Windows Server 2008: Como saber se um usuário é um usuário 'local' ou um usuário 'domínio'

Question

Sou um desenvolvedor, não um administrador de servidores, então, por favor, tenha paciência comigo!

Recebi a tarefa de verificar a instalação de alguns softwares em uma máquina do Windows Server 2008 R2 na nuvem, em dois cenários:

1. Não há domínio, o software usará usuários e grupos locais para autenticação
2. Existe um domínio, o software usará usuários de domínio e grupos para autenticação

Eu fiz a parte 1, mas estou intrigado com a parte 2.

Acabei de instalar a função dos Serviços de Domínio do Active Directory no servidor, agora tenho um domínio de um computador. Quando olho em Usuários e Computadores do Active Directory, vejo todos os meus usuários e grupos locais originais. Eles agora foram "promovidos" para usuários de domínio? Ou ainda não tenho usuários de domínio? Existe uma maneira de saber a diferença entre os usuários do domínio e os usuários locais agora?

Obrigado

    

Answer 1

Tudo o que aparece no console Usuários e Computadores do Active Directory está no domínio e é replicado para todos os controladores de domínio.

Em um controlador de domínio (ou seja, um servidor com a função Serviços de Domínio Active Directory instalada), não há usuários e grupos locais (exceto para o usuário do modo de restauração dos serviços de diretório, que é um caso especial).

Servidores membros e estações de trabalho em um domínio têm seus próprios usuários e grupos locais. Quando uma máquina é adicionada a um domínio, alguns grupos de domínios são automaticamente aninhados nos grupos locais; o grupo Admins. do Domínio se torna um membro do grupo Administradores local, o grupo Usuários do Domínio torna-se um membro do grupo Usuários locais.

Em suma, se a conta de usuário aparecer no console do ADUC, é uma conta de domínio.

    

Answer 2

Você não pode testar o que deseja testar em um controlador de domínio. Você terá que testá-lo em um servidor membro. Quando um DC é promovido, todas as contas, exceto a conta DSRM, tornam-se contas de domínio.

    

Answer 3

Ok, você deve primeiro ler sobre o Active Directory antes de fazer qualquer outra coisa.

O AD é um serviço de diretório: contém usuários, computadores e todo tipo de referências que são usadas dentro de um "domínio de segurança", geralmente uma empresa ou departamento. É um local central para gerenciar essas contas.

Quando você instala a função AD em um servidor, todos os usuários "locais" se tornam usuários do domínio. Essa é uma das razões pelas quais você normalmente NÃO instala nada na mesma máquina que o AD.

No seu caso, não faz sentido instalar o AD no seu servidor: o AD só faz sentido se você quiser centralizar o gerenciamento de contas entre várias máquinas.

Agora, se você quiser executar seu teste corretamente, será necessário remover o AD do servidor (ou, de preferência, reinstalá-lo completamente), instalar um servidor 2008R2 separado no qual você instalará o AD e ingressará em seu servidor de aplicativos para esse domínio. Só então você pode tentar usar contas do AD para seu aplicativo.

Esteja avisado, no entanto, que o AD não é apenas um serviço de rede: você precisa instalar toda a infraestrutura que o acompanha (principalmente DNS, mas também significa que você precisará de um endereço IP estático).

Mais uma vez, peço-lhe para começar a ler sobre o AD: não será tempo perdido para quem tem que trabalhar com redes Windows. No mínimo, dê uma olhada no artigo da Wikipedia sobre o Active Directory e tente ler sobre o (numerosos) guia para iniciantes do AD disponível na Internet.

    

Answer 4

Existem algumas maneiras de verificar se o servidor é membro de um domínio:

Registro: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Domain

Este valor conterá o FQDN ou estará vazio em uma máquina do grupo de trabalho.

Há também Powershell comandos que você pode executar para verificar também.

A variável ambiental %userdomain% será o nome da máquina se não estiver em um domínio também (mas se o nome da máquina for o mesmo que o domínio, este teste falhará. Caso de borda, sim, mas ainda assim uma possibilidade) .

Seria uma suposição segura que, se um domínio for detectado, o usuário provável deseja usar a autenticação do Active Directory, mas por que não apenas solicitá-lo no instalador? Se for um serviço do Windows que você está instalando, eu absolutamente gostaria de ser perguntado (e ter a opção de qual usuário; nunca executaria um serviço como administrador se não precisasse; menos privilégios necessários, esse tipo de coisa).