Active Directory
O Active Directory (AD) é um serviço de diretório desenvolvido pela Microsoft para redes de domínio Windows, fornecendo gerenciamento centralizado de usuários, computadores e outros recursos.
O Microsoft Active Directory (AD) é um serviço de diretório desenvolvido pela Microsoft para redes de domínio Windows. É um componente fundamental da maioria das infraestruturas de TI corporativas, fornecendo gerenciamento e organização centralizados de recursos de rede. O AD armazena informações sobre objetos como usuários, computadores, grupos, impressoras e aplicativos, e disponibiliza essas informações para usuários e administradores. A funcionalidade principal do AD gira em torno do conceito de domínio, que é um agrupamento lógico de objetos de rede. Dentro de um domínio, o AD impõe políticas de segurança, gerencia a autenticação e autorização de usuários e controla o acesso a recursos. Ele utiliza uma estrutura hierárquica, tipicamente organizada em árvores e florestas, permitindo escalabilidade e o gerenciamento de organizações grandes e distribuídas. Os principais protocolos usados pelo AD incluem LDAP (Lightweight Directory Access Protocol) para consultar e modificar informações do diretório, Kerberos para autenticação e DNS (Domain Name System) para localizar controladores de domínio e outros recursos de rede. O AD Domain Services (AD DS) é a função principal que fornece o banco de dados do diretório, serviços de autenticação e autorização. Outros serviços relacionados incluem Active Directory Certificate Services (AD CS) para infraestrutura de chave pública, Active Directory Federation Services (AD FS) para single sign-on entre diferentes organizações e Active Directory Rights Management Services (AD RMS) para proteção de dados. A principal desvantagem é a complexidade de configuração e manutenção, que exige conhecimento especializado, e os riscos de segurança potenciais se não for configurado e gerenciado adequadamente, como vulnerabilidades a ataques pass-the-hash ou Kerberoasting.
graph LR
Center["Active Directory"]:::main
Pre_dns["dns"]:::pre --> Center
click Pre_dns "/terms/dns"
Pre_authentication["authentication"]:::pre --> Center
click Pre_authentication "/terms/authentication"
Pre_authorization["authorization"]:::pre --> Center
click Pre_authorization "/terms/authorization"
Rel_ldap["ldap"]:::related -.-> Center
click Rel_ldap "/terms/ldap"
Rel_kerberos["kerberos"]:::related -.-> Center
click Rel_kerberos "/terms/kerberos"
Rel_group_policy["group-policy"]:::related -.-> Center
click Rel_group_policy "/terms/group-policy"
classDef main fill:#7c3aed,stroke:#8b5cf6,stroke-width:2px,color:white,font-weight:bold,rx:5,ry:5;
classDef pre fill:#0f172a,stroke:#3b82f6,color:#94a3b8,rx:5,ry:5;
classDef child fill:#0f172a,stroke:#10b981,color:#94a3b8,rx:5,ry:5;
classDef related fill:#0f172a,stroke:#8b5cf6,stroke-dasharray: 5 5,color:#94a3b8,rx:5,ry:5;
linkStyle default stroke:#4b5563,stroke-width:2px;
🧒 Explique como se eu tivesse 5 anos
Active Directory é como a sede principal de uma grande empresa que mantém um registro das crachás de todos, onde ficam suas mesas e em quais salas eles podem entrar, garantindo que apenas as pessoas certas possam acessar os lugares certos.
🤓 Expert Deep Dive
O Active Directory Domain Services (AD DS) implementa um banco de dados distribuído e hierárquico que armazena informações sobre objetos em uma rede, como usuários, computadores, grupos e políticas. Ele depende do protocolo Kerberos (RFC 4120) para autenticação e do LDAP (Lightweight Directory Access Protocol, RFC 4511) para consultar e modificar informações do diretório. O AD DS é organizado em domínios, árvores e florestas, formando uma estrutura lógica para o gerenciamento de recursos. Cada domínio tem seu próprio limite de segurança e contém um ou mais Controladores de Domínio (DCs) que replicam os dados do diretório. A replicação pode ser unidirecional ou bidirecional, tipicamente usando o modelo de Replicação Multimaster. Componentes arquitetônicos chave incluem o arquivo NTDS.DIT (um banco de dados JET Blue), o compartilhamento SYSVOL para Objetos de Política de Grupo (GPOs) e scripts de logon, e o Catálogo Global (GC) que fornece uma réplica parcial de todos os objetos na floresta para buscas mais rápidas entre os limites dos domínios. A autenticação envolve a obtenção de um Ticket Granting Ticket (TGT) do Serviço de Autenticação (AS) em um DC, que é então usado para solicitar um Service Ticket (ST) para recursos específicos. A autorização é gerenciada através de Listas de Controle de Acesso (ACLs) aplicadas a objetos, referenciando Identificadores de Segurança (SIDs) de usuários e grupos.
ldap
# Exemplo de consulta LDAP para encontrar um usuário
(objectClass=user)(sAMAccountName=johndoe)