ao concluir este tutorial, você poderá discutir com confiança como o Active Directory funciona e entender seus principais conceitos. Por fim, você aprenderá algumas tarefas que pode executar com usuários e computadores do Active Directory, sites e serviços, domínios e relações de confiança e muito mais.

Alguns conceitos importantes do Active Directory

O Active Directory tem alguns conceitos muito importantes que você precisa entender para implantá-lo e gerenciá-lo com eficiência. Aqui estão alguns dos conceitos essenciais:

Controlador de domínio AD

Um controle de domínio do AD (AD DC) é um Windows Server que executa os serviços de domínio do AD. Para que um Windows Server execute o serviço AD DC, ele deve ser promovido a um Controlador de Domínio usando o Gerenciador de Servidores. Mais adiante neste tutorial, você aprenderá como promover um Windows Serer a um Controlador de Domínio.

Esquema do Active Directory

O próximo conceito importante é o esquema AD. O esquema do AD define classes de objetos e seus atributos. Um exemplo de uma classe de objeto do AD é um usuário. Um usuário tem alguns atributos como o nome do usuário, gerente, etc.

O AD armazena classes de objetos e seus atributos usando o esquema do AD. O esquema do Active Directory tem objetos padrão como usuários, computadores, impressoras, etc. No entanto, se você precisar de objetos adicionais, poderá estender o esquema. Como exemplo, você precisará estender o esquema do AD antes de instalar o Microsoft Exchange ou SCCM.

Para ver como você pode estender o esquema do AD, consulte Estender o esquema no Recursos e referências adicionais no final deste tutorial.

Floresta do Active Directory

Na estrutura hierárquica do AD, a Floresta está no topo da estrutura lógica do AD. O próximo nível da hierarquia são Domínios, então você tem Unidades Organizacionais (OUs). Dentro das UOs você tem usuários e computadores.

Conseqüentemente, uma floresta do AD contém vários domínios do AD interconectados por relação de confiança. Abaixo está uma ilustração simples de uma hierarquia do AD Forest. Para ler mais sobre AD Forest, visite O que é uma floresta do Active Directory?

Tipos de confianças do AD

Você pode criar 4 tipos de relações de confiança em uma floresta do AD – confianças externas, floresta, atalho e realm. Para ler mais sobre AD Trusts, abra Infraestrutura avançada do Active Directory para serviços do Windows Server 2012 R2 .

chave padrão do windows 8.1

Domínio AD

O Domínio AD é o próximo nível das Florestas na hierarquia. Um domínio AD contém uma coleção de objetos. Por exemplo, Usuários e Computadores. Os domínios são identificados por seus nomes DNS, por exemplo, Domain1.com, Domain2.com.

Sites do Active Directory

A configuração de sites AD geralmente segue sub-redes de rede física. A configuração de replicação em sites geralmente é diferente da configuração entre sites.

Por exemplo, se você tiver 2 controladores de domínio na mesma sub-rede de rede, poderá configurar a replicação entre eles para otimizar a velocidade.

Replicação do AD

Se você implantar o Active Directory em um ambiente de produção, é recomendável ter pelo menos 2 controladores de domínio (DCs) em seu domínio do AD. A razão para isso é óbvia – crie redundância.

Antes de prosseguir, deixe-me mencionar que o AD opera o que é chamado de modelo multimestre. O que significa que todos os controladores de domínio (DCs) dentro do domínio contêm cópias graváveis ​​de objetos. Como você verá mais tarde, existem algumas exceções a essa regra.

O fato de os objetos poderem ser criados em qualquer DC significa que há necessidade de replicação entre os controladores de domínio. O processo de sincronização de objetos criados em um DC ou atualização para outros DCs é conhecido como Replicação.

Leia mais sobre a replicação do AD clicando no Replicação do Active Directory em profundidade link no Seção de Recursos e Referências Adicionais .

Mestres de Operações do Active Directory

Na seção anterior, mencionei que, embora o Active Directory opere um modelo multimestre, há exceções a essa regra.

Existem certas tarefas dentro de um domínio AD que devem ser concluídas usando o modelo de mestre único. Ou seja, um Controlador de Domínio é designado para lidar com a tarefa.

A principal razão para o modelo de mestre único é evitar conflitos. Devido à natureza das funções de mestre único, se mais de um DC lidar com a tarefa ao mesmo tempo, isso criará conflito. Você entenderá isso melhor quando ler as 5 funções de Mestre de Operações a serem discutidas em breve.

Abaixo estão as 5 funções FSMO (Flexible Single Master Operations) do Active Directory.

Mestre do esquema

Anteriormente neste tutorial, discuti Esquema AD . Eu disse que um esquema do Active Directory define classes de objetos e seus atributos. Eu também disse que às vezes você pode querer criar classes de esquema AD AD adicionais estendendo o esquema.

O DC responsável por atualizar o Schema é chamado de Schema Master. Quando o Schema Master atualiza o Schema, ele replica a atualização para outros DCs. Existe um Mestre de Esquema em um Diretório – este DC é conhecido como Mestre de Esquema.

Mestre de nomes de domínio

O controlador de domínio atribuído à função FSMO de mestre de nomenclatura de domínio é responsável por adicionar ou excluir domínios no espaço de nome de domínio de toda a floresta.

O controlador de domínio de nomenclatura de domínio também é responsável por adicionar ou remover referências cruzadas a domínios em diretórios externos.

Mestre RID

Sempre que um controlador de domínio cria uma entidade de segurança, por exemplo, um usuário ou um computador, o DC atribui ao objeto uma ID de segurança (SID) exclusiva. O SID é composto por um Domain SID e um Relative ID (RID). O Domain SID é o mesmo para todos os objetos criados no domínio, enquanto o RID é exclusivo para cada entidade de segurança criada.

Cada DC tem um pool de RIDs atribuídos a ele. O DC responsável por alocar pools RID para outros DCs é o RID Master.

O mestre do emulador PDC

O DC que detém a função de Emulador PDC é responsável por autenticar os usuários, sincronizar as alterações de senha e também responsável pela sincronização de tempo.

erro genérico do driver do monitor pnp

Ele também gerencia bloqueios de contas e encaminha falhas de autenticação devido a senhas incorretas para outros DCs.

Mestre de Infraestrutura (IM)

Em uma floresta do AD de vários domínios, o controlador de domínio atribuído à função FSMO de mestre de infraestrutura é responsável por manter as referências de objeto entre domínios atualizadas.

Por exemplo, digamos que um objeto no Domínio 1 seja referenciado por outro objeto no Domínio 2. Quando o objeto referenciado é modificado, o IM é responsável por atualizar as referências.

Concluindo, antes de discutir as 5 funções de DC do Active Directory do FSMO, eu disse que o AD opera um modelo multimestre. Ou seja, todos os DCs contêm cópias graváveis ​​do banco de dados AD.

Eu também disse que, embora em um domínio AD, apesar do modelo multi-maser, algumas tarefas só podem ser executadas por meio de um modelo de operações de mestre único. Assim, os 5 papéis FSMO.

Dito isto, agora que você conhece as 5 funções de operações de mestre único, espero que seja fácil ver por que um pool RID, por exemplo, só pode ser atribuído por apenas um DC. Se 2 DCs atribuirem pools de RID a outro controlador de domínio, haverá o risco de sobreposição e dois objetos diferentes poderão ter o mesmo RID.

O mesmo aumento se aplica às outras 4 funções FSMO discutidas anteriormente.

Servidores de Catálogo Global (GC)

Para entender a função do Servidor de Catálogo Global, vou encaminhá-lo para o que disse anteriormente sobre as Florestas do Active Directory. Uma floresta do AD contém vários domínios do AD interconectados por relações de confiança.

Com isso em mente, para cada domínio dentro da floresta, todos os DCs armazenam dados sobre cada objeto dentro seu próprio domínio . Como apontei anteriormente, em uma floresta do AD, pode haver necessidade de referência de objeto entre domínios. Para que isso funcione efetivamente, um DC recebe a função de GC para armazenar informações sobre TODOS os objetos dentro da Floresta.

Se você relacionar isso à função IM FSMO discutida anteriormente, fica fácil ver por que um mestre de infraestrutura precisará se comunicar constantemente com um servidor GC. Assim, ele recebe atualizações sobre referências de objetos entre domínios.

O mestre de infraestrutura é responsável por atualizar as referências de objetos cruzados em uma floresta do AD. O Servidor de Catálogo Global contém informações sobre TODOS os objetos dentro da Floresta. Faz sentido lógico que o Infrastructure Master receba informações de referência cruzada de objetos de um GC Server.

Portanto, NÃO é recomendado que um DC seja atribuído à função de um GC Server e uma função de Mestre de Infraestrutura, exceto:

• Existe apenas um domínio na floresta – nesta situação o mesmo DC será responsável por todas as funções.
• Cada DC no domínio é um servidor de catálogo global

Cache de associação de grupos universais

Por padrão, as informações de associações de grupos universais são armazenadas apenas em servidores de Catálogo Global. Por esse motivo, em uma floresta do AD de vários domínios (onde grupos universais estão presentes), se um usuário fizer logon no domínio pela primeira vez, um servidor GC deverá estar disponível para que o logon seja processado.

Para pequenos sites AD sem um GC Server, outros DCs podem ser habilitados para armazenar informações de associação de grupo universal. Isso é feito habilitando o Cache de Associação de Grupos Universais (UGMC) no Site do AD.

o que significa o modo tty

Controladores de domínio somente leitura (RoDCs)

Neste tutorial, eu já disse que todos os DCs em um domínio AD são graváveis. Dito isto, existem certas situações em que você pode querer instalar (RoDCs).

Uma situação típica pode ser em um local remoto com segurança física limitada para DCs nesse local. Sob essa circunstância, convém instalar um DC que só pode ler dados do AD, mas não pode gravar ou atualizar nenhum objeto.

Estrutura física e lógica do Active Directory

Até agora, abordei vários conceitos importantes do Active Directory. Nesta seção, discutirei dois outros conceitos importantes no AD – estruturas físicas e lógicas do Active Directory.

Estrutura Física da AD

A estrutura física envolve coisas que você pode tocar e sentir. Portanto, a estrutura física do AD são controladores de domínio e sites de rede.

As ferramentas necessárias para gerenciar a estrutura física dos sites e serviços do Active Directory Active Directory. Mais adiante neste tutorial, discutirei as tarefas que você pode executar com os Sites e Serviços do AD.

Estrutura lógica do Active Directory

Comparada com a estrutura física do AD, a estrutura lógica é virtual. Os componentes que compõem a estrutura lógica do AD são: florestas, árvores, domínios, UOs e catálogos globais. Para obter definições detalhadas de florestas, árvores, domínios, UOs e catálogo global, clique em Perguntas sobre a infraestrutura do Active Directory .

Administração do Active Directory

Até agora, cobrimos alguns conceitos importantes da AD. Esta seção trata da administração do Active Directory. Discutirei as seguintes ferramentas do AD:

• Usuários e computadores do Active Directory
• Sites e serviços do AD
• Domínios e relações de confiança do Active Directory
• Módulo AD PowerShell
• Console de Gerenciamento de Diretiva de Grupo (GPMC)

Usuários e computadores do Active Directory

Esta é uma das ferramentas AD mais usadas. Com usuários e computadores do AD, você pode:

• Criar unidades organizacionais
• Criar contêineres
• Autoridades Delegadas
• Criar usuários
• Transferir funções RID, PDC e FSMO de infraestrutura
• Executar consultas
• Elevar os Níveis Funcionais do Domínio

Sites e serviços do AD

À medida que você se sentir mais confortável com a administração do Active Directory, começará a trabalhar com Sites e Serviços.

Você pode executar as seguintes tarefas com a ferramenta AD Sites and Services:

• Ativar o armazenamento em cache de associação de grupo universal (UGMC)
• Configurar transportes entre sites
• Criar novas conexões do site do AD
• Delegar controle para sites existentes
• Criar sub-redes

Domínios e relações de confiança do Active Directory

Essa ferramenta é usada para executar algumas das funções administrativas mais avançadas do AD. Abaixo estão algumas das tarefas que você pode concluir com domínios e relações de confiança do Active Directory:

• Aumentar o nível funcional da floresta
• Transferir a função FSMO do mestre de nomenclatura de domínio
• Criar Confiança na Floresta

Módulo AD para Windows PowerShell

O módulo Active Directory PowerShell é necessário para gerenciar o AD com o PowerShell. Você pode executar várias tarefas. Listei alguns abaixo:

• Criar novos usuários – New-ADUser
• Modificar usuários existentes – Set-ADUser
• Obtenha informações sobre usuários existentes – Get-ADUser
• Excluir usuários existentes – Remove-ADUser

Para obter todos os comandos do AD no PS, do seu DC, execute o comando Get-Command. Para saber mais sobre o PowerShell, leia os seguintes tutoriais

18 comandos do Powershell que todo administrador do Windows deve saber
Get-Command no PowerShell: aplicativos e uso

Console de Gerenciamento de Diretiva de Grupo (GPMC)

O GMPC é usado para gerenciar a Diretiva de Grupo entre sites, domínios e unidades organizacionais em uma ou mais florestas. Embora você possa gerenciar Diretivas de Grupo de Usuários e Computadores do AD, o GPMC oferece mais recursos.

Com o GMPC, você pode realizar as seguintes tarefas:

• Criar novas políticas de grupo
• Modificar políticas de grupo existentes
• Gerencie todas as Políticas de Grupo em um contêiner – Objetos de Política de Grupo
• Crie e aplique filtros WMI às Diretivas de Grupo.
• Criar modelagem GP e resultados GP

Espero que você tenha achado esta Zona S útil.

Outros tutoriais úteis

1. Serviços de Domínio Active Directory: Instalação e Configuração
2. 35 perguntas e respostas da entrevista do Active Directory (agrupadas por categoria)
3. Outlook 365: assinatura, instalação e configuração
4. Como instalar o Windows 10: passo a passo com imagens

Recursos e referências adicionais

1. Passo a passo: Configurando o Active Directory no Windows Server 2016
2. Como estender o esquema
3. O que é uma floresta do Active Directory?
4. Infraestrutura avançada do Active Directory para serviços do Windows Server 2012 R2
5. Replicação do Active Directory em profundidade
6. Funções FSMO do Active Directory no Windows
7. Windows Server: a função FSMO de mestre de infraestrutura deve ser colocada em um servidor de catálogo global?
8. Windows Server: as funções do catálogo global no Active Directory