Active Directory, LDAP, virtualização e containers

Do zero

Num órgão com mil pessoas e duzentos computadores, alguém precisa saber quem é quem, quem pode entrar onde e quais regras valem em cada máquina. Esse “alguém” é o serviço de diretório: uma grande lista telefônica organizada como um organograma, com pessoas, computadores, impressoras e grupos.

• O Active Directory (AD) é o serviço de diretório da Microsoft. Os servidores que guardam a lista e conferem as senhas são os controladores de domínio. Quando você entra no computador do trabalho com o seu usuário de rede, é o AD que confere quem você é.
• O LDAP é a língua usada para consultar e alterar a lista. O AD fala LDAP, e outros diretórios também (como o OpenLDAP, no Linux). Um sistema pode perguntar ao diretório, via LDAP: “a senha da Ana confere? de quais grupos ela faz parte?”.

A virtualização é dividir um computador grande em vários computadores de mentira, as máquinas virtuais (VMs), cada uma com o próprio sistema operacional. Quem faz a divisão é o hipervisor, como um síndico que divide um prédio em apartamentos independentes. Os containers são mais leves: dividem só o espaço dos aplicativos e compartilham o mesmo sistema operacional, como quartos de uma mesma casa.

Frase para guardar: o AD é o diretório, o LDAP é a língua para consultá-lo; o hipervisor divide a máquina em VMs completas, o container divide só o espaço da aplicação.

Em 1 minuto

• Estrutura do AD: domínio (unidade de administração e de segurança, com nome DNS, como tribunal.local), árvore (domínios com o mesmo espaço de nomes), floresta (conjunto de árvores, a fronteira de segurança maior). Dentro do domínio, as unidades organizacionais (OUs) organizam os objetos e recebem políticas.
• GPO (política de grupo): conjunto de regras aplicado a usuários e computadores, na ordem local, site, domínio e OU (LSDOU); a última aplicada prevalece num conflito.
• Autenticação no AD: Kerberos por padrão (com tíquetes), NTLM só por compatibilidade. O AD depende do DNS para que as máquinas encontrem os controladores de domínio.
• Replicação: os controladores de domínio são multimestre (todos aceitam alterações e replicam entre si), mas cinco funções especiais, as FSMO, ficam com um só servidor de cada vez.
• LDAP: protocolo de acesso a diretórios; porta 389 (LDAP) e 636 (LDAPS, com TLS); o catálogo global do AD usa 3268 e 3269. Cada objeto tem um DN (nome distinto), como CN=Ana Souza,OU=TI,DC=tribunal,DC=local.
• Hipervisor tipo 1 (bare metal) roda direto no hardware: VMware ESXi, Microsoft Hyper-V, KVM, Xen. Tipo 2 (hospedado) roda sobre um sistema operacional: VirtualBox, VMware Workstation.
• Recursos da virtualização: snapshot (ponto de retorno da VM), migração ao vivo (mover uma VM ligada de um host para outro), alta disponibilidade (religar as VMs de um host que caiu em outro) e modelos (templates) para criar VMs iguais.

Exemplo concreto: o servidor novo da TI

A Ana entra para a equipe de TI. O que acontece no diretório:

1. A conta dela é criada na OU TI: CN=Ana Souza,OU=TI,DC=tribunal,DC=local.
2. Ela é posta no grupo TI-Suporte, que tem permissão nas pastas da equipe. As permissões vão para o grupo, não para a pessoa: quando ela mudar de setor, basta trocá-la de grupo.
3. A GPO ligada à OU TI exige bloqueio de tela em 10 minutos e instala as ferramentas de suporte.
4. Ao ligar o notebook, ela digita a senha; o controlador de domínio a autentica com Kerberos e entrega um tíquete, que dá acesso aos serviços da rede sem pedir a senha de novo.

Um sistema interno, rodando no Linux, confere o login da Ana no mesmo diretório, via LDAP:

Conectar a ldaps://dc01.tribunal.local:636
Bind com a conta de serviço do sistema (CN=svc-protocolo,OU=Servicos,DC=tribunal,DC=local)
Buscar em DC=tribunal,DC=local o filtro (&(objectClass=user)(sAMAccountName=ana.souza)) → acha o DN da Ana
Novo bind com CN=Ana Souza,OU=TI,DC=tribunal,DC=local e a senha digitada → se der certo, a senha confere
Ler o atributo memberOf → CN=TI-Suporte,OU=Grupos,DC=tribunal,DC=local

Os servidores desse sistema são máquinas virtuais num cluster de hipervisores tipo 1. Antes de atualizar o sistema, a equipe tira um snapshot de cada VM: se a atualização der errado, volta em minutos. Para fazer manutenção num host físico, as VMs passam para outro host com migração ao vivo, sem derrubar o sistema.

Comparação: AD, LDAP e virtualização

Os containers têm lição própria em DevOps (imagens, Dockerfile e Kubernetes).

Como a FCC cobra

• OU × grupo (organizar e aplicar GPO × dar permissões).
• Funções FSMO e catálogo global.
• Operações do LDAP (bind, search, add, modify, delete) e atributos (cn, ou, dc, uid, mail).
• Snapshot, migração ao vivo, alta disponibilidade.
• VM × container.

Pegadinhas

Explique com suas palavras

Explique a um gestor o que acontece no Active Directory quando uma servidora entra na equipe de TI, e por que as permissões vão para o grupo, e não para a pessoa.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

O Active Directory é a lista oficial de quem trabalha no órgão e do que cada um pode fazer na rede. Quando a Ana entra na TI, criamos a conta dela na pasta da TI, e as regras dessa pasta passam a valer para ela, como o bloqueio automático da tela. Depois, colocamos a Ana no grupo de suporte, que já tem acesso às pastas e aos sistemas da equipe.

Dar as permissões ao grupo, e não à pessoa, facilita a vida e reduz erros. Se a Ana mudar de setor, basta tirá-la de um grupo e pôr em outro: os acessos antigos saem todos de uma vez, sem esquecer nenhum. E qualquer nova pessoa da equipe recebe exatamente os mesmos acessos.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

Num caso sobre gestão de identidades ou de servidores, proponha: contas centralizadas no AD, com permissões por grupo (e não por pessoa), GPOs por OU para padronizar as estações, LDAPS (porta 636, com TLS) para os sistemas que consultam o diretório e revisão periódica dos grupos. Para a infraestrutura, VMs num cluster de hipervisores tipo 1 com alta disponibilidade, snapshots antes de mudanças e backup de verdade fora do cluster.

Fontes da lição

• Edital nº 01/2026, Anexo II, Sistemas Operacionais, Redes e Computação em Nuvem (fontes/edital-01-2026.txt).
• Documentação da Microsoft: Active Directory Domain Services (domínios, OUs, GPO, FSMO e Kerberos).
• Especificação do LDAPv3 (RFC 4511) [CONFERIR: o texto da RFC ainda não está em fontes/].
• Documentação do VMware vSphere e do Hyper-V (hipervisores, snapshots e migração ao vivo).