O analista João administra o domínio Active Directory ad.tj.dft e precisa atribuir novas permissões ao usuário administrador RaizSD_u. O usuário RaizSD_u é membro de um grupo protegido do Active Directory. Sendo assim, para que esta alteração de permissões persista ao longo do tempo, João deve adicionar as novas permissões no objeto de ad.tj.dft:
- A)AdminSDHolder;
Correta, porque o AdminSDHolder é o objeto que serve de modelo de permissões para contas e grupos protegidos no Active Directory.
- B)IIS_IUSRS;
Errada, pois IIS_IUSRS é um grupo relacionado ao IIS, sem relação com a proteção de permissões de usuários privilegiados no AD.
- C)rootDSE;
Errada, porque rootDSE é uma entrada especial de consulta do diretório, não um objeto usado para manter permissões persistentes de contas protegidas.
- D)Krbtgt;
Errada, pois krbtgt é a conta associada ao serviço Kerberos do domínio, e não ao mecanismo de herança de permissões de usuários protegidos.
- E)Replicator.
Errada, porque Replicator é um grupo usado em replicação/serviços do Windows, sem função de controle de permissões persistentes de contas protegidas no AD.
Gabarito: A
No Active Directory, alguns usuários e grupos são tratados como "protegidos", isto é, recebem um nível extra de segurança porque têm privilégios muito sensíveis. O detalhe importante para prova é que, nesses casos, as permissões não devem ser alteradas em qualquer lugar aleatório do diretório, pois podem ser sobrescritas por mecanismos automáticos de proteção. É aí que entra o AdminSDHolder. Esse objeto funciona como um modelo de segurança para contas protegidas: o AD usa o descritor de segurança dele para reaplicar permissões e manter o controle sobre esses usuários e grupos especiais. Em outras palavras, se João quer que a nova permissão permaneça ao longo do tempo para o usuário RaizSD_u, ele precisa ajustar o AdminSDHolder, porque é dele que vêm as permissões herdadas pelos objetos protegidos. A lógica cobrada pela FGV é simples: conta protegida, objeto protegido. Se você mexer direto só no usuário, a configuração pode não persistir, porque o sistema pode restaurar as permissões conforme o padrão do AdminSDHolder. Por isso, a alternativa A está correta. Como fundamento doutrinário, isso decorre do funcionamento do próprio Active Directory na proteção de contas privilegiadas, especialmente do mecanismo AdminSDHolder e do grupo "Protected Users"/contas administrativas sensíveis, frequentemente explorado em segurança de ambientes Windows.