Delegar os direitos à conta que inicia o Kontivo

1. Porquê uma conta delegada

O Kontivo atua no diretório com a conta do Windows que o inicia. Uma conta «Admins. do Domínio» funciona, mas um erro de manipulação teria então direitos sobre todo o domínio. Uma conta delegada só tem direitos sobre as três pastas (OU) escolhidas nas definições: a pasta dos utilizadores, a pasta das contas de saída e a pasta dos grupos do diretório. Mesmo em caso de erro, não pode tocar em mais nada.

A ferramenta não precisa de nenhum direito de administrador no computador: só escuta no próprio computador (endereço 127.0.0.1) e guarda os seus dados em C:\ProgramData\ComptesAD, que um utilizador pode criar.

2. Criar a conta e o respetivo grupo

Conceda os direitos a um grupo e, em seguida, coloque a conta nesse grupo: poderá mudar de conta sem refazer a delegação. Nos exemplos, o domínio chama-se DEMO (demo.local):

• um grupo de segurança global, por exemplo GG-ComptesAD;
• uma conta de utilizador, por exemplo adm-comptes, membro desse grupo, com uma palavra-passe longa, guardada fora das pastas dos utilizadores geridos;
• esta conta não deve ser membro de nenhum grupo de administração.

Nos comandos abaixo, substitua os nomes das OU pelos do seu diretório (os exemplos retomam os nomes propostos pela ferramenta, Pessoas, Saidas e Grupos, sob uma OU principal Organizacao):

OU dos utilizadores      OU=Pessoas,OU=Organizacao,DC=demo,DC=local
OU das contas de saída   OU=Saidas,OU=Organizacao,DC=demo,DC=local
OU dos grupos            OU=Grupos,OU=Organizacao,DC=demo,DC=local

Crie primeiro estas três OU (com «Utilizadores e Computadores do Active Directory», ou nas definições da ferramenta com uma conta que tenha esse direito): a conta delegada não pode criar uma OU fora da pasta dos utilizadores.

3. Os direitos, pasta a pasta

Mover uma conta (mudança de grupo, saída, regresso) exige «eliminar» na própria conta e «criar objetos subordinados» na OU de destino. O direito «eliminar» nos utilizadores da OU dos utilizadores é necessário: quando as OU de grupo criadas pela ferramenta estão protegidas contra eliminação acidental, essa proteção aplica na respetiva OU principal uma recusa de «eliminar objetos subordinados», que impediria mover uma conta guardada diretamente na OU dos utilizadores (utilizador a aguardar grupo).

As OU de grupo criadas pela conta delegada

A ferramenta cria cada OU de grupo em dois tempos: primeiro a OU, sem proteção, e depois, num passo separado, a proteção contra eliminação acidental. Aplicar essa proteção altera as permissões da OU dos utilizadores (a recusa descrita acima), o que a delegação deste documento não permite. Se o direito faltar, a OU é criada na mesma e a operação é bem-sucedida, com esta nota no registo: «OU criada, mas a proteção contra eliminação acidental não foi aplicada (falta o direito «alterar permissões» na OU principal): um administrador pode aplicá-la em Utilizadores e Computadores do Active Directory (separador Objeto da OU).» Há depois duas formas de proceder:

• deixar as OU de grupo sem proteção (só contêm contas de utilizadores geridos, e a ferramenta recria-as se necessário), ou protegê-las manualmente com uma conta de administrador;
• ou conceder ao grupo delegado «Alterar permissões» apenas na OU dos utilizadores (não nas respetivas sub-OU), o que é um direito amplo, a ponderar com o administrador do domínio:

  dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /G "DEMO\GG-ComptesAD:WD"

A primeira passagem numa OU de teste (manual, § 6) mostra qual dos dois casos ocorre no seu diretório.

Para tudo o resto, a ferramenta limita-se a ler, com os direitos de leitura que qualquer conta do domínio tem por predefinição: a lista dos nomes de utilizador do domínio (para evitar duplicados), as políticas de palavras-passe, os controladores.

4. Conceder os direitos com o dsacls

O dsacls é instalado com as ferramentas do Active Directory (RSAT) e nos controladores de domínio. Escreva estes comandos numa linha de comandos aberta com uma conta «Admins. do Domínio». /I:T aplica o direito à OU e a tudo o que ela contém, /I:S apenas aos objetos que ela contém.

OU dos utilizadores

dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CC;organizationalUnit"
dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"
dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:CA;Reset Password;user"

OU das contas de saída

dsacls "OU=Saidas,OU=Organizacao,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Saidas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Saidas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"

Apenas se uma eliminação falhar com o erro 8213 («A conta contém objetos»):

dsacls "OU=Saidas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:DT;;user"

OU dos grupos

dsacls "OU=Grupos,OU=Organizacao,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;group"
dsacls "OU=Grupos,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;group"

Opcional: retirar a proteção contra eliminação acidental

Apenas se quiser utilizar a opção «Retirar a proteção» (definições, secção «Avançado», ou botão da pré-visualização):

dsacls "OU=Pessoas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"
dsacls "OU=Saidas,OU=Organizacao,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"

5. Conceder os direitos com o assistente de delegação

Em «Utilizadores e Computadores do Active Directory», clique com o botão direito do rato na OU, Delegar controlo…, adicione o grupo GG-ComptesAD e, em seguida, escolha Criar uma tarefa personalizada para delegar. Os textos abaixo podem variar ligeiramente consoante a versão do Windows.

OU dos utilizadores (duas passagens pelo assistente)

1. Primeira passagem: Só os seguintes objetos na pasta, selecione Objetos Utilizador e, em seguida, Criar objetos selecionados nesta pasta e Eliminar objetos selecionados nesta pasta. Na página seguinte, em Gerais: Ler todas as propriedades, Escrever todas as propriedades, Eliminar, Repor palavra-passe.
2. Segunda passagem: Só os seguintes objetos na pasta, selecione Objetos Unidade organizacional e Criar objetos selecionados nesta pasta; página seguinte: não é necessária nenhuma permissão adicional (selecione Ler, se necessário).

OU das contas de saída

Uma passagem, como a primeira passagem da OU dos utilizadores, sem «Repor palavra-passe».

OU dos grupos

Uma passagem: Objetos Grupo, criar e eliminar; permissões Ler todas as propriedades e Escrever todas as propriedades.

Depois do assistente, verifique o resultado: clique com o botão direito do rato na OU, Propriedades, separador Segurança, Avançadas (o separador Segurança só aparece com Ver > Funcionalidades Avançadas). Os direitos sobre os utilizadores devem aplicar-se a «Objetos Utilizador descendentes», e os de criação também às sub-OU.

6. A partilha das pastas pessoais

Se for preenchido um modelo de caminho nas definições (por exemplo \\srv-fichiers\pessoas$\{sam}), a caixa «Criar a pasta na partilha e conceder os direitos ao utilizador» fica selecionada automaticamente. Para cada novo utilizador, a ferramenta:

1. cria a pasta \\srv-fichiers\pessoas$\lea.martin, se não existir (uma pasta existente nunca é modificada);
2. concede ao utilizador, através do respetivo SID, o direito escolhido sobre essa pasta e o seu conteúdo: «Modificar» (por predefinição) ou «Controlo total»;
3. na eliminação definitiva da conta, se o arquivo estiver escolhido, cria se necessário \\srv-fichiers\pessoas$\_archives e muda para lá o nome da pasta (_archives\lea.martin_2027-10-05). Nada é apagado, e os direitos da pasta não mudam.

Preparar a partilha de uma só vez: ComptesAD.exe -PreparerPartage

A partilha prepara-se no servidor de ficheiros (de preferência não no controlador de domínio), uma única vez, por um administrador desse servidor. Copie para lá ComptesAD.exe (por exemplo para C:\ComptesAD) e, em seguida, escreva, numa linha de comandos ou numa janela do PowerShell abertas como administrador:

C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Pessoas -Partage pessoas$ -GroupeDelegue DEMO\GG-ComptesAD

Sem parâmetros, uma pequena janela pede a pasta, o nome da partilha, o grupo delegado e, opcionalmente, o grupo dos utilizadores, com um botão Verificar (nada é alterado) e um botão Preparar. A preparação faz, por esta ordem:

1. cria a pasta D:\Pessoas, se faltar;
2. aplica os direitos NTFS da raiz, desativando a herança do disco:
   • SYSTEM e Administradores: «Controlo total»;
   • o grupo delegado (GG-ComptesAD): «Modificar», nesta pasta, subpastas e ficheiros;
   • os utilizadores: «Percorrer pasta» e «Listar pasta», apenas nesta pasta, para acederem à sua própria pasta sem verem as dos outros. Por predefinição, «Utilizadores Autenticados»; adicione -GroupeEleves DEMO\Pessoas-Todas se os utilizadores tiverem o seu próprio grupo;
   • CREATOR OWNER: nada.
   Qualquer outro direito aplicado manualmente na raiz é retirado, e o relatório indica-o (a janela pede confirmação antes);
3. cria a partilha pessoas$ (o «$» oculta-a na vizinhança de rede) com estas permissões de partilha: Administradores «Controlo total», Utilizadores Autenticados «Alterar»; os direitos detalhados continuam a ser os do NTFS. Se já existir nesta pasta, só as respetivas permissões são corrigidas; se existir numa outra pasta, nada é feito: escolha outro nome;
4. ativa a enumeração baseada no acesso: ao abrir \\srv-fichiers\pessoas$, cada utilizador só vê a sua pasta;
5. mostra o modelo a colar nas definições do Kontivo, bloco «Pasta pessoal», campo «Modelo de caminho da pasta»: \\srv-fichiers.demo.local\pessoas$\{sam} (nome DNS completo do servidor).

Cada linha do relatório começa por [OK] (já implementado), [FEITO], [A FAZER] (apenas na verificação), [ATENÇÃO] ou [RECUSADO]: a preparação pode ser executada novamente sem risco, e o que já está implementado nunca é refeito. Para apenas verificar, adicione -LectureSeule. Num script, o relatório é escrito na saída de erros (UTF-8) e o código de saída vale 0 (pronto), 1 (recusa ou erro), 2 (parâmetros) ou 3 (verificação: há pontos a corrigir).

Recusa, sem alterar nada: uma conta sem direitos de administrador ativos no servidor (abra a linha de comandos «como administrador»); uma pasta numa unidade de rede ou numa partilha (execute a preparação no servidor que tem o disco, com o respetivo caminho local); a raiz de um disco ou uma pasta do Windows; um nome de partilha inválido ou reservado (C$, ADMIN$…); um grupo não encontrado (verifique DOMÍNIO\nome, e se o servidor é membro do domínio); um grupo delegado demasiado amplo («Utilizadores do Domínio», «Utilizadores Autenticados»…): receberia o direito de modificar todas as pastas dos utilizadores.

Manualmente, se preferir

Direitos a conceder ao grupo GG-ComptesAD:

• Permissões da partilha: pelo menos «Alterar» (ou «Controlo total» para Todos, se gerir os direitos unicamente pelo NTFS, o que é comum);
• Permissões NTFS na pasta raiz da partilha: «Modificar», aplicada a «Esta pasta, subpastas e ficheiros». No servidor de ficheiros, por exemplo:

icacls "D:\Pessoas" /grant "DEMO\GG-ComptesAD:(OI)(CI)M"

Se a ferramenta assinalar «Pasta criada, mas não foi possível conceder o direito do utilizador», conceda também ao grupo o direito «Alterar permissões» na raiz e, em seguida, conceda manualmente o direito em falta ao utilizador em causa (a ferramenta nunca modifica uma pasta que já exista). Os direitos dos utilizadores na raiz continuam a ser os que definiu (em geral: percorrer a pasta, sem ver as dos outros); verifique se não conseguem entrar em _archives.

Se uma política de grupo (redirecionamento de pastas) já criar as pastas dos utilizadores, desmarque a caixa nas definições: a ferramenta limitar-se-á então a preencher os atributos da conta (caminho e letra da unidade), e não é necessário nenhum direito na partilha.

7. No computador

• A conta delegada tem de poder iniciar sessão no computador de administração (é o caso por predefinição para um utilizador do domínio num posto de trabalho; não é o caso por predefinição num controlador de domínio).
• Tem de poder ler a pasta da ferramenta: inicie a ferramenta uma primeira vez com essa conta e peça a um administrador do computador que escreva o comando icacls que ela mostra, numa linha de comandos ou numa janela do PowerShell abertas como administrador (ver o manual, § 3.3). A pasta de dados que a ferramenta cria então (C:\ProgramData\ComptesAD) pertence a essa conta: uma única conta por pasta de dados.
• Não é necessário nenhum direito de administrador local para utilizar a ferramenta, e não há nada a instalar: o RSAT deixou de ser necessário desde a versão 2. O ComptesAD.exe comunica com o diretório em LDAP assinado e encriptado (Kerberos ou, na sua falta, NTLM), na porta 389 do controlador de domínio.

8. Verificar

1. Inicie a ferramenta com a conta delegada, no modo só de leitura: runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule".
2. Nas definições, passo 1, a verificação deve mostrar «✓ A sua conta pode criar contas em «Organizacao › Pessoas»», o mesmo para «Organizacao › Saidas», e «✓ A sua conta pode criar grupos em «Organizacao › Grupos»» (é mostrado o caminho completo de cada OU: verifique se são de facto as OU delegadas, uma vez que a ferramenta as pré-preencheu com base no nome).
3. A pré-visualização não deve mostrar «A sua conta não pode criar contas em…».
4. No servidor de ficheiros, C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Pessoas -Partage pessoas$ -GroupeDelegue DEMO\GG-ComptesAD -LectureSeule deve terminar com «tudo já está implementado».
5. A primeira aplicação real faz-se numa OU de teste, com algumas contas fictícias. O erro «Direitos insuficientes» durante uma aplicação indica o direito que falta para a operação em causa.

A ferramenta não verifica as sub-OU uma a uma: um direito retirado manualmente numa OU de grupo só se nota na aplicação («Direitos insuficientes»).

Kontivo 3, para Active Directory · direitos retirados do § 10.9 da conceção da ferramenta; preparação da partilha: § 15.2 da conceção da V2 · Active Directory é uma marca da Microsoft.