Para fornecer um ambiente mais seguro, o DRA permite limitar os poderes dados aos grupos de segurança integrados do Microsoft Windows. A capacidade de modificar a participação do grupo, as propriedades integradas do grupo de segurança ou as propriedades dos membros do grupo podem ter importantes implicações de segurança. Por exemplo, se você puder mudar a senha de um usuário no grupo Operadores de Servidor, poderá fazer logon como esse usuário e exercer os poderes delegados a esse grupo de segurança integrado.
O DRA impede esse problema de segurança fornecendo uma política que verifica os poderes que você tem para um grupo de segurança integrado nativo e seus membros. Essa validação garante que suas ações solicitadas não escalem esses poderes. Após habilitar esta política, um administrador assistente que seja membro de um grupo de segurança incorporado, como o grupo Operadores de Servidor, só poderá gerenciar outros membros do mesmo grupo.
Você pode restringir os poderes dos seguintes grupos de segurança integrados do Microsoft Windows usando políticas do DRA:
Operadores de conta
Administradores
Operadores de Backup
Editores de Certificados
Admins do DNS
Admins de Domínio
Admins Corporativos
Proprietários do Criador de Política de Grupo
Operadores de Impressão
Admins de Esquema
NOTA:DRA refere-se aos grupos de segurança integrados por seus identificadores internos. Como resultado, o DRA suporta esses grupos mesmo que eles sejam renomeados. Esse recurso garante que o DRA suporte grupos de segurança integrados com nomes diferentes em países diferentes. Por exemplo, o DRA refere-se ao grupo Administradores e ao grupo Administrar com o mesmo identificador interno.
O DRA usa uma política para limitar os grupos de segurança integrados nativos e seus membros podem se exercitar. Essa política, chamada $SpecialGroupsPolicy, restringe as ações que um membro de um grupo de segurança integrado nativo pode executar em outros membros ou outros grupos de segurança integrados nativos. O DRA habilita essa política por padrão. Se você não quiser restringir ações em grupos de segurança integrados nativos e seus membros, poderá desabilitar essa política.
Quando esta política está habilitada, o DRA usa os seguintes testes de validação para determinar se uma ação é permitida em um grupo de segurança integrado nativo ou em seus membros:
Se você for um administrador do Microsoft Windows, poderá executar ações em grupos de segurança integrados nativos e seus membros para os quais você tem os poderes apropriados.
Se você for um membro de um grupo de segurança integrado, poderá executar ações no mesmo grupo de segurança integrado e em seus membros, contanto que tenha os poderes apropriados.
Se você não for membro de um grupo de segurança integrado, não poderá modificar um grupo de segurança integrado ou seus membros.
Por exemplo, se você for um membro dos grupos Operadores de Servidor e Operadores de Conta e tiver os poderes apropriados, poderá executar ações em membros do grupo Operadores de Servidor, membros do grupo Operadores de Contas ou membros de ambos os grupos. No entanto, você não pode executar ações em uma conta do usuário que seja membro do grupo Operadores de impressão e do grupo Operadores de conta.
O DRA o impede de executar as seguintes ações em grupos de segurança integrados nativos:
Clonar um grupo
Criando um grupo
Apagar um grupo
Adicionar um membro a um grupo
Remover um membro de um grupo
Mover um grupo para uma OU
Modificar propriedades de um grupo
Copiar uma caixa de correio
Remover uma caixa de correio
Clonar uma conta do usuário
Criar uma conta do usuário
Apagar uma conta do usuário
Mover uma conta do usuário para uma OU
Modificar as propriedades da conta do usuário
O DRA também restringe ações para garantir que você não tenha poderes sobre um objeto. Por exemplo, quando você adiciona uma conta do usuário a um grupo, o DRA verifica se você não obtém poderes adicionais sobre a conta do usuário, pois é membro desse grupo. Essa validação ajuda a proteger contra uma escalada de poder.