WINDOWS SERVER 2003: ACTIVE DIRECTORY 7ª PARTE - UNIDADES ORGANIZAÇONAIS

 Fundamentos em: Unidades organizacionais

Pré-Requisitos: Conhecer os conceitos de diretório, domínio, usuários e grupos. 

Metodologia: Apresentar o conceito e a utilização de Unidades Organizacionais.

O conceito de Unidade organizacional foi introduzido no Windows 2000 Server, juntamente com o Active Directory e veio para solucionar um problema série de Administração existente no Windows NT Server 4.0.

Com o NT Server 4.0, não havia como atribuir permissões de acesso apenas a uma parte do domínio. Ou você atribuiu a permissões de Administrador no domínio inteiro ou não tinha como atribuir permissões de administrador para um usuário. Imagine uma empresa que tem uma rede, com filiais em todos os estados brasileiros. Por questões de simplicidade vamos supor que a rede é composta de seis domínios, sendo que em cada domínio estão as filiais de 4 ou mais estados. Vamos supor que um dos domínios seja composto pelas redes das filiais do RS, SC, PR e SP. Com o NT Server 4.0, você não teria como definir que um usuário tivesse permissões de Administrador somente nos servidores da filial do RS. Uma vez que você atribuiu a permissões de Administrador, o usuário teria estas permissões em todos os recursos do domínio. No nosso exemplo, o usuário seria Administrador nos servidores das filiais do RS, SC, PR e SP, ou seja, em todos os servidores do domínio.

Esta situação gerava inconvenientes (e noites de sono perdidas) muito sérios. Era comum a situação onde um domínio tinha 10 ou mais contas de usuários com permissão de Administrador. Ora, eram 10 ou mais contas com permissões total em todos os servidores do domínio. Nada bom.

Com a disponibilidade de Unidades Organizacionais, a partir do Windows 2000 Server, este problema foi minimizado. Agora você pode criar, dentro do domínio, várias Unidades organizacionais. Em seguida você desloca para dentro de cada unidade organizacional, as contas de usuários e computadores, de acordo com critérios geográficos ou funcionais. Em seguida você pode delegar tarefas administrativas a nível de Unidade organizacional (OU – Organizational Unit).

Vamos considerar o exemplo anterior, onde tínhamos um domínio formado pelas redes das filiais do RS, SC, PR e SP. Neste exemplo, o Administrador do domínio poderia criar quatro unidades organizacionais:

RS
SC
PR
SP

Em seguida ele move as contas de usuários e computadores e contas de grupos para as respectivas OUs. O último passo é atribuir permissões de administração em cada OU. Por exemplo, para o Administrador da filial do RS, seriam delegadas permissões de administração na OU RS, para o Administrador da filial de SC, seriam delegadas permissões de administração na OU SC e assim por diante. O diagrama da Figura 1 ilustra a divisão de um domínio em OUs.

Figura 1. Divisão de um domínio em OUs.

No diagrama está representada a divisão do domínio regiao-01.abc.com.br em OUs. Dentro de uma OU é possível criar outras OUs. Por exemplo, dentro da Unidade Organizacional RS, o administrador poderia criar outras unidades organizacionais, tais como: Usuários,Grupos e Computadores. Em seguida, todas as contas de usuários da filial do RS, seriam deslocadas para a OU Usuários, dentro da OU RS; todas as contas dos computadores da filial do RS seriam deslocadas para a OU Computadores, dentro da OU RS e assim por diante.

Observem que, basicamente, a utilização de OUs facilita a descentralização das tarefas admimnistrativas, através da delegação de tarefas para porções específicas de um domínio. A utilização de OUs também desempenha um papel importante no gerenciamento das políticas de segurança, através do uso de Group Polices Objects (GPOs), conforme mostrarei nos próximos posts.