Introdução ao Active Directory AD Curso Técnico em Redes de Computadores SENAC - DF Professor Airton Ribeiro
O Active Directory, ou simplesmente AD como é usualmente conhecido, é um serviço de diretórios da Microsoft implementado a partir do Windows Server 2000, sendo dai endiante largamente utilizado nas demais versões Server da plataforma. O AD surgiu da necessidade de se ter um único diretório de acesso aos recursos de uma rede. Por exemplo: Ao invés do usuário ter uma senha para e-mail, uma senha para logar (logon) no computador, uma senha para acessar aos serviços da rede, com a utilização do AD os usuários acessam a todos os recursos com uma senha única. Pode-se definir o AD como sendo um banco de dados que armazena as informações dos usuários e de diversos outros recursos da rede.
O banco de dados do Active Directory armazena informações da rede tais como: Usuários; Grupos de Usuários; Membros dos grupos; Senhas; Contas de computadores; Relações de confiança entre domínios; Informações o domínio; Unidades organizacionais;
O AD é organizado de forma hierárquica e obrigatoriamente é peça fundamental de um domínio; Uma mesma rede pode conter diversos outros domínios. Um domínio pode ser considerado como um limite administrativo e de segurança de uma rede, sendo que, o administrador possui permissões somente no seu domínio; As políticas de segurança são restritas e se aplicam somente ao domínio, e não a outros; Em resumo pode-se afirmar que diferentes domínios podem ter diferentes administradores e diferentes políticas de segurança;
Os seguintes recursos são disponibilizados quando se utiliza um domínio baseado no Active Directory: Logon único: Recurso que permite que o usuário faça apenas um logon para ter acesso aos recursos distribuídos nos diversos servidores da rede, dentre estes, servidores de e-mail, arquivos, web, banco de dados e outros; Conta de usuário única: os usuários possuem apenas um nome de usuário para acessar aos recursos da rede. As contas de usuários ficam armazenadas no banco de dados do AD. Gerenciamento centralizado: Nas redes baseadas na infraestrutura de AD temse uma administração centralizada e sob forte imposição de politicas de segurança nativas. Todas as informações sobre contas de usuários, grupos e recursos da rede, podem ser administradas a partir de um único ponto. Escalonabilidade: Um domínio pode vir a dar origem a outros domínios filhos sem limite de tamanho. A forma de administração é a mesma para uma rede pequena ou grande.
Domínios baseados em AD são divididos em dois tipos distintos de servidores Servidor Controlador de Domínio e Servidor Membro Controlador de Domínio (DC Domain Controller) Computador que possui o AD instalado. Ele possui uma cópia da base de dados do AD. Em um mesmo domínio pode-se ter mais de um Controlador de Domínio. As alterações efetuadas em um DC são replicadas para todos os outros DC s. O Servidor DC é encarregado da autenticação dos usuários, replicação dos dados entre outros DC s. Este servidor é responsável pela comunicação com outros domínios da empresa. Para haver um serviço de diretório, é necessário pelo menos um Domain Controller na rede.
Domínios baseados em AD são divididos em dois tipos distintos de servidores Servidor Controlador de Domínio e Servidor Membro Servidor Membro (Member Server) É um servidor que não possui uma cópia do AD, porém tem acesso aos objetos do AD. Não fazem autenticação dos usuários. Todo servidor que compõe ao domínio porém não são promovidos a DC (não tem o AD instalado) são considerados Servidores Membros. Exemplo: Servidor de Banco de Dados, Arquivo, Web, Multimídia, Aplicação e outros. A Microsoft recomenda que sempre que possível, sejam separados os servidores de aplicação dos servidores de autenticação, com vistas à estabilidade do ambiente, sua organização e facilidade de administração.
Promoção de Servidor a Controlador de Domínio (AD) É pré-requisito que para se promover um computador (servidor), a Controlador de Domínio, se tenha na rede o serviço DNS instalado. O serviço de Resolução de Nomes (DNS) é essencial à implantação e funcionamento do AD. O AD utiliza o DNS para a nomeação de servidores e recursos, e também para resolução de nomes. Caso o serviço DNS não esteja disponível na rede em um servidor qualquer, durante a promoção do primeiro Controlador de Domínio (DC) será requisitado que se instale juntamente com o AD o serviço DNS.
Topologias Lógica e Física do Active Directory AD Topologias Lógica Esta topologia representa os objetos existentes em todo Active Directory, e diz respeito à organização das configurações existentes no AD, tais como exemplo: Domínio, Unidades Organizacionais, Grupo de Usuários, Computadores, Controladores de Domínio, dentre outros; A console Active Directory Users and Computers gerencia os parâmetros lógicos do AD.
Topologias Lógica e Física do Active Directory AD Topologias Lógica
Topologias Lógica e Física do Active Directory AD Topologias Física Representa a topologia (Desenho) de disposição dos equipamentos de rede adotada pela empresa. Dessa maneira, o AD cria a topologia ideal para replicação dos dados de maneira eficiente. Outra função é prover o serviço de autenticação de maneira mais rápido, baseado na rede onde a estação está localizada, otimizando a banda. O Active Directory Sites and Services e Active Directory Domains and Trusts são algumas das ferramentas para gerenciamento da topologia Física.
Topologias Lógica e Física do Active Directory AD Topologias Física
Componentes da infraestrutura Lógica e Física do Active Directory AD O primeiro DOMÍNIO configurado será chamado DOMÍNIO RAIZ DA FLORESTA. Outros domínios são adicionados ao DOMINIO RAIZ para formar a estrutura da ARVORE ou da FLORESTA. Floresta: É o conjunto de árvores de domínio na empresa, delimitando e empregando diretivas no ambiente em relação às versões dos controladores de domínio. Através das florestas podem ser efetuadas relações de confiança para compartilhamento de dados com outras empresas. A floresta delimita a segurança das informações contidas no AD, tornando o Schema único. Através da funcionalidade da Floresta, estaremos determinando se o domínio suportará a renomeação dos domínios (recurso existente a partir do Windows Server 2003).
Componentes da infraestrutura Lógica e Física do Active Directory AD Arvore: É o conjunto de domínios com contiguidade de nome, formando assim uma hierarquia. Uma ÁRVORE é uma estrutura hierárquica dos DOMINIOS que compartilham um espaço de nomes (namespace) contíguo (o mesmo espaço de nomes), ou seja, utiliza-se o mesmo sufixo de DOMÍNIO. Ao se adicionar um novo DOMINIO a uma ÁRVORE, este DOMÍNIO será um DOMÍNIO FILHO do DOMÍNIO PAI (Domínio que já existe). Conforme os DOMÍNIOS FILHOS (sub-domínio) vão sendo adicionados na ÁRVORE, cada novo DOMÍNIO FILHO terá automaticamente uma relação de confiança transitiva BIDIRECIONAL com o seu DOMÍNIO PAI.
Componentes da infraestrutura Lógica e Física do Active Directory AD Domínio: Conjunto de objetos que delimitam de maneira administrativa o acesso aos objetos, delegando gerenciamento e funções para uma localidade ou setor. É a unidade central da estrutura do AD. O DOMÍNIO é formado por um conjunto de computadores que fazem parte do mesmo DIRETÓRIO. Todo DOMÍNIO tem um nome (Não pode se repetir na floresta). O DOMÍNIO contém as contas e grupos de usuários. Mesmo que a ÁRVORE possua vários DOMÍNIOS, o administrador de um DOMÍNIO somente poderá administrar seu próprio DOMÍNIO.
Componentes da infraestrutura Lógica e Física do Active Directory AD Unidades Organizacionais - OU: As OU s também são objetos do AD, mas é um objeto do tipo recipiente. Objetos recipientes são utilizados para conter outros objetos (contas de usuários, grupo, computadores, impressoras bem como outras OU s, com a finalidade de organização dentro do domínio. As OU s podem ser utilizadas para separar objetos em comum para aplicação de diretivas de grupos (GPO s).
Componentes da infraestrutura Lógica e Física do Active Directory AD Sites: Representa a localidade ou região onde os recursos de rede estão localizados, facilitando o processo de logon dos usuários. Um site é formado por uma ou mais sub-redes IP que são conectadas por uma conexão de alta velocidade. Utilizando Sites, pode-se configurar a topologia de acesso à rede e replicação para o AD, utilizando as conexões mais eficientes e criando agendamentos da replicação e trafego de logo. Levando-se em consideração o exemplo abaixo, os usuários do site de São Paulo devem tentar validar seus usuários no site local, evitando o consumo de banda entre as localidades.