Introdução

Devemos ter em mente sempre a criação de grupos e adicionar usuários a grupos para aplicar as ACL’s evitando aplicar diretamente direitos a usuários e sim a grupos seguindo as boas práticas de administração de ambientes Windows Server.

Aplica-se a:

Windows Server 2008R2.

Grupos

Iremos trabalhar com grupos Globais de Segurança neste cenário devido a suas características, maiores informações em Referências.

Crie uma OU chamada GROUPS

Crie os seguintes grupos com os seguintes nomes:

AD RMS Enterprise Administrators
AD RMS Template Administrators
AD RMS Auditors
AD RMS Service Account
Finance
Marketing
Finance Managers
Enginners
Sales

Figura01 - Criação de Grupo por GUI

Podemos criar estes grupos com o seguinte script e salva-lo com extensão .ldf (Grupos.ldf)
Comando ldfide -i -f <nome do arquivo .ldf> -k

DN: CN=Finance, OU=Groups, DC=nexus, DC=br
changeType: add
CN: Finance
description: Finance Users
objectClass: group
sAMAccountName: Finance

DN: CN=Finance Managers, OU=Groups, DC=nexus, DC=br
changeType: add
CN: Finance Managers
description: Finance Managers
objectClass: group
sAMAccountName: Finance Managers

DN: CN=Sales, OU=Groups, DC=nexus, DC=br
changeType: add
CN: Sales
description: Sales Users
objectClass: group
sAMAccountName: Sales Users

DN: CN=APP_Office 2007, OU=Groups, DC=nexus, DC=br
changeType: add
CN: APP_Office 2007
description: APP_Office 2007
objectClass: group
sAMAccountName: APP_Office 2007

DN: CN=HELP_DESK, OU=Admins, DC=nexus, DC=br
changeType: add
CN: HELP_DESK
description: Help Desk Users
objectClass: group
sAMAccountName: HELP_DESK

DN: CN=Windows Administrators, OU=Admins, DC=nexus, DC=br
changeType: add
CN: Windows Administrators
description: Windows Administrators
objectClass: group
sAMAccountName: Windows Administrators

DN: CN=Marketing, OU=Groups, DC=nexus, DC=br
changeType: add
CN: Marketing
description: Marketing
objectClass: group
sAMAccountName: Marketing

DN: CN=Enginners, OU=Groups, DC=nexus, DC=br
changeType: add
CN: Enginners
description: Enginners
objectClass: group
sAMAccountName: Enginners

DN: CN=AD_RMS_Enterprise_Administrators, OU=Groups, DC=nexus, DC=br
changeType: add
CN: AD_RMS_Enterprise_Administrators
description: AD_RMS_Enterprise_Administrators
objectClass: group
sAMAccountName: AD_RMS_Enterprise_Administrators

DN: CN=AD_RMS_Template_Administrators, OU=Groups, DC=nexus, DC=br
changeType: add
CN: AD_RMS_Template_Administrators
description: AD_RMS_Template_Administrators
objectClass: group
sAMAccountName: AD_RMS_Template_Administrators

DN: CN=AD_RMS_Auditors, OU=Groups, DC=nexus, DC=br
changeType: add
CN: AD_RMS_Auditors
description: AD_RMS_Auditors
objectClass: group
sAMAccountName: AD_RMS_Auditors

DN: CN=AD_RMS_Service_Account, OU=Groups, DC=nexus, DC=br
changeType: add
CN: AD_RMS_Service_Account
description: AD_RMS_Service_Account
objectClass: group
sAMAccountName: AD_RMS_Service_Account

Figura02 - Criação de Grupos por Script

Figura03 - Grupos criados dentro da OU Groups

Usuários

Iremos agora criar os usuários para uso com o RMS e Usuários de serviço, crie uma OU chamada PEOPLE.

Nome da conta

Logon

Endereço de email

Grupo

Nicole Holliday

n.holliday

nholliday@nexus.br

Finance

Limor Henig

l.henig

lhenig@nexus.br

Marketing

Stuart Railson

s.railson

srailson@nexus.br

Sales

Figura04 - Usuários criados na OU People

Crie uma OU chamada Admins e dentro dela as seguintes contas, estas contas são contas de serviço, para estas contas use o e-mail de um grupo de usuários que irá administrar o serviço.

Nome da conta

Logon

Endereço de email

Grupo

ADRMSSERVICE

ADRMSservice

adrmsadmins@nexus.br

ADRMSADMIN

ADRMSadmin

adrmsadmins@nexus.br

Enterprise Admins (Administradores da Empresa)

Figura05 - Usuários de Serviço criados na OU Admins

A conta ADRMSadmin tem de estar no grupo Enterprise Admins apenas para criar o SCP (Ponto de Conexão de Serviço) no schema do AD, após isto poderá ser removida, caso esteja instalando o serviço em um DC ambas as contas tem de estar no grupo Administrators (Administradores) apenas neste caso.

Considerações

Após está etapa temos pronto a infraestrutura logica para poder ser instalado na floresta o AD RMS, é muito importante frisar que as contas devem estar configuradas com o e-mail, e tenha em mente sempre aplicar as ACL’s a grupos e nunca a usuários mantendo as boas práticas de ambientes Active Directory.