🟡 Intermédio 🕐 ~90 min Módulo 3 de 5

Active Directory
e Domínios

O Active Directory é o coração de qualquer infraestrutura Windows em rede. Aqui criamos o nosso domínio, organizamos os recursos, gerimos utilizadores e aplicamos políticas a toda a organização.

O que é o Active Directory?

O Active Directory Domain Services (AD DS) é o serviço de diretório da Microsoft. Funciona como uma base de dados centralizada de todos os objetos da rede — utilizadores, computadores, grupos, impressoras, políticas.

🏢

Domínio

Unidade administrativa básica. Ex: empresa.local. Todos os recursos pertencem ao domínio.

🖥️

Domain Controller (DC)

O servidor que corre o AD DS. Autentica utilizadores e aplica políticas. Deve haver pelo menos 2 por segurança.

🌲

Floresta (Forest)

Conjunto de domínios com relações de confiança. O primeiro domínio criado é o root domain.

📂

OU (Unidade Organizacional)

Pastas dentro do domínio para organizar objetos. Permitem delegação de controlo e aplicação de GPOs.

👤

Objeto

Qualquer entidade gerida pelo AD: utilizador, computador, grupo, impressora, pasta partilhada.

📋

GPO (Group Policy)

Conjunto de regras e configurações aplicadas automaticamente a utilizadores e computadores do domínio.

Instalar AD DS e Criar o Domínio

📋
Pré-requisito: O servidor deve ter IP estático e um nome correcto antes de instalar o AD DS. Certifica-te de que o Módulo 2 está concluído.

Método 1 — Via Server Manager (GUI)

1

Adicionar a Role AD DS

Server Manager → Add Roles and Features → Next → Next → Selecciona "Active Directory Domain Services" → Add Features → Next → Next → Install.

2

Promover a controlador de domínio

Após instalar, clica no aviso amarelo no Server Manager → "Promote this server to a domain controller".

3

Criar novo domínio

Selecciona "Add a new forest" → Root domain name: empresa.local (nunca usar um domínio real) → Next.

4

Nível funcional e DSRM

Forest e Domain Functional Level: Windows Server 2016 (ou 2022). Define a password de DSRM (Directory Services Restore Mode) — ex: Dsrm@2024!. Anota-a!

5

Instalar DNS automaticamente

O assistente deteta que não há servidor DNS e propõe instalar automaticamente — aceita. O AD DS depende do DNS para funcionar.

6

Reiniciar e verificar

Clica em Install. O servidor reinicia automaticamente. Após reiniciar, o login muda para EMPRESA\Administrator — confirma que o domínio foi criado.

Método 2 — Via PowerShell

PowerShell — Instalar AD DS e criar domínio 
# 1. Instalar a Role AD DS e ferramentas de gestão
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools

# 2. Criar nova floresta e domínio (vai pedir a password DSRM)
Install-ADDSForest `
    -DomainName "empresa.local" `
    -DomainNetbiosName "EMPRESA" `
    -DomainMode "WinThreshold" `
    -ForestMode "WinThreshold" `
    -InstallDns `
    -Force

# O servidor reinicia automaticamente
# Após reiniciar, verifica:
Get-ADDomain
Get-ADDomainController

Unidades Organizacionais (OUs)

As OUs são como pastas dentro do Active Directory. Servem para organizar os objetos do domínio de forma lógica (por departamento, localização, tipo...) e para aplicar GPOs específicas.

📁 empresa.local ├── 📁 OU=Empresa │ ├── 📁 OU=Direção │ │ ├── 👤 joao.silva (Diretor Geral) │ │ └── 👤 ana.costa (Secretária) │ ├── 📁 OU=Informática │ │ ├── 👤 rui.admin (Administrador TI) │ │ └── 🖥️ PC-TI-01 │ ├── 📁 OU=Recursos Humanos │ │ ├── 👤 maria.rh │ │ └── 🖥️ PC-RH-01 │ └── 📁 OU=Grupos │ ├── 👥 GRP-Contabilidade │ └── 👥 GRP-Administradores └── 📁 Computers (padrão — não usar)
PowerShell — Criar OUs 
# Criar OU raiz da empresa
New-ADOrganizationalUnit -Name "Empresa" `
                         -Path "DC=empresa,DC=local"

# Criar sub-OUs dentro de Empresa
New-ADOrganizationalUnit -Name "Direção" `
                         -Path "OU=Empresa,DC=empresa,DC=local"

New-ADOrganizationalUnit -Name "Informática" `
                         -Path "OU=Empresa,DC=empresa,DC=local"

New-ADOrganizationalUnit -Name "Recursos Humanos" `
                         -Path "OU=Empresa,DC=empresa,DC=local"

# Listar todas as OUs do domínio
Get-ADOrganizationalUnit -Filter "*" | Select-Object Name, DistinguishedName

Gerir Utilizadores

Criar utilizador via GUI (ADUC)

1

Abrir Active Directory Users and Computers

Iniciar → dsa.msc ou Server Manager → Tools → Active Directory Users and Computers.

2

Navegar até à OU correcta

Expande empresa.local → Empresa → Direção. Clica com botão direito → New → User.

3

Preencher dados do utilizador

First name: João · Last name: Silva · User logon name: joao.silva · Password → Next → Finish.

Gerir utilizadores via PowerShell

PowerShell — Gestão de Utilizadores AD 
# Criar utilizador
New-ADUser `
    -Name              "João Silva" `
    -GivenName         "João" `
    -Surname           "Silva" `
    -SamAccountName    "joao.silva" `
    -UserPrincipalName "joao.silva@empresa.local" `
    -Path              "OU=Direção,OU=Empresa,DC=empresa,DC=local" `
    -AccountPassword   (ConvertTo-SecureString "Temp@2024!" -AsPlainText -Force) `
    -ChangePasswordAtLogon $true `
    -Enabled           $true

# Desativar utilizador
Disable-ADAccount -Identity "joao.silva"

# Reativar utilizador
Enable-ADAccount -Identity "joao.silva"

# Repor password
Set-ADAccountPassword -Identity "joao.silva" `
                       -Reset `
                       -NewPassword (ConvertTo-SecureString "Nova@2024!" -AsPlainText -Force)

# Listar todos os utilizadores de uma OU
Get-ADUser -Filter "*" -SearchBase "OU=Empresa,DC=empresa,DC=local" `
           | Select-Object Name, SamAccountName, Enabled

Tipos de Grupos no AD

Tipo de GrupoÂmbitoUso típico
Domain LocalDentro do domínio localAtribuir permissões a recursos (pastas, impressoras) neste domínio
GlobalQualquer domínio da florestaAgrupar utilizadores com a mesma função (ex: "Contabilidade")
UniversalToda a florestaGrupos multi-domínio; usado em florestas grandes
PowerShell — Grupos e associações 
# Criar grupo Global de segurança
New-ADGroup -Name "GRP-Contabilidade" `
            -GroupScope Global `
            -GroupCategory Security `
            -Path "OU=Grupos,OU=Empresa,DC=empresa,DC=local"

# Adicionar utilizador ao grupo
Add-ADGroupMember -Identity "GRP-Contabilidade" `
                  -Members "joao.silva", "ana.costa"

# Ver membros do grupo
Get-ADGroupMember -Identity "GRP-Contabilidade" `
                  | Select-Object Name, SamAccountName

# Ver grupos de que um utilizador faz parte
Get-ADPrincipalGroupMembership -Identity "joao.silva" `
                               | Select-Object Name

Group Policy (GPO)

As Group Policy Objects (GPOs) são o mecanismo mais poderoso do AD — permitem configurar centenas de definições em todos os computadores e utilizadores do domínio, de forma centralizada e automática.

Ordem de aplicação das GPOs (LSDOU)

🖥️

L — Local

GPO local de cada computador. Aplica-se primeiro (prioridade mais baixa — pode ser substituída).

🌐

S — Site

GPOs ligadas ao Site do AD. Aplicadas antes das do domínio.

🏢

D — Domain

GPOs ligadas ao domínio. Ex: política de passwords mínimas para todo o domínio.

📂

OU — Organizational Unit

GPOs das OUs (da raiz para a OU mais específica). A OU mais específica tem prioridade máxima.

Criar uma GPO — Política de Passwords

1

Abrir Group Policy Management

Server Manager → Tools → Group Policy Management (ou gpmc.msc)

2

Criar nova GPO

Expande Floresta → Domínios → empresa.local. Clica com botão direito no domínio → Create a GPO in this domain → Nome: GPO-Politica-Passwords

3

Editar a GPO

Clica com botão direito na GPO → Edit. Navega para: Computer Config → Policies → Windows Settings → Security Settings → Account Policies → Password Policy

4

Configurar regras de password

Mínimo de caracteres: 12 · Complexidade: Ativada · Histórico: 5 passwords · Validade máxima: 90 dias

5

Forçar aplicação (em laboratório)

No cliente ou servidor: PowerShell → gpupdate /force. Verifica com gpresult /r.

PowerShell — GPOs e Group Policy 
# Listar todas as GPOs do domínio
Get-GPO -All | Select-Object DisplayName, GpoStatus, CreationTime

# Criar nova GPO e ligar a uma OU
New-GPO -Name "GPO-Desktop-Restrito"
New-GPLink -Name "GPO-Desktop-Restrito" `
           -Target "OU=Recursos Humanos,OU=Empresa,DC=empresa,DC=local"

# Forçar atualização de política neste computador
Invoke-GPUpdate -Force

# Ver políticas aplicadas ao utilizador/computador atual
gpresult /r
gpresult /h C:\relatorio-gpo.html  # relatório HTML detalhado

Ingressar um PC no Domínio

Para um computador com Windows 10/11 fazer parte do domínio, precisa de conseguir alcançar o DC via rede e DNS. O DNS do cliente deve apontar para o IP do Domain Controller.

1

Configurar DNS no cliente

No PC cliente: Definições de rede → IPv4 → DNS manual: 192.168.1.10 (IP do DC). Verifica com nslookup empresa.local — deve responder.

2

Ingressar no domínio

Clica com botão direito em Este PC → Propriedades → Alterar definições → Alterar... → selecciona Domínio → escreve empresa.local → OK.

3

Credenciais de domínio

Quando pedido, introduz as credenciais de um administrador de domínio: utilizador EMPRESA\Administrator, password do AD.

4

Reiniciar e verificar

Reinicia o PC cliente. No login, selecciona "Outro utilizador" e entra com EMPRESA\joao.silva. O computador deve aparecer no AD em Computers.

PowerShell — Ingressar no domínio (no cliente) 
# Ingressar no domínio (executar no PC cliente, como admin local)
$cred = Get-Credential "EMPRESA\Administrator"

Add-Computer -DomainName "empresa.local" `
             -Credential $cred `
             -OUPath "OU=Informática,OU=Empresa,DC=empresa,DC=local" `
             -Restart

# No DC — mover computador para a OU correcta
Get-ADComputer -Filter "Name -eq 'PC-01'" `
              | Move-ADObject -TargetPath "OU=Informática,OU=Empresa,DC=empresa,DC=local"
Laboratório

Lab 3 — Criar o domínio, OUs, utilizadores e uma GPO

Passo a passo

Construir a estrutura básica de um domínio escolar

  1. No DC-LAB01, instala a role AD DS: Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
  2. Cria o domínio: Install-ADDSForest -DomainName "escola.local" -DomainNetbiosName "ESCOLA" -InstallDns -Force
  3. Após reiniciar, cria a estrutura de OUs: OU=Escola com sub-OUs Professores, Alunos, Computadores e Grupos.
  4. Cria 3 utilizadores professores na OU Professores: prof.mario, prof.sofia, prof.pedro — password: Prof@2024!, obrigar a mudar no 1.º login.
  5. Cria 5 utilizadores alunos na OU Alunos: aluno.a1 a aluno.a5 — password: Aluno@2024!.
  6. Cria 2 grupos globais: GRP-Professores e GRP-Alunos. Adiciona os utilizadores aos grupos correspondentes.
  7. Cria uma GPO chamada GPO-Alunos-Restrito ligada à OU Alunos que desative o Painel de Controlo.
  8. Verifica: abre ADUC e confirma que todos os utilizadores e grupos estão nas OUs corretas. Tira screenshot.
🧪
Alternativa avançada: cria um script PowerShell que lê uma lista de nomes de um ficheiro CSV e cria todos os utilizadores automaticamente. Isto é o que se faz em ambientes reais com centenas de utilizadores!
Quiz

Verifica os teus conhecimentos — Módulo 3

1. O que é um Domain Controller (DC)?

2. Na ordem LSDOU de aplicação de GPOs, qual tem a prioridade mais alta (última a ser aplicada, sobrepõe-se a todas)?

3. Para que serve o comando gpupdate /force?

4. Antes de ingressar um computador cliente no domínio, o que é obrigatório configurar no cliente?

← Anterior Módulo 2 · Instalação