Windows Server 2025 / Criar usuários, grupos e OUs no AD

No Active Directory (AD), usuários, grupos e unidades organizacionais (OUs) cumprem funções distintas. As OUs organizam objetos para delegação e aplicação de políticas; grupos de segurança servem para atribuir permissões aos recursos. Controlar acesso por grupo facilita a revisão das mudanças em comparação com permissões atribuídas a cada usuário.

Planeje OUs específicas do laboratório

No domínio ad.example.test, crie a OU Lab com LabUsers, LabGroups, Workstations e Servers. Mantenha essas OUs separadas dos contêineres padrão Users e Computers. Não mova contas administrativas internas, identidades de serviço nem controladores de domínio para fora de Domain Controllers sem planejamento.

Planeje OUs conforme as necessidades de delegação e o alcance das Políticas de Grupo, sem copiar mecanicamente o organograma. Muitos níveis dificultam acompanhar a herança. Mantenha a proteção contra exclusão acidental nas novas OUs.

Crie o usuário e o grupo pela interface gráfica

1. No DC1 ou em um computador autorizado com Ferramentas de Administração de Servidor Remoto (RSAT), abra dsa.msc.
2. Em ad.example.test, crie Lab e as quatro OUs filhas indicadas na tabela.
3. Crie labuser1 em LabUsers com uma senha inicial exclusiva conforme a política do domínio e exija sua alteração no próximo login.
4. Em LabGroups, crie GG_LabUsers como grupo de segurança de escopo global.
5. Adicione labuser1 ao grupo e confira a associação nas propriedades do grupo e da conta de usuário.

Use um grupo de segurança, não um grupo de distribuição, para atribuir permissões. O escopo depende dos membros e dos domínios envolvidos; neste laboratório de um domínio, comece com um grupo global. Consulte New-ADGroup.

Reproduza a configuração com PowerShell

Use a alternativa abaixo apenas se esses objetos ainda não foram criados pela interface gráfica. Execute-a no DC1 ou em um computador autorizado com o módulo Active Directory. Se um nome já existe, verifique seu objeto e sua finalidade antes de alterá-lo:

Import-Module ActiveDirectory
$domainPath = 'DC=ad,DC=example,DC=test'
$labPath = 'OU=Lab,' + $domainPath
New-ADOrganizationalUnit -Name 'Lab' -Path $domainPath -ProtectedFromAccidentalDeletion $true
foreach ($ouName in 'LabUsers','LabGroups','Workstations','Servers') {
    New-ADOrganizationalUnit -Name $ouName -Path $labPath -ProtectedFromAccidentalDeletion $true
}
$initialPassword = Read-Host 'Initial password for labuser1' -AsSecureString
New-ADUser -Name 'Lab User One' -SamAccountName 'labuser1' -UserPrincipalName 'labuser1@ad.example.test' -Path ('OU=LabUsers,' + $labPath) -AccountPassword $initialPassword -Enabled $true -ChangePasswordAtLogon $true
New-ADGroup -Name 'GG_LabUsers' -GroupCategory Security -GroupScope Global -Path ('OU=LabGroups,' + $labPath)
Add-ADGroupMember -Identity 'GG_LabUsers' -Members 'labuser1'
Get-ADGroupMember -Identity 'GG_LabUsers'

Revise criação de OU e parâmetros de criação de usuário. Se a política de senha rejeitar o valor informado, verifique o erro e o estado Enabled da conta; não presuma que a criação teve sucesso.

Mova objetos de computador e teste o usuário padrão

No console AD, use Mover para colocar CLIENT1 em Lab\Workstations e FS1 em Lab\Servers, se FS1 já existe e não é controlador de domínio. Confira então os locais dos objetos e o estado da conta:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName
Get-ADComputer -Identity 'FS1' | Select-Object Name,DistinguishedName
Get-ADUser -Identity 'labuser1' -Properties Enabled | Select-Object SamAccountName,Enabled,DistinguishedName

No CLIENT1, encerre a sessão, entre como labuser1@ad.example.test, altere a senha inicial se solicitado e execute whoami. O grupo ainda não recebeu permissões de arquivo; por isso, a recusa de acesso a um compartilhamento não demonstra, sozinha, falha na criação do grupo.

As configurações de política para usuários e computadores dependem dos locais de seus respectivos objetos. Mover o usuário não move seu computador.

Verifique mudanças de associação antes de excluir objetos

Uma sessão existente pode conservar um token de acesso anterior. Depois de sair e entrar novamente, compare a associação registrada no AD com o resultado de whoami /groups. Antes de renomear ou excluir contas e grupos, examine as permissões dos aplicativos e arquivos que dependem deles.

Na limpeza, mova os objetos a preservar para locais adequados e revise os vínculos de política e as delegações. A proteção contra exclusão acidental é intencional. Remova-a apenas de uma OU específica após conferência, sem excluir recursivamente toda a árvore Lab.