DELEGAÇÃO E SEGURANÇA DE OBJETOS DO AD DS

A delegação do controle administrativo significa atribuir permissões que gerenciam o acesso a objetos e propriedades do Active Directory. Assim como é possível dar a um grupo a capacidade de modificar arquivos em uma pasta, é possível atribuir a um grupo a possibilidade de redefinir senha, desbloquear objetos usuários entre outras tarefas.

Todos os objetos do Active Directory, tais como usuário, grupos e computadores, são protegidos por uma lista de permissões. Essas permissões são chamadas de ACE (Access Control Entries). 

Delegue tarefas a equipes de TI facilitando o gerenciamento no atendimento dos chamados evitando que uma equipe de infra tenha que atender uma solicitação para desbloquear uma conta de usuário por exemplo. Neste artigo, vou mostrar na prática como delegar tarefas de gerenciamento do AD DS a dois grupos de HelpDesk N1 e N2.

Neste cenário há uma OU denominada de Colaboradores. Será atribuído à equipe de Helpdesk N1 a seguinte permissão aos objetos Usuários:

• Resetar senhas de usuários e trocar a senha no próximo logon

A equipe do HelpDesk N2 terá 

• Criar, deletar e gerenciar contas de usuários
• Crias, deletar e gerenciar grupos

Para executar essa prática, crie uma OU com o nome de Colaboradores na raiz do seu domínio e uma outra OU de nome Grupos. Na OU colaboradores, crie objetos usuários e na OU Grupos, crie os grupos HelpDesk N1 e HelpDesk N2.

1. Clique com o botão direito do mouse na OU colaboradores e escolha a opção Delegate Control

2. Será aberto uma Wizard para atribuição das permissões aos objetos. Clique em Next

3. Clique no botão Add. Na caixa Select Users, groups and computer, digite o nome do grupo Helpdesk N1 e em seguida clique em Check Names. Selecione o grupo informado e clique em OK. Em seguida clique em Next.

4. Escolha a opção selecionada na figura abaixo e depois clique em Next:

5. Clique em Finish.


Siga os passos de 1 a 4 para atribuir as seguintes permissões ao grupo Helpdesk N2:

Através do comando DSACLs.exe, é possível visualizar um relatório das permissões que acabamos de atribuir:

PS :> dsacls.exe "ou=colaboradores,dc=contoso,dc=local"

Se por algum motivo precisar voltar o padrão resetando todas as atribuições de permissões, use o comando:

PS :> dsacls.exe "ou=colaboradores,dc=contoso,dc=local" /s /t 

Aí está uma dica muito boa para o gerenciamento da sua estrutura do AD DS.