Bem, parece um pouco simples, certo? Se o meu AD estiver em baixo, ninguém pode iniciar sessão nos seus PCs, aceder a recursos de rede, lançar aplicações, etc., mas mesmo assim alguns CIOs olham para o AD como apenas mais um serviço na organização.
Vou tentar explicar porque é que a recuperação de desastres do Active Directory é tão importante e como é que pode realmente analisar quão importante para a sua organização, com base na minha experiência com alguns dos maiores clientes empresariais com quem tenho trabalhado.
Antes de mais, permitam-me que comece com uma afirmação que ouvi de um dos meus colegas da Microsoft - "O Active Directory é como a electricidade, ninguém lhe dá valor enquanto está disponível, mas no momento em que deixa de funcionar, o inferno fica à solta". Penso que é a afirmação mais correcta que ouvi sobre a recuperação de desastres do Active Directory.
Vejamos então que serviços o Active Directory fornece à nossa organização:
- Antes de mais serviços de autenticação - quando um utilizador chega de manhã ao seu PC e introduz o seu nome de utilizador e a sua palavra-passe, o nome de utilizador e o hash da palavra-passe são enviados para o controlador de domínio para verificar se estão correctos, após o que o utilizador consegue aceder ao seu PC. Dito isto sobre os utilizadores, o mesmo se aplica às contas de computador. Quando se arranca um PC membro do domínio, este é autenticado da mesma forma que um utilizador.
- Autenticação e autorização de recursos - Depois de o utilizador ter obtido acesso ao seu PC, normalmente tenta aceder a recursos na rede - servidores de ficheiros, servidores Web, sharepoint, DB, etc. A autenticação desses recursos é gerida pelo controlador de domínio, quer através da utilização do Kerberos (em que o utilizador solicita e recebe um bilhete de acesso a um recurso específico), quer através do NTLM, em que o próprio recurso efectua o "encadeamento" e encaminha o nome de utilizador e o hash da palavra-passe recebidos do utilizador para o controlador de domínio para autenticar a sessão. (Nota: Pode encontrar mais pormenores sobre a autenticação NTLM numa excelente publicação de GuyTe - http://blogs.technet.com/b/isrpfeplat/archive/2010/11/05/optimizing-ntlm-authentication-flow-in-multi-domain-environments.aspx)
- Processamento da Política de Grupo - Embora o processamento da Política de Grupo seja efectuado pelo lado do cliente, são os Controladores de Domínio que fornecem aos clientes (PCs e utilizadores) a lista de objectos que necessitam de processamento.
- DNS - embora não seja obrigatório, muitas organizações estão a utilizar os seus controladores de domínio para fornecer serviços de resolução de nomes à sua organização, tanto internos para servidores no domínio, como externos (resolução de nomes da Internet através de encaminhamentos ou sugestões de raiz).
- Repositório de dados dos serviços de directório - O Active Directory é também um repositório de dados que pode ser consumido por muitas aplicações, a começar pelo Sharepoint, Exchange e SQL, e pode ser utilizado pela Oracle, CheckPoint, Cisco ou qualquer outro fornecedorterceiro que integre o AD.
Agora que já cobrimos todos os serviços básicos (num nível realmente elevado, uma vez que cada um deles pode ser um livro por si só J ), vamos ver o que acontece se o nosso domínio não estiver disponível:
- Sem serviços de autenticação disponíveis - nenhum utilizador poderá iniciar sessão nos seus PCs, bem como os próprios PCs autenticarem-se e acederem aos recursos da rede.
- Sem autenticação e autorização de recursos - Mesmo que esteja a utilizar credenciais em cache em todos os seus dispositivos e consiga aceder ao seu ambiente de trabalho, não conseguirá aceder a nenhum dos recursos de rede da organização.
- Sem GPOs - Muitas vezes, os GPO são utilizados para aplicar definições de segurança nos clientes e servidores da organização. O processamento de GPO não está disponível e não serão aplicadas definições nos clientes - o que significa que se alguém tiver alterado uma definição de segurança (uma vez que é um administrador local no seu PC), esta não será revertida para a linha de base da organização.
- Sem DNS - a resolução de nomes a resolução de nomes (se estiver alojada num DC) não está disponível, o que significa que os seus dispositivos não podem aceder à Web e/ou a outros serviços na rede.
- Sem acesso ao repositório de dados - Dependendo das especificidades da implementação, a aplicação pode deixar de funcionar completamente (como no caso do Exchange Server), ou a funcionalidade pode ser reduzida (por exemplo: a solução VPN organizacional não pode autenticar utilizadores de acesso remoto, uma vez que depende do AD para os serviços de autenticação).
Neste cenário, é seguro dizer que o seu negócio está em baixo!
