Principais conclusões
- Active Directory (AD), ou Active Directory Domain Services (AD DS), é o serviço de diretório do Windows Server para redes locais.
- Ele se organiza em florestas, domínios e unidades organizacionais (OUs). Autentica com Kerberos (e NTLM, legado) e é consultado por LDAP.
- O Microsoft Entra ID (antigo Azure AD) é o diretório na nuvem. Muitas empresas usam os dois, sincronizados: o ambiente híbrido.
- Grupos aninhados, contas de serviço e contas de desligados esquecidas são fontes frequentes de acesso que sobra no AD.
Para que serve o Active Directory
O AD é o catálogo central da rede: guarda quem são os usuários, quais computadores fazem parte do domínio e a quais grupos cada um pertence. Com ele, a TI:
- autentica o login no Windows e em servidores do domínio;
- dá acesso a pastas, impressoras e aplicações por grupo;
- aplica políticas de configuração e segurança com GPO (Group Policy Objects);
- serve de fonte de identidade para softwares que falam LDAP.
Como o AD se organiza
| Peça | O que é |
|---|---|
| Floresta | O limite de segurança mais alto: um ou mais domínios que confiam entre si |
| Domínio | Unidade de administração e de replicação, como empresa.local |
| Controlador de domínio | Servidor que guarda a cópia do diretório e autentica os logins |
| Unidade organizacional (OU) | Pasta para organizar objetos e aplicar GPO, como "Financeiro" ou "Desligados" |
| Grupo | Conjunto de usuários que recebe permissões juntos; grupos podem conter outros grupos |
| GPO | Política vinculada a sites, domínios ou OUs: senha, bloqueio de tela, software instalado |
Active Directory x Microsoft Entra ID
| Ponto | Active Directory (AD DS) | Microsoft Entra ID |
|---|---|---|
| Onde roda | Servidores da empresa (Windows Server) | Serviço na nuvem da Microsoft |
| Protocolos | Kerberos, NTLM, LDAP | SAML, OpenID Connect, OAuth 2.0 |
| Gerencia | Computadores Windows, servidores e rede local | Microsoft 365, aplicações SaaS e dispositivos na nuvem |
| Políticas | GPO | Acesso condicional (conforme o plano) |
O Entra ID não é "o AD na nuvem" com as mesmas funções: ele não tem OUs nem GPO no mesmo modelo. Veja mais em Microsoft Entra ID.
Ambiente híbrido: AD e Entra ID juntos
Quem tem AD local e usa Microsoft 365 costuma sincronizar os dois com o Microsoft Entra Connect Sync ou o Microsoft Entra Cloud Sync. O usuário é criado no AD e aparece no Entra ID, e a mesma senha ou um login federado vale nos dois lados.
O ponto de atenção é a origem da verdade: se o RH registra o desligamento na folha e a TI desativa a conta no AD só dias depois, a conta segue válida na nuvem durante esse intervalo. E softwares que não usam nem o AD nem o Entra ID ficam fora dessa desativação.
Tipos e escopos de grupo no AD
No AD há dois tipos de grupo: segurança, que recebe permissões, e distribuição, que é só lista de e-mail. Os grupos têm três escopos:
| Escopo | Quem pode ser membro | Uso recomendado |
|---|---|---|
| Global | Contas e outros grupos globais do mesmo domínio | Agrupar pessoas por função ou área |
| Domínio local | Contas, grupos globais e universais de qualquer domínio da floresta ou de domínios confiáveis; outros grupos de domínio local, só do mesmo domínio | Dar permissão a um recurso do próprio domínio, como uma pasta |
| Universal | Contas, grupos globais e outros universais de qualquer domínio da floresta; não aceita grupo de domínio local | Acesso que atravessa vários domínios |
A prática clássica é: pessoas em grupos globais por função, grupos globais dentro de grupos de domínio local, e a permissão dada ao grupo de domínio local. Funciona, mas cria camadas. Para saber o acesso real de alguém é preciso abrir os grupos aninhados.
Como o login funciona: Kerberos em poucas linhas
Quando a pessoa entra no Windows, o controlador de domínio confere a senha e entrega um tíquete (TGT). Com ele, o computador pede tíquetes de serviço para acessar pastas, impressoras e aplicações, sem enviar a senha de novo. É um login único dentro da rede local, anterior ao SSO da web.
Como os tíquetes valem por horas (10, por padrão), uma conta desativada pode manter acessos já abertos por um tempo. Em desligamentos sensíveis, além de desativar a conta, encerre as sessões.
Rotina de higiene do AD
| O que conferir | Por quê |
|---|---|
| Contas sem login há muito tempo (90 dias é uma referência usual) | Em geral são de desligados, terceiros que saíram ou testes esquecidos |
| Contas com "a senha nunca expira" | Costumam ser contas de serviço, muitas sem dono |
| Membros de Domain Admins, Enterprise Admins e Administrators | Cada nome precisa de justificativa |
| Contas desativadas que seguem em grupos | Se forem reativadas, voltam com todo o acesso |
| Grupos vazios ou sem dono | Ninguém sabe o que liberam |
| Contas ativas sem correspondência na folha | Podem ser desligados, terceiros ou contas genéricas |
O AD e a folha de pagamento
O AD não sabe quem foi admitido, promovido ou desligado. Quem sabe é o software de RH. Nas empresas brasileiras, isso costuma estar em softwares de folha como TOTVS, Senior ou ADP, e a informação chega à TI por e-mail ou chamado.
Enquanto o cadastro do AD não é comparado com a folha, sobram três tipos de conta: a do desligado que ninguém avisou, a do terceiro que nunca esteve na folha e a de quem mudou de área e acumulou grupos. A comparação periódica entre as duas listas é um dos controles mais simples e costuma achar muitos problemas.
Onde o acesso sobra no AD
- Grupos aninhados: um grupo dentro de outro dá acesso que ninguém vê na primeira olhada.
- Contas de desligados: desativadas tarde ou movidas para uma OU "Desligados" sem remover dos grupos.
- Contas de serviço: senhas que nunca expiram e nenhum dono nomeado.
- Administradores de domínio em excesso: o grupo Domain Admins com mais gente do que precisa, contra o menor privilégio.
São itens que a revisão de acessos e os testes de ITGC costumam verificar.
Onde a governança entra
O diretório guarda as contas e os grupos. Conferir se cada um ainda faz sentido é trabalho de governança.
A governança de identidade (IGA) da Niuco mantém o inventário de quem tem acesso a quê nos softwares conectados e o cruza com a folha de pagamento: quem entrou, mudou de cargo ou saiu. As campanhas de revisão de acessos levam a lista ao gestor, registram cada decisão e guardam a evidência para o auditor. A Niuco não substitui o SSO nem o diretório: ela trabalha junto com o Microsoft Entra ID e o Google Workspace.
Conheça a governança de identidadeMaterial informativo. Não substitui orientação jurídica.
Informações sobre produtos da Microsoft consultadas na documentação pública da Microsoft em novembro de 2026. Microsoft, Microsoft Entra, Microsoft 365, Active Directory, Windows Server, Azure, Google Workspace, Workday, SAP SuccessFactors, TOTVS, Senior, ADP e demais nomes citados são marcas de seus titulares. A Niuco não é afiliada, parceira nem endossada por eles; a citação é apenas descritiva.