Windows Server 2025 / Organizar permissões de pastas por departamento com AGDLP

Para organizar permissões de pastas por departamento, associe os usuários a grupos de negócio, inclua esses grupos em grupos de permissão do recurso e conceda acesso às pastas somente a estes últimos. Neste laboratório, Vendas e Suporte ficam separados; você verifica tanto as alterações permitidas quanto o bloqueio de acesso ao outro departamento.

Separe contas, grupos de negócio e grupos de permissão

Em um único domínio, AGDLP significa Accounts (contas) → Global groups (grupos globais) → Domain Local groups (grupos locais do domínio) → Permissions (permissões). Esse modelo ajuda a começar, mas não é a única arquitetura possível.

Use o servidor FS1 ingressado no domínio e um volume NTFS. Antes de criar pastas vazias, confira se esses nomes já existem; não substitua compartilhamentos ou grupos em uso pelas configurações do laboratório. Os identificadores da tabela permanecem em inglês para corresponder exatamente aos comandos e caminhos.

Crie grupos e contas de teste sem privilégios administrativos

1. Na unidade organizacional LabGroups, crie os quatro grupos de segurança com os escopos indicados na tabela.
2. Em LabUsers, crie sales.user1 e support.user1 com senhas iniciais diferentes e configure a troca de senha no primeiro logon, conforme a política do laboratório.
3. Adicione cada usuário somente ao grupo global de seu departamento.
4. Inclua GG_Sales em DL_FS_Sales_Modify e GG_Support em DL_FS_Support_Modify.
5. Confirme que nenhum usuário de teste é administrador nem participa dos grupos do outro departamento.

Consulte os escopos e parâmetros de criação de grupos do Active Directory. Ao transferir uma pessoa de departamento, normalmente é melhor ajustar sua associação ao grupo de negócio do que acrescentá-la individualmente à lista de controle de acesso (ACL) de cada pasta.

Get-ADGroupMember 'GG_Sales'
Get-ADGroupMember 'DL_FS_Sales_Modify'
Get-ADGroupMember 'GG_Support'
Get-ADGroupMember 'DL_FS_Support_Modify'

Conceda a permissão Modificar do NTFS aos grupos de recurso

1. Abra as configurações de segurança avançadas da pasta Sales e examine as entradas herdadas.
2. Para essa nova pasta de laboratório, converta as permissões herdadas em entradas explícitas, preservando o acesso necessário de SYSTEM e dos administradores.
3. Revise e remova, quando apropriado, permissões amplas desnecessárias para usuários genéricos.
4. Conceda Modificar a AD\DL_FS_Sales_Modify na pasta e nos itens descendentes previstos.
5. Repita o procedimento em Support usando somente o grupo de recurso correspondente.

Modificar permite alterações normais no conteúdo. Controle Total também inclui a capacidade de gerenciar permissões, entre outras ações. Permissões concedidas por grupos diferentes podem se somar; por isso, estabeleça primeiro as concessões necessárias, sem começar por uma negação ao outro departamento.

Configure os compartilhamentos e use o nome normal do servidor

1. Publique a pasta Sales pelo Compartilhamento Avançado, mantendo Sales como nome do compartilhamento.
2. Conceda Alterar ao grupo local do domínio DL_FS_Sales_Modify nas permissões do compartilhamento e preserve o acesso administrativo necessário.
3. Configure Support da mesma forma, usando DL_FS_Support_Modify.
4. No FS1, confira os caminhos e as permissões dos compartilhamentos:

Get-SmbShare -Name Sales,Support | Select-Object Name,Path
Get-SmbShareAccess -Name Sales
Get-SmbShareAccess -Name Support

Use \\fs1.ad.example.test\Sales ou o caminho correspondente de Support. Evite misturar endereços IP e aliases não planejados no teste de autenticação. A enumeração baseada em acesso pode ocultar itens, mas você ainda precisa testar separadamente a visibilidade e a autorização.

Teste o acesso cruzado com as duas contas comuns

Faça novos logons no CLIENT1 e confira a identidade com whoami, além das conexões SMB já abertas. Após mudar a associação de grupo, entre novamente para obter um token de logon atualizado. Se o resultado divergir da tabela, examine separadamente as permissões do compartilhamento, a herança NTFS, as associações de grupo e as credenciais usadas na sessão.

Para simular uma transferência controlada de departamento, altere apenas uma associação ao grupo de negócio, entre novamente, compare os resultados e restaure a associação original. Antes de limpar o laboratório, identifique onde os grupos aparecem em permissões: excluí-los primeiro pode deixar identificadores de segurança (SIDs) sem resolução nas ACLs. Mantenha os compartilhamentos para o exercício posterior de DFS.