Windows Server — AD: floresta/domínio/OU, GPO/LSDOU, Kerberos × NTLM, LDAP, DHCP (DORA), RADIUS

A ideia que organiza o assunto

Uma rede com dez máquinas se administra na unha. Uma rede com dez mil, não: seria preciso criar a mesma conta dez mil vezes, repetir a mesma política em cada estação e confiar que ninguém esqueceu nenhuma. O Active Directory existe para que a identidade e a política sejam declaradas uma vez, num lugar só, e valham em toda a rede.

Para isso ele é duas coisas ao mesmo tempo, e é aí que a prova mora.

É uma hierarquia: floresta contém domínios, domínio contém unidades organizacionais, OU contém objetos (usuários, computadores, grupos). Cada nível existe porque é o limite de alguma coisa — a floresta é o limite de segurança e de esquema; o domínio é o limite de replicação e de administração; a OU é o limite de aplicação de GPO e de delegação.

E é um conjunto de protocolos com papéis que não se sobrepõem: o LDAP nomeia e consulta o diretório, o Kerberos autentica quem está pedindo, o DNS diz em que máquina está o controlador de domínio, o DHCP entrega a configuração de rede antes de qualquer uma dessas coisas acontecer, e o RADIUS autentica quem chega de fora, pela borda da rede.

O método de resolver o item é esse: pergunte de que nível da hierarquia, ou de qual desses protocolos, é a função descrita. Se o item diz que o DHCP autentica, que o LDAP roda sobre HTTP, que a árvore agrupa objetos ou que o contêiner recebe GPO, a resposta já apareceu sem que você precisasse de mais nada.

Por que se usa (e o que custa)

Ganha-se logon único e política central. O usuário se autentica uma vez e o tíquete Kerberos o leva a todos os serviços do domínio; o administrador escreve uma GPO e ela desce sobre milhares de estações sem que ninguém toque nelas. E ganha-se delegação: dá para entregar a administração de um departamento inteiro a alguém sem torná-lo administrador do domínio.

Paga-se em dependência. O AD não funciona sem DNS — é pelo DNS, e pelos registros SRV que ele publica, que o cliente descobre o controlador de domínio. Não funciona com o relógio fora de hora, porque o Kerberos usa carimbo de tempo e tolera pouca diferença. E paga-se em inércia estrutural: floresta e nível funcional são decisões difíceis de desfazer, e a replicação entre controladores faz com que a rede leve tempo até ficar consistente.

Como funciona

A hierarquia. Um domínio é um agrupamento lógico de objetos com uma base de dados e uma política de autenticação comuns. Uma árvore é um conjunto de domínios que compartilham um espaço de nomes DNS contíguo (unb.br, fga.unb.br). Uma floresta é um conjunto de árvores que compartilham esquema, partição de configuração e catálogo global — e entre todos os domínios de uma floresta existem, automaticamente, relações de confiança bidirecionais e transitivas. Desde o Windows 2000, o nome do domínio AD é o nome DNS completo do domínio.

Controlador de domínio × servidor membro. O DC guarda uma réplica da base do diretório e autentica; o servidor membro pertence ao domínio mas não guarda o diretório. A replicação é multimestre: todo DC escrevível aceita alteração e a propaga, de modo que todos os DCs do mesmo domínio acabam com uma cópia completa daquele domínio. Cinco funções, porém, não podem ser multimestre — os papéis FSMO —, e o RODC é a exceção somente-leitura.

OU × contêiner. A unidade organizacional existe para duas coisas: delegar administração e vincular GPO. Os contêineres padrão (o CN=Users, o CN=Computers) guardam objetos, mas não recebem vinculação de GPO — por isso mover objetos para dentro de OUs é o primeiro passo de qualquer política séria.

GPO e a ordem LSDOU. Uma diretiva de grupo é um conjunto de configurações de usuário e de computador. Ela é processada nesta ordem: Local → Site → Domínio → OU, das OUs mais altas para as mais baixas. Como a ordem é de aplicação, a última processada sobrescreve as anteriores em caso de conflito — na prática, a GPO da OU mais próxima do objeto vence. Cada configuração está em um de três estados: enabled, disabled ou not configured (que não altera nada e deixa passar o que veio de cima). A herança pode ser quebrada de dois jeitos: Block Inheritance, na OU, barra o que desce; Enforced (antigo No Override), no vínculo, força a descida — e o Enforced vence o bloqueio.

Kerberos. É o autenticador padrão do domínio desde o Windows 2000. O cliente prova quem é ao KDC (que roda no próprio DC) e recebe um TGT; com o TGT pede ao serviço de concessão um tíquete de serviço para cada recurso. A senha não trafega, e o que representa a identidade é o tíquete, não o par usuário/senha. Ele faz autenticação mútua: o servidor também prova ser quem diz ser — precisamente porque o protocolo não parte do princípio de que os servidores sejam genuínos. Em troca, exige DNS correto, nome de serviço (SPN) registrado e relógios sincronizados.

NTLM é o mecanismo antigo, de desafio-resposta sobre o hash da senha. Não faz autenticação mútua, não delega credenciais e é usado como recurso de reserva — quando se acessa por IP em vez de nome, quando não há domínio, quando o SPN não existe.

LDAP. É o protocolo de acesso ao diretório — e o AD é a implementação da Microsoft que o atende, não o contrário. Os objetos são nomeados por atributos encadeados: CN (nome comum), OU (unidade organizacional), DC (componente de domínio), O (organização). O DN é o caminho completo, escrito de baixo para cima e separado por vírgulas — cn=paulo,ou=vendas,ou=marketing,dc=abc,dc=xyz,dc=com — e nada impede que haja vários ou= no mesmo DN, um por nível de hierarquia. O mesmo objeto tem ainda o nome canônico, que é o caminho de cima para baixo, com barras: abc.xyz.com/marketing/vendas/paulo.

DHCP e o DORA. Antes de qualquer autenticação, a máquina precisa de endereço. A concessão se faz em quatro mensagens: DISCOVER (o cliente, ainda sem endereço, pergunta em difusão quem serve), OFFER (o servidor oferece um endereço), REQUEST (o cliente aceita formalmente, ainda em difusão, para que os demais servidores retirem suas ofertas) e ACK (o servidor confirma e a concessão começa a contar). O que se entrega, tipicamente, é endereço, máscara, gateway padrão e servidores DNS. A concessão (lease) tem prazo: o cliente tenta renovar na metade do prazo, direto com o servidor que concedeu, e faz nova difusão aos 87,5%. O serviço ainda integra com o DNS, atualizando dinamicamente os registros dos hosts, e admite failover entre dois servidores replicando os escopos IPv4, em modo de espera ou de balanceamento.

RADIUS. Autenticação, autorização e contabilização (AAA) para acesso à rede — VPN, 802.1X, discagem. Roda sobre UDP e é cliente-servidor, sendo o cliente o concentrador de acesso, não o usuário. Protege apenas o campo da senha com um segredo compartilhado: o restante do pacote trafega em claro.

O que decide os itens

O nível da hierarquia e o que ele delimita:

nível	é limite de	contém
floresta	segurança, esquema, catálogo global	árvores
árvore	espaço de nomes DNS contíguo	domínios
domínio	replicação e administração	OUs e objetos
OU	GPO e delegação	objetos e outras OUs

Daí sai a inversão mais cobrada do tópico: domínio agrupa objetos; árvore agrupa domínios; floresta agrupa árvores. Nunca o contrário.

Kerberos × NTLM:

	Kerberos	NTLM
prova a identidade com	tíquete emitido pelo KDC	desafio-resposta sobre o hash
autenticação mútua	sim	não — só o cliente prova
exige DNS e relógio	sim	não
delegação de credencial	sim	não
papel hoje	padrão do domínio	reserva/legado

Quem faz o quê — a tabela que resolve o item de atribuição:

ação descrita	de quem é
nomear e consultar objetos do diretório	LDAP
autenticar no domínio	Kerberos (NTLM como reserva)
localizar o controlador de domínio	DNS (registros SRV)
entregar IP, máscara, gateway e DNS	DHCP
autenticar acesso à rede/VPN (AAA)	RADIUS
proteger documentos e e-mails por direitos de uso	AD RMS
permitir tarefas administrativas sem ser admin do domínio	delegação de controle na OU
emitir e gerenciar certificados	AD CS

GPO: ordem L-S-D-OU, vence a última aplicada; not configured é o terceiro estado e não altera nada; Enforced prevalece sobre Block Inheritance; GPO se vincula a site, domínio e OU — não a contêiner nem a grupo.

DHCP: dá endereço por prazo, não fixo — o endereço fixo se obtém por reserva, que é outra coisa. Não autentica ninguém. Esgotado o escopo, o servidor continua renovando as concessões existentes, mas não atende novos clientes com endereços de outras sub-redes.

LDAP: o DN pode ter vários ou=; o formato canônico é o caminho com barras, de cima para baixo; DN, CN e OU são atributos de objeto.

Contas internas: Administrator e Guest são criadas automaticamente e podem ser renomeadas; a Guest vem desativada. O que não se pode é excluir a conta interna de administrador.

Números que caem


DORA	4 mensagens: Discover · Offer · Request · Ack
portas DHCP	67 servidor · 68 cliente (UDP) — DHCPv6: 547 · 546
renovação da concessão	50% do prazo (T1) e 87,5% (T2)
concessão padrão no Windows	8 dias (escopo com fio)
porta do LDAP	389 — LDAPS 636
catálogo global	3268 — sobre SSL 3269
porta do Kerberos	88 (TCP e UDP) — troca de senha 464
tolerância de relógio do Kerberos	5 minutos
tempo de vida do TGT	10 horas, renovável por até 7 dias
portas do RADIUS	1812 autenticação · 1813 contabilização (legado 1645/1646)
outras portas do domínio	DNS 53 · SMB 445 · RPC endpoint mapper 135
ordem de aplicação das GPOs	4 níveis: Local · Site · Domínio · OU
atualização de GPO	90 min (+ até 30 aleatórios) nos membros · 5 min nos DCs
lixeira do AD	nível funcional da floresta ≥ Windows Server 2008 R2
papéis FSMO	5: 2 de floresta (Schema, Domain Naming) + 3 de domínio (RID, PDC, Infrastructure)
objeto excluído / tombstone	180 dias
APIPA, quando o DHCP falha	169.254.0.0/16

Como a CEBRASPE derruba você aqui

Troca de termo — 27%, e o termo trocado é sempre o vizinho da mesma família. O resto da frase permanece impecável, e é por isso que ela convence. “o contêiner é um componente do Active Directory” com a descrição de delegação de direitos e vinculação de GPO — isso é a unidade organizacional; contêiner padrão, como CN=Users, apenas guarda objetos e não recebe diretiva, e é justamente por isso que o primeiro passo de qualquer política é mover os objetos para dentro de uma OU. O Kerberos que “utiliza usuário e senha para representar a identidade do usuário” — quem representa a identidade perante o serviço é o tíquete; a senha serve só para derivar a chave e nem trafega. “Um IPS atua como um filtro de pacotes” — decidir por cabeçalho é firewall; o IPS olha o conteúdo e procura assinatura de ataque. “Uma limitação do protocolo Kerberos é a autenticação” que supõe genuínos os servidores — essa é a limitação do NTLM; o Kerberos faz autenticação mútua. Monte o par — OU × contêiner, tíquete × senha, firewall × IPS, NTLM × Kerberos — e veja qual metade recebeu a descrição da outra.

Inversão — 23%. Duas descrições corretas, nos lugares trocados. “uma árvore é um agrupamento lógico de objetos”, com o domínio descrito como agrupamento de árvores — a subida é objeto → domínio → árvore → floresta, e nenhuma das metades é falsa isoladamente. “LDAP é um processo desenvolvido pela Microsoft que implementa o protocolo AD (Active Directory)” — é o contrário: o LDAP é o protocolo aberto do IETF, o AD é o produto que o implementa e o estende. A inversão também ataca qual é o padrão: “a configuração padrão do RDS permite, por meio de diretiva de grupo (GPO), que cada usuário mantenha mais de uma sessão simultânea” — o padrão é uma sessão por usuário, e são as sessões simultâneas que exigem mexer na diretiva. E ataca o que se pode fazer: Administrator e Guest “não podem ser desativadas nem renomeadas pelo administrador do domínio” — renomear o administrador interno é recomendação de segurança, a Guest já vem desativada; o que não se pode é excluir a conta interna. Confira o par, e pergunte sempre qual dos dois comportamentos é o de fábrica.

Atribuição errada — 18%. A ação existe; o serviço assinado não é aquele. É o formato natural de um tópico com muitos serviços de nomes parecidos. Do DHCP espera-se “um IP fixo, bem como a autenticação entre esse computador e o referido servidor” — ele concede endereço por prazo, não fixa nada e não autentica ninguém: autenticar acesso à rede é RADIUS com 802.1X, e no domínio é Kerberos. “o protocolo de inicialização de sessão (SIP) pode substituir o protocolo de configuração dinâmica de host (DHCP)” — o SIP sinaliza sessão entre partes que já têm pilha IP configurada. “O AD RMS (active directory rights management services)” descrito como quem permite executar tarefas administrativas sem direitos completos — isso é delegação de controle sobre a OU; o AD RMS protege documento com política de uso persistente. E, na ativação por KMS, “manter a conectividade periódica com o controlador de domínio Active Directory (AD)” — o contato periódico é com o host KMS, que nem exige AD. Confira o par ação/componente antes de qualquer outra coisa.

Generalização — 14%. “o DN (distinguished name) deve possuir somente um objeto ou” — uma OU aninhada em outra produz ou=vendas,ou=marketing naturalmente. O RADIUS “empregado para criptografar completamente dados transmitidos entre cliente e servidor” — só o atributo da senha é ofuscado com o segredo compartilhado; autorização e contabilização trafegam em claro. E o controlador de domínio como “o único tipo de servidor aplicável em domínios que se baseiam no AD” — existem servidores membros e controladores somente leitura. Achado o absoluto, procure o contraexemplo que ele exclui; quase sempre ele existe.

Número alterado e escopo esticado — 9% cada, dois itens cada. Nos números, a concessão do DHCP “por um período de tempo máximo de 12 horas” (não há teto: o prazo é parâmetro do escopo, e o padrão do Windows é de oito dias) e o LDAP que “utiliza o HTTP como base de funcionamento e opera na porta 80 TCP ou UDP” (é protocolo próprio sobre TCP, na 389). No escopo, o pool esgotado em que “novos hosts conseguirão endereços de outras subredes” (não conseguem — endereço de outra sub-rede não é roteável no segmento, e o cliente cai no APIPA) e o whoami que “permite listar os grupos do referido domínio” (ele lê apenas o token da sessão autenticada). A tabela de números acima resolve os dois primeiros; para os dois últimos, pergunte até onde alcança aquele comando.

Erros clássicos

Achar que o LDAP é a Microsoft e o AD é o padrão. É o contrário: o LDAP é o protocolo aberto de acesso a diretórios, e o AD é o serviço de diretório da Microsoft que o implementa e o estende.

Confundir OU com contêiner e com grupo. A OU organiza e recebe GPO; o contêiner apenas guarda; o grupo serve para atribuir permissão, e não se vincula GPO a grupo — filtra-se a GPO por grupo, que é outra coisa.

Inverter a ordem de precedência da GPO. Primeiro processada é a menos poderosa. Local perde para site, que perde para domínio, que perde para OU. Quem decora “LSDOU” às vezes decora achando que o primeiro vence.

Tratar reserva como concessão. O DHCP nunca dá endereço “fixo”: dá endereço por prazo. A reserva vincula endereço a MAC, mas continua sendo concessão, com renovação e tudo.

Esquecer que a difusão não atravessa roteador. Cliente e servidor DHCP em sub-redes diferentes só se falam por agente de retransmissão (relay, o ip helper-address). O item que afirma que o servidor atende naturalmente outra sub-rede está errado por isso.

Supor que o Kerberos confia no servidor. Ele autentica os dois lados — quem confia no servidor sem prova é o NTLM, e é exatamente essa a limitação do protocolo antigo.

Achar que o RADIUS cifra a sessão inteira. Cifra o campo da senha. Para proteger o resto existem RadSec, IPsec ou o sucessor Diameter.

Confundir os limites da floresta e do domínio. O limite de segurança é a floresta, não o domínio. Administrador de um domínio não é, por isso, contido de forma absoluta em relação aos demais domínios da mesma floresta — daí existirem florestas administrativas dedicadas, como a abordagem ESAE.