Você está em: Principal › Artigos › Windows 2003 Server › Capítulo 09 : 07
Lição 092 - Capítulo 09 - Fundamentos em: Grupos de usuários: Conceitos, tipos e utilização
Metodologia: Apresentar em detalhes os conceitos teóricos sobre grupos de usuários.
A principal função dos grupos de usuários é facilitar a administração e a atribuição de permissões para acesso a recursos, tais como: pastas compartilhadas (Capítulo 11), impressoras de rede (Capítulo 12) e serviços diversos.
Quando um usuário troca de seção, por exemplo, basta trocar o usuário de grupo. Vamos supor que o usuário jsilva trabalha na seção de contabilidade e pertence ao grupo Contabilidade. Com isso ele tem acesso a todos os recursos para os quais o grupo Contabilidade tem acesso. Ao ser transferido para a seção de Marketing, basta retirar o usuário jsilva do grupo Contabilidade e adicioná-lo ao grupo Marketing. Assim o usuário jsilva deixa de ter as permissões atribuídas ao grupo Contabilidade e passa a ter as mesmas permissões que tem o grupo Marketing. Este exemplo simples já consegue demonstrar o quanto a utilização de grupos pode facilitar a atribuição de permissões. No Capítulo 11 apresentarei um estudo completo sobre o uso de grupos para atribuir permissões de acesso a recursos de diferentes domínios.
Vamos analisar mais um exemplo. Suponha que exista um sistema chamado SEAT, para o qual somente um número restrito de usuários deve ter acesso, sendo que são usuários de diferentes seções (ou até mesmo de diferentes domínios). A maneira mais simples de definir as permissões de acesso ao sistema SEAT é criar um grupo chamado SEAT (poderia ser um outro nome qualquer, tais como Usuários do SEAT, Permissão ao SEAT, etc) e dar permissões de acesso a esse grupo. Assim cada usuário que precisar acessar o sistema SEAT, deve ser incluído no grupo SEAT. Quando o usuário não deve mais ter acesso ao sistema SEAT, basta removê-lo do grupo SEAT. Simples, fácil e muito prático.
Na Figura 9.27 apresento uma ilustração para o conceito de Grupo de usuários. O Grupo Contabilidade possui direito para um recurso compartilhado, o qual pode ser acessado através da rede. Todos os usuários que pertencem ao grupo contabilidade, também possuem permissão para o recurso compartilhado, uma vez que os usuários de um grupo, herdam as permissões do grupo.
Figura 9.27 O Usuário herda as permissões do grupo.
Grupos de segurança: Normalmente utilizados para atribuir permissões de acesso aos recursos da rede. Por exemplo, ao criar um grupo Contabilidade (que conterá todas as contas dos funcionários do departamento de contabilidade) o qual será utilizado para atribuir permissões de acesso a uma pasta compartilhada, devo criar este grupo como sendo do tipo Grupo de segurança. Um grupo de segurança também pode ser utilizado como um grupo de distribuição, embora essa não seja uma situação muito comum. Esses grupos, assim coma as contas de usuários são armazenados no Banco de dados do Active Directory.
Grupos de distribuição: São utilizados para funções não relacionadas com segurança (não relacionadas a atribuição de permissões) . Normalmente são utilizados em conjunto com servidores de e-mail, tais como o Exchange 2000, para o envio de e-mail para um grupo de usuários. Uma das utilizações típicas para um Grupo de distribuição é o envio de mensagens de e-mail para um grupo de usuários de uma só vez. Somente programas que foram programados para trabalhar com o Active Directory, poderão utilizar Grupos de distribuição (como é o caso do Exchange 2000 citado anteriormente). Provavelmente as novas versões dos principais sistemas de correio eletrônico estarão habilitadas para trabalhar com o Active Directory. Não é possível utilizar grupos de distribuição para funções relacionadas com segurança.
É possível converter um grupo do tipo Segurança para distribuição e vice-versa. Para tal é preciso que o domínio esteja, pelo menos, no modo Windows 2000 Nativo. Para domínios que ainda estejam no modo Windows 2000 Mixed, esta conversão não será possível.
Quando o administrador cria um grupo de usuários, ele deve selecionar um tipo (descrito anteriormente) e um escopo. O Escopo permite que o grupo seja utilizado de diferentes maneiras para a atribuição de permissões. O escopo de um grupo, determina em que partes do domínio ou de uma floresta de domínios, o grupo é visível, ou seja, pode ser utilizado para receber permissões de acesso aos recursos da rede.
Pode conter: Contas de usuários, outros grupos universais, e grupos globais de qualquer domínio.
Pode ser membro de: Grupos locais de qualquer domínio ou grupos universais de qualquer domínio.
Conforme detalhado anteriormente, um domínio baseado no Active Directory pode estar em diferentes modos de funcionalidade (Windows 2000 Nativo, Misto ou Windows Server 2003). Para cada modo existem diferentes possibilidades em relação aos grupos Universais:
Quando devem ser utilizados grupos universais:
Importante: Os grupos Universais devem ser muito bem planejados. Não devem ser feitas alterações freqüentes nos membros de um grupo Universal, uma vez que este tipo de ação causa um volume elevado de replicação no Active Directory.
Pode conter: Contas de usuários e grupos globais do mesmo domínio, ou seja, somente pode conter membros do domínio no qual o grupo é criado.
Pode ser membro de: Grupos universais e Grupos locais, de qualquer domínio.
Grupos globais do mesmo domínio.
Conforme detalhado anteriormente, um domínio baseado no Active Directory pode estar em diferentes modos (Windows 2000 Nativo, Misto ou Windows Server 2003). Para cada modo existem diferentes possibilidades em relação aos grupos Globais:
Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Misto, somente contas de usuários do próprio domínio é que podem ser membros de um grupo Global. Por exemplo, se você cria um grupo global chamado WebUsers, no domínio abc.com.br e este domínio está no modo Misto, então somente contas de usuários do domínio abc.com.br é que poderão ser membros do grupo WebUsers.
Quando devem ser utilizados grupos Globais:
Os grupos Globais devem ser utilizados para o gerenciamento dos objetos que sofrem alterações constantemente, quase que diariamente, tais como contas de usuários e de computadores. As alterações feitas em um grupo Global são replicadas somente dentro do domínio onde foi criado o grupo Global e não através de toda a árvore de domínios. Com isso o volume de replicação é reduzido, o que permite a utilização de grupos Globais para a administração de objetos que mudam freqüentemente.
Grupos locais (Domain local group):
Somente pode receber permissões para recursos em servidores do domínio no qual o grupo foi criado.
Outros grupos Locais do próprio domínio.
Quando devem ser utilizados grupos Locais:
Os grupos Locais são utilizados para atribuir permissões de acesso aos recursos da rede. Conforme discutirei, em detalhes, no Capítulo 11, a Microsoft recomenda uma estratégia baseada nos seguintes passos:
Adicionar as contas de usuários a grupos Globais (confere com o que foi dito anteriormente, onde falei que os grupos Globais são utilizados para gerenciar os objetos do dia-a-dia, tais como contas de usuários).
Bem, feitas as apresentações teóricas sobre grupos, agora você aprenderá a executar as operações básicas com grupos, tais como criar um novo grupo, adicionar usuários, remover usuários do grupo, renomear grupos, excluir grupos e converter um grupo de um tipo para outro.