? Active Directory, Você sabe o que é? E como instalar? ?
Você está em: Início 1 Active Directory 2 O que é Active Directory? 3
O #ActiveDirectory (AD) é um produto da Microsoft que consiste em vários serviços executados no Windows Server para gerenciar permissões e acesso a recursos de rede.
O Active Directory armazena dados como objetos. Um objeto é um único elemento, como um usuário, grupo, aplicativo ou dispositivo, como uma impressora. Os objetos são normalmente definidos como recursos – como impressoras ou computadores – ou objetos de segurança – como usuários ou grupos.
O #ActiveDirectory categoriza objetos por nome e atributos. Por exemplo, o nome de um usuário pode incluir a cadeia de nomes, junto com as informações associadas ao usuário, como senhas e chaves SSH (Secure Shell) .
O principal serviço no Active Directory é o Serviços de Domínio (AD DS), que armazena informações de diretório e lida com a interação do usuário com o domínio. O AD DS verifica o acesso quando um usuário entra em um dispositivo ou tenta se conectar a um servidor através de uma rede. O AD DS controla quais usuários têm acesso a cada recurso. Por exemplo, um administrador normalmente tem um nível diferente de acesso aos dados que um usuário final.
Outros produtos da Microsoft, como o Exchange Server e o SharePoint Server, contam com o AD DS para fornecer acesso a recursos. O servidor que hospeda o AD DS é o controlador de domínio.
Vários outros serviços incluem o Active Directory. Eles são os Serviços de Diretório Leve, Serviços de Certificados, Serviços de Federação e Serviços de Gerenciamento de Direitos. Cada serviço expande os recursos de gerenciamento de diretórios do produto.
Os Serviços de Diretório Leve (AD LDS) têm a mesma base de código do AD DS, compartilhando funcionalidades semelhantes, como a API . O AD LDS, no entanto, pode ser executado em várias instâncias em um servidor e mantém os dados do diretório em um armazenamento de dados usando o LDAP (Lightweight Directory Access Protocol ).
LDAP é um protocolo de aplicativo usado para acessar e manter serviços de diretório em uma rede. O LDAP armazena objetos – como nomes de usuário e senhas – nos serviços de diretório – como o Active Directory – e compartilha esses dados de objetos pela rede.
Os Serviços de Certificados ( AD CS ) geram, gerencia e compartilha certificados. Um certificado usa criptografia para permitir que um usuário troque informações pela Internet com segurança com uma chave pública .
Os Serviços de Federação do Active Directory (AD FS) autenticam o acesso do usuário a vários aplicativos – mesmo em redes diferentes – usando o logon único (SSO). Como o nome indica, o SSO exige que o usuário faça logon apenas uma vez, em vez de usar várias chaves de autenticação dedicadas para cada serviço.
O Gerenciamento de Direitos ( AD RMS ) controla os direitos e o gerenciamento de informações. O AD RMS criptografa conteúdo, como email ou documentos do Word, em um servidor para limitar o acesso.
Uma árvore é um ou mais domínios agrupados. A estrutura em árvore usa um espaço para nome contíguo para reunir a coleção de domínios em uma hierarquia lógica. As árvores podem ser vistas como relações de confiança nas quais uma conexão ou confiança segura é compartilhada entre dois domínios. Vários domínios podem ser confiáveis, onde um domínio pode confiar em um segundo e o segundo domínio pode confiar em um terceiro. Devido à natureza hierárquica dessa configuração, o primeiro domínio pode implicitamente confiar no terceiro domínio sem precisar de confiança explícita.
Uma floresta é um grupo de várias árvores. Uma floresta consiste em catálogos compartilhados, esquemas de diretório , informações de aplicativos e configurações de domínio. O esquema define a classe e os atributos de um objeto em uma floresta. Além disso, os servidores de catálogo global fornecem uma lista de todos os objetos em uma floresta.
As unidades organizacionais (OUs) organizam usuários, grupos e dispositivos. Cada domínio pode conter sua própria OU. No entanto, as UOs não podem ter espaços para nome separados, pois cada usuário ou objeto em um domínio deve ser exclusivo. Por exemplo, uma conta de usuário com o mesmo nome de usuário não pode ser criada.
História e desenvolvimento do Active Directory
A Microsoft ofereceu uma prévia do Active Directory em 1999 e a lançou um ano depois com o Windows 2000 Server. A Microsoft continuou a desenvolver novos recursos a cada versão sucessiva do Windows Server.
O Windows Server 2003 incluiu uma atualização notável para adicionar florestas e a capacidade de editar e alterar a posição dos domínios nas florestas. Os domínios no Windows Server 2000 não podiam suportar atualizações mais recentes do AD em execução no Server 2003.
O Windows Server 2008 introduziu o AD FS. Além disso, a Microsoft renomeou o diretório para gerenciamento de domínio como AD DS, e o AD se tornou um termo genérico para os serviços baseados em diretório que ele suportava.
O Windows Server 2016 atualizou o AD DS para melhorar a segurança do AD e migrar ambientes do AD para ambientes de nuvem ou nuvem híbrida . As atualizações de segurança incluíram a adição de gerenciamento de acesso privilegiado (PAM).
O PAM monitorou o acesso a um objeto, o tipo de acesso concedido e quais ações o usuário executou. O PAM adicionou florestas de bastiões AD para fornecer um ambiente adicional de floresta segura e isolada. O Windows Server 2016 encerrou o suporte para dispositivos no Windows Server 2003.
Em dezembro de 2016, a Microsoft lançou o Azure AD Connect para ingressar em um sistema Active Directory local com o Azure Active Directory (Azure AD) para habilitar o SSO para os serviços em nuvem da Microsoft, como o Office 365 . O Azure AD Connect funciona com sistemas executando o #Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows Server 2012 R2 e Windows Server 2016.
Active Directory versus grupo de trabalho
O grupo de trabalho é outro programa da Microsoft que conecta máquinas Windows em uma rede ponto a ponto. O grupo de trabalho permite que essas máquinas compartilhem arquivos, acesso à Internet, impressoras e outros recursos pela rede. A rede ponto a ponto elimina a necessidade de um servidor para autenticação.
Principais recursos nos Serviços de Domínio Active Directory
Os Serviços de Domínio Active Directory usam um layout em camadas que consiste em domínios, árvores e florestas para coordenar elementos de rede.
Um domínio é um grupo de objetos, como usuários ou dispositivos, que compartilham o mesmo banco de dados do AD. Os domínios têm uma estrutura de sistema de nome de domínio (DNS) .
Entenda os princípios básicos do Active Directory para o sucesso empresarial
Você não pode tirar o máximo proveito de uma ferramenta, a menos que você entenda seus recursos. Esta dica explica os princípios básicos do Active Directory e como ele controla o acesso e mantém a ordem.
Consistência e clareza são necessárias ao gerenciar os recursos de uma empresa. Os administradores precisam conhecer os princípios básicos do Active Directory para ver como os diferentes serviços dessa ferramenta da Microsoft funcionam juntos para o gerenciamento centralizado.
O Active Directory é uma combinação de vários serviços que são executados no Windows Server. Os administradores novos no departamento de TI devem trabalhar para entender os princípios básicos e como os principais aplicativos corporativos, como o Exchange Server, dependem desse serviço de diretório.
É a base no coração do Active Directory estão os Serviços de Domínio do Active Directory (AD DS). Quando os administradores discutem o AD, eles geralmente se referem ao AD DS, que mantém um banco de dados de informações para dispositivos, recursos, usuários e grupos dentro do domínio. O AD DS define os direitos do usuário e verifica as credenciais do usuário na rede.
O AD DS define os direitos do usuário e verifica as credenciais do usuário na rede. O AD DS é executado em um servidor ou cluster de servidores chamado controlador de domínio. Cada vez que um usuário efetua login, acessa um recurso de rede ou executa um aplicativo, o controlador de domínio do AD autentica a solicitação. A corrupção no banco de dados do AD ou a falha do servidor do controlador de domínio pode devastar uma empresa, portanto, os administradores geralmente configuram o AD DS em um cluster de servidor para replicação e sincronização automáticas para resiliência e desempenho adicional.
Outros serviços que dependem do AD DS
O Active Directory inclui vários outros serviços que exigem o AD DS como base. Por exemplo, organizações menores podem usar os Serviços de Diretório Leve do Active Directory, que funcionam quase de forma idêntica ao AD DS, mas não precisam de domínios ou controladores de domínio separados.
Os Serviços de Certificados do Active Directory cria, valida e revoga os certificados de chave pública usados ??para criptografar arquivos, emails, tráfego de rede privada virtual e tráfego de rede de Segurança de Camada de Transporte / IPsec.
fornecem um serviço de logon único para fornecer aos usuários acesso a recursos ou serviços – geralmente fora da empresa – usando um conjunto de credenciais.
Por fim, os Serviços de Gerenciamento de Direitos do Active Directory controlam a criptografia e o controle de acesso para e-mail, documentos e conteúdo da Web.
Falando de uma forma simples O que é Active Directory? É um banco de dados estruturado que armazena informações sobre usuários (users), computadores (computers), recursos (resources) e serviços (services) de uma organização.
O Active Directory não é um produto da Microsoft mais sim um serviço disponível na família Windows Server (2000, 2003, 2003R2, 2008, 2008R2, 2012 e 2012R2).
A Microsoft lançou o Active Directory (AD) no Windows 2000 Server, ele se tornou um dos serviços de diretório mais populares do mundo.
Porque Utilizar o Active Directory?
O principal motivo para utilizar o AD é a administração e o gerenciamento centralizado. Para entender melhor isto vou te explicar como funciona uma rede Microsoft sem a presença do AD.
Identidade e Acesso: O processo de proteção da informação é baseado em dois conceitos principais: identidade e acesso. Em um sistema de segurança o usuário é representado por uma identidade. Nos sistemas Windows a identidade é representada por uma conta de usuário. Essa conta de usuário é armazenada em um local que chamamos de repositório (SAM) ou Active Directory. Em um sistema Windows a identidade de um usuário é chamada de identidade de segurança principal que são identificadas de forma única por um atributo chamado (SID).
Em uma rede Microsoft (Grupo de Trabalho – Workgroup) cada Windows (SO) armazena os dados dos usuários no banco de dados conhecido como SAM (Security Account Manager). Assim cada Windows possui seu próprio banco de dados, único e exclusivo. Neste tipo de rede (Grupo de Trabalho) para o usuário ter acessado a uma impressora compartilhada em outro computador é necessário que a conta do usuário seja criada também no outro computador com o mesmo nome e senha. Entendeu? Não?
Imagine um computador PC1 onde trabalha o usuário Pedro, agora imagine outro computador PC2 onde trabalha o usuário João que recentemente comprou uma impressora USB e gostaria que Pedro imprimisse diretamente do computador PC1 nesta impressora compartilhada no PC2, para permitir isso você precisa criar um usuário chamado Pedro com a mesma senha utilizada no PC1 e na configuração da impressora que este usuário tem permissão de imprimir. Simples? NÃO. Agora imagine que 10 funcionários também precisem utilizar a impressora, neste caso você terá que criar 10 usuários no PC2 pra cada um. Se a impressora mudar de computador agora você terá que criar todos os usuários no computador onde a impressora foi instalada. Administrar uma rede Microsoft do tipo Grupo de trabalho (Workgroup) é muito complicado pois envolve muito esforço administrativo.
Assim surgiu o Active Directory para permitir a partir de local centralizado tudo possa ser gerenciado de forma simples. Usando o exemplo acima da impressora para resolver este problema no AD bastava apenas criar os usuários e dar a permissão apenas uma única vez independente de onde a impressora estaria conectada. Ou seja faço o trabalho administrativo apenas uma única vez.
Características do Active Directory
Destaco aqui 4 características principais:
Banco de Dados Centralizado: Essa característica conforme já mencionada anteriormente permite ao Active Directory a capacidade de gerenciar diversos objetos e recursos de forma centralizada.
Escalabilidade: Esta característica permite o Active Directory crescer de forma automática de acordo com seu ambiente. OU seja você pode ter mais de 30.000 objetos em apenas 1 único servidor com o Active Directory.
Segurança Integrada: Com o Active Directory um dos itens principais é a segurança pois permite ao administrador aplicar diversas configurações aos usuários e computadores a partir de um único local.
Logon Único: Essa característica permite ao usuário uma vez que logou em sua estação de trabalho acessar todos os recursos nos quais ele possui a devida autorização, sem a necessidade de ter que logar diversas vezes.
A estrutura do AD é dividida em 2 partes, lógica e física.
A estrutura lógica é dividida em Florestas, Árvores, Domínios e Unidades Organizacionais (OU).
Florestas: A floresta consiste no agrupamento de uma ou mais árvores de domínios. O primeiro domínio da floresta é chamado domínio raiz da floresta (root). O nome desse domínio faz referência à floresta.
Árvores: Os domínios agrupados em estrutura hierárquica são chamados de árvores de domínios. Quando você acrescenta um segundo domínio a uma árvore, ele se torna filho do domínio raiz da árvore.
Domínios: Os domínios, são as principais unidades funcionais da estrutura lógica do Active Directory, são um conjunto de objetos definidos de forma administrativa que compartilham um banco de dados de diretórios comum, diretivas de segurança e relações de confiança com outros domínios. Em outras palavras cada dominio possui seu administrator, ou seja, as definições de segurança de um domínio não se aplicam aos outros domínios.
Unidades Organizacionais (OUs): As unidades organizacionais são objetos do Active Directory usados para armazenar e organizar os objetos de usuários, grupos, computadores e outras unidades organizacionais. Ou seja nos devemos utilizar as OUs para distribuir de forma uniforme os objetos dentro do Active Directory.
A estrutura física do AD é representada por Domain Controllers e Sites.
Domain Controllers: Cada controlador de domínio desempenha funções de armazenamento e replicação. Cada controlador de domínio dá suporte a apenas um domínio. Para garantir a disponibilidade contínua do Active Directory, cada domínio deve ter mais de um controlador de domínio.
Sites: Os sites são objetos dentro do Active Directory que representam a localidade geográfica do host e de sua rede (network (IP)), ou seja utilizamos sites para organizar os objetos dentro de suas redes.
Quais são as 5 funções do Active Directory?
As 5 funções FSMO são:
Schema Master – um por floresta
Mestre de nomeação de domínio – um por floresta
Mestre de ID relativo (RID) – um por domínio
Funções FSMO: O que eles fazem?
Mestre de esquema: A função Mestre de esquema gerencia a cópia de leitura e gravação do esquema do Active Directory. O esquema AD define todos os atributos – coisas como ID do funcionário, número de telefone, endereço de e-mail e nome de login – que você pode aplicar a um objeto em seu banco de dados AD.
Mestre de Nomenclatura de Domínio: O Mestre de Nomenclatura de Domínio garante que você não crie um segundo domínio na mesma floresta com o mesmo nome de outro. É o mestre de seus nomes de domínio. A criação de novos domínios não é algo que acontece com frequência, portanto, de todas as funções, esta é a mais provável de residir no mesmo DC com outra função.
RID Master: O Relative ID Master atribui blocos de identificadores de segurança (SID) a diferentes DCs que eles podem usar para objetos recém-criados. Cada objeto no AD tem um SID, e os últimos dígitos do SID são a parte relativa. Para evitar que vários objetos tenham o mesmo SID, o RID Master concede a cada DC o privilégio de atribuir determinados SIDs.
Emulador de PDC: o DC com a função de Emulador de controlador de domínio primário é o DC autoritativo no domínio. O emulador PDC responde a solicitações de autenticação, altera senhas e gerencia objetos de política de grupo. E o emulador PDC diz a todos que horas são! É bom ser o PDC.
Mestre de infraestrutura: a função Mestre de infraestrutura converte identificadores globais exclusivos (GUID), SIDs e nomes distintos (DN) entre domínios. Se você tiver vários domínios em sua floresta. Se o mestre de infraestrutura não fizer seu trabalho corretamente, você verá os SIDs no lugar dos nomes resolvidos nas suas listas de controle de acesso (ACL).
FSMO dá a você a confiança de que seu domínio será capaz de executar a função principal de autenticação de usuários e permissões sem interrupção (com advertências padrão, como a permanência da rede).
Quais são as partições do Active Directory?
O banco de dados do Active Directory é armazenado em um único arquivo NTDS.dit que é logicamente separado nas seguintes partições:
Partição de esquema
Partição de aplicativo
Há apenas uma partição de esquema por floresta e ela é armazenada em todos os DCs da floresta. Ele contém a definição de objetos e regras para sua manipulação e criação em um diretório ativo. Ele é replicado para todos os DCs da floresta.
Assim como a partição de esquema, há apenas uma partição de configuração mestre por floresta e uma segunda em todos os DCs em uma floresta. Ele contém a topologia do Active Directory em toda a floresta, incluindo controladores de domínio, sites e serviços. Ele é replicado para todos os controladores de domínio em uma floresta.
Existem muitas partições de domínio por floresta e são armazenadas em todos os controladores de domínio em um domínio. Eles contêm informações sobre usuários, grupos, computadores e UOs. Ele é replicado para todos os DCs em um determinado domínio.
Esta partição armazena informações sobre aplicativos em um AD. Suponha que as informações das zonas DNS integradas ao AD sejam armazenadas nesta partição.
Além dos vídeos abaixo, vou indicar a leitura de outro artigo chamado #ComoImplantaroActiveDirectory