Questão de Redes de Computadores — Active Directory e Administração de Usuários — VUNESP 2024

Active Directory: vinculação de GPOs

Gabarito: letra A. Uma GPO (Group Policy Object) pode ser vinculada diretamente a três tipos de objetos do Active Directory: sites, domínios e unidades organizacionais (OUs). Essa é uma regra fundamental do AD, ensinada pela Microsoft e cobrada em concursos — as demais alternativas misturam objetos que não são alvos diretos de vinculação, como computadores, usuários e impressoras.

O Active Directory (AD) é um serviço de diretório baseado no protocolo LDAP, que armazena informações sobre objetos da rede (usuários, computadores, grupos, impressoras, etc.) e as disponibiliza para administradores e usuários. A estrutura lógica do AD é composta por florestas, árvores, domínios e unidades organizacionais (OUs). Os domínios são a estrutura mais importante: formam um limite de gerenciamento e segurança, agrupando objetos que compartilham o mesmo banco de dados (NTDS.dit) e as mesmas políticas. As OUs são contêineres que organizam objetos dentro de um domínio, permitindo delegar administração e aplicar políticas de forma granular. Os sites, por sua vez, pertencem à estrutura física do AD e servem para otimizar a replicação entre controladores de domínio, agrupando sub-redes IP com boa conectividade.

A política de grupo (GPO) é o mecanismo central de administração centralizada do Windows: ela define configurações de segurança, software, scripts, redirecionamento de pastas etc., que são aplicadas a usuários e computadores. Para que uma GPO tenha efeito, ela precisa ser vinculada (linked) a um contêiner do AD. E aqui está o ponto-chave: a vinculação só pode ser feita em três níveis — site, domínio ou OU. Não é possível vincular uma GPO diretamente a um usuário, a um computador ou a uma impressora; esses são objetos folha (leaf objects), que recebem as políticas indiretamente, por estarem dentro de um domínio ou de uma OU à qual a GPO foi vinculada.

A ordem de aplicação das GPOs segue a hierarquia do AD: LSDOU — Local, Site, Domain, OU. Ou seja, primeiro são aplicadas as políticas locais do computador, depois as vinculadas ao site, depois ao domínio e, por fim, às OUs (da mais externa para a mais interna). Quando há conflito, a política aplicada por último (a da OU mais específica) tem precedência, a menos que esteja configurada como "Enforced" (impedida de ser sobrescrita). Esse modelo explica por que a vinculação é restrita a esses três contêineres: eles formam a hierarquia de escopo das políticas.

A pegadinha desta questão é justamente confundir os objetos que recebem a política (usuários e computadores) com os objetos aos quais a GPO é vinculada. A banca coloca "computadores" e "usuários" nas alternativas para induzir o candidato a pensar que, como as GPOs afetam esses objetos, eles seriam alvos diretos de vinculação. Mas não são: a vinculação é sempre em um contêiner (site, domínio ou OU), e os objetos folha recebem a política por herança. Guarde essa distinção: vincular ≠ aplicar. A GPO é vinculada ao contêiner; a política é aplicada aos objetos dentro dele.

Alternativa A — ✅ Correta ⟵ GABARITO

Esta é a única alternativa que lista exclusivamente os três tipos de objetos aos quais uma GPO pode ser diretamente vinculada: sites, domínios e unidades organizacionais. É exatamente o que a documentação da Microsoft estabelece: o vínculo de uma GPO pode ser feito em um site, em um domínio ou em uma OU. Os sites representam a estrutura física (agrupam sub-redes), os domínios são o núcleo lógico de segurança e as OUs permitem o gerenciamento granular dentro do domínio. Todos os três são contêineres que podem receber o vínculo da GPO.

Alternativa B — ❌ Incorreta

Inclui "computadores" e "usuários", que não são objetos de vinculação de GPO. Computadores e usuários são objetos folha do AD: eles recebem as políticas de grupo, mas a GPO não é vinculada diretamente a eles. Para aplicar uma política a um usuário ou computador específico, é necessário colocá-lo em uma OU e vincular a GPO a essa OU (ou ao domínio). A alternativa mistura o alvo da política (usuários/computadores) com o alvo do vínculo (sites/domínios/OUs).

Alternativa C — ❌ Incorreta

Além de "computadores" e "usuários", traz "impressoras", que também são objetos folha e não podem receber vínculo de GPO. Impressoras são objetos do AD que podem ser publicados e gerenciados, mas não são contêineres de política. A vinculação de GPO é restrita a sites, domínios e OUs — nenhum objeto de recurso (impressora, pasta compartilhada, etc.) é alvo direto de vínculo.

Alternativa D — ❌ Incorreta

Esta alternativa acerta ao incluir "sites" e "domínios", mas erra ao trocar "unidades organizacionais" por "computadores". Computadores não são contêineres de vinculação; são objetos que recebem as políticas. A ausência das OUs é o erro: sem elas, não haveria como aplicar GPOs a subconjuntos específicos de usuários e computadores dentro de um domínio, o que é uma funcionalidade essencial do AD.

Alternativa E — ❌ Incorreta

Inclui "computadores" e "usuários" novamente, além de "unidades organizacionais". A OU está correta, mas computadores e usuários não são alvos de vinculação. A alternativa mistura corretamente a OU (que é um contêiner válido) com objetos folha (que não são). O candidato que sabe que a OU é um alvo válido pode ser tentado a marcar esta opção, mas a presença de computadores e usuários a torna incorreta.

Gabarito: letra A