Pré-Requisitos: Conhecimento dos conceitos básicos do Active Directory e de contas de usuários.

Metodologia: Apresentar em detalhes os conceitos teóricos sobre grupos de usuários.

Um grupo de usuários é uma coleção de contas de usuários. Por exemplo, podemos criar um grupo chamado Contabilidade, do qual farão parte todos os usuários do departamento de Contabilidade (todas as contas de usuários dos funcionários do departamento de Contabilidade).

A principal função dos grupos de usuários é facilitar a administração e a atribuição de permissões para acesso a recursos, tais como: pastas compartilhadas (Capítulo 11), impressoras de rede (Capítulo 12) e serviços diversos.

Ao invés de dar permissões individualmente, para cada um dos usuários que necessitam acessar um determinado recurso, você cria um grupo, inclui os usuários no grupo e atribui permissões para o grupo. Para que um usuário tenha permissão ao recurso, basta incluir o usuário no grupo, pois todos os usuários de um determinado grupo, herdam as permissões dos grupos aos quais o usuário pertence.

Quando um usuário troca de seção, por exemplo, basta trocar o usuário de grupo. Vamos supor que o usuário jsilva trabalha na seção de contabilidade e pertence ao grupo Contabilidade. Com isso ele tem acesso a todos os recursos para os quais o grupo Contabilidade tem acesso. Ao ser transferido para a seção de Marketing, basta retirar o usuário jsilva do grupo Contabilidade e adicioná-lo ao grupo Marketing. Assim o usuário jsilva deixa de ter as permissões atribuídas ao grupo Contabilidade e passa a ter as mesmas permissões que tem o grupo Marketing. Este exemplo simples já consegue demonstrar o quanto a utilização de grupos pode facilitar a atribuição de permissões. No Capítulo 11 apresentarei um estudo completo sobre o uso de grupos para atribuir permissões de acesso a recursos de diferentes domínios.

Vamos analisar mais um exemplo. Suponha que exista um sistema chamado SEAT, para o qual somente um número restrito de usuários deve ter acesso, sendo que são usuários de diferentes seções (ou até mesmo de diferentes domínios). A maneira mais simples de definir as permissões de acesso ao sistema SEAT é criar um grupo chamado SEAT (poderia ser um outro nome qualquer, tais como Usuários do SEAT, Permissão ao SEAT, etc) e dar permissões de acesso a esse grupo. Assim cada usuário que precisar acessar o sistema SEAT, deve ser incluído no grupo SEAT. Quando o usuário não deve mais ter acesso ao sistema SEAT, basta removê-lo do grupo SEAT. Simples, fácil e muito prático.

Na Figura 9.27 apresento uma ilustração para o conceito de Grupo de usuários. O Grupo Contabilidade possui direito para um recurso compartilhado, o qual pode ser acessado através da rede. Todos os usuários que pertencem ao grupo contabilidade, também possuem permissão para o recurso compartilhado, uma vez que os usuários de um grupo, herdam as permissões do grupo.

Figura 9.27 O Usuário herda as permissões do grupo.

Quando estiver trabalhando com grupos de usuários, considere os fatos a seguir:

• Grupos são uma coleção de contas de usuários.
• Os membros de um grupo, herdam as permissões atribuídas ao grupo.
• Os usuários podem ser membros de vários grupos
• Grupos podem ser membros de outros grupos.
• Contas de computadores podem ser membros de um grupo (novidade do Windows Server 2003).

Agora vou falar sobre os tipos de grupos existentes no Windows Server 2003. Os grupos são classificados de acordo com diferentes critérios, tais como: tipo, escopo e visibilidade.

Podemos ter dois tipos de grupos no Windows Server 2003 : Grupos de segurança ( Security Groups)  e Grupos de distribuição (Distribution Groups).

Classificação dos grupos quanto ao tipo:

• Grupos de segurança: Normalmente utilizados para atribuir permissões de acesso aos recursos da rede. Por exemplo, ao criar um grupo Contabilidade (que conterá todas as contas dos funcionários do departamento de contabilidade) o qual será utilizado para atribuir permissões de acesso a uma pasta compartilhada, devo criar este grupo como sendo do tipo Grupo de segurança. Um grupo de segurança também pode ser utilizado como um grupo de distribuição, embora essa não seja uma situação muito comum. Esses grupos, assim coma as contas de usuários são armazenados no Banco de dados do Active Directory.
• Grupos de distribuição: São utilizados para funções não relacionadas com segurança (não relacionadas a atribuição de permissões) . Normalmente são utilizados em conjunto com servidores de e-mail, tais como o Exchange 2000, para o envio de e-mail para um grupo de usuários. Uma das utilizações típicas para um Grupo de distribuição é o envio de mensagens de e-mail para um grupo de usuários de uma só vez. Somente programas que foram programados para trabalhar com o Active Directory, poderão utilizar Grupos de distribuição (como é o caso do Exchange 2000 citado anteriormente). Provavelmente as novas versões dos principais sistemas de correio eletrônico estarão habilitadas para trabalhar com o Active Directory. Não é possível utilizar grupos de distribuição para funções relacionadas com segurança.

É possível converter um grupo do tipo Segurança para distribuição e vice-versa. Para tal é preciso que o domínio esteja, pelo menos, no modo Windows 2000 Nativo. Para domínios que ainda estejam no modo Windows 2000 Mixed, esta conversão não será possível.

Classificação dos grupos quanto ao Escopo:

Quando o administrador cria um grupo de usuários,  ele deve selecionar um tipo (descrito anteriormente) e um escopo. O Escopo permite que o grupo seja utilizado de diferentes maneiras para a atribuição de permissões. O escopo de um grupo, determina em que partes do domínio ou de uma floresta de domínios,  o grupo é visível, ou seja, pode ser utilizado para receber permissões de acesso aos recursos da rede.

Existem três escopos para grupos de usuários, conforme descrito a seguir: Universal, Global e Local do domínio. Vamos apresentar as diversas características e usos de cada tipo de grupo.

Grupos universais (Universal group):

Como o próprio nome sugere são grupos que podem ser utilizados em qualquer parte de um domínio ou da árvore de domínios e podem conter como membros, grupos e usuários de quaisquer domínios. Em resumo:

• Pode conter: Contas de usuários, outros grupos universais, e grupos globais de qualquer domínio.
• Pode ser membro de: Grupos locais de qualquer domínio ou grupos universais de qualquer domínio.
• Pode receber permissões para recursos localizados em qualquer domínio.

Conforme detalhado anteriormente, um domínio baseado no Active Directory pode estar em diferentes modos de funcionalidade (Windows 2000 Nativo, Misto ou Windows Server 2003). Para cada modo existem diferentes possibilidades em relação aos grupos Universais:

• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Nativo ou Windows Server 2003, os seguintes elementos podem ser incluídos como membros de um grupo universal: Usuários, grupos Globais e grupos Universais de qualquer domínio da floresta.
• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Misto, não é possível criar grupos Universais.
• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Nativo ou Windows Server 2003, um grupo Universal pode ser colocado como membro de um outro grupo Universal e permissões podem ser atribuídas em qualquer domínio.
• Um grupo pode ser convertido de Universal para Global ou de Universal para Local do domínio. Nos dois casos esta conversão somente pode ser feita se o grupo Universal não tiver como um de seus membros, outro grupo Universal.

Quando devem ser utilizados grupos universais:

Quando você deseja consolidar diversos grupos globais. Você pode fazer isso criando um grupo Universal e adicionando os diversos grupos globais como membros do grupo Universal.

Importante: Os grupos Universais devem ser muito bem planejados. Não devem ser feitas alterações freqüentes nos membros de um grupo Universal, uma vez que este tipo de ação causa um volume elevado de replicação no Active Directory.

Grupo global:

Um grupo Global é “global” quanto aos locais onde ele pode receber permissões de acesso, ou seja, um grupo Global pode receber permissões de acesso em recursos (pastas compartilhadas, impressoras, etc) de qualquer domínio. Em resumo, considere as afirmações a seguir:

• Pode conter: Contas de usuários e grupos globais do mesmo domínio, ou seja, somente pode conter membros do domínio no qual o grupo é criado.
• Pode ser membro de: Grupos universais e Grupos locais, de qualquer domínio.

                                         Grupos globais do mesmo domínio.

• Pode receber permissões para recursos localizados em qualquer domínio.

Conforme detalhado anteriormente, um domínio baseado no Active Directory pode estar em diferentes modos (Windows 2000 Nativo, Misto ou Windows Server 2003). Para cada modo existem diferentes possibilidades em relação aos grupos Globais:

• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Nativo ou Windows Server 2003, os seguintes elementos podem ser incluídos como membros de um grupo Global: contas de usuários e grupos globais do mesmo domínio. Por exemplo, se você cria um grupo global chamado WebUsers, no domínio abc.com.br, este grupo poderá conter como membros, grupos globais do domínio abc.com.br e usuários do domínio abc.com.br
• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Misto, somente contas de usuários do próprio domínio é que podem ser membros de um grupo Global. Por exemplo, se você cria um grupo global chamado WebUsers, no domínio abc.com.br e este domínio está no modo Misto, então somente contas de usuários do domínio abc.com.br é que poderão ser membros do grupo WebUsers.
• Um grupo pode ser convertido de Global para Universal, desde que o grupo Global não seja membro de nenhum outro grupo Global..

Quando devem ser utilizados grupos Globais:

Os grupos Globais devem ser utilizados para o gerenciamento dos objetos que sofrem alterações constantemente, quase que diariamente, tais como contas de usuários e de computadores. As alterações feitas em um grupo Global são replicadas somente dentro do domínio onde foi criado o grupo Global e não através de toda a árvore de domínios. Com isso o volume de replicação é reduzido, o que permite a utilização de grupos Globais para a administração de objetos que mudam freqüentemente.

Grupos locais (Domain local group):

São grupos que somente podem receber permissões para os recursos do domínio onde foram criados, porém podem ter como membros, grupos e usuários de outros domínios. Em resumo:

• Pode conter membros de qualquer domínio.
• Somente pode receber permissões para recursos em servidores do domínio no qual o grupo foi criado.
• Pode conter: Contas de usuários, grupos universais e grupos globais de qualquer domínio.

                           Outros grupos Locais do próprio domínio.

• Pode ser membro de: Grupos locais do próprio domínio.

Conforme detalhado anteriormente, um domínio baseado no Active Directory pode estar em diferentes modos (Windows 2000 Nativo, Misto ou Windows Server 2003). Para cada modo existem diferentes possibilidades em relação aos grupos Globais:

• Quando o nível de funcionalidade do Domínio está configurado como Windows 2000 Nativo ou Windows Server 2003, os seguintes elementos podem ser incluídos como membros de um grupo Local: contas de usuários, grupos universais e grupos globais de qualquer domínio. Outros grupos locais do próprio domínio.
• Um grupo pode ser convertido de Local para Universal, desde que o grupo não tenha como seu membro um outro grupo Local.

Quando devem ser utilizados grupos Locais:

Os grupos Locais são utilizados para atribuir permissões de acesso aos recursos da rede. Conforme discutirei, em detalhes, no Capítulo 11, a Microsoft recomenda uma estratégia baseada nos seguintes passos:

• Criar as contas de usuários.
• Adicionar as contas de usuários a grupos Globais (confere com o que foi dito anteriormente, onde falei que os grupos Globais são utilizados para gerenciar os objetos do dia-a-dia, tais como contas de usuários).
• Adicione os grupos globais ou Universais (se for o caso) como membros dos grupos Locais.
• Atribua permissões de acesso para os grupos Locais.

Bem, feitas as apresentações teóricas sobre grupos, agora você aprenderá a executar as operações básicas com grupos, tais como criar um novo grupo, adicionar usuários, remover usuários do grupo, renomear grupos, excluir grupos e converter um grupo de um tipo para outro.