Questão de Redes de Computadores — Active Directory e Administração de Usuários — INSTITUTO AOCP 2024

Active Directory Federation Services (AD FS) e Single Sign-On

Gabarito: letra B. O AD FS (Active Directory Federation Services) é a tecnologia do Windows Server projetada especificamente para implementar Single Sign-On (SSO), permitindo que usuários autenticados uma única vez acessem múltiplos aplicativos e serviços, inclusive em domínios e organizações diferentes. As demais alternativas desempenham funções distintas no ecossistema do Active Directory, como veremos a seguir.

O Single Sign-On (SSO) é um mecanismo de autenticação que permite ao usuário fornecer suas credenciais uma única vez e, a partir daí, acessar diversos sistemas e aplicativos sem precisar se autenticar novamente em cada um deles. No ambiente Windows Server, o AD FS é a solução que viabiliza esse cenário, atuando como um serviço de federação de identidades. Ele se baseia em padrões abertos como SAML (Security Assertion Markup Language), OAuth e OpenID Connect para compartilhar informações de autenticação e autorização entre diferentes partes — a organização que hospeda o AD FS (provedor de identidade) e os aplicativos que consomem essas informações (provedores de confiança).

Na prática, quando um usuário tenta acessar um aplicativo que confia no AD FS, ele é redirecionado para o servidor AD FS, que solicita as credenciais. Após a autenticação bem-sucedida, o AD FS emite um token de segurança contendo as informações do usuário e suas permissões. Esse token é então apresentado ao aplicativo, que o valida e concede acesso, sem exigir que o usuário digite a senha novamente. Esse processo elimina a necessidade de múltiplas autenticações e centraliza o gerenciamento de identidades.

É importante distinguir o AD FS dos demais serviços do Active Directory, pois cada um tem um propósito específico. O AD DS (Active Directory Domain Services) é o serviço de diretório que armazena informações sobre usuários, computadores e outros objetos na rede, fornecendo autenticação e autorização dentro do domínio. O AD CS (Active Directory Certificate Services) é responsável pela emissão e gerenciamento de certificados digitais, usados para criptografia e assinatura digital. O AD RMS (Active Directory Rights Management Services) protege informações confidenciais aplicando políticas de uso, como restrições de impressão, cópia ou encaminhamento de documentos. O AD LDS (Active Directory Lightweight Directory Services) é um serviço de diretório leve, baseado em LDAP, usado para aplicações que precisam de um diretório sem a complexidade de um domínio completo.

A pegadinha desta questão está em confundir o AD FS com o AD DS. O AD DS é a base do Active Directory, mas não implementa SSO entre aplicativos de forma nativa; ele autentica o usuário no domínio, mas cada aplicativo precisaria validar a identidade separadamente. O AD FS, por sua vez, é a camada que adiciona a federação e o SSO, permitindo que um único logon seja aceito por múltiplos serviços. Guarde essa distinção: AD DS = diretório e autenticação no domínio; AD FS = federação e SSO entre aplicativos.

Alternativa A — ❌ Incorreta

O AD CS (Active Directory Certificate Services) é a infraestrutura de chave pública (PKI) do Windows Server. Ele emite, gerencia e revoga certificados digitais, que são usados para criptografia de dados, assinatura digital e autenticação mútua. Embora os certificados possam ser usados em processos de autenticação, o AD CS não é a tecnologia de SSO; ele fornece a base criptográfica, mas não realiza a federação de identidades nem o logon único entre aplicativos.

Alternativa B — ✅ Correta ⟵ GABARITO

O AD FS (Active Directory Federation Services) é a tecnologia do Windows Server que implementa o SSO. Ele permite que usuários autenticados em um domínio acessem aplicativos em outros domínios ou organizações sem precisar se autenticar novamente, utilizando padrões como SAML, OAuth e OpenID Connect. O AD FS atua como um provedor de identidade, emitindo tokens de segurança que são aceitos pelos aplicativos configurados como provedores de confiança, viabilizando o logon único.

Alternativa C — ❌ Incorreta

O AD RMS (Active Directory Rights Management Services) é uma tecnologia de proteção de informações. Ele permite definir políticas de uso para documentos e e-mails, como restrições de impressão, cópia, edição ou encaminhamento, garantindo que apenas usuários autorizados possam acessar o conteúdo de acordo com as permissões definidas. O AD RMS não está relacionado à autenticação única (SSO); seu foco é a proteção e o controle de acesso a informações confidenciais.

Alternativa D — ❌ Incorreta

O AD LDS (Active Directory Lightweight Directory Services) é um serviço de diretório leve baseado em LDAP, que fornece um repositório de dados para aplicações específicas, sem a necessidade de implantar um domínio completo. Ele é usado quando uma aplicação precisa de um diretório para armazenar informações, mas não requer os recursos de autenticação e gerenciamento de políticas do AD DS. O AD LDS não implementa SSO; ele é apenas um armazenamento de dados de diretório.

Alternativa E — ❌ Incorreta

O AD DS (Active Directory Domain Services) é o serviço de diretório central do Windows Server, responsável por armazenar informações sobre usuários, computadores, grupos e outros objetos, além de fornecer autenticação e autorização dentro do domínio. Embora seja a base para a identidade na rede, o AD DS por si só não implementa SSO entre aplicativos. Para isso, é necessário o AD FS, que adiciona a camada de federação e permite o logon único.

Gabarito: letra B