O que é Active Directory? Um tutorial passo a passo

Como a complexidade dos recursos de rede cresceu, os serviços de diretório se tornaram cada vez mais importantes para o gerenciamento da infraestrutura de TI. Não existe um serviço de diretório com um nome maior do que Active Directory. O serviço de diretório da Microsoft foi estabelecido como uma ferramenta básica entre os administradores de rede. Neste tutorial do Active Directory vamos analisar o que é o Active Directory, como utilizá-lo e ferramentas do Active Directory como o SolarWinds Access Rights Manager. Os tópicos a aprender incluem:

• O que é o Active Directory?
• O que faz o Active Directory?
• Como configurar o Active Directory
• Como usar o Active Directory: Configurando um Controlador de Domínio, Criando Usuários do Active Directory
• Active Directory Events to Monitor
• Trust Relationships (and Trust Types)
• An Overview of Active Directory Forests and Trees
• Active Directory Reporting (with SolarWinds Access Rights Manager)
• How to Find the Source of Account Lockouts in Active Directory

O que é Active Directory?

Active Directory é um serviço de directório ou contentor que armazena objectos de dados no seu ambiente de rede local. O serviço registra dados sobre usuários, dispositivos, aplicações, grupos e dispositivos em uma estrutura hierárquica.

A estrutura dos dados permite encontrar os detalhes dos recursos conectados à rede a partir de um local. Em essência, o Active Directory age como uma lista telefônica para a sua rede, para que você possa procurar e gerenciar dispositivos facilmente.

O que o Active Directory faz?

Existem muitas razões pelas quais as empresas utilizam serviços de diretório como o Active Directory. O principal motivo é a conveniência. O Active Directory permite que os usuários acessem e gerenciem uma variedade de recursos a partir de um único local. As credenciais de login são unificadas para que seja mais fácil gerenciar vários dispositivos sem a necessidade de inserir detalhes de conta para acessar cada máquina individual.

Como configurar o Active Directory (com RSAT)

Para começar, é necessário primeiro certificar-se de que possui o Windows Professional ou o Windows Enterprise instalados, caso contrário não será possível instalar as Remote Server Administration Tools. Em seguida, faça o seguinte:

Para o Windows 10 Versão 1809:

1. Clique com o botão Iniciar e vá para Configurações > Aplicativos > Gerenciar recursos opcionais > Adicionar recurso.
2. Agora selecione RSAT: Active Directory Domain Services e Lightweight Directory Tools.
3. Finalmente, selecione Install e depois vá para Start > Windows Administrative Tools para acessar Active Directory quando a instalação estiver completa.

Para Windows 8 (E Windows 10 Versão 1803)

1. Download e instale a versão correta de Server Administrator Tools para o seu dispositivo: Windows 8, Windows 10.
2. Próximo, clique com o botão direito do mouse no botão Iniciar e selecione Painel de Controle > Programas > Programas e Recursos >Ativar ou desativar recursos do Windows.
3. Deslize para baixo e clique na opção Ferramentas de Administração do Servidor Remoto.

>

4. Agora clique em Ferramentas de Administração de Funções.
5. Clique em AD DS e AD LDS Tools e verifique se AD DS Tools foi verificado.

>

6. Pressione Ok.

>

7. Vá para Iniciar > Ferramentas Administrativas no menu Iniciar para acessar Active Directory.

Como usar o Active Directory: Como configurar um controlador de domínio, Criando Usuários de Diretório

Como configurar um controlador de domínio

Uma das primeiras coisas que você precisa fazer ao usar o Active Directory é configurar um controlador de domínio. Um controlador de domínio é um computador central que irá responder a pedidos de autenticação e autenticar outros computadores em toda a rede. O controlador de domínio armazena as credenciais de login de todos os outros computadores e impressoras.

Todos os outros computadores se conectam ao controlador de domínio para que o usuário possa autenticar cada dispositivo a partir de um local. A vantagem disso é que o administrador não terá que gerenciar dezenas de credenciais de login.

O processo de configuração de um controlador de domínio é relativamente simples. Atribua um endereço IP estático ao seu Controlador de Domínio e instale o Active Directory Domain Services ou ADDS. Agora siga estas instruções:

1. Abrir Server Manager e clique em Roles Summary >Adicionar funções e recursos.
2. Click Next.
3. Select Remote Desktop Services installation if you’re deploying a domain controller in a virtual machine or select role-based or feature-based installation.
4. Selecione um servidor do pool de servidores.
5. Selecione Active Directory Domain Services da lista e clique em Next.
6. Deixe os recursos marcados por padrão e pressione Next.
7. Clique Reiniciar o servidor de destino automaticamente se necessário e clique em Install. Feche a janela quando a instalação estiver completa.
8. Após a função ADDS ter sido instalada, uma notificação será exibida ao lado do menu Gerenciar. Pressione Promover este servidor em um controlador de domínio.
9. Agora clique em Adicionar uma nova floresta e digite um nome de domínio Raiz. Pressione Next.
10. Selecione o nível funcional do Domínio desejado e digite uma senha na seção Type the Directory Services Restore Mode (DSRM password). Clique em Next.
11. Quando a página de Opções DNS for exibida, clique em Next novamente.
12. Entrar um domínio na caixa Nome de Domínio NetBios (de preferência o mesmo que o nome de domínio raiz). Prima Next.
13. Seleccione uma pasta para guardar a sua base de dados e ficheiros de registo. Clique em Next.
14. Pressione Instalar para finalizar. Seu sistema agora será reinicializado.

Criar usuários do Active Directory

Usuários e computadores são os dois objetos mais básicos que você precisará gerenciar ao usar o Active Directory. Nesta seção, vamos ver como criar novas contas de usuário. O processo é relativamente simples, e a maneira mais fácil de gerenciar usuários é através da ferramenta Active Directory Users and Computer ou ADUC que vem com o pacote Remote Server Administration Tools ou RSAT. Você pode instalar o ADUC seguindo as instruções listadas abaixo:

Instalar o ADUC no Windows 10 Versão 1809 e Superior:

1. Clique com o botão Iniciar e clique em Configurações >Aplicações, depois clique em Gerenciar recursos opcionais >Adicionar recurso.
2. Selecionar RSAT: Active Directory Domain Services e Lightweight Directory Tools.
3. Selecionar Instalação e aguardar a conclusão da instalação.
4. Vá para Iniciar > Ferramentas Administrativas do Windows para acessar o recurso.

Instalar ADUC no Windows 8 e Windows 10 Versão 1803 ou inferior:

1. Baixar e instalar as Ferramentas de Administrador do Servidor Remoto para a sua versão do Windows. Pode fazê-lo a partir de um destes links aqui:
   Remote Server Administrator Tools for Windows 10, Remote Server Administrator Tools for Windows 8, ou Remote Server Administrator Tools for Windows 8.1.

1. Clique com o botão direito do rato em Start> Painel de Controlo> Programas> Programas e Funções>Ativar ou desativar as funções do Windows.

>

2. Rollar para baixo e selecionar Ferramentas de Administração do Servidor Remoto.
3. Expandir Ferramentas de Administrador de Funções > Ferramentas AD DS e AD LDS.

>

4. Verificar Ferramentas AD DS e pressionar Ok.

>

5. Ir para Iniciar > Ferramentas de Administração e selecionar Usuários do Active Directory e Computadores.

Como Criar Novos Usuários com ADUC

1. Abra o Gerenciador do Servidor, vá ao menu Ferramentas e selecione Usuários do Active Directory e Computadores.
2. Expandir o domínio e clique em Usuários.
3. Clique com o botão direito do rato no painel direito e prima New > User.
4. Quando a caixa New Object-User aparecer introduza um First name, Last name, User logon name, e clique em Next.
5. Digite uma senha e pressione Next.
6. Clique Finish.
7. A nova conta de usuário pode ser encontrada na seção Users da ADUC.

Active Directory Events to Monitor

Como todas as formas de infraestrutura, o Active Directory precisa ser monitorado para ficar protegido. O monitoramento do serviço de diretório é essencial para evitar ciberataques e proporcionar a melhor experiência ao usuário final.

Below vamos listar alguns dos eventos de rede mais importantes que você deve prestar atenção. Se você vir algum desses eventos, então você deve investigar mais o quanto antes para ter certeza de que o seu serviço não foi comprometido.

Um resumo das florestas e árvores do Active Directory

Forestas e árvores são dois termos que você ouvirá muito quando mergulhar no Active Directory. Estes termos referem-se à estrutura lógica do Active Directory. Resumidamente, uma árvore é uma entidade com um único domínio ou grupo de objetos que é seguido por domínios filhos. Uma floresta é um grupo de domínios juntos. Quando múltiplas árvores são agrupadas, elas se tornam uma floresta.

Árvores na floresta se conectam umas às outras através de uma relação de confiança, o que permite que diferentes domínios compartilhem informações. Todos os domínios irão confiar uns nos outros automaticamente para que você possa acessá-los com a mesma informação de conta que você usou no domínio raiz.

Cada floresta usa uma base de dados unificada. Logicamente, a floresta está no nível mais alto da hierarquia e a árvore está localizada na parte inferior. Um dos desafios que os administradores de rede têm quando trabalham com o Active Directory é gerenciar florestas e manter o diretório seguro.

Por exemplo, um administrador de rede será encarregado de escolher entre um único projeto florestal ou um projeto multiflorestal. O design de uma única floresta é simples, de baixo custo e fácil de gerenciar com apenas uma floresta que compreende toda a rede. Em contraste, um design multifloresta divide a rede em diferentes florestas, o que é bom para a segurança mas torna a administração mais complicada.

Relações de confiança (e tipos de confiança)

Como mencionado acima, os trusts são usados para facilitar a comunicação entre domínios. Os trusts permitem a autenticação e o acesso a recursos entre duas entidades. Os trusts podem ser unidireccionais ou bidireccionais. Dentro de um trust, os dois domínios são divididos em um trusting domain e um trusting domain.

Em um trust unidirecional, o trusting domain acessa os detalhes de autenticação do domínio do trust para que o usuário possa acessar recursos do outro domínio. Em uma confiança bidirecional, ambos os domínios aceitarão os detalhes de autenticação do outro. Todos os domínios dentro de uma floresta confiam um no outro automaticamente, mas você também pode configurar trusts entre domínios em florestas diferentes para transferir informações.

Você pode criar trusts através do Assistente de Novos Trusts. O Novo Assistente de Confiança é um assistente de configuração que lhe permite criar novas relações de confiança. Aqui você pode visualizar o Nome de Domínio, Tipo de Confiança e Status Transitório dos trusts existentes e selecionar o tipo de confiança que deseja criar.

Tipos de Confiança

Existe uma gama de tipos de confiança no Active Directory. Nós os listamos na tabela abaixo:

Relatórios de Diretório Ativo com SolarWinds Access Rights Manager (FREE TRIAL)

Gerar relatórios sobre Active Directory é essencial para otimizar o desempenho e ficar de acordo com a conformidade regulamentar. Uma das melhores ferramentas de relatórios do Active Directory é o SolarWinds Access Rights Manager (ARM). A ferramenta foi criada para aumentar a visibilidade de como as credenciais de diretórios são usadas e gerenciadas. Por exemplo, você pode visualizar contas com configurações inseguras e abuso de credenciais que podem indicar um ataque cibernético.

Usar uma ferramenta de terceiros como o SolarWinds Access Rights Manager é benéfico porque fornece informações e recursos que seriam muito mais difíceis ou impossíveis de acessar diretamente através do Active Directory.

Como também gerar relatórios você pode excluir automaticamente contas inativas ou expiradas que os criminosos cibernéticos alvejam. O SolarWinds Access Rights Manager começa em $3.444 (£2.829). Há também uma versão de avaliação gratuita de 30 dias que você pode baixar.

SolarWinds Access Rights Manager Download 30 dias de avaliação gratuita

Veja também: Access Rights Management

Como encontrar a origem dos bloqueios de conta no Active Directory

A maneira mais fácil de encontrar bloqueios de conta no Active Directory é usar o Event Viewer, que está embutido no Windows. O Active Directory gera mensagens de Eventos do Windows para cada uma das suas acções, por isso a sua primeira tarefa é localizar o log de eventos correcto.

1. Abrir uma janela PowerShell premindo a tecla Windows e R em conjunto. No popup Run, digite powerhell e pressione ENTER.
2. No tipo de linha de comando (get-addomain).pdcemulator
3. Nota abaixo o endereço do controlador de domínio do PCD Emulator, que será mostrado na próxima linha.
4. Digite exit para fechar a janela do PowerShell.
5. O visualizador de log de eventos padrão que está embutido no sistema operacional Windows ajudará você a encontrar os bloqueios de conta.
6. Vá para o DC nomeado como o Emulador PDC.
7. Abra o Visualizador de Eventos expandindo as Ferramentas Administrativas do Windows no menu Iniciar e clicando na entrada do Visualizador de Eventos nesse submenu.
8. No Visualizador de Eventos, expanda o nó de Logs do Windows na árvore de menu do lado esquerdo. Clique em Security (Segurança). A lista de eventos de Segurança aparecerá no painel central do Event Viewer.
9. No painel direito do Event Viewer, clique em Filter Current Log, que abrirá uma janela popup.
10. No campo Event IDs substitua <All Event IDs> por 4740.
11. Selecione um horizonte de tempo na lista suspensa Logged na parte superior do formulário.
12. Opcionalmente, digite um nome de usuário ou um nome de host se você estiver procurando especificamente um bloqueio em um usuário ou recurso específico.
13. Pressione OK.
14. Dê um duplo clique na entrada de log que se relaciona ao usuário ou recurso que lhe interessa e que tem um carimbo de data/hora que corresponde ao momento que você acha que o bloqueio ocorreu. Isto abrirá o Relatório de Eventos.

O Relatório de Eventos mostrará o usuário que foi bloqueado, o computador onde o evento ocorreu e a fonte, ou o motivo do bloqueio.

Active Directory Tutorial: O Básico

Active Directory é uma das melhores ferramentas para gerir os recursos da sua rede. Neste artigo, nós apenas riscamos a superfície do potencial desta ferramenta. Se você estiver usando o Active Directory lembre-se que ele é um ponto de entrada potencial para ciberataqueiros. Tomar nota dos principais eventos do directório e usar um monitor de directórios irá contribuir para minimizar o risco de um ataque malicioso e proteger a disponibilidade do seu serviço.

Active Directory FAQs