O conceito de Contas de Usuários no Windoes 2000.

Quando trabalhamos com uma rede de computadores, segurança é um dos itens de maior importância. O Administrador deve ser capaz de permitir que cada usuário somente tenha acesso aos recursos – sejam eles arquivos, impressoras, páginas ou aplicações Web e serviços – os quais sejam necessários para a realização do seu trabalho. Por exemplo, um usuário que trabalha no departamento de embalagem não deve ser capaz de acessar informações sobre salários contidas nos arquivos de um Computador do departamento de Recursos Humanos.

No Windows 2000 Server, podemos limitar os recursos aos quais cada usuário tem acesso, através do uso de permissões. As permissões de acesso podem ser atribuídas para um usuário individualmente, ou para um Grupo de Usuários. Para que possamos atribuir permissões, cada usuário deve ser cadastrado no sistema. Cadastrar o usuário significa criar uma “Conta de Usuário” para o mesmo. Com uma conta  o usuário pode efetuar o logon e receber permissões para acessar os mais variados recursos disponibilizados pelo Windows 2000 Server.

Uma conta pode ser criada em um Controlador de Domínio – situação em que a conta é válida e reconhecida em todo o domínio; ou a conta pode ser criada em um Servidor Membro – situação em que a conta somente é válida e reconhecida no Servidor Membro onde ela foi criada.

Nota: Para maiores informações sobre Domínios, Controladores de Domínio e Member Servers, consulte o Capítulo 4 do livro: "Série Curso Básico & Rápido Microsoft Windows 2000 Server", de minha autoria, publicado pela Axcel Books (www.axcel.com.br).

Contas criadas em um Controlador de Domínio são chamadas de “Domain User Accounts” ( Contas de Usuários do Domínio). Essas contas permitem que o usuário faça o logon em qualquer computador do domínio e receba permissões para acessar recursos em qualquer computador do domínio. Vamos trabalhar e criaro contas em um domínio chamado CARUNCHO , com um domínio DNS chamado caruncho.com. Para criar contas em Servidores Membro, o procedimento é bastante semelhante, apenas a quantidade de campos de informação de cada conta é um pouco menor.

Contas criadas em um Servidor Membro são chamadas de “Local User Accounts” ( Contas de Usuários Locais ). Essas contas somente permitem que o usuário faça o logon e receba permissões para acessar recursos do computador onde a conta foi criada. Sempre que possível evite criar Contas Locais em servidores que fazem parte de um domínio. Utilizar as contas do Domínio, as quais ficam armazenadas no Active Directory torna a administração bem mais fácil.

Outro detalhe que você deve observar, é a utilização de um padrão para o nome das contas de usuários. Você deve estabelecer um padrão para a criação de nomes, pois não podemos ter dois usuários com o mesmo nome de logon dentro da mesma Unidade Organizacional. Por exemplo se tivermos na mesma Unidade Organizacional, dois José da Silva e os dois resolverem utilizar como logon “jsilva”, estaremos com um problema. Para isso é importante que seja definido um padrão e no caso de nomes iguais deve ser definido uma maneira de diferenciá-los. Por exemplo poderíamos usar como padrão a primeira letra do nome e o último sobrenome. No caso de nomes iguais, acrescenta-se números. No nosso exemplo o primeiro José da Silva cadastrado ficaria como jsilva, já o segundo a ser cadastrado ficaria como jsilva1. Caso no futuro tivéssemos mais um José da Silva dentro da mesma Unidade Organizacional, este seria o jsilva2 e assim por diante.

Quando formos criar nomes de logon para os usuários, devemos levar em consideração os seguintes fatos:

• Nomes de Usuários do Domínio devem ser únicos dentro da Unidade Organizacional onde o usuário for cadastrado.
• Podem ter no máximo 20 caracteres.
• Os seguintes caracteres não podem ser utilizados:  “ / \ : ; [ ] | = , + *  ? < >

Sempre que você for cadastrar um usuário também deve ser cadastrada uma senha para o mesmo, além disso podemos especificar um número mínimo de caracteres aceito para a senha, conforme veremos mais adiante nesta lição. O número máximo de caracteres da senha é 128.

IMPORTANTE: Para as senhas, o Windows 2000 Server distingue letras maiúsculas de minúsculas. Por exemplo a senha “Abc123” é diferente da senha “abc123”.

Vamos praticar um pouco. Vamos criar algumas contas de usuários ( lembrando que as telas de exemplo mostram a criação de contas em um Controlador de Domínio), depois vamos alterar algumas propriedades destas contas.

Exemplo:

Criar as seguintes contas de usuários com as respectivas senhas:

Para criar a Conta para o usuário José da Silva.

1.         Efetue o logon como Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e dentro de Programas aponte para Ferramentas administrativas.
3.         No menu que surge, dê um clique na opção:Usuários e computadores do Active Directory.
Será inicializado o MMC e carregado o Snap-In para Gerenciamento do Diretório, conforme indicado pela Figura I.7

Figura I.7 O Snap-in para Gerenciamento do Diretório.

4.         Dê um clique no sinal de + ao lado de caruncho.com ( provavelmente o nome do seu domínio seja diferente, dê um clique no sinal de + ao lado do nome do seu domínio).
Abaixo de caruncho.com surgem diversas opções.
5.         Dê um clique na opção Users ( ou Usuários se você estiver utilizando o Windows 2000 Server em Português). No painel da direita é exibida uma listagem com o nome de todos os usuários, conforme indicado na Figura I.8.

Figura I.8 Listagem com todos os Usuários já cadastrados.

6.         Dê um clique com o botão direito do mouse, sobre a opção Users ( ou Usuários se for o caso).
7.         No menu que surge, aponte para a opção New ( Novo) e no menu que surge dê um clique em Usuário. Surge um assistente para ajudá-lo a criar um novo usuário. Digite as informações para criar o usuário jsilva, conforme indicado na Figura I.9.

Figura I.9 Criando o usuário jsilva.

IMPORTANTE: Nome de logon do usuário é o nome que o usuário utiliza para efetuar o logon em computadores com o Windows 2000 Server. Já Nome de logon do usuário ( anterior ao Windows 2000 ) é o nome que o usuário utiliza para efetuar o logon em computadores com versões mais antigas do Windows,  tais como o Windows NT Server 4.0. Por simplicidade estes dois nomes devem ser iguais, observe que a medida que você digitar o primeiro, o segundo será automaticamente preenchido.

OBS: A medida que você for digitando o Nome, Iniciais e Sobrenome, o Windows 2000 Server vai preenchendo o campo Nome completo. Caso você queira é possível alterar o Nome completo, sem que isso provoque mudança nos demais campos.

8.         Dê um clique no botão Avançar para ir para a próxima etapa.
9.         Na próxima tela você deve digitar a senha do usuário duas vezes, para confirmação, conforme indicado na Figura I.10.. Digite senha123 nos campos Senha e Confirmar senha. Observe que a medida que você digita a senha, o Windows 2000 Server exibe apenas asteriscos ( * ) nos campos Senha e Confirmar senha.

Outras opções que podem ser configuradas nesta tela:

• O usuário deve alterar a senha no próximo logon : Se esta opção estiver marcada, a primeira vez que o usuário fizer o logon, será solicitado que o mesmo altere a sua senha. Esta opção é utilizada para que o usuário possa colocar uma senha que somente ele conhece, pois a primeira vez que o usuário é cadastrado, a senha é digitada pelo Administrador, o qual fica sabendo a senha do usuário. No próximo logon o usuário altera a senha de tal maneira que somente ele saiba qual a senha para a sua conta.
• O usuário não pode alterar a senha: A senha somente pode ser alterada pelo Administrador. Normalmente utilizada para empregados temporários e para estagiários.
• A senha nunca expira: Independente das políticas de segurança do domínio, se esta opção estiver marcada, o usuário nunca precisa trocar a sua senha. Caso contrário de tempos em tempos (conforme configurado nas políticas de segurança do domínio ), o usuário deve trocar a senha.
• A conta está desativada: O Administrador marca esta opção para bloquear a conta de um usuário. Usuários com a conta bloqueada não podem mais efetuar logon e, consequentemente, não podem mais acessar recursos da rede. Esta opção normalmente é utilizada para desativar, temporariamente, a conta de empregados que estão em férias. Quando o empregado retorna ao serviço, o Administrador libera a sua conta, simplesmente desmarcando esta opção.

Figura I.10 Cadastrando a senha para o usuário.

10.       Certifique-se de que as 4 opções acima descritas estão desmarcadas e dê um clique no botão Avançar
11.       Surge uma tela informando que um novo objeto será criado. Lembre-se que todos os elementos do Active Directory são chamados de objetos. Dê um clique no botão Concluir. Feito isso o usuário José da. Silva já aparece na listagem de usuários, conforme indicado na Figura I.11.

Figura I.11 Usuário José da. Silva já cadastrado.

Feche a janela indicada na Figura I.11.

Agora vamos efetuar o logoff do usuário Administrador e fazer o logon com a conta jsilva, para verificar se a mesma está funcionando corretamente.

Para efetuar o logoff do usuário Administrador e se logar como jsilva.

1.         Feche todos os aplicativos que você tiver aberto
2.         Dê um clique no botão Iniciar e depois na opção Desligar.
3.         Surge a janela Desligar o Windows.
4.         Na lista escolha “Efetuar logoff de Administrador” e dê um clique em OK.
5.         Em poucos instantes o logoff é efetuado e o Windows 2000 Server volta a mostrar a tela inicial de logon.
6.         Pressione Ctrl+Alt+Del.
7.         Na tela que surge, no campo Nome do usuário, digite jsilva
8.         No campo Senha digite senha123.
9.         Caso o campo Efetuar logon em:, não esteja sendo exibido, dê um clique no botão Opções. O campo Efetuar logon em: mostra o nome do domínio no qual você está se logando.
Dê um clique em OK e pronto, você terá se logado com a conta de usuário jsilva, recém criada.
Faça o logoff do usuário jsilva.

Nota: Crie as contas para os usuários maria e paulo, com as senhas indicadas na Tabela I.1, e depois faça o logon com cada uma das contas, para testar se as mesmas foram criadas corretamente.

Alterando propriedades importantes das contas de usuários.

Vamos aprender a alterar uma conta de usuário, também veremos algumas propriedades importantes que podem ser alteradas depois que a conta é criada. Veremos como renomear  uma conta de usuário e como definir as políticas de segurança relativas às senhas dos usuários, tais como tamanho mínimo da senha, período para expiração das senhas, etc.

Exemplo: Neste primeiro exemplo, vamos ver como alterar a conta do usuário jsilva.

Para alterar a conta do usuário jsilva.

1.         Efetue o logon como Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e dentro de Programas aponte para Ferramentas administrativas.
3.         No menu que surge, dê um clique na opção: Usuários e computadores do Active Directory.
4.         Será inicializado o MMC e carregado o Snap-In para Gerenciamento do Diretório.
5.         Dê um clique no sinal de + ao lado de caruncho.com ( provavelmente o nome do seu domínio seja diferente, dê um clique no sinal de + ao lado do nome do seu domínio).
Abaixo de caruncho.com surgem diversas opções.
6.         Dê um clique na opção Users ( ou Usuários se você estiver utilizando o Windows 2000 em Português). No painel da direita é exibida uma listagem com o nome de todos os usuários cadastrados.
7.         Localize o usuário José da Silva e dê um clique duplo sobre o mesmo para abrir as propriedades da conta deste usuário. Surge uma janela, com diversas guias, através das quais podemos configurar uma série de propriedades, conforme indicado na Figura I.12. Ao abrir as propriedades de uma conta de usuário, a guia Geral já vem selecionada por padrão.

Figura I.12 Alterando as propriedades da conta do usuário José da Silva.

8.         Digite as informações para os campos Descrição, Escritório, Telefone e Correio eletrônico, conforme indicado na Figura I.12
.
9.         Dê um clique no botão OK para fechar a janela de propriedades e salvar as alterações.
Você terá voltado a janela Usuários e computadores do Active Directory. Observe que a coluna Descrição para o usuário José da Silva, já exibe o valor que você digitou no campo Descrição da guia Geral.

NOTA: Altere as propriedades das contas maria e paulo, criadas anteriormente. Preencha os campos Descrição, Escritório, Telefone e Correio eletrônico. Invente valores para esses campos, o objetivo é fixar os passos para alterar as propriedades de uma conta de usuário.

Exemplo: Agora vamos aprender o significado e como alterar algumas propriedades mais avançadas das contas de usuários. Vamos aprender a limitar as horas em que o usuário pode efetuar o logon, bem como limitar os computadores nos quais o usuário pode efetuar o logon.

Para alterar propriedades importantes do usuário jsilva.

1.         Efetue o logon como Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e dentro de Programas aponte para Ferramentas administrativas.
3.         No menu que surge, dê um clique na opção: Usuários e computadores do Active Directory.
Será inicializado o MMC e carregado o Snap-In para “Gerenciamento do Diretório”.
4.         Dê um clique no sinal de + ao lado de caruncho.com ( provavelmente o nome do seu domínio seja diferente, dê um clique no sinal de + ao lado do nome do seu domínio).
5.         Abaixo de caruncho.com surgem diversas opções.
6.         Dê um clique na opção Users. No painel da direita é exibida uma listagem com o nome de todos os usuários cadastrados.
7.         Localize o usuário José da Silva e dê um clique duplo sobre o mesmo para abrir as propriedades da conta deste usuário. Surge uma janela, com diversas guias, através das quais podemos configurar uma série de propriedades, conforme indicado na Figura I.12. Ao abrir as propriedades de uma conta de usuário, a guia Geral já vem selecionada por padrão.
8.         Dê um clique na guia Endereço. Preencha os campos conforme indicado na Figura I.13.

Figura I.13 Preenchendo os campos da guia Endereço.

9.         Dê um clique na guia Conta. Nesta guia você pode alterar as informações básicas sobre a conta do usuário, conforme indicado pela Figura I.14. Um administrador pode utilizar essa guia, por exemplo, para desativar a conta de um empregado em férias. Para isso basta marcar a opção “A conta está desativada”.

Figura I.14 Alterando as propriedades básicas da conta do usuário.

10.       Na guia Conta você também pode estipular em que horário do dia o usuário pode fazer o logon. Por padrão o logon é permitido durante as 24 horas do dia, quando a conta é criada. Podem existir situações em que determinados usuário somente devem ter permissões para se logar durante um certo período.
11.       Para definir o período em que o usuário pode se logar, na guia Conta, dê um clique no botão “Horário de logon...”, que será exibida a janela indicada na Figura I.15.

Figura I.15 Configurando os horários de logon permitidos.

12.       Observe que por padrão o logon é permitido durante as 24 horas de todos os dias. Vamos alterar essa configuração de tal forma que o usuário jsilva somente possa se logar das 8 da manhã às 18 horas da tarde de segunda à sexta-feira.
13.       Quadradinho azul indica horário permitido e quadradinho branco, horário não permitido.
Para alterar a cor de um quadradinho, basta pressionar o mouse sobre o mesmo, segurar o mouse pressionado e ir arrastando para marcar um ou mais quadradinhos. A medida que você vai arrastando os quadradinhos vão sendo selecionados. Depois de selecionados basta dar um clique na opção desejada: Logon permitido ou Logon negado, que o Windows 2000 Server altera a cor do quadradinho, conforme a opção escolhida.
14.       Utilize a técnica de arrastar, para configurar os horários permitidos conforme indicado na Figura I.16, depois dê um clique no botão OK. Você estará de volta a guia Conta.

Figura I.16 Logon permitido somente de segunda à sexta-feira, das 8:00 às 18:00 hs.

OBS.: Para selecionar um dia todo, por exemplo Domingo, basta clicar no botão Domingo. Isso é muito mais fácil do que arrastar o mouse sobre todos os quadradinhos do Domingo. O mesmo é válido para o botão das horas. Se você clicar no botão 8, você estará selecionando o quadradinho correspondente as 8 horas de todos os dias.

15.       Agora vamos limitar os computadores nos quais o usuário jsilva pode efetuar o logon. Esse procedimento normalmente é adotado com empregados temporários ou estagiários, de tal forma que o Administrador posso controlar em quais computadores esses usuários podem efetuar o logon.
16.       Ainda na guia Conta, dê um clique no botão “Efetuar logon em...” .
17.       Surge a janela indicada na Figura I.17. Observe que por padrão o usuário pode efetuar o logon em qualquer computador do domínio.

Figura I.17 Logon permitido em todos os computadores do domínio por padrão.

18.       Para limitar o logon a um número restrito de computadores, dê um clique na opção Os seguintes computadores.
19.       No campo Nome do computador digite o nome de um computador onde o usuário pode efetuar o logon e clique no botão Adicionar.
20.       Repita a operação do passo anterior para cada computador que você quiser adicionar. Observe na Figura I.18, que estamos dando permissões para o usuário jsilva se logar somente em dois computadores: server1 e server2. Para remover um computador da lista, dê um clique no nome do computador para marcá-lo, depois dê um clique no botão Remover.

Figura I.18 Adicionando computadores a lista.

21.       Após ter adicionado os computadores desejados, dê um clique no botão OK.
22.       Você estará de volta à guia Conta.
23.       Dê um clique no botão OK para fechar as propriedades da conta jsilva.
24.       Feche o Console Usuários e computadores do Active Directory.
25.       Com as modificações que acabamos de fazer, o usuário jsilva somente poderá se logar no período das 8:00 às 18:00 hs, e somente nos computadores server1 e server2.

Nota: Altere as propriedades das contas maria e paulo. Invente informações para os endereços das mesmas. Configure as contas para que as mesmas somente possam efetuar o logon das 7:00 às 12:00, de terça à sexta-feira. Limite o logon destas contas apenas ao computador com o nome de server1.

Exemplo: Vamos aprender a renomear uma conta de usuário.

IMPORTANTE: Quando falamos em renomear um usuário, significa renomear o “Nome de logon do usuário. No nosso exemplo vamos alterar o nome de logon de jsilva para jsilva2.

Para renomear uma conta de usuário.

1.         Efetue o logon como Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e dentro de Programas aponte para Ferramentas administrativas.
3.         No menu que surge, dê um clique na opção: Usuários e computadores do Active Directory.
4.         Será inicializado o MMC e carregado o Snap-In para Gerenciamento do Diretório.
5.         Dê um clique no sinal de + ao lado de caruncho.com (provavelmente o nome do seu domínio seja diferente, dê um clique no sinal de + ao lado do nome do seu domínio).
6.         Abaixo de caruncho.com surgem diversas opções.
7.         Dê um clique na opção Users ( ou Usuários se for o caso). No painel da direita é exibida uma listagem com o nome de todos os usuários cadastrados.
8.         Localize o usuário José da Silva e dê um clique duplo sobre o mesmo para abrir as propriedades da conta deste usuário.
9.         Dê um clique na guia Conta. Altere os campos “Nome de logon do usuário” e “Nome de logon do usuário (anterior ao Windows 2000), de jsilva para jsilva2, conforme indicado pela Figura I.19.

Figura I.19 Alterando o nome de logon de jsilva para jsilva2.

10.       Dê um clique em OK para fechar a janela com as propriedades do usuário e depois feche o console Usuários e computadores do Active Directory.
11.       Efetue o logoff do usuário Administrador
Faça o logon como jsilva2 e para a senha digite senha123, para testar que o usuário jsilva foi renomeado com sucesso para jsilva2.

Nota = Renomeie o usuário “maria” para “maria2” e tente efetuar o logon como maria2  e para a senha digite senha123, para verificar se o usuário maria foi renomeado com sucesso para maria2. Lembre que renomear o usuário é alterar o seu nome de logon.

Definindo as políticas de senhas.

O Windows 2000 Server permite que sejam definidos alguns parâmetros para as senhas a serem utilizadas pelos usuários. Por exemplo, você pode definir que as senhas devem ter um tamanho mínimo de 8 caracteres, ou que as mesmas devem ser trocadas de 40 em 40 dias e que não pode ser utilizada uma senha igual as três anteriores.

Estes são apenas alguns exemplos do que chamamos de Account Polices, que nada mais são do que algumas regras que as senhas devem obedecer.

Podemos definir as “Account Polices” através do console “Diretivas de segurança de domínio”, o qual é acessível através do menu Ferramentas administrativas do menu Programas.

Exemplo: Vamos definir alguns parâmetros, utilizando o console Diretivas de segurança do domínio.

Para definir algumas regras para as senhas.

1.         Efetue o logon como Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e dentro de Programas aponte para Ferramentas administrativas.
3.         No menu que surge, dê um clique na opção: Diretivas de segurança do domínio.
4.         Será inicializado o MMC e carregado o Snap-In que permite que sejam configurados vários aspectos de segurança para o domínio.
5.         Dê um clique no sinal de + ao lado da opção Windows Settings (Configurações do Windows ), para abri-la.
6.         Nas opções que surgem abaixo de Windows Settings, dê um clique no sinal de + ao lado da opção Security Settings (Configurações de Segurança), serão exibidas diversas opções, conforme mostrado na Figura I.20.

Figura I.20 Configurações de segurança para o dominio.

7.         Dê um clique no sinal de + ao lado da opção Accounts Polices para abri-la.
8.         Nas opções que aparecem, abaixo de Accounts Polices, dê um clique na opção Diretivas de senha. No painel da direita do MMC são exibidas as diversas diretivas que podem ser alteradas.
9.         Localize a opção Comprimento mínimo de senha e dê um clique duplo sobre a mesma. Será aberta a janela Configuração da diretiva de segurança. Observe que por padrão o comprimento mínimo é definido em zero, o que permite que o usuário deixe a senha em branco.
10.       Permitir que o usuário deixe a senha em branco não é uma boa política de segurança. Clicando na setinha para cima, altere o valor de zero para 8 caracteres, conforme indicado na Figura I.21.

Figura I.21 Exigindo que as senhas tenham pelo menos 8 caracteres.

11.       Dê um clique no botão OK para fechar a janela Configuração da diretiva de segurança. Você estará de volta ao console Diretiva de segurança do domínio.
12.       Localize a opção Enforce password history (Forçar histórico de senhas), e dê um clique duplo sobre a mesma. Será aberta a janela indicada na Figura I.22.

Figura I.22 Alterando o histórico de senhas.

13.       Nesta janela você define o Histórico de senhas. Altere o campo Manter histórico de senha: de 1 para 3 e dê um clique no botão OK para fechar a janela. Isso significa que quando o usuário for alterar a senha, o mesmo não pode utilizar uma senha igual às últimas três utilizadas.
14.       Você estará de volta ao console Diretiva de segurança do domínio.
15.       Localize a opção Tempo de vida máximo da senha e dê um clique duplo sobre a mesma. Será aberta a janela indicada na Figura I.23.

Figura I.23 Alterando o tempo máximo de vida da senha.

16.       Nesta janela você define durante quantos dias uma senha é válida. Depois de passado este prazo, ao efetuar o logon o usuário será avisado que a senha expirou e que a mesma deve ser alterada. Observe que por padrão o tempo de vida da senha é 42 dias.
17.       Altere o tempo máximo de vida da senha para 30 dias e dê um clique no botão OK.
18.       Você estará de volta ao console Diretiva de segurança do domínio.
19.       Observe que os novos valores para as diretivas Comprimento mínimo de senha, Enforce password history e Tempo de vida máximo de senha já apresentam os novos valores configurados.
20.       Feche o console Diretiva de segurança do domínio.

IMPORTANTE: Com as modificações que fizemos nesta lição, as senhas devem ser alteradas de 30 em 30 dias ( diretiva Tempo de vida máximo de senha) , devem ter no mínimo 8 caracteres ( letras, números, e qualquer um dos caracteres especiais permitidos ) – diretiva  Comprimento mínimo de senha - , e ao alterar a senha, o usuário não poderá repetir uma das três últimas senhas utilizadas ( diretiva Enforce password history).

Nota: Altere as diretivas de segurança, de tal maneira que o tamanho mínimo permitido para as senhas seja 10, que não seja permitida utilizar uma senha igual às 4 últimas e que o tempo máximo de vida seja de 45 dias.

Neste tópico vamos ver um pouco de teoria sobre grupos de usuários. Em seguida vamos praticar criando alguns grupos e adicionando alguns membros aos grupos criados.
Um grupo de usuários é uma coleção de contas de usuários. Por exemplo, podemos criar um grupo chamado Contabilidade, do qual farão parte todos os usuários do departamento de Contabilidade.

A principal função dos grupos de usuários é facilitar a administração e a atribuição de permissões para acesso a recursos, tais como: pastas compartilhadas, impressoras remotas, serviços diversos, páginas e aplicações Web, etc.

Ao invés de darmos permissões individualmente, para cada um dos usuários que necessitam acessar um determinado recurso, podemos criar um grupo e atribuir permissões para o grupo. Para que um usuário tenha permissão ao recurso, basta incluir o usuário no grupo, pois todos os usuários de um determinado grupo, herdam as permissões do grupo.

Quando um usuário troca de seção, por exemplo, basta trocar o usuário de grupo. Vamos supor que o usuário jsilva trabalha na seção de contabilidade e pertence ao grupo Contabilidade. Ao ser transferido para a seção de marketing, basta retirarmos o usuário do grupo Contabilidade e adicioná-lo ao grupo Marketing. Com isso o jsilva deixa de ter as permissões atribuídas ao grupo Contabilidade e passa a ter as mesmas permissões que tem o grupo Marketing. Veja o quanto a utilização de grupos pode facilitar a atribuição de permissões.

Podemos inclusive ter situações mais específicas. Vamos supor que exista um sistema chamado SEAT.NET, para o qual somente um número restrito de usuários deva ter acesso, sendo que são usuários de diferentes seções. A maneira mais simples de solucionar isso é criar um grupo chamado Seat.Net e dar permissões de acesso para esse grupo. Assim cada usuário que precisar acessar o sistema SEAT.NET, deve ser incluído no grupo Seat.Net. Quando o usuário não deve mais ter acesso ao sistema SEAT.NET, basta removê-lo do grupo Seat.Net.

Na Figura I.24 vemos uma ilustração para o conceito de Grupo de usuários. O Grupo Contabilidade possui direito para um recurso compartilhado, o qual pode ser acessado através da rede. Todos os usuários que pertencem ao grupo contabilidade, também possuem permissão para o recurso compartilhado, uma vez que os usuários de um grupo, herdam as permissões do grupo.

Figura I.24 O Usuário herda as permissões do grupo.

Quando estiver trabalhando com grupos de usuários, considere o seguinte:

• Grupos são uma coleção de contas de usuários.
• Os membros de um grupo, herdam as permissões atribuídas ao grupo.
• Os usuários podem ser membros de vários grupos
• Grupos podem ser membros de outros grupos.

Agora vamos dar uma olhada nos tipos de grupos existentes no Windows 2000 Server.

Podemos ter dois tipos de grupos no Windows 2000 Server:

• Grupos de segurança ( Security Groups)
• Grupos de distribuição (Distribution Groups).

Grupos de segurança: Normalmente utilizado para atribuir permissões a recursos da rede. O Windows 2000 Server somente utiliza Grupos de segurança. Um grupo de segurança também pode ser utilizado como um grupo de distribuição, embora essa não seja uma situação muito comum. Esses grupos, assim coma as contas de usuários são armazenados no Banco de dados do diretório.

Grupos de distribuição: São utilizados para funções não relacionadas com segurança . Uma das utilizações típicas para um Grupo de distribuição é o envio de mensagens de e-mail para um grupo de usuários de uma só vez. Somente programas que foram programados para trabalhar com o Active Directory, poderão utilizar Grupos de distribuição. Provavelmente as novas versões dos principais sistemas de correio eletrônico estarão habilitadas para trabalhar com o Active Directory. O Exchange Server da Microsoft é integrado com o Active Directory.Não podemos utilizar grupos de distribuição para funções relacionadas com segurança.

Escopo de grupos de usuários:

Quando criamos um grupo de usuários, devemos selecionar um tipo e um escopo. O Escopo permite que o grupo seja utilizado de diferentes maneiras para a atribuição de permissões. O escopo de um grupo, determina em que partes da rede, poderemos usar o grupo para atribuir permissões para o grupo. Existem três escopos para grupos de usuários, conforme descrito a seguir:

Grupos globais (Global group):

• Somente podem conter membros do domínio no qual o grupo é criado.
• Pode receber permissões para recursos localizados em qualquer domínio.
• Grupos locais do domínio (Domain local group) :
   
  Pode conter membros de qualquer domínio.
• Somente pode receber permissões para o domínio no qual o grupo é criado.

Grupos universais (Universal group):

• Pode conter membros de qualquer domínio.
• Pode receber permissões para recursos localizados em qualquer domínio.

O Escopo de um grupo, também determina quem pode ser membro do grupo. Tanto usuários como outros grupos podem ser membros de um determinado grupo. Considere as seguintes regras para membros de grupos:

Grupo global:

• Pode conter: Contas de usuários e grupos globais do mesmo domínio.
• Pode ser membro de: Grupos universais e grupos locais do domínio em qualquer domínio.
                                   Grupos globais no mesmo domínio.

Grupo local do domínio:

• Pode conter: Contas de usuários, grupos universais e grupos globais de qualquer domínio.
                      Grupos locais do domínio do mesmo domínio.
• Pode ser membro de: Grupos locais do domínio do mesmo domínio.

Grupo universal:

• Pode conter: Contas de usuários, grupos universais, e grupos globais de qualquer domínio.
• Pode ser membro de: Grupos locais do domínio ou grupos universais de qualquer domínio.

Criando grupos de usuários e adicionando usuários aos grupos.

Neste tópico vamos praticar um pouco. Primeiro vamos criar um grupo, depois vamos adicionar alguns usuários ao grupo recém criado.

Exemplo:Para criar um grupo Global chamado Grupo1, faça o seguinte:

1.         Faça o logon com Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e aponte para Ferramentas administrativas.
3.         No menu de opções que surge, dê um clique na opção Usuários e computadores do Active Directory.
4.         Surge o console para criação de contas de usuários e grupos.
5.         No painel da esquerda localize caruncho.com (ou o nome do domínio que você estiver utilizando, caso esteja utilizando um nome diferente), e dê um clique com o botão direito do mouse sobre o nome do domínio.
6.         No menu do opções que surge, aponte para Novo e dentro do menu Novo, dê um clique em Grupo. Surge a janela Novo objeto – Grupo. Preencha as informações conforme indicado na Figura I.25

Figura I.25 Criando um grupo de segurança com escopo global.

7.         Dê um clique no botão OK para criar o grupo.
8.         Você estará de volta ao console Usuários e computadores do Active Directory.
9.         Observe no painel da esquerda que já aparece o grupo chamado Grupo1. Feche essa janela.

Para alterar o Grupo1 e adicionar os usuários jsilva2, maria e paulo à este grupo, faça o seguinte:

1.         Faça o logon com Administrador
2.         Dê um clique no botão Iniciar, aponte para Programas e aponte para Ferramentas administrativas.
3.         No menu de opções que surge, dê um clique na opção Usuários e computadores do Active Directory.
4.         Surge o console para criação de contas de usuários e grupos.
5.         No painel da direita, localize Grupo1 e dê um clique duplo para abrir as propriedades do mesmo. Surge a janela indicada na Figura I.26, onde a guia Geral vem selecionada por padrão. Preencha os campos Descrição e Comentários, conforme indicado na Figura I.26.

Figura I.26 Alterando as propriedades do Grupo1.

6.         Dê um clique na guia Membros. Vamos utilizar esta guia para adicionar os usuários jsilva, maria e paulo como membros de Grupo1. A Figura I.27, mostra a guia Membros, sem nenhum membro adicionado.

Figura I.27 Ainda não adicionamos nenhum membro ao grupo Grupo1.

7.         Para adicionar membros ao grupo, dê um clique no botão Adicionar.
8.         Surge a janela Selecione usuários, Contatos ou Computadores, conforme indicado na Figura I.28. Nesta janela é exibida uma listagem com todos os usuários cadastrados no domínio caruncho.com (ou o nome de domínio que você estiver utilizando).

Figura I.28 Lista de Usuários, Contatos e Computadores do domínio caruncho.com.

9.         Para adicionar o usuário jsilva ( José da Silva) localize-o na listagem, dê um clique sobre ele para marcá-lo e depois dê um clique no botão Adicionar. Você também pode dar um clique duplo sobre o nome do usuário, que o mesmo será adicionado.
10.       Repita a operação do passo anterior, para os usuários Maria do Socorro e Paulo Pereira.
11.       Dê um clique no botão OK para fechar essa janela e voltar a guia Membros.
12.       Sua janela deve estar conforme indicado na Figura I.29, a qual indica que os usuários José da Silva ( jsilva2), Maria do Socorro (maria)  e Paulo Pereira (paulo), foram adicionados como membros do grupo Grupo1.

Figura I.29 Três usuários adicionados como membros do grupo Grupo1.

13.       Dê um clique em OK para fechar a janela de propriedades do grupo Grupo1.
14.       Feche o console Usuários e computadores do Active Directory.

A partir deste momento, qualquer permissão que for atribuída ao grupo Grupo1, será herdada por todos os seus membros, no nosso exemplo, pelos usuários jsilva2, maria e paulo.

Nota: Crie um grupo de escopo global,  do tipo segurança,  chamado  de Contabilidade. Adicione os usuários maria e paulo ao grupo Contabilidade. Como descrição coloque: Grupo para receber permissões - seção de contabilidade.

IMPORTANTE! Existem algumas contas de usuário que são criadas no momento em que o Windows 2000 Server é instalado. Essas contas são conhecidas como “Built-in Accounts”. A mais importante delas é a conta Administrador. Essa conta tem poderes totais sobre o domínio, não possuindo nenhuma restrição de segurança. Muito cuidado com quem vai usar essa conta em um ambiente de produção. Precisa ser uma pessoa qualificada e que saiba o que está fazendo. A conta Administrador pode ser renomeada, porém não pode ser excluída nem bloqueada.

Outra conta  criada quando da instalação do Windows 2000 Server é a conta de usuário Convidado  ( Guest ). Esta conta, normalmente é utilizada para acesso de usuários que não possuem uma conta cadastrada no domínio. Por padrão esta conta está desabilitada. O Administrador pode habilitar a conta Convidado. Porém isso deve ser feito com cuidado. Sempre que um usuário precise acessar algum recurso, o ideal é cadastrar o usuário e incluir o mesmo no grupo (ou grupos) , que tem permissão para acessar o recurso desejado.

Existem também alguns grupos criados quando da instalação do Windows 2000 Server, são os chamados “Built-in Groups”. O mais importante de todos é o grupo Administradores. Todo membro deste grupo, tem plenos poderes no domínio. No console Usuários e computadores do Active Directory ( Iniciar – Programas – Ferramentas administrativas – Usuários e computadores do Active Directory ), existe uma opção chamada Built-in. Ao clicar nessa opção será exibida uma listagem com diversos grupos criados durante a instalação do Windows 2000 Server. Observe na coluna tipo, que o tipo destes grupos é Grupo de segurança – local interno e na coluna descrição podemos ver um resumo das permissões de cada um dos grupos.

Para maiores informações sobre o Windows 2000 você pode consultar um dos seguintes endereços:

www.microsoft.com/technet
www.microsoft.com/windows2000
www.labmice.net
www.2000tutor.com