O Active Directory (AD) é um serviço de diretório desenvolvido pela Microsoft para redes de domínios Windows. Os sistemas operacionais Windows Server o incluem como um conjunto de processos e serviços. Originalmente, apenas o gerenciamento centralizado de domínios utilizava o Active Directory. No entanto, ele acabou se tornando um título genérico para vários serviços relacionados à identidade baseados em diretório.
Um controlador de domínio é um servidor que executa a função de Active Directory Domain Services (AD DS). Ele autentica e autoriza todos os usuários e computadores em uma rede do tipo domínio Windows, atribuindo e aplicando políticas de segurança para todos os computadores e instalando ou atualizando softwares. Por exemplo, quando um usuário faz login em um computador que faz parte de um domínio Windows, o Active Directory verifica o nome de usuário e a senha enviados e determina se o usuário é um administrador de sistema ou um usuário comum. Além disso, permite o gerenciamento e armazenamento de informações, fornece mecanismos de autenticação e autorização e estabelece uma estrutura para implantar outros serviços relacionados: Certificate Services (Serviços de Certificado), Federation Services (Serviços de Federação), Lightweight Directory Services (Serviços de Diretório Leves) e Rights Management Services (Serviços de Gerenciamento de Direitos).
O Active Directory utiliza as versões 2 e 3 do Lightweight Directory Access Protocol (LDAP), a versão da Microsoft do Kerberos, e o DNS.
Robert R. King definiu-o da seguinte forma:
História Como muitos esforços de tecnologia da informação, o Active Directory originou-se de uma democratização do design utilizando Requests for Comments (RFCs). A Internet Engineering Task Force (IETF) supervisiona o processo de RFC e aceitou inúmeras RFCs iniciadas por participantes de diversos setores. Por exemplo, o LDAP serve de base para o Active Directory. Além disso, os diretórios X.500 e a Unidade Organizacional precederam o conceito do Active Directory que utiliza esses métodos. O conceito do LDAP começou a emergir antes mesmo da fundação da Microsoft em abril de 1975, com RFCs já em 1971. As RFCs que contribuíram para o LDAP incluem a RFC 1823 (sobre a API do LDAP, agosto de 1995), RFC 2307, RFC 3062 e RFC 4533.
A Microsoft apresentou uma prévia do Active Directory em 1999, lançou-o primeiramente com a edição Windows 2000 Server e revisou-o para estender a funcionalidade e melhorar a administração no Windows Server 2003. O suporte ao Active Directory também foi adicionado ao Windows 95, Windows 98 e Windows NT 4.0 por meio de uma correção (patch), com alguns recursos não suportados. Melhorias adicionais vieram com as versões subsequentes do Windows Server. No Windows Server 2008, a Microsoft adicionou outros serviços ao Active Directory, como o Active Directory Federation Services. A parte do diretório encarregada de gerenciar domínios, que era uma parte central do sistema operacional, foi renomeada para Active Directory Domain Services (AD DS) e tornou-se uma função de servidor como as outras. "Active Directory" tornou-se o título genérico de uma gama mais ampla de serviços baseados em diretório. De acordo com Byron Hynes, tudo relacionado à identidade foi trazido sob a marca do Active Directory.
Serviços do Active Directory Os Serviços do Active Directory consistem em múltiplos serviços de diretório. O mais conhecido é o Active Directory Domain Services, comumente abreviado como AD DS ou simplesmente AD.
Domain Services (Serviços de Domínio) O Active Directory Domain Services (AD DS) é a base de toda rede de domínio Windows. Ele armazena informações sobre os membros do domínio, incluindo dispositivos e usuários, verifica suas credenciais e define seus direitos de acesso. O servidor que executa esse serviço é chamado de controlador de domínio. Um controlador de domínio é contatado quando um usuário faz login em um dispositivo, acessa outro dispositivo na rede ou executa um aplicativo no estilo Metro de linha de negócios instalado localmente (sideloaded) em uma máquina.
Outros serviços do Active Directory (excluindo o LDS, conforme descrito abaixo) e a maioria das tecnologias de servidor da Microsoft dependem ou usam os Serviços de Domínio; os exemplos incluem Políticas de Grupo (Group Policy), Encrypting File System, BitLocker, Serviços de Nome de Domínio, Serviços de Área de Trabalho Remota, Exchange Server e SharePoint Server.
O Active Directory DS autogerenciado deve ser distinguido do Azure AD DS gerenciado, um produto em nuvem.
Lightweight Directory Services (Serviços de Diretório Leves) O Active Directory Lightweight Directory Services (AD LDS), anteriormente chamado de Active Directory Application Mode (ADAM), implementa o protocolo LDAP para o AD DS. Ele funciona como um serviço no Windows Server e oferece a mesma funcionalidade que o AD DS, incluindo uma API idêntica. No entanto, o AD LDS não exige a criação de domínios ou controladores de domínio. Ele fornece um Repositório de Dados para armazenar dados de diretório e um Serviço de Diretório com uma Interface de Serviço de Diretório LDAP. Ao contrário do AD DS, múltiplas instâncias do AD LDS podem operar no mesmo servidor.
Certificate Services (Serviços de Certificado) O Active Directory Certificate Services (AD CS) estabelece uma infraestrutura de chaves públicas local. Ele pode criar, validar, revogar e realizar outras ações semelhantes em certificados de chave pública para usos internos de uma organização. Esses certificados podem ser usados para criptografar arquivos (quando usados com o Encrypting File System), e-mails (conforme o padrão S/MIME) e tráfego de rede (quando usados por redes privadas virtuais, protocolo Transport Layer Security ou protocolo IPSec).
O AD CS antecede o Windows Server 2008, mas seu nome era simplesmente Certificate Services.
O AD CS requer uma infraestrutura de AD DS.
Federation Services (Serviços de Federação)
O Active Directory Federation Services (AD FS) é um serviço de logon único (single sign-on). Com uma infraestrutura de AD FS instalada, os usuários podem usar vários serviços baseados na web (por exemplo, fórum de internet, blog, compras online, webmail) ou recursos de rede usando apenas um conjunto de credenciais armazenadas em um local central, em vez de ter que receber um conjunto dedicado de credenciais para cada serviço. O AD FS usa muitos padrões abertos populares para passar credenciais de token, como SAML, OAuth ou OpenID Connect. O AD FS suporta criptografia e assinatura de asserções SAML. O objetivo do AD FS é uma extensão do AD DS: este último permite que os usuários se autentiquem e usem os dispositivos que fazem parte da mesma rede, usando um conjunto de credenciais; o primeiro permite que eles usem o mesmo conjunto de credenciais em uma rede diferente.
Como o nome sugere, o AD FS funciona com base no conceito de identidade federada.
O AD FS requer uma infraestrutura de AD DS, embora seu parceiro de federação possa não exigir.
Rights Management Services (Serviços de Gerenciamento de Direitos)
O Active Directory Rights Management Services (AD RMS), anteriormente conhecido como Rights Management Services ou RMS antes do Windows Server 2008, é um software de servidor incluído no Windows Server que permite o gerenciamento de direitos de informação. Ele usa criptografia e negação seletiva para restringir o acesso a vários documentos, como e-mails corporativos, documentos do Microsoft Word e páginas da web. Também limita as operações que os usuários autorizados podem realizar neles, como visualizar, editar, copiar, salvar ou imprimir. Os administradores de TI podem criar modelos predefinidos para os usuários finais por conveniência, mas os usuários finais ainda podem definir quem pode acessar o conteúdo e quais ações podem tomar.
Estrutura lógica O Active Directory é um serviço composto por um banco de dados e código executável. É responsável por gerenciar solicitações e manter o banco de dados. O Directory System Agent (Agente do Sistema de Diretório) é a parte executável, um conjunto de serviços do Windows e processos que rodam no Windows 2000 e posterior. O acesso aos objetos nos bancos de dados do Active Directory é possível através de várias interfaces, como LDAP, ADSI, API de mensagens e serviços do Security Accounts Manager.
Objetos utilizados As estruturas do Active Directory consistem em informações sobre objetos classificados em duas categorias: recursos (como impressoras) e entidades de segurança (que incluem contas de usuários ou computadores e grupos). Cada principal de segurança recebe um identificador de segurança (SID) exclusivo. Um objeto representa uma única entidade, como um usuário, computador, impressora ou grupo, junto com seus atributos. Alguns objetos podem até conter outros objetos dentro deles. Cada objeto possui um nome exclusivo e sua definição é um conjunto de características e informações por um esquema, que determina o armazenamento no Active Directory.
Os administradores podem estender ou modificar o esquema usando o objeto de esquema quando necessário. No entanto, como cada objeto de esquema é parte integrante da definição dos objetos do Active Directory, desativá-los ou alterá-los pode alterar fundamentalmente ou interromper uma implantação. A modificação do esquema afeta todo o sistema automaticamente e os novos objetos não podem ser excluídos, apenas desativados. A alteração do esquema geralmente requer planejamento.
Florestas, árvores e domínios Em uma rede Active Directory, a estrutura que contém os objetos possui diferentes níveis: a floresta, a árvore e o domínio. Os domínios dentro de uma implantação contêm objetos armazenados em um único banco de dados replicável, e a estrutura de nomes do DNS identifica seus domínios, o espaço de nomes. Um domínio é um grupo lógico de objetos de rede, como computadores, usuários e dispositivos, que compartilham o mesmo banco de dados do Active Directory.
Por outro lado, uma árvore é uma coleção de domínios e árvores de domínios em um espaço de nomes contíguo, vinculados em uma hierarquia de confiança transitiva. A floresta está no topo da estrutura, sendo uma coleção de árvores com um catálogo global padrão, esquema de diretório, estrutura lógica e configuração de diretório. A floresta é um limite seguro que limita o acesso a usuários, computadores, grupos e outros objetos.
Domínio-Boston Domínio-Nova Iorque Domínio-Philly Árvore-Sul Domínio-Atlanta Domínio-Dallas Domínio-Dallas OU-Marketing Hewitt Aon Steve OU-Vendas Bill Ralph Exemplo de organização geográfica de zonas de interesse dentro de árvores e domínios
Unidades organizacionais Os objetos mantidos em um domínio podem ser agrupados em unidades organizacionais (OUs). As OUs podem fornecer hierarquia a um domínio, facilitar sua administração e podem se assemelhar à estrutura da organização em termos gerenciais ou geográficos. As OUs podem conter outras OUs — os domínios são contêineres nesse sentido. A Microsoft recomenda o uso de OUs em vez de domínios para estruturação e para simplificar a implementação de políticas e administração. A OU é o nível recomendado no qual aplicar políticas de grupo, que são objetos do Active Directory formalmente chamados de objetos de política de grupo (GPOs), embora as políticas também possam ser aplicadas a domínios ou sites (veja abaixo). A OU é o nível no qual os poderes administrativos são comumente delegados, mas a delegação também pode ser realizada em objetos ou atributos individuais.