Neste tópico vamos ver um pouco de teoria sobre grupos de usuários. A partir da próxima lição vamos praticar criando alguns grupos e adicionando alguns membros aos grupos criados.

Um grupo de usuários é uma coleção de contas de usuários. Por exemplo, podemos criar um grupo chamado Contabilidade, do qual farão parte todos os usuários do departamento de Contabilidade. A principal função dos grupos de usuários é facilitar a administração e a atribuição de permissões para acesso a recursos, tais como: pastas compartilhadas, impressoras da rede, serviços diversos, etc.

Ao invés de darmos permissões individualmente, para cada um dos usuários que necessitam acessar um determinado recurso, podemos criar um grupo e atribuir permissões para o grupo. Uma vez atribuída a permissão ao grupo, todos os membros do grupo, irão herdar esta permissão. Para que um usuário tenha permissão de acesso a um determinado recurso, basta incluir o usuário em um grupo que tenha permissão de acesso, pois todos os usuários de um determinado grupo herdam as permissões dos grupos aos quais pertencem.

Quando um usuário troca de seção, por exemplo, basta trocar o usuário de grupo. Vamos supor que o usuário jsilva trabalha na seção de contabilidade e pertence ao grupo Contabilidade. Ao ser transferido para a seção de Marketing, basta retirar o usuário do grupo Contabilidade e adicioná-lo ao grupo Marketing. Com isso o usuário jsilva deixa de ter as permissões atribuídas ao grupo Contabilidade e passa a ter as permissões associadas ao grupo Marketing. Veja o quanto a utilização de grupos pode facilitar a atribuição e a administração de permissões de acesso.

Podemos inclusive ter situações mais específicas. Vamos supor que exista um sistema chamado SANAT, para o qual somente um número restrito de usuários deva ter acesso, sendo que são usuários de diferentes seções. A maneira mais simples de solucionar este problema é criar um grupo chamado SANAT (ou Usuários do SANAT ou qualquer outro nome que você queira escolher) e dar permissões para esse grupo. Assim cada usuário que precisar acessar o sistema SANAT deve ser incluído como membro do grupo SANAT. Quando um usuário não deve mais ter acesso ao sistema SANAT, basta removê-lo do grupo SANAT. Tudo muito simples, rápido e prático.

Na Figura 6.16 temos uma ilustração para o conceito de Grupo de usuários. O grupo Contabilidade possui direito para um recurso compartilhado, o qual pode ser acessado através da rede. Todos os usuários que pertencem ao grupo Contabilidade também possuem permissão para o recurso compartilhado, uma vez que os usuários de um grupo herdam as permissões atribuídas ao grupo.

Figura 6.16 – O usuário herda as permissões do grupo.

Quando estiver trabalhando com grupos de usuários, lembre dos seguintes detalhes:

• Grupos são uma coleção de contas de usuários.
• Os membros de um grupo herdam as permissões atribuídas ao grupo.
• Os usuários podem ser membros de vários grupos.
• Grupos podem ser membros de outros grupos.

Existem dois tipos de grupos no Windows 7:

Grupos Internos (Built-in groups): Estes são grupos criados durante a instalação do Windows 7. A cada grupo é associado um conjunto específico de permissões. São os grupos de segurança padrão instalados com o sistema operacional. Os grupos internos possuem um conjunto de direitos e permissões internas, previamente concedidos. Na maioria dos casos, os grupos internos fornecem todos os recursos necessários para os perfis mais comuns de usuários, tais como Administrador e usuário padrão ou usuário Convidado. Por exemplo, se uma conta de usuário pertencer ao grupo interno Administradores, fazer logon com essa conta concederá ao usuário, permissões de Administrador, permissões estas que ele herda do grupo Administradores, por ter sido incluído como membro deste grupo. Para fornecer um conjunto de recursos necessários a uma conta de usuário, basta incluir a conta no grupo interno apropriado. A seguir coloco um breve resumo sobre as permissões atribuídas a cada um dos principais grupos internos do Windows 7.

• Administradores: Os membros do grupo Administradores possuem o maior número de permissões padrão e a capacidade de alterar suas próprias permissões. Em outras palavras: Membros do grupo Administradores podem tudo, inclusive formatar o disco rígido.

• Operadores de cópia: Os membros do grupo Operadores de cópia podem fazer backup e restaurar arquivos no computador, independentemente das permissões que protegem esses arquivos. Por exemplo, se um determinado usuário é responsável por fazer o Backup de todas as informações do computador, este usuário deve ser adicionado ao grupo Operadores de cópia. Com isso o usuário poderá fazer o Backup de qualquer pasta, mesmo daquelas pastas para as quais ele não tenha permissão de acesso. Falaremos mais sobre Permissões de acesso no Capítulo 7. Membros do grupo Operadores de cópia também podem fazer logon no computador e desligá-lo, mas não podem alterar as configurações de segurança.

• Usuários avançados: Este grupo só foi incluído no Windows 7, para garantir compatibilidade com versões anteriores, e contam com permissões administrativas limitadas. Isso foi feito, por que muitos sistemas, nas versões anteriores, dependiam de que o usuário estivesse no grupo Usuários Avançados, para poder rodar corretamente. Para que estes sistemas possam funcionar no Windows 7, é que foi mantido este grupo, porém com bem menos permissões do que tinha nas versões anteriores do Windows. Veja o que diz a Ajuda do Windows 7, a respeito deste grupo: “No Windows XP, o termo Usuário Avançado referia-se a qualquer conta de usuário que fosse membro do grupo Usuários Avançados. As contas de Usuários Avançados tinham alguns dos mesmos direitos de usuário que as contas de administrador. No Windows 7, os grupos de usuários foram simplificados e os Usuários Avançados não existem mais.. Se você atualizar a partir do Windows XP para esta versão do Windows, e tiver pastas e arquivos configurados com os direitos específicos dos Usuários Avançados no Windows XP, ainda poderá usá-los como no Windows XP.”

• Usuários: Os membros do grupo Usuários podem realizar as tarefas mais comuns, tais como executar aplicativos, utilizar impressoras locais e da rede, e desligar e bloquear a estação de trabalho. Esses usuários podem criar grupos locais, mas só podem modificar os grupos locais que eles criaram. Eles não podem compartilhar diretórios ou criar impressoras locais. Por padrão quando criamos uma nova conta de usuário, ela é automaticamente adicionada ao grupo Usuários. Os usuários são impedidos de fazer alterações acidentais ou intencionais no âmbito do sistema, mas podem executar a maioria dos aplicativos.

• Convidados: O grupo Convidados permite que usuários ocasionais ou visitantes façam logon em uma conta interna Convidado, da estação de trabalho com acesso limitado aos recursos do computador. Os membros do grupo Convidados também podem desligar o sistema em uma estação de trabalho. Por padrão, os convidados têm o mesmo acesso como membros do grupo 'Usuários', com exceção da conta 'Convidado' que é ainda mais restrita

• Duplicadores: O grupo Duplicadores fornece suporte a funções de replicação de pastas quando a estação de trabalho faz parte de um domínio. O único membro do grupo Duplicadores deve ser uma conta de usuário de domínio usada para fazer logon nos serviços Replicadores do controlador do domínio. Não adicione as contas de usuário dos usuários reais a esse grupo, isso porque uma conta que realiza esta função deve ter acesso a pastas em vários servidores da rede e uma conta local de usuário somente tem acesso aos recursos locais do próprio computador onde a conta foi criada. Este grupo normalmente é utilizado em ambientes de redes empresariais, onde uma conta do domínio é adicionada ao grupo para que possam ser replicadas informações a partir dos servidores, diretamente para as estações de trabalho dos usuários.

• Leitores de log de Eventos: Os membros deste grupo podem ler logs de eventos do computador local. Para mais detalhes sobre Logs de eventos, consulte o Capítulo 11.

• Operadores criptográficos: Os membros têm autorização para executar operações criptográficas, tais como gerenciar as configurações de criptografia, configurações do protocolo IPSec, Certificados Digitais e assim por diante.

• Operadores de configuração de rede: Membros do grupo podem ter alguns privilégios administrativos para gerenciar a configuração de recursos de rede, tais como as propriedades das conexões, as configurações do TCP/IP e assim por diante.

• Usuários da área de trabalho remota: Os membros deste grupo têm direito a fazer logon remotamente no computador, tanto usando o Terminal Services quanto o Desktop Remoto. Falarei mais sobre o Desktop Remoto e as ferramentas de suporte e manutenção, no Capítulo 18.

• Usuários de log de desempenho: Os membros desse grupo podem agendar o registro de contadores de desempenho, habilitar provedores de rastreamento e coletar dados de rastreamento de evento localmente ou por meio do acesso remoto a este computador.

• Usuários de monitores de desempenho: Os membros deste grupo podem acessar dados do contador de desempenho local e remotamente.

Na Figura 6.17, temos a lista dos grupos chamados Built-ins no Windows 7, ou seja, grupos criados durante a instalação do Windows 7.

Figura 6.17 – Grupos criados durante a instalação do Windows 7.

Grupos criados pelo usuário: São os grupos criados pelos próprios usuários. Você aprenderá a criar e a administrar este tipo de grupo, nas demais lições deste capítulo.

Tanto os grupos internos, quanto os grupos criados pelos usuários, são listados no console Gerenciamento do computador, na opção Usuários e grupos locais -> Grupos. Podemos adicionar membros tanto aos grupos internos quanto aos grupos criados pelos usuários. A partir da próxima lição faremos alguns exemplos práticos com grupos. Aprenderemos a criar grupos e adicionar usuários ao grupo. Também aprenderemos a configurar as propriedades de um grupo, renomear e excluir grupos

Nota: A exemplo do que é feito com as contas de usuários, o Windows 7 cria um Identificador de Segurança Interno (SID) para cada grupo. Para o Windows 7 a identificação do grupo é o SID e não o nome do grupo. Por isso se você excluir um grupo e criá-lo novamente, com o mesmo nome, para o Windows 7 é como se fossem dois grupos diferentes, pois ao criar novamente o grupo será gerado um novo SID. Com isso, após recriar o grupo, este não terá acesso aos recursos (pastas e impressoras compartilhadas e outros recursos) aos quais o antigo grupo (com o mesmo nome, porém com um SID diferente) tinha.