1 | P á g i n a

Instalando e Gerenciando o Active Directory

Introdução Página 2

Requisitos Página 4

Instalação do Active Directory Página 4

Instalando o DNS Página 12

Active Directory Página 15

100 Usuários Página 21

Configurando os usuários através de comandos Página 25

Final Página 28

2 | P á g i n a

Introdução

O Active Directory é um serviço implantado primeiramente no Windows 2000 Server e tem como finalidade manter e permitir o gerenciamento de dados como contas de usuários, grupos, computadores, impressoras, servidores, etc. Como o AD é composto por objetos, os itens citados anteriormente são tratados como tal.

Através do AD trabalhamos com o conceito de Domínio ao invés de Grupo de Trabalho(Workgroup). Trabalhando em domínio, o controle da rede é mais simples e prático do que em um grupo de trabalho.

Como já existe MUITO material sobre o AD disponível gratuitamente na internet, farei apenas uma breve explicação antes de começarmos a prática.

O conceito básico já foi dito nos parágrafos acima, mas é interessante você visualizar para que entenda melhor o funcionamento e a diferença entre um grupo de trabalho e uma rede com um domínio.

O AD segue a seguinte estrutura:

• Floresta

• Árvore

• Domínio Iremos trabalhar apenas com um domínio e por este motivo não será possível na prática

entender o funcionamento e relação entre florestas, árvores e domínios distintos. A base do AD é a floresta, ela pode conter um ou mais domínios. Um domínio em uma

hierarquia com um ou mais de um domínio faz parte de uma árvore:

3 | P á g i n a

Como dito anteriormente, em um AD os dados são armazenados em forma de objeto:

Para tornar mais prático o gerenciamento destes objetos, os mesmos podem ser armazenados em Unidades Organizacionais conhecidas também como UO ou OU (Organizational Unit):

Para que consiga compreender de uma forma mais simples, pense nos objetos como

arquivos e as unidades organizacionais como pastas.

4 | P á g i n a

Requisitos

Alguns destes requisitos já foram vistos no documento anterior: § Partição NTFS. § Placa de rede com um endereço de IP fixo. § Conexão de rede ativa. § Serviço DNS disponível*.

*Caso não exista um serviço de DNS disponível, durante a instalação do AD é possível efetuar a instalação.

Instalação do Active Directory

Para iniciar a instalação do AD, clique em Iniciar, Executar, digite dcpromo e tecle ENTER:

Como criaremos um novo domínio, escolha a primeira opção e avance:

5 | P á g i n a

Como é o nosso primeiro domínio, consequentemente é a nossa primeira floresta, então selecione a primeira opção. 1ª Opção - Um novo domínio em uma nova floresta. Caso este seja o primeiro domínio da sua organização ou se quer um novo domínio completamente independente de uma floresta que você já tenha atualmente.

2ª Opção - Um novo domínio filho em uma árvore de domínio existente. Caso queira que este domínio seja filho de um domínio existente. Por exemplo, se o domínio pai chama-se wesk.info, o domínio filho chamaria-se filho.wesk.info.

3ª Opção - Uma nova árvore de domínio em uma floresta existente. Caso queira uma nova árvore com um novo domínio independente do que você já tem atualmente.

6 | P á g i n a

Lembrando: Primeira opção.

Na próxima tela você escolherá o FQDN (Fully Qualifield Domain Name) que é uma forma

única de identificação de um domínio, um subdomínio ou um computador em um domínio. Exemplo: Se o nome do seu domínio é abc.local qualquer computador que esteja neste domínio se

chamará nome.abc.local. Ou em caso de um subdomínio é a mesma coisa, filho.abc.local e um computador neste subdomínio se chamaria nome.filho.abc.local.

Escolha o FQDN e avance:

7 | P á g i n a

Por questões de compatibilidade com versões antigas do Windows, escolha um nome NetBIOS para o domínio:

Nesta tela é definido onde ficará armazenado o banco de dados e os logs do AD:

8 | P á g i n a

Nesta tela é definido onde ficará o SYSVOL(Volume de Sistema) que é uma pasta

compartilhada por padrão que armazena algumas informações importantes do AD e GPO.

No nosso caso não temos nenhum serviço DNS instalado ainda e por este motivo a tela abaixo é exibida. Mantenha a opção destacada e siga adiante:

9 | P á g i n a

Não teremos nenhum servidor anterior a versão 2000 e também por questões de segurança, para que nenhum acesso anônimo seja permitido em nosso servidor escolha a opção destacada abaixo e prossiga:.

Escolha uma senha para ser utilizada caso seja necessário inicializar o sistema no Modo de

Restauração do Serviço de Diretório:

Anote esta senha ou escolha uma senha fácil de lembrar.

10 | P á g i n a

Leia o resumo de todas as configurações efetuadas e caso esteja tudo correto, prossiga:

Aguarde até alguns minutos e após o término da instalação do Active Directory, reinicie o computador:

11 | P á g i n a

12 | P á g i n a

Agora a instalação finalizou, a tela de logon após ter transformado o computador em um DC(Controlador de domínio) é a seguinte:

Instalando o DNS

Em nosso exemplo o DNS não estava instalado e foi instalado durante a implantação do AD. Veremos aqui como é feito essa instalação manualmente.

Abra o Painel de Controle e em seguida vá em Adicionar e remover programas, clique em “Adicionar/remover componentes do Windows”, selecione Networking Services e clique em “Details”:

13 | P á g i n a

Selecione o serviço DNS, clique em OK e prossiga com a instalação:

Ao término da instalação vá em Administrative Tools e em seguida abra o gerenciamento do DNS ou então digite dnsmgmt.msc no Executar e tecle ENTER:

Neste caso, não há nenhuma zona criada. Caso deixarmos para instalar o DNS junto com a

instalação do AD, a zona direta(Forward) é criada, restando criar apenas a zona reversa. Como instalamos o DNS manualmente, vamos criar ambas as zonas de consulta.

14 | P á g i n a

Para criar a zona direta clique com o botão direito em Forward Lookup Zones e vá em New Zone e siga as instruções:

§ Selecione a primeira opção: Primary Zone. § Escolha o nome da zona: wesk.intranet. § Mantenha padrão o nome do arquivo. § Mude a opção para Allow both nonsecure and secure dynamic updates. § Pronto!

Para criar a zona reversa clique com o botão direito em Reverse Lookup Zones e vá em

New Zone e siga as instruções: § Selecione a primeira opção: Primary Zone. § Coloque a faixa de IP da sua rede. § Mantenha padrão o nome do arquivo. § Mude a opção para Allow both nonsecure and secure dynamic updates. § Pronto!

Agora as zonas de pesquisa estão criadas. Veja se os registros relacionados ao seu servidor estão criados em ambas zonas. No meu

caso, o nome do meu servidor é WESK-DC: § Zona de pesquisa direta:

§ Zona de pesquisa inversa:

15 | P á g i n a

Caso estes registros não estejam criados, basta cria-los manualmente clicando com o botão direito em cima da zona criada e em seguida em New Host (A):

Digite o nome do computador e o IP para qual deseja associar o registro:

É importante marcar a opção destacada acima para que automaticamente seja criado o

registro equivalente na zona de pesquisa inversa (Reverse Lookup Zones). Se tudo correr da forma correta você recebera uma mensagem semelhante a esta:

O que costumo fazer após finalizar estes passos é verificar o Log de eventos para identificar

se tudo está funcionando normalmente. Caso não tenha nenhum erro grotesto com que me deva preocupar, eu limpo o log de eventos e reinicio o computador para depois verificar novamente se todos os serviços iniciaram sem problemas.

Para iniciar o Log de eventos (Event View) basta localizá-lo em Administrative Tools ou digitar eventvwr.msc no Executar.

Active Directory

Para iniciar o AD basta abrir o item “Active Directory Users and Computers” ou digitar dsa.msc no Executar.

Agora veremos pela primeira vez a cara do AD e poderemos visualizar na prática os seus objetos.

16 | P á g i n a

Vemos que dentro do domínio temos os seguintes itens: Builtin – Grupos padrões (Administradores, Convidados, Operadores de conta, etc). Computers – Todos os computadores que são ingressados no domínio. Domain Controllers – Todos os controladores de domínio deste domínio. ForeignSecurityPrincipals – Armazena informações sobre relações de confiança entre

domínios externos. Users – Usuários padrões (Administrador, Usuários do domínio, etc). Todos os itens listados acima são chamados de “containers”, exceto o Domain Controllers

que é tratado como uma OU (Unidade Organizacional). § Nível funcional do domínio

Quando instalamos o AD o mesmo é configurado para que seja compatível com o Windows 2000/NT 4.0 e por este motivo ele trabalha em modo misto, o que consequentemente reduz os recursos devido a incompatibilidade.

Para melhor compreensão, recomendo a leitura: § Funcionalidade de domínio e de floresta § Aumentando os níveis funcionais do domínio e da floresta

Já que não temos nenhum computador com o Windows 2000/NT 4.0 instalado, elevaremos

o nível funcional do domínio clicando com o botão direito em cima do contêiner raiz e em seguida escolha a opção Raise Domain Functional Level:

17 | P á g i n a

Marque a opção “Windows Server 2003” e clique em Raise: Antes de efetuar essa alteração, saiba que ela é irreversível.

Logo em seguida será exibido a mensagem abaixo:

Para criarmos OUs e os seus respectivos objetos, vamos simular que temos os seguintes

departamentos e usuários:

Dep. Pessoal Financeiro Comercial TI Diretoria

Pedro Silva Renata Oliveira Flávia Aguiar Ramires Santos Gustavo Peçanha

Roberta Simões Jaqueline Souza Juliana Alves Daniel Gomes

Júlio César Paula Abreu Samuel Barbosa

Camila Soares Felipe Soares Paulo Almeida

Rafaela Gonçalves

Renato Martins

Antes que criar as OUs relacionadas aos departamentos, costumo criar uma OU com o

nome da empresa e dentro dela crio as demais. Prefiro desta forma pois axo que fica melhor a visualização.

É comum criar também um grupo para cada departamento, em nosso caso um para cada OU. Estes grupos serão utilizados quando for necessário configurar permissões de acesso caso formos compartilhar arquivos através deste servidor.

18 | P á g i n a

Vamos a prática:

Resultado:

Para criar os usuários, basta clicar em cima da OU com o botão direito, ir em New e em seguida User e preencha os campos requisitados.

Em User logon name é o nome utilizado para o usuáro logar na rede. Não é recomendável o uso de acentuação. Ao utilizar o nome da pessoa é comum colocarmos o nome e o sobrenome para que não haja conflitos caso tenha outra pessoa com o mesmo primeiro nome.

Tente criar o usuário com as opções padrão. Provavelmente você recebeu a mensagem abaixo por ter tentando criar o usuário com uma senha considerada simples/insegura:

19 | P á g i n a

Cancele a criação do usuário e vamos ajustar a política de segurança do domínio para adequar-se ao nosso gosto.

Abra Domain Security Policy dentro de Administrative Tools e siga até o item Password Policy:

Vamos ver a descrição dos itens(em português): Aplicar histórico de senhas - Essa configuração de segurança determina o número de

senhas novas e exclusivas que precisam ser associadas a uma conta de usuário antes que uma senha antiga possa ser reutilizada. O valor deve estar entre 0 e 24 senhas.

Duração máxima da senha - Essa configuração de segurança determina o período de tempo (em dias) pelo qual uma senha pode ser utilizada antes de o sistema solicitar ao usuário a sua alteração. É possível configurar senhas para expirar após um intervalo entre 1 e 999 dias, ou especificar que as senhas nunca expirarão definindo o número de dias igual a 0. Se a duração máxima da senha estiver entre 1 e 999 dias, Duração mínima da senha deve ser menor que a duração máxima da senha. Se a duração máxima da senha for igual a 0, sua duração mínima pode ser qualquer valor entre 0 e 998 dias.

Duração mínima da senha - Essa configuração de segurança determina o período de tempo (em dias) pelo qual uma senha deve ser utilizada antes que o usuário possa alterá-la. Você pode definir um valor entre 1 e 998 dias, ou pode permitir alterações imediatas definindo o número de dias como 0.

A duração mínima da senha deve ser menor que a Duração máxima da senha, a menos que a segunda seja configurada como 0, indicando que as senhas nunca expiram. Se a duração máxima da senha for igual a 0, sua duração mínima pode ser qualquer valor entre 0 e 998.

Configure a duração mínima da senha para ser superior a 0 se você desejar que Aplicar histórico de senhas seja efetivo. Sem uma duração mínima da senha, os usuários podem percorrer as senhas repetidas vezes até chegarem a uma antiga de sua preferência. A configuração padrão não segue essa recomendação de modo que um administrador possa especificar uma senha para um usuário e depois exigir que este altere a senha definida pelo administrador quando fizer logon. Se o histórico de senhas for definido como 0, o usuário não precisará escolher uma nova senha. Por esse motivo, Aplicar histórico de senhas é definido por padrão como 1.

Comprimento mínimo da senha - Essa configuração de segurança determina o menor número de caracteres que a senha de uma conta de usuário pode conter. Você pode definir um valor entre 1 e 14 caracteres, ou pode estabelecer que não é necessário senha definindo o número de caracteres como 0.

A senha deve satisfazer a requisitos de complexidade - Essa configuração de segurança determina se as senhas devem satisfazer a requisitos de complexidade.

20 | P á g i n a

Se esta diretiva estiver ativada, as senhas precisarão atender aos seguintes requisitos mínimos:

§ Não conter partes significativas do nome da conta do usuário ou o nome todo § Ter pelo menos seis caracteres de comprimento § Conter caracteres de três das quatro categorias a seguir:

• Caracteres maiúsculos do inglês (A-Z)

• Caracteres minúsculos do inglês (a-z)

• 10 dígitos básicos (0-9)

• Caracteres não-alfabéticos (por exemplo, !, $, #, %) Os requisitos de complexidade são impostos quando as senhas são criadas ou alteradas. Armazenar senhas usando criptografia reversível - Essa configuração de segurança

determina se o sistema operacional armazena senhas usando criptografia reversível. Esta diretiva oferece suporte a aplicativos que usam protocolos que exigem o

conhecimento da senha do usuário para fins de autenticação. Armazenar senhas usando criptografia reversível é basicamente o mesmo que armazenar versões das senhas em texto sem formatação. Por esse motivo, a diretiva jamais deve ser ativada, a menos que os requisitos de aplicativo sejam mais importantes que a necessidade de proteger as informações sobre senha.

Essa diretiva é necessária no uso da autenticação protocolo de autenticação de handshake de desafio (CHAP) através de acesso remoto ou de serviços de autenticação de Internet (IAS). Ela também é necessária quando a autenticação Digest é usada em IIS (serviços de informações da Internet).

Leia mais em Diretivas de Senha. Agora que vimos quais são as opções, eu já escolhi a minha:

Aqui estamos fazendo apenas testes e aprendendo a trabalhar com essas políticas, porém é extremamente importante saber que esses pequenos detalhes fazem parte de uma mudança cultural de qualquer empresa e é algo que tem que ser bem transparente e tratado com cuidado.

É de responsabilidade do cliente deve decidir quais opções escolher, mas é de nossa responsabilidade explicar estas opções e apontar o melhor caminho de acordo com o que o mesmo deseja.

Com a configuração efetuada, normalmente é necessário executar o comando gpupdate /force no Executar e aguardar alguns minutos ou em alguns casos pode ser necessário a reinicialização do servidor.

Pronto. Comece a criação dos nossos 17 usuários.

21 | P á g i n a

100 usuários

Antes de começarmos este tópico, aviso que é necessário um conhecimento mínimo de LDAP e seus atributos e também de Excel para que entendam e saibam como efetuar essa importação. Para aqueles que querem entender um pouco sobre LDAP:

http://support.microsoft.com/kb/196455/pt-br http://pt.wikipedia.org/wiki/LDAP http://www.computerperformance.co.uk/Logon/LDAP_attributes_active_directory.htm Você já imaginou o trabalho que teria caso precisasse criar 100 contas de usuários com os

nomes completos, nome de usuário e as respectivas senhas? Existe uma maneira de facilitar este trabalho e irei demonstrar aqui como iremos fazer! Para realizar essa tarefa utilizaremos um programa chamado CSVDE. Ele é um programa

nativo no Windows Server 2003 que nos permite importar/exportar objetos do AD para um arquivo em formato de texto.

Descrição da sigla: Comma (Vírgula) – Delimita os dados com uma vírgula. CSV é um formato ideal para o Excel. Separated (Separado) – Divide uma string de dados de modo que cada propriedade se encaixe em uma coluna LDAP. Value (Valor) – Focamos nos valores ao invés das propriedades. Data (Dados) – Mais uma vez se concentre nas informações e não se preocupe com os objetos. Exchange (Troca) – Move os dados da planilha para o AD e vice-versa.

A descrição acima foi retirada do site Computer Performance e pode ser lida através deste link: http://www.computerperformance.co.uk/Logon/Logon_CSVDE.htm#What_CSVDE_means_

Toda tradução foi feita livremente sem seguir fielmente o que estava escrito. Todo o conteúdo sobre CSVDE foi absolvido do site citado acima com adaptações e

modificações minha. Caso você tenha uma boa leitura em inglês, recomendo ler diretamente do site também.

Traduzindo a sigla CSVDE, ficaria algo como: Troca de dados através de valores separados por vírgula.

Através dos atributos do LDAP iremos determinar quais campos queremos preencher (Primeiro Nome, Segundo Nome, Descrição, etc). Utilizaremos os seguintes atributos:

22 | P á g i n a

O arquivo CSV terá o seguinte formato:

Copie, salve com qualquer nome .csv:

objectClass,givenName,cn,description,displayName,sAMAccountName,DN user,Usuário 1,Usuário 1 Sobrenome,Comercial,Usuário 1 Sobrenome,usuario1,"CN=Usuário 1 Sobrenome,OU=Comercial,OU=WESK,DC=WESK,DC=INTRANET"

Vamos abrir este arquivo no Excel:

Ao abrir a janela, siga os passos: § Escolha a opção Delimitado e avance. § Deixe apenas as opções Vírgula e Considerar delimitadores consecutivos como um

só: " marcadas e conclua.

O resultado será esse:

Um macete para que você não precise digitar toda vez o atributo DN é o seguinte: Apague a célula G2 onde estará o valor CN=Usuário 1 So...

Copie o conteúdo abaixo:

= "CN=" & C2 & ",OU=" & D2 & ",OU=WESK,DC=WESK,DC=INTRANET" Na célula G2, pressione F2, cole o conteúdo e pressione ENTER. Lembre-se que DN é a identificação única do objeto. Veja como ficou: CN=Usuário 1 Sobrenome,OU=Comercial,OU=WESK,DC=WESK,DC=INTRANET Nome do objeto + Caminho + Dominio.

23 | P á g i n a

Com todos os usuários criados (Até o Usuário 100):

Vamos salvar o arquivo para importá-lo no servidor. Após salvar o arquivo, perceba que o Excel salva com ; ao invés da vírgula e ele remove as

aspas também. Utilizando o próprio Word ou então o Notepad++ como eu costumo fazer, eu

simplesmente substituo o ; pela , e adiciono as aspas em seu devido lugar:

24 | P á g i n a

O resultado será este:

Podemos apenas selecionar tudo e copiar o conteúdo e em seguida criar um arquivo já no servidor e colar as informações.

Com o arquivo salvo, vamos importá-lo:

Lembrem-se que eu já havia criado as OUs: § WESK

o Comercial o Dep. Pessoal o Diretoria o Financeiro o TI

Para criar as OUs através do arquivo CSV, simplesmente crie o arquivo com o conteúdo abaixo e importe-o da mesma forma que fizemos com os usuários:

DN,objectClass

"OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

"OU=Comercial,OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

"OU=Dep. Pessoal,OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

"OU=Diretoria,OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

"OU=Financeiro,OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

"OU=TI,OU=WESK,DC=WESK,DC=INTRANET",organizationalUnit

25 | P á g i n a

O resultado da importação dos usuários será este:

Configurando os usuários através de comandos

Lembre-se que no próprio arquivo eu já havia configurado para onde os usuários iriam. Desta forma ficou dividido entre as OUs criadas anteriormente.

Se você observar a imagem, perceberá um X nos usuários. Este X indica que o usuário está desativado.

Talvez você esteja se perguntando: “Mas peraí... Eu tive esse trabalho para poupar tempo de criar os usuários manualmente, mas pelo visto terei que ativar todos os 100 usuários manualmente?!”

A resposta é... NÃO! Da mesma forma que temos um jeito mais prático de criar grandes quantidades de

usuários, também temos formas mais práticas de ativar os usuários, configurar uma senha para eles, entre outras personalizações.

No prompt de comando vamos utilizar dois programas, o DSQuery que é utilizado para efetuar pesquisas no AD de acordo com critérios que especificarmos. Também utilizaremos o DSMod para efetuarmos as devidas configurações nos objetos do AD.

Utilizem o comando abaixo: DSQuery user "OU=WESK,DC=WESK,DC=INTRANET" -name * -Limit 0

Entendendo os parâmetros:

user Tipo de objeto. "OU=WESK,DC=WESK,DC=INTRANET" Caminho do(s) objeto(s). -name * Retorna o (s)objeto(s) independente do nome. -Limit 0 Retorna o resultado independente da quantidade.

26 | P á g i n a

O resultado deverá ser este:

Agora vamos efetuar a pesquisa novamente e já adicionar o comando DSMod para que o resultado, no caso os usuários, sejam alterados:

O comando DSMod utilizado, faz com que o parâmetro disabled do objeto seja alterado

para “no” ou seja, o objeto passa a ter o status de ativado: DSMod user –disabled no O resultado deverá ser este:

DSQuery user "OU=WESK,DC=WESK,DC=INTRANET" -name * -Limit 0 | DSMod user -disabled no

27 | P á g i n a

Agora, vá no AD, clique em alguma OU e pressione o F5 para ver que os usuários foram ativados com sucesso!

Utilize o comando DSMod user /? para ter as mais diversas opções de configuração dos usuários. Como por exemplo:

Password never expires / Senha nunca expira: A senha dos usuários é configurada para Wesk@2011:

DSQuery user "OU=WESK,DC=WESK,DC=INTRANET" -name * -Limit 0 | DSMod user -pwdneverexpires yes

DSQuery user "OU=WESK,DC=WESK,DC=INTRANET" -name * -Limit 0 | DSMod user -pwd Wesk@2011

28 | P á g i n a

Final Encerramos por aqui. No WESK.INFO você encontrará outros textos relacionados ao

Windows Server. Espero que tenha conseguido passar um pouco de conhecimento para quem leu! Qualquer comentário sobre este documento pode ser enviado através do e-mail

wesk@hotmail.com.br ou whit3sh4rk@gmail.com ou ainda pelo próprio tópico no site. Não pude revisar o documento da forma que queria, então caso encontre algum erro

grotesco peço que me informe para tomar as devidas providências. Não posso deixar de recomendar alguns links que me ajudaram e ajudarão vocês nos

estudos: § http://jordanomazzoni.com.br/ § http://douglasfilipe.wordpress.com/ § http://www.atillaarruda.com.br/ § http://blogs.technet.com/b/brzad/ § http://blogs.technet.com/b/robsonsilva/ § http://www.windowsnetworking.com/ § http://www.computerperformance.co.uk/ § http://www.itcentral.com.br/

Existem dezenas de sites interessantes sobre o assunto, basta dar uma googlada por aí. Abraços. Bruno Carvalho (whit3_sh4rk / wesk)

Esta obra está licenciada sob uma Licença Creative Commons.

http://creativecommons.org/licenses/by-nc-sa/3.0/deed.pt_BR