Qualquer usuário que você crie já é automaticamente membro deste grupo, isto não é novidade. O problema é que com isto qualquer usuário consegue colocar até 10 máquinas no domínio podendo gerar uma vulnerabilidade de segurança e de organização na sua estrutura do AD. Este artigo demonstrará como limitar esse acesso somente para grupos específicos de usuários como o Service Desk e os administradores da sua empresa, por exemplo.

1 - Tirando o acesso dos usuários a adicionarem máquinas no domínio:

Para tirar a permissão dos usuários de adicionar máquinas no domínio, faça o seguinte procedimento:

Abra o Usuário e Computadores do Active Directory pelo menu Start > Administrative Tools > Active Directory Users and Computers.

Para configurar a restrição descrita acima é preciso ativar as opções de funcionalidades avançadas do Active Directory clicando em View e depois em Advanced Features, como mostra a figura 1:

Figura 1.1 – Habilitando as funcionalidades avançadas do Active Directory

Após isto, clique com o botão direito do mouse no seu domínio e depois em propriedades:

Figura 1.2 – Propriedades do domínio:

Como ativamos anteriormente a opção Advanced Features, existirá uma aba chamada Attribute Editor.

Figura 1.3 – Aba Attribute Editor

Clique na aba e de dois cliques na opção ms-DS-MachineAccountQuota. Coloque o valor zero, conforme figura 4:

Figura 1.4 – Atributo com limites de máquinas no domínio

Com isso os usuários não conseguirão mais colocar máquinas no domínio.

2 - Delegando controle para adição de máquinas no domínio para o grupo de Service Desk:

Depois do procedimento acima, somente os grupos administrativos padrões, como Domains Admins, Account Operators, etc, terão permissão para gerenciar as contas de computador.

Para não darmos muitos privilégios aos funcionários do Service Desk, faremos com que eles só tenham permissão de adicionar máquinas no domínio.
Para isso, no Active Directory Users and Computers, clique com o botão direito do mouse no seu domínio e depois em Delegate Control.

Figura 2.1 – Delegate Control

Na tela inicial de boas vindas, clique em avançar. Na próxima tela, clique em Add e escolha o grupo que você deseja delegar o controle e clique em Next. O grupo Global G Service Desk será usado como exemplo.

Figura 2.2 – Delegação do grupo G Service Desk

Logo depois, escolha a opção “Join a computer to the domain” e clique em Next.

Figura 2.3 – Opção para somente adicionar máquinas no domínio para o grupo de Service Desk

Na próxima tela, clique em Finish.

Figura 2.4 – Finalizando a delegação de controle

Pronto! Com esses passos somente os administradores e o Service Desk poderão colocar máquinas no domínio.

Observações
Este artigo aplica-se a Windows Server 2008.
Para fazer o primeiro procedimento Tirando o acesso dos usuários a adicionarem máquinas no domínio no Windows 2003 é preciso usar a ferramenta Adsiedit.msc, que pode ser instalada com o programa Suptools, localizada no CD do Windows Server 2003 ou no link http://www.microsoft.com/downloads/details.aspx?FamilyID=96a35011-fd83-419d-939b-9a772ea2df90&displaylang=en.

Conclusão
Com esses simples procedimentos você consegue manter seu ambiente mais seguro, limitando somente as pessoas autorizadas a colocar máquinas no domínio.

Leandro Eduardo Silva de Carvalho é instrutor e consultor da Bras Figueire e atualmente realiza projetos, consultorias e treinamento para os seguintes produtos: Windows Server, Active Directory, Virtualização, CRM 4.0, ISA Server e Exchange Server possue as certificações MCP/MCSA+M/MCSE/MCTS/MCITP/MCBSS e em 2009 recebeu o premio de MCT destaque.