Base de Dados de Contas
O Ative Directory fornece o banco de dados de contas que odo Centro de Distribuição de Chaves de(KDC) usa para obter informações sobre entidades de segurança no domínio. Cada entidade é representada por um objeto de conta no diretório. A chave dede criptografiausada na comunicação com um usuário, computador ou serviço é armazenada como um atributo do objeto de conta dessa entidade de segurança.
Apenas os controladores de domínio são servidores do Ative Directory. Cada controlador de domínio mantém uma cópia gravável do diretório, para que as contas possam ser criadas, as senhas redefinidas e a associação ao grupo modificada em qualquer controlador de domínio. As alterações feitas em uma réplica do diretório são propagadas automaticamente para todas as outras réplicas. O Windows replica o armazenamento de informações para o Ative Directory usando um protocolo de replicação proprietário de vários mestres que usa uma conexão de chamada de procedimento remoto segura entre parceiros de replicação. A conexão usa o protocolo de autenticação Kerberos para fornecer autenticação mútua e criptografia.
O armazenamento físico de dados de conta é gerenciado pelo Directory System Agent, um processo protegido integrado com o Local Security Authority (LSA) no controlador de domínio. Os clientes do serviço de diretório nunca recebem acesso direto ao armazenamento de dados. Qualquer cliente que queira acessar informações de diretório deve se conectar ao Directory System Agent e, em seguida, procurar, ler e gravar objetos de diretório e seus atributos.
As solicitações para acessar um objeto ou atributo no diretório estão sujeitas à validação pelos mecanismos de controle de acesso do Windows. Como os objetos de arquivo e pasta no sistema de arquivos NTFS, os objetos no Ative Directory são protegidos por listas de controle de acesso (ACLs) que especificam quem pode acessar o objeto e de que maneira. No entanto, ao contrário dos arquivos e pastas, os objetos do Ative Directory têm uma ACL para cada um de seus atributos. Assim, os atributos para informações confidenciais da conta podem ser protegidos por permissões mais restritivas do que as concedidas para outros atributos da conta.
A informação mais sensível sobre uma conta é, naturalmente, a sua palavra-passe. Embora o atributo password de um objeto de conta armazene uma chave de criptografia derivada de uma senha, não a senha em si, essa chave é igualmente útil para um intruso. Portanto, o acesso ao atributo password de um objeto de conta é concedido apenas ao titular da conta, nunca a mais ninguém, nem mesmo administradores. Somente os processos com privilégio de Base de Computação Confiável — processos executados nade contexto de segurançado LSA — têm permissão para ler ou alterar informações de senha.
Para impedir um ataque offline por alguém com acesso à fita de backup de um controlador de domínio, o atributo de senha de um objeto de conta é protegido por uma segunda criptografia usando uma chave do sistema. Essa chave de criptografia pode ser armazenada em mídia removível para que possa ser protegida separadamente ou pode ser armazenada no controlador de domínio, mas protegida por um mecanismo de dispersão. Os administradores têm a opção de escolher onde a chave do sistema é armazenada e qual dos vários algoritmos é usado para criptografar atributos de senha.