Funcionalidade de domínio e floresta

A funcionalidade de domínio e floresta, disponível nos Serviços de Domínio do Active Directory (AD DS) do Windows Server 2008 R2, fornece uma forma de activar funcionalidades do Active Directory ao nível do domínio ou ao nível da floresta no ambiente de rede. Encontram-se disponíveis diferentes níveis funcionais de domínio e floresta, consoante o ambiente de rede.

Se todos os controladores de domínio no domínio ou na floresta estiverem a executar o Windows Server 2008 R2, e se os níveis funcionais do domínio ou da floresta estiverem definidos para o Windows Server 2008 R2, todas as funcionalidades ao nível do domínio e da floresta estarão disponíveis. Quando o domínio ou floresta tiverem controladores de domínio do Windows 2000, do Windows Server 2003 ou do Windows Server 2008, as funcionalidades do Active Directory estarão limitadas. Para mais informações sobre como activar funcionalidades ao nível do domínio e ao nível da floresta, consulte Aumentar o Nível Funcional do Domínio e Aumentar o Nível Funcional da Floresta.

Funcionalidade de domínio

A funcionalidade de domínio activa funcionalidades que afectam todo o domínio e apenas esse domínio. Nos AD DS do Windows Server 2008 R2, estão disponíveis quatro níveis funcionais do domínio: O Windows 2000 nativo, o Windows Server 2003 (a predefinição), o Windows Server 2008 e o Windows Server 2008 R2.

A seguinte tabela lista os níveis funcionais de domínio e os controladores de domínio correspondentes suportados.

Nível funcional de domínio Controladores de domínio suportados

Windows 2000 nativo

Windows 2000 Server

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2003

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008 R2

Windows Server 2008 R2

Quando aumenta o nível funcional do domínio, os controladores de domínio que executam sistemas operativos anteriores não podem ser introduzidos no domínio. Por exemplo, se aumentar o nível funcional do domínio para o Windows Server 2008 R2, não poderá adicionar controladores de domínio com o Windows Server 2008 ao domínio.

A tabela seguinte descreve as funcionalidades ao nível do domínio que são activadas para os níveis funcionais de domínio dos AD DS do Windows Server 2008 R2.

Nível funcional de domínio Funcionalidades activadas

Windows 2000 nativo

Todas as funcionalidades predefinidas do Active Directory e as seguintes funcionalidades:

  • Os grupos universais estão activados para grupos de distribuição e grupos de segurança.

  • Aninhamento de grupos.

  • A conversão de grupos está activada, o que torna possível a conversão entre grupos de segurança e grupos de distribuição.

  • Histórico do identificador de segurança (SID)

Windows Server 2003

Todas as funcionalidades predefinidas do Active Directory, todas as funcionalidades do nível funcional de domínio do Windows 2000 nativo e as seguintes funcionalidades:

  • A disponibilidade da ferramenta de gestão de domínios, Netdom.exe, para preparar a mudança do nome do controlador de domínio.

  • Actualização do carimbo de data/hora de início de sessão. O atributo lastLogonTimestamp é actualizado com a data e a hora do último início de sessão do utilizador ou do computador. Este atributo é replicado dentro do domínio.

  • A capacidade de definir o atributo userPassword como a palavra-passe efectiva no objecto inetOrgPerson e nos objectos do utilizador.

  • A capacidade de redireccionar contentores Utilizadores e Computadores. Por predefinição, dois contentores bem conhecidos são fornecidos para alojar contas de utilizador/grupo ou de computador: cn=Computadores,<domínio raiz> e cn=Utilizadores,<domínio raiz>. Esta funcionalidade possibilita a definição de uma localização bem conhecida para estas contas.

  • O Gestor de Autorizações pode armazenar as respectivas políticas de autorização no AD DS.

  • A delegação restrita encontra-se incluída e permite que as aplicações tirem partido da delegação segura de credenciais do utilizador através do protocolo de autenticação Kerberos. É possível configurar a delegação para que seja só permitida em serviços de destino específicos.

  • A autenticação selectiva é suportada, o que permite especificar os utilizadores e os grupos de uma floresta fidedigna que estão autorizados a efectuar a autenticação em servidores de recursos numa floresta confiante.

Windows Server 2008

Todas as funcionalidades predefinidas do Active Directory, todas as funcionalidades do nível funcional de domínio do Windows 2003 e as seguintes funcionalidades:

  • Suporte de Replicação de Sistema de Ficheiros Distribuído (DFS) para SYSVOL, o que fornece uma replicação mais robusta e detalhada de conteúdo SYSVOL.

  • Suporte dos Serviços de Encriptação Avançados (AES 128 e 256) para o protocolo de autenticação Kerberos.

  • Informações sobre o Último Início de Sessão Interactivo, que apresentam a data/hora do último início de sessão interactivo efectuado com êxito por um utilizador, a estação de trabalho em foi efectuado e o número de tentativas de início de sessão falhadas desde o último início de sessão.

  • Políticas de palavras-passe detalhadas (FGPP), que permitem especificar políticas de bloqueio de palavras-passe e de contas para utilizadores e grupos de segurança globais num domínio.

Windows Server 2008 R2

Todas as funcionalidades predefinidas do Active Directory, todas as funcionalidades do nível funcional do domínio do Windows Server 2008 e a seguinte funcionalidade:

  • A garantia do mecanismo de autenticação inclui informações sobre o tipo de método de início de sessão (smart card ou nome de utilizador/palavra-passe) utilizado para autenticar os utilizadores de domínio dentro de cada token Kerberos do utilizador. Quando esta funcionalidade estiver activada num ambiente de rede que tenha implementado uma infra-estrutura de gestão de identidades federada, como, por exemplo, os Serviços de Federação do Active Directory (AD FS), as informações no token podem ser extraídas sempre que um utilizador tentar aceder a qualquer aplicação com suporte para afirmações que tenha sido implementada para determinar a autorização baseada no método de início de sessão de um utilizador.

Funcionalidade de floresta

A funcionalidade de floresta activa funcionalidades em todos os domínios da floresta. Estão disponíveis quatro níveis funcionais da floresta no sistema operativo Windows Server 2008 R2: O Windows 2000, o Windows Server 2003 (a predefinição), o Windows Server 2008 e o Windows Server 2008 R2.

A tabela seguinte lista os níveis funcionais da floresta disponíveis no Windows Server 2008 R2 e os controladores de domínio suportados correspondentes.

Nível funcional de floresta Controladores de domínio suportados

Windows 2000 Server

Windows NT 4.0

Windows 2000

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2003 (predefinição)

Windows Server 2003

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008

Windows Server 2008

Windows Server 2008 R2

Windows Server 2008 R2

Windows Server 2008 R2

Quando aumenta o nível funcional da floresta, os controladores de domínio que estão a executar sistemas operativos anteriores não podem ser introduzidos na floresta. Por exemplo, se aumentar o nível funcional da floresta para o Windows Server 2008 R2, os controladores de domínio com o Windows Server 2008 não podem ser adicionados à floresta.

A tabela seguinte descreve as funcionalidades para toda a floresta, que são activadas para os níveis funcionais da floresta do Windows Server 2008 R2.

Nível funcional de floresta Funcionalidades activadas

Windows Server 2003

Todas as funcionalidades predefinidas do Active Directory e as seguintes funcionalidades:

  • Fidedignidade de floresta.

  • Mudança de nome de domínio.

  • Replicação de valores ligados. As alterações em associações a grupos armazenam e replicam valores para membros individuais, em vez de replicarem para toda a associação como uma unidade única. Isto resulta numa utilização menor da largura de banda de rede e do processador durante a replicação e elimina a possibilidade de existirem actualizações perdidas quando membros diferentes são adicionados e removidos em simultâneo em controladores de domínio diferentes.

  • A capacidade de implementar um controlador de domínio só de leitura (RODC) que executa o Windows Server 2008.

  • Escalabilidade e algoritmos do Verificador de Consistência de Conhecimento (KCC) melhorados. O gerador de topologia entre locais (ISTG) utiliza algoritmos melhorados que se adaptam para suportar florestas com um maior número de locais do que aqueles que podem ser suportados no nível funcional de floresta do Windows 2000.

  • A capacidade de criar instâncias da classe auxiliar dinâmica denominada dynamicObject numa partição de directório de domínios.

  • A capacidade de converter uma instância do objecto inetOrgPerson numa instância do objecto Utilizador e vice-versa.

  • A capacidade de criar instâncias dos novos tipos de grupo, denominadas grupos básicos de aplicação e grupos de consulta LDAP (Lightweight Directory Access Protocol), para suportar autenticação baseada em funções.

  • A desactivação e a redefinição de atributos e classes no esquema.

Windows Server 2008

Todas as funcionalidades que estão disponíveis no nível funcional de floresta do Windows Server 2003, mas sem funcionalidades adicionais. No entanto, todos os domínios adicionados subsequentemente à floresta funcionarão no nível funcional de domínio do Windows Server 2008 por predefinição.

Windows Server 2008 R2

Todas as funcionalidades que estão disponíveis no nível funcional da floresta do Windows Server 2003 e as seguintes funcionalidades:

  • Reciclagem do Active Directory, que fornece a capacidade de restaurar na íntegra objectos eliminados enquanto o AD DS está em execução.

Por predefinição, todos os domínios adicionados subsequentemente à floresta funcionarão no nível funcional de domínio do Windows Server 2008 R2.

Se pretender incluir apenas controladores de domínio que executam o Windows Server 2008 R2 em toda a floresta, é aconselhável escolher este nível funcional de floresta para comodidade administrativa. Se o fizer, nunca terá de aumentar o nível funcional de domínio para cada domínio que crie na floresta.

Referências adicionais

Sumário