GPO (Group Policy Object) e Unidades Organizacionais no Active Directory
Gabarito: letra B. A estratégia correta para aplicar políticas de segurança distintas a diferentes departamentos é criar Unidades Organizacionais (UOs) separadas e vincular GPOs específicos a cada UO, aplicando filtros de segurança quando necessário. Essa é a abordagem padrão do Active Directory para segmentar e gerenciar configurações de forma granular, permitindo que o setor de Coordenação tenha políticas mais restritivas e o de TI, menos restritivas.
A Política de Grupo (GPO) é um mecanismo central do Active Directory que permite administrar e configurar sistemas operacionais, aplicativos e configurações de usuários em um ambiente de rede. O grande desafio em organizações com setores de perfis distintos é aplicar políticas diferentes sem criar um caos administrativo. A solução nativa e mais eficiente é a utilização de Unidades Organizacionais (UOs), que são contêineres lógicos dentro do domínio usados para organizar objetos (usuários, computadores, grupos) e, principalmente, para vincular GPOs de forma direcionada.
A hierarquia de aplicação de GPOs segue uma ordem específica: Local → Site → Domínio → Unidade Organizacional (UO). Isso significa que as políticas vinculadas a uma UO têm prioridade sobre as do domínio, e as de uma UO filha têm prioridade sobre as da UO pai. Essa característica é fundamental para o cenário apresentado: ao criar UOs separadas para Coordenação e TI, a analista pode vincular GPOs específicas a cada uma, garantindo que as configurações de firewall e restrições de acesso sejam aplicadas corretamente a cada grupo, sem afetar o outro.
Na prática, o processo envolve: (1) criar as UOs no console de Gerenciamento do Active Directory (ADUC); (2) criar as GPOs no Console de Gerenciamento de Política de Grupo (GPMC); (3) vincular cada GPO à UO correspondente; e (4) usar filtros de segurança (por meio de grupos de segurança) para refinar ainda mais quais usuários ou computadores dentro da UO receberão a política. Por exemplo, se dentro da UO de Coordenação houver um grupo específico que não deve receber uma restrição, o filtro de segurança pode excluí-lo.
A pegadinha central desta questão é a confusão entre os níveis de aplicação de GPO e a prioridade entre eles. Muitos candidatos podem pensar que vincular a GPO ao domínio é mais simples e abrangente, mas isso aplicaria as mesmas políticas a todos, sem a granularidade necessária. Outros podem confundir a prioridade de aplicação, achando que o nível de site tem prioridade sobre a UO (na verdade, a UO tem prioridade sobre o site). A alternativa correta explora exatamente o conhecimento da hierarquia e da segmentação lógica.
Guarde a fronteira entre escopo de aplicação (onde a GPO é vinculada) e prioridade de processamento (qual GPO vence em conflito): é exatamente nessa distinção que as alternativas se dividem.
Alternativa A — ❌ Incorreta
Criar uma GPO vinculada ao domínio e configurar todas as políticas para todos os usuários é uma abordagem centralizada demais e ineficiente para o cenário. Embora a herança de políticas simplifique o gerenciamento, ela não atende à necessidade de configurações específicas e distintas para Coordenação e TI. Aplicar tudo no nível de domínio forçaria a analista a criar exceções complexas ou a aplicar as mesmas restrições a todos, o que contraria o requisito de políticas menos restritivas para o departamento de TI.
Alternativa B — ✅ Correta ⟵ GABARITO
Esta é a abordagem padrão e mais eficiente no Active Directory. Criar Unidades Organizacionais (UOs) separadas para Coordenação e TI permite que a analista vincule GPOs específicas a cada UO, garantindo que as políticas de firewall e restrições de acesso sejam aplicadas de forma granular e direcionada. Os filtros de segurança (baseados em grupos de segurança) permitem refinar ainda mais a aplicação, assegurando que apenas os objetos desejados recebam as configurações. Essa estratégia respeita a hierarquia de aplicação de GPOs (Local → Site → Domínio → UO), onde a UO tem prioridade sobre o domínio, permitindo que as políticas específicas de cada setor sejam aplicadas corretamente.
Alternativa C — ❌ Incorreta
A afirmação de que GPOs no nível de site têm prioridade sobre políticas de UO está incorreta. Na hierarquia de processamento de GPOs, a ordem de prioridade é: Local → Site → Domínio → Unidade Organizacional (UO). Isso significa que as políticas vinculadas a uma UO têm prioridade sobre as do site e do domínio. Além disso, configurar restrições mais rigorosas diretamente no site aplicaria as políticas a todos os computadores do site, sem a granularidade necessária para diferenciar Coordenação e TI.
Alternativa D — ❌ Incorreta
Desabilitar o processamento assíncrono de GPOs não é uma estratégia para diferenciar políticas entre departamentos. O processamento assíncrono refere-se a como as GPOs são aplicadas (se o sistema espera a conclusão de todas as políticas antes de permitir o login), não a onde ou quais políticas são aplicadas. Essa configuração não resolve o problema de aplicar políticas distintas a Coordenação e TI; ela apenas altera o comportamento de aplicação, potencialmente atrasando o login do usuário.
Alternativa E — ❌ Incorreta
Customizar as CSEs (Extensões do Lado do Cliente) via script de inicialização para cada computador é uma abordagem complexa, não padronizada e desnecessária. A infraestrutura padrão de GPO suporta perfeitamente configurações diferenciadas por UO, que é o mecanismo nativo e recomendado. Customizar CSEs via script seria um trabalho manual enorme, difícil de manter e propenso a erros, além de não aproveitar os recursos de gerenciamento centralizado do Active Directory.
Gabarito: letra B