Sua empresa pode ter o melhor firewall do mercado e, ainda assim, estar exposta. Se o controle de quem acessa o quê for frágil, uma única credencial vazada abre a porta para toda a operação.
É exatamente esse controle que o Active Directory organiza. Ele é a base de identidade que autentica usuários, aplica políticas e define permissões em praticamente toda rede corporativa Windows.
Neste guia você vai entender, de forma técnica e direta, o que é o Active Directory, como ele funciona, quais serviços o compõem e, principalmente, como estendê-lo para o ponto que costuma ficar descoberto: o Wi-Fi corporativo.
Boa leitura.
O que é Active Directory (AD)?
O Active Directory (AD) é o serviço de diretório desenvolvido pela Microsoft que centraliza o gerenciamento de identidades, recursos e políticas de segurança em redes corporativas baseadas em Windows.
Na prática, ele funciona como um repositório central que sabe quais usuários, computadores e recursos existem na rede e quem tem permissão para acessar cada um deles.
Lançado com o Windows 2000 Server, o AD se consolidou como padrão de fato em ambientes corporativos. Segundo dados de mercado, ainda está presente em mais de 90% das redes organizacionais, mesmo com a migração para a nuvem.
O AD executa duas funções de segurança fundamentais:
- Autenticação: verifica a identidade de um usuário ou dispositivo antes de liberar o acesso.
- Autorização: define o que aquela identidade já autenticada pode fazer na rede.
Essa combinação é o que permite aplicar o princípio do privilégio mínimo, ou seja, cada pessoa acessa apenas o que precisa para trabalhar.
Estrutura do Active Directory: domínios, árvores e florestas
O AD organiza tudo em uma hierarquia lógica. Entender esses componentes é o que separa uma configuração segura de uma cheia de brechas.
Veja os principais elementos:
- Objeto: a unidade básica (um usuário, um computador, uma impressora).
- Unidade organizacional (OU): contêiner que agrupa objetos para aplicar políticas e delegar administração por setor.
- Domínio: limite administrativo que compartilha um mesmo banco de diretório (ex.: empresa.local).
- Árvore: conjunto de domínios com um namespace contíguo e relações de confiança.
- Floresta: o limite de segurança mais externo, que reúne uma ou mais árvores sob esquema e catálogo global comuns.
A tabela abaixo resume a hierarquia:
| Componente | O que é | Exemplo prático |
|---|
| Objeto | Item individual do diretório | Conta do colaborador “joao.silva” |
| OU | Agrupamento administrativo | OU “Financeiro” com políticas próprias |
| Domínio | Fronteira administrativa | empresa.local |
| Árvore | Domínios em namespace contíguo | vendas.empresa.local + rh.empresa.local |
| Floresta | Fronteira de segurança máxima | Toda a organização |
Como o Active Directory funciona na prática
Toda a operação do AD gira em torno dos controladores de domínio (DCs), os servidores que hospedam o banco de diretório e respondem às solicitações de autenticação.
O fluxo de acesso funciona assim:
- O usuário informa suas credenciais ao fazer login.
- O controlador de domínio valida essas credenciais no banco de diretório.
- Se corretas, o AD emite um “ticket” via protocolo Kerberos, o padrão de autenticação do AD.
- Com esse ticket, o usuário acessa todos os recursos autorizados sem digitar a senha de novo, o que caracteriza o Single Sign-On (SSO).
Boas práticas recomendam pelo menos dois controladores de domínio por domínio, garantindo redundância caso um servidor falhe. As alterações são propagadas entre eles por replicação, mantendo a consistência.
As Políticas de Grupo (GPOs) completam o quadro, aplicando configurações de segurança padronizadas de forma automática em todos os dispositivos da rede.
Benefícios do Active Directory para a empresa
Além de organizar identidades, o AD entrega ganhos diretos de segurança e operação. Os principais benefícios do Active Directory são:
- Gestão centralizada: todos os usuários, dispositivos e permissões em um único console.
- Segurança reforçada: controle de acesso por função, privilégio mínimo e políticas aplicadas de forma consistente.
- Produtividade com SSO: um login para vários recursos, reduzindo senhas fracas e chamados de suporte.
- Automação: criação e remoção de contas atreladas a contratações e desligamentos, sem processo manual.
- Escalabilidade: a mesma estrutura atende de dezenas a milhares de usuários e múltiplas unidades.
- Rastreabilidade e conformidade: logs de autenticação que sustentam auditorias de LGPD e Marco Civil.
Principais serviços do Active Directory
O que muita gente chama genericamente de “AD” é, na verdade, um conjunto de serviços. Conhecer cada um ajuda a planejar integrações, inclusive com o Wi-Fi.
- AD DS (Domain Services): a base do AD. Gerencia usuários, grupos e autenticação dentro do domínio.
- AD FS (Federation Services): habilita SSO com aplicações externas e em nuvem via autenticação baseada em declarações (claims). É o serviço usado em muitas integrações de terceiros.
- AD CS (Certificate Services): emite e gerencia certificados digitais, base para criptografia e autenticação por certificado.
- AD RMS (Rights Management Services): aplica restrições de uso a documentos e e-mails sensíveis.
- AD LDS (Lightweight Directory Services): versão enxuta do AD DS para aplicações que precisam de diretório sem um domínio completo.
Active Directory na nuvem: Entra ID e ambientes híbridos
O AD tradicional (on-premise) foi pensado para servidores locais. Para a nuvem, a Microsoft oferece o Microsoft Entra ID (antigo Azure Active Directory).
A diferença é importante e cai em prova:
- Active Directory (AD DS): roda em servidores Windows locais, usa Kerberos e LDAP.
- Microsoft Entra ID (Azure AD): serviço de identidade em nuvem, usa protocolos web como SAML, OAuth 2.0 e OpenID Connect.
A maioria das empresas opera em modelo híbrido, sincronizando o AD local com o Entra ID. Isso permite manter sistemas legados no local e, ao mesmo tempo, autenticar aplicações modernas na nuvem com a mesma identidade.
Essa convivência híbrida é justamente o cenário onde a autenticação de rede sem fio precisa de atenção especial.
Active Directory, LDAP, SSO e SAML: entenda as diferenças
Esses quatro termos costumam ser confundidos, mas cada um tem um papel. Juntos, formam uma arquitetura de identidade robusta.
| Tecnologia | O que é | Papel na arquitetura |
|---|
| Active Directory | Serviço de diretório da Microsoft | Armazena identidades e aplica políticas |
| LDAP | Protocolo de consulta a diretórios | “Linguagem” que consulta e valida usuários |
| SSO | Método de login único | Experiência do usuário: um login, vários sistemas |
| SAML | Padrão de troca de autenticação | Um dos protocolos que viabilizam o SSO |
Em resumo: o AD é baseado em LDAP e adiciona recursos como Política de Grupo. O SSO é o resultado que o usuário percebe, e o SAML é uma das formas de entregar esse SSO, ao lado de OpenID Connect, OAuth 2.0 e Kerberos.
SAML e SSO: quais as diferenças?
SAML e SSO não são a mesma coisa, embora andem juntos. O SSO é a experiência de fazer um único login para acessar vários sistemas. O SAML é o protocolo que transporta a confirmação de identidade entre o provedor de identidade e o provedor de serviço para que esse login único aconteça. Ou seja, o SSO é o objetivo e o SAML é um dos caminhos técnicos para chegar nele.
O ponto cego do Active Directory: o Wi-Fi corporativo
Aqui está o gap que a maioria dos artigos ignora. O AD controla muito bem o login em computadores e aplicações. Mas e a rede sem fio?
Em muitas empresas, o Wi-Fi corporativo ainda usa senha compartilhada (PSK), a mesma para todo mundo. O resultado é previsível:
- Não há como saber quem estava conectado em determinado horário.
- Um ex-colaborador continua com acesso até a senha ser trocada para todos.
- Visitantes, colaboradores e dispositivos IoT dividem a mesma rede.
- Não existe log individual para auditoria de LGPD e Marco Civil.
Estender a identidade do AD para o Wi-Fi resolve isso: cada pessoa acessa a rede com a própria credencial corporativa, com permissões por perfil e rastreabilidade total.
O WiFeed é a plataforma de autenticação e controle de acesso que leva a identidade do Active Directory até a rede sem fio, sem trocar sua infraestrutura de access points.
Na prática, o colaborador se conecta ao Wi-Fi e autentica no captive portal com as mesmas credenciais corporativas. O WiFeed valida a identidade contra sua base e libera o acesso conforme as regras definidas.
Autenticação de Wi-Fi via Active Directory e Google Workspace na prática
Veja no vídeo abaixo como funciona a autenticação de Wi-Fi via Active Directory (Entra ID) e Google Workspace usando o captive portal do WiFeed integrado à base de identidade corporativa:
O que você ganha com essa integração:
- Mais de 15 métodos de autenticação, incluindo AD, Entra ID, Google Workspace, LDAP, SAML, SSO e 2FA.
- Políticas por perfil e por SSID: tempo de sessão, janelas de horário, troca de VLAN, bloqueio por MAC e limite de conexões simultâneas.
- Logs completos de quem acessou, quando e de onde, prontos para auditoria de LGPD e Marco Civil.
- Compatibilidade com mais de 20 fabricantes de APs (Cisco, Aruba, Fortinet, Ruckus, Intelbras, Mikrotik, Ubiquiti, TP-Link e outros).
Empresas que centralizam a gestão com o WiFeed reduzem em até 87% o tempo gasto com gestão de Wi-Fi e em até 91% as reclamações de conexão.
Para o passo a passo técnico, consulte os guias oficiais da nossa central de ajuda:
Para empresas que já utilizam o Azure Active Directory, esta integração representa uma extensão natural da infraestrutura de identidade existente para o ambiente Wi-Fi. Essa integração só é possível porque a rede opera em modo WPA2-Enterprise, que autentica cada usuário individualmente via RADIUS — se a diferença entre os modos de segurança Wi-Fi ainda não está clara, veja o guia sobre a diferença entre WPA, WPA2 e WPA3.
Para autenticar o Wi-Fi via AD, o caminho clássico é montar um servidor RADIUS. Veja como as abordagens se comparam:
| Critério | RADIUS + WPA2-Enterprise | WiFeed + Active Directory |
|---|
| Implantação | Servidor e certificados manuais | Configuração via painel, sem trocar infra |
| Rede de visitantes | Exige estrutura separada | Guest, BYOD e interna no mesmo painel |
| Multifabricante | Depende do fabricante do AP | Mais de 20 fabricantes homologados |
| Logs e LGPD | Configuração adicional | Logs e consentimento nativos |
| Gestão multiunidade | Complexa e descentralizada | Centralizada na nuvem |
Para redes com muitos access points e várias unidades, a gestão centralizada reduz drasticamente o esforço manual e o volume de chamados.
Boas práticas de segurança para Active Directory
Um AD mal configurado é um dos alvos preferidos de ataques como pulverização de senhas e força bruta. Aplique esta checklist:
- Adote MFA para contas privilegiadas e acessos sensíveis.
- Aplique o privilégio mínimo com grupos e OUs bem definidos.
- Monitore logs de autenticação e alertas de anomalia (logins fora de horário ou de locais incomuns).
- Mantenha ao menos dois controladores de domínio para redundância.
- Estenda a identidade ao Wi-Fi para eliminar senhas compartilhadas.
- Revise permissões a cada mudança de cargo ou desligamento.
Vale reforçar: a segurança de identidade só é completa quando cobre também a camada de acesso à rede. Reduzir as vulnerabilidades do Wi-Fi corporativo faz parte do mesmo esforço.
?Veja também:
Perguntas frequentes
1- O que é Active Directoy? É o serviço da Microsoft que funciona como o “centro de comando” da rede corporativa. Ele guarda as identidades dos usuários e define quem pode acessar cada sistema, arquivo e recurso.
2- Qual a diferença entre Active Directory e LDAP? O LDAP é o protocolo de comunicação usado para consultar diretórios. O Active Directory é o serviço completo que usa o LDAP e adiciona recursos como Política de Grupo, autenticação Kerberos e gerenciamento de políticas.
3- Como o Active Directory melhora a segurança do WI-Fi? Ele permite que cada colaborador acesse a rede sem fio com a própria credencial corporativa, em vez de uma senha compartilhada. Isso gera controle por perfil, logs individuais e conformidade com LGPD e Marco Civil.
4- É preciso trocar os access points para integrar AD ao Wi-Fi? Não. Plataformas como o WiFeed são homologadas com mais de 20 fabricantes de APs e conectam a identidade do AD à rede sem alterar a infraestrutura existente.
5- O que é o protocolo Kerberos no Active Directory? É o protocolo de autenticação padrão do AD. Ele usa um sistema de tickets para validar usuários e servidores, o que viabiliza o SSO e protege contra ataques de repetição e interceptação.
A integração do Hotspot WiFeed com Active Directory estende a facilidade do Single Sign-On para o Wi-Fi corporativo, permitindo que colaboradores utilizem suas credenciais corporativas para acessar a rede sem fio de forma automática e segura.
O Active Directory já organiza a identidade da sua empresa. O passo que falta é estender esse controle para a rede sem fio, fechando o ponto cego que ainda expõe muitas operações.
O WiFeed faz essa ponte com autenticação por credencial corporativa, políticas por perfil e conformidade com LGPD e Marco Civil, tudo em gestão centralizada.
Converse com um especialista e veja uma demonstração do WiFeed aplicada ao seu ambiente.
