Aprenda na prática a implementar uma arquitetura de administração por Tiers, proteger contas privilegiadas, fortalecer Domain Controllers e aplicar Hardening no Active Directory.
Acesso vitalícioCertificado incluídoGarantia de 7 dias
Pré-requisito
É o próximo nível para quem já administra Active Directory. Recomendamos conhecimentos básicos sobre:
Ainda está começando no Active Directory? Conheça primeiro o treinamento de Active Directory
Um Active Directory funcional não significa um Active Directory adequadamente protegido. Estes são os sinais mais comuns de um ambiente que funciona — e expõe as identidades que o controlam.
A conta mais poderosa do domínio usada para abrir e-mail, criar usuário e resetar senha.
Credenciais privilegiadas digitadas em máquinas que qualquer usuário também utiliza.
Uma identidade só para navegar, trabalhar e administrar. Nenhuma fronteira entre os contextos.
Domain Admins incluído no grupo Administrators de estações e servidores "para facilitar".
Internet, anexos e downloads abertos na mesma sessão que tem poder sobre o domínio.
Qualquer conta administrativa entra por Remote Desktop em qualquer servidor ou estação.
Ninguém sabe dizer quantas contas têm privilégio elevado — nem desde quando.
Dezenas de políticas criadas por necessidade pontual, nenhuma pensada como camada de proteção.
NTLM, SMBv1 e LDAP sem assinatura mantidos ativos porque ninguém mapeou quem depende deles.
Um grupo privilegiado muda e nada é registrado — ou é registrado e ninguém olha.
Controladores de domínio configurados como qualquer outro servidor, sem referência de hardening.
Permissão concedida "temporariamente" que ficou para sempre, acumulada ano após ano.
Contas administrativas que servem para tudo, sem distinguir servidor, estação e diretório.
Quanto maior o privilégio, maior deve ser o controle.
No Active Directory, privilégio é transitivo: quem controla o diretório controla tudo o que confia nele — servidores, estações, aplicações e as próprias contas administrativas.
Por isso, a pergunta mais importante não é apenas quem tem privilégio, mas onde essa credencial é utilizada. Uma credencial privilegiada exposta em uma estação comum aproxima um incidente local do controle do domínio.
A defesa começa reduzindo a exposição: menos contas privilegiadas, usadas em menos lugares, a partir de dispositivos mais confiáveis — e com cada uso registrado.
Este treinamento é exclusivamente defensivo: riscos são apresentados apenas no nível necessário para justificar cada proteção.
Contas administrativas devem ser utilizadas apenas dentro dos limites do seu nível. O Tiering transforma essa regra em estrutura: OUs, grupos, políticas e restrições de logon.
Tier 0
Identity control plane
Tier 1
Server administration
Tier 2
Workstation administration
Cada conta administrativa pertence a um nível e é usada somente dentro dele. O limite é técnico, não apenas combinado.
Uma credencial de Tier 0 não é digitada em servidores de Tier 1 nem em estações de Tier 2 — é aí que ela fica exposta.
Quem administra estações não deveria, por consequência, conseguir administrar servidores ou o diretório.
Contexto moderno
O modelo Tier 0 / Tier 1 / Tier 2 nasceu para conter a escalada de privilégio em um Active Directory on-premises. Hoje, a Microsoft descreve o acesso privilegiado pelo Enterprise Access Model, que substitui o modelo legado de tiers como referência e o estende para nuvem, ambientes híbridos e acesso de usuários e aplicações.
Tudo o que controla identidade e acesso: Domain Controllers, Active Directory, sistemas de identidade e o que os administra.
A administração de TI da empresa inteira e a administração de cada workload — servidores, aplicações e dados.
Estações e dispositivos dos usuários, e o acesso que eles fazem a aplicações e dados.
O curso ensina o Tiering clássico porque ele continua sendo a forma mais clara de implementar segregação administrativa dentro do Active Directory — e mostra, em cada etapa, como ele se encaixa na estratégia moderna.
Tier 0 não é só uma lista de grupos: é tudo o que consegue controlar a identidade — incluindo os sistemas que administram, sincronizam, fazem backup ou hospedam os Domain Controllers.
TIER 0
Domain Admins
Global · por domínio
Controle administrativo completo do domínio. Por padrão, é membro do grupo Administrators do domínio e dos membros ingressados.
Membros revisados, uso restrito a operações críticas, nunca como conta do dia a dia.
Enterprise Admins
Universal · domínio raiz da floresta
Privilégio sobre toda a floresta: todos os domínios, a configuração da floresta e as relações entre domínios.
A orientação da Microsoft é mantê-lo sem membros permanentes, preenchido apenas quando uma operação de floresta exige.
Schema Admins
Universal · domínio raiz da floresta
Permite modificar o schema do Active Directory — uma alteração que afeta a floresta inteira.
Sem membros permanentes; usado temporariamente e de forma planejada em extensões de schema.
Administrators
Domain Local (builtin) · por domínio
Controle administrativo sobre os Domain Controllers e o domínio. Contém Domain Admins e Enterprise Admins por padrão.
Composição conhecida e auditada; membros diretos avaliados com o mesmo rigor.
Operator groups
Account, Server, Backup e Print Operators
Grupos de operação com direitos sobre Domain Controllers — e, por isso, equivalentes a Tier 0 na prática.
Idealmente vazios; as tarefas são delegadas de forma mais granular.
O curso não propõe excluir, renomear ou esvaziar grupos padrão às cegas. Toda alteração em grupos privilegiados é precedida de inventário, testada em laboratório e acompanhada de um acesso de emergência documentado.
Os níveis abaixo do Tier 0 também têm fronteiras. Privilégio sobre servidores não dá privilégio sobre o diretório; suporte a estações não dá acesso a servidores.
Uma conta de Tier 1 administra servidores. Ela não recebe, automaticamente, nenhum privilégio de Tier 0.
Administrar uma estação não deveria exigir uma identidade capaz de controlar o domínio.
Cada identidade existe para um nível de privilégio e só é usada nele. Quem precisa de mais poder troca de conta — não acumula privilégio na conta do dia a dia.
Normal user
leonardo
E-mail, navegação, documentos. Nenhum privilégio administrativo.
Tier 2 admin
adm2-leonardo
Suporte a estações e dispositivos de usuários.
Tier 1 admin
adm1-leonardo
Administração de servidores membros e aplicações.
Tier 0 admin
adm0-leonardo
Operações no diretório e nos Domain Controllers, a partir de estação dedicada.
Não use a identidade mais poderosa para executar a tarefa mais simples.
Nomenclatura meramente ilustrativa. O padrão real — prefixos, sufixos, atributos — é definido pela organização e documentado no projeto.
Políticas e delegações seguem a estrutura do diretório. Uma árvore desenhada para o Tiering transforma cada regra em um vínculo de GPO previsível.
OU=Administration
Tier0
Tier1
Tier2
Políticas vinculadas onde o objeto está — sem filtros improvisados para cada exceção.
O Help Desk recebe permissão na OU de estações, e só nela.
Contas e grupos administrativos em um lugar conhecido, fáceis de revisar.
Arquitetura didática usada no laboratório. Não existe uma única estrutura de OUs correta para todas as organizações: o curso mostra os critérios para desenhar a sua.
O modelo de tiers só existe de verdade quando o sistema impede o logon fora do nível. Escolha uma conta e veja onde ela é aceita.
| Conta | DC01 | SRV01 | PC01 |
|---|---|---|---|
| Tier 0 admin | |||
| Tier 1 admin | |||
| Tier 2 admin |
Direitos de logon definidos por GPO em Security Settings › Local Policies. É ali que o modelo de tiers vira regra aplicada.
Impede logon interativo no console. Aplicado, por exemplo, para que contas de Tier 0 não entrem em estações.
Bloqueia o logon por RDP para os grupos indicados — o complemento natural do item anterior.
Os direitos "Allow" definem quem pode entrar. Quando uma conta recebe Allow e Deny, o Deny prevalece.
Restringem, no Kerberos, de quais dispositivos uma conta sensível pode se autenticar. Exigem planejamento e testes de compatibilidade.
A mesma configuração muda de efeito conforme a OU vinculada. Escopo errado é a causa mais comum de bloqueio indevido.
Restrições de logon mal planejadas podem impedir a própria administração do ambiente. No curso, cada política é criada em laboratório, testada com contas reais de teste e acompanhada de um acesso de emergência documentado antes de qualquer aplicação.
Um desenho de tiers que vive só em um documento não protege nada. As GPOs são a ponte entre a regra definida e o comportamento de cada conta e de cada máquina.
Deny/Allow log on por tier, aplicados às OUs de servidores, estações e DCs.
Quem pode usar Remote Desktop, em quais sistemas e a partir de onde.
Composição do grupo local controlada por política, não por ajuste manual.
Opções de segurança do sistema definidas de forma consistente por função.
Advanced Audit Policy com as subcategorias que interessam a cada tier.
Configurações de Kerberos e NTLM avaliadas e aplicadas por etapas.
Regras que limitam portas de gerenciamento às origens administrativas.
Recursos do Windows que reduzem a exposição de credenciais, avaliados conforme hardware e compatibilidade.
DOMAIN ADMINS
Critical operations only
Não existe um número mágico de membros: existe o mínimo que a operação realmente exige — e cada um deles com justificativa, revisão e registro.
Quem controla um Domain Controller controla o diretório inteiro. Cada decisão sobre eles — quem administra, o que roda, onde estão hospedados — é uma decisão de Tier 0.
Administrados apenas por contas de Tier 0, a partir de estações dedicadas.
Referência de configuração própria para o papel de Domain Controller.
Atualizações planejadas, testadas e aplicadas com prioridade.
Nenhum logon interativo de contas de Tier 1 ou Tier 2.
Serviços expostos apenas ao que o papel de DC exige.
Eventos de diretório, de autenticação e de alteração de política registrados.
System State protegido, isolado e com restauração testada.
Saúde da replicação, serviços e eventos de segurança acompanhados.
LDAP, SMB, NTLM e Kerberos avaliados e endurecidos por etapas.
Sem softwares, agentes e contas de serviço que não pertençam ao Tier 0.
Quem administra o hypervisor ou o storage de um DC também é Tier 0.
O Domain Controller não é apenas mais um servidor.
Não existe um botão de Hardening. Existe um conjunto de pilares trabalhados em conjunto, cada um reduzindo uma parte do que pode ser explorado ou mal utilizado.
Contas privilegiadas conhecidas, separadas e com dono.
Kerberos como padrão, NTLM mapeado e reduzido.
LDAP, SMB e TLS configurados para comunicação protegida.
Menor privilégio aplicado a pessoas, serviços e delegações.
A estratégia de segurança transformada em configuração.
A camada mais crítica tratada como tal.
Eventos relevantes registrados e preservados.
Portas de gerenciamento restritas às origens administrativas.
Atualizações como rotina, não como evento.
Alguém olha — e sabe o que procurar.
Recuperação do diretório planejada e testada.
Hardening não é uma configuração. É uma estratégia.
Nenhuma configuração torna um ambiente invulnerável. Hardening reduz a superfície de exposição e aumenta a capacidade de detectar e responder — de forma gradual, testada e documentada.
A Microsoft publica e mantém baselines de segurança para cada versão do Windows Server, com configurações específicas para servidores membros e Domain Controllers.
Cada configuração lida e comparada com o que já existe no ambiente.
Aplicadas primeiro em laboratório, com aplicações e fluxos reais de teste.
Exceções justificadas e documentadas — nunca ajustes silenciosos.
Por grupos piloto e ondas, com caminho de reversão definido.
Eventos e chamados acompanhados depois de cada etapa.
Baselines são um ponto de partida sólido, publicado e mantido pela Microsoft. Não são para aplicação indiscriminada diretamente em produção: uma configuração correta no papel pode interromper uma aplicação legada que ninguém lembrava existir.
Política padrão do domínio, Fine-Grained Password Policies e as exigências diferentes para contas comuns, privilegiadas e de serviço.
A política padrão do domínio, definida na Default Domain Policy, e o que ela realmente cobre.
Password Settings Objects para aplicar exigências diferentes a grupos específicos, com precedência definida.
Comprimento é o fator de maior peso. As baselines atuais definem mínimo de 14 caracteres — e o Windows permite exigir mais.
Impede a reutilização imediata de senhas anteriores.
Um equilíbrio entre conter tentativas repetidas e não transformar o bloqueio em indisponibilidade.
Senhas longas e gerenciadas — idealmente pelo próprio Active Directory, com gMSA.
Exigências mais fortes para quem tem mais poder, via Fine-Grained Password Policy.
Comprimento, listas de senhas proibidas e troca por comprometimento, em vez de expiração periódica forçada.
A Microsoft removeu a expiração periódica de senha de suas Security Baselines por considerá-la uma mitigação de baixo valor. O curso trabalha com a orientação atual — e mostra por que regras antigas, repetidas por hábito, podem enfraquecer a segurança em vez de reforçá-la.
Antes de endurecer a autenticação, é preciso saber como ela acontece hoje: quais protocolos, quais tipos de criptografia e quais sistemas ainda dependem de legado.
O protocolo padrão do domínio. Inclui a transição de criptografia: as atualizações de 2026 retiraram o RC4 como tipo assumido pelo KDC, em favor do AES.
Protocolo legado, oficialmente em descontinuação. O NTLMv1 foi removido no Windows Server 2025, e a Microsoft planeja desabilitar o NTLM de rede por padrão em releases futuros.
Aplicações e dispositivos que ainda dependem de protocolos antigos, identificados antes de qualquer bloqueio.
Políticas e silos de autenticação para limitar onde contas sensíveis podem se autenticar, quando aplicável.
Proteções adicionais de autenticação para contas privilegiadas, com requisitos próprios.
Entender onde e como credenciais ficam disponíveis em um sistema é o que orienta cada restrição de logon.
Mudanças de autenticação são as que mais quebram ambientes quando aplicadas sem inventário. O método do curso é sempre o mesmo: auditar primeiro, identificar dependências, testar e só então restringir.
Protected Users é um grupo de segurança do domínio cujos membros recebem proteções de autenticação que não podem ser configuradas de outra forma — com impactos que precisam ser conhecidos antes.
As proteções do lado do Domain Controller exigem nível funcional de domínio Windows Server 2012 R2 ou superior.
O grupo é para contas de pessoas. Contas de serviço e de computador não devem ser incluídas.
Aplicações que dependem de NTLM, delegação ou credenciais em cache deixam de funcionar para os membros.
Sem logon offline e com renovação de tickets mais frequente. Inclusão feita conta a conta, com teste e acesso de emergência.
Protected Users não é um grupo para inclusão em massa. É uma camada adicional para contas humanas privilegiadas — adicionada depois de testada, uma conta de cada vez.
Protocolos antigos continuam ativos porque algo, em algum lugar, ainda depende deles. O trabalho é descobrir o quê — e reduzir a dependência sem interromper a operação.
Auditoria de uso, identificação de aplicações dependentes e redução gradual.
SMBv1 e compartilhamentos sem assinatura avaliados e eliminados com segurança.
Binds sem assinatura identificados antes de exigir signing e channel binding.
Versões e suítes antigas avaliadas nos serviços que ainda as oferecem.
Dispositivos e sistemas antigos mapeados, com plano de exceção ou substituição.
Comunicações sem assinatura, quando aplicável, identificadas e tratadas.
Desligar um protocolo legado é fácil. Difícil é descobrir, antes, a impressora, a aplicação ou o appliance que dependia dele.
Aplicações, appliances e scripts conversam com o diretório por LDAP. Garantir integridade e confidencialidade nessa comunicação é parte do hardening — com inventário e testes antes de exigir.
Como aplicações e sistemas consultam e alteram o diretório.
LDAP sobre TLS, com certificado válido instalado nos Domain Controllers.
Exige integridade nas conexões LDAP. Novas implantações de AD no Windows Server 2025 já exigem assinatura por padrão.
Vincula a autenticação ao canal TLS. No Windows Server 2025 o padrão é "When supported"; exigir é uma decisão planejada.
Emissão, validade e renovação dos certificados usados pelos DCs.
Aplicações, appliances e scripts que fazem binds simples ou sem assinatura.
Eventos do Directory Service que apontam clientes ainda não compatíveis.
Exigir LDAP signing ou channel binding sem inventário pode interromper aplicações que autenticam no diretório. Primeiro os eventos de diagnóstico, depois a lista de clientes, depois os testes — e só então a exigência.
SMB é o protocolo de compartilhamentos, de GPOs (SYSVOL) e de boa parte da administração remota. Suas versões e sua assinatura importam.
Quais dialetos estão em uso e quais podem ser removidos.
Integridade nas conexões SMB. O Windows 11 24H2 e o Windows Server 2025 passaram a exigir assinatura por padrão.
SMBv1 não é instalado por padrão nas versões atuais — e onde ainda existe, precisa de plano.
NAS, scanners e sistemas antigos que não suportam assinatura ou dialetos novos.
Auditoria de acessos SMBv1 e de clientes sem assinatura antes de restringir.
Exigência aplicada em ondas, começando pelos sistemas mais críticos e compatíveis.
Assinatura exigida por padrão em versões novas não resolve o ambiente existente: servidores atualizados convivem com clientes e dispositivos antigos. Cada mudança é validada antes de ir para produção.
A mesma senha de administrador local em todas as máquinas transforma um único comprometimento em um problema de todo o parque. O Windows LAPS elimina esse ponto comum.
Integrado ao Windows desde as atualizações de abril de 2023. O LAPS legado (MSI) está descontinuado e bloqueado nas versões novas.
Senhas renovadas por agenda e após o uso, conforme a política definida.
Somente grupos autorizados leem — ou descriptografam — a senha de cada OU.
Cada leitura de senha registrada, com quem leu e quando.
Active Directory (com criptografia da senha) ou Microsoft Entra ID, conforme o tipo de ingresso do dispositivo.
O grupo Administrators de cada máquina é um ponto de controle. Quando cresce sem critério, cada estação vira uma porta para a próxima.
LOCAL ADMINISTRATORS
Saber quem é administrador local, em cada máquina, hoje.
A mesma composição para cada tipo de máquina.
Privilégio concedido a grupos, nunca a contas avulsas.
Composição aplicada por política, não por ajuste manual.
A conta local gerenciada, com senha única e rotacionada.
Privilégio revisado antes de virar herança esquecida.
Composição mínima, conhecida e aplicada por política: um grupo aprovado do tier correspondente e uma conta local com senha gerenciada pelo Windows LAPS.
Contas de serviço costumam ter privilégio alto, senha que nunca muda e ninguém responsável por elas. São identidades privilegiadas — e precisam ser tratadas como tal.
Contas de usuário usadas por serviços — frequentemente com senha antiga e privilégio demais.
Group Managed Service Accounts: senha gerada e rotacionada pelo Active Directory.
Quem conhece a senha, onde ela está registrada e quando foi trocada.
Somente os direitos que o serviço usa — nunca Domain Admins "para funcionar".
Contas de serviço sem logon interativo e restritas aos servidores que as usam.
Service Principal Names inventariados, sem duplicidade e com criptografia AES.
Uso das contas de serviço acompanhado como o de qualquer identidade privilegiada.
Nem toda aplicação suporta gMSA — por isso o curso inclui a avaliação de compatibilidade. O Windows Server 2025 também introduziu as delegated Managed Service Accounts (dMSA), voltadas à migração de contas de serviço tradicionais.
O curso trata contas de serviço exclusivamente do ponto de vista defensivo: inventário, menor privilégio, gerenciamento de senha e auditoria.
Quem entrou em um grupo privilegiado, quem alterou uma GPO, onde uma conta administrativa fez logon. Sem auditoria, nenhuma dessas perguntas tem resposta.
Quem entrou ou saiu de Domain Admins, Administrators e grupos equivalentes.
Contas criadas, habilitadas, alteradas ou com senha redefinida.
Políticas criadas, vinculadas ou modificadas — e por quem.
Tickets Kerberos, autenticações NTLM e falhas relevantes.
Bloqueios e a origem das tentativas que os causaram.
Alterações em objetos do diretório, com valor antigo e novo.
Logons com privilégios especiais, onde e quando aconteceram.
Alterações em políticas de auditoria e de domínio.
| Event | User | Source | Action | Status |
|---|---|---|---|---|
| 4728 | LAB\adm0-leonardo | DC01 | Member added to Domain Admins | Review |
| 5136 | LAB\adm0-leonardo | DC01 | GPO modified: T1-Logon-Restrictions | Success |
| 4672 | LAB\adm1-leonardo | SERVER01 | Special privileges assigned to logon | Success |
| 4625 | LAB\adm0-leonardo | CLIENT01 | Logon denied by user rights | Failure |
| 4740 | LAB\ana.souza | DC01 | User account locked out | Review |
| 4720 | LAB\adm2-leonardo | DC01 | User account created | Success |
Auditar não é ligar tudo. É escolher os eventos que respondem às perguntas importantes — e garantir que alguém os leia.
A Advanced Audit Policy define, por subcategoria, o que o Windows registra. O valor aparece quando esse registro chega a quem pode agir.
Auditoria sem análise não é suficiente: um evento registrado que ninguém consulta tem o mesmo valor de um evento que nunca foi gerado.
Verificar os membros de um grupo privilegiado na interface leva minutos. Verificar todos, em todos os domínios, toda semana, não leva — sai de um script versionado.
Automatize verificações que seriam trabalhosas manualmente.
Marque o que já existe no seu ambiente hoje. É uma autoavaliação rápida — nada do que você marcar sai desta página.
0 de 13 itens avaliados
Uma autoavaliação rápida, não uma garantia de segurança. Cada item marcado ainda depende de como foi implementado, testado e mantido.
Cada item desta lista é implementado e validado no laboratório do curso.
Ver o conteúdo do cursoNão é uma troca de estado "inseguro" para "seguro". É uma evolução contínua: menos exposição, mais controle e mais visibilidade a cada etapa.
Construir, proteger, testar e validar: cada conceito do curso vira configuração aplicada em um domínio de laboratório — e comprovada pelos eventos que ela gera.
O laboratório é um domínio pequeno e completo: um controlador de domínio e uma máquina para cada tier. É nele que cada política é aplicada, testada com contas de teste e validada pelos eventos — antes de pensar em produção.
uma máquina por tier
Um cenário corporativo fictício, um domínio que funciona e nenhuma proteção pronta. Você aplica tudo o que aprendeu, fase por fase.
O projeto final não introduz conceitos novos: ele cobra todos ao mesmo tempo, em um cenário corporativo fictício. Você termina com uma metodologia prática — avaliar, desenhar, implementar, endurecer, auditar, validar e documentar.
Cada etapa se apoia na anterior: do assessment à validação, na mesma ordem em que um projeto real de hardening acontece.
Etapa 01
Entender o ambiente como ele é antes de mudar qualquer configuração.
Etapa 02
Classificar recursos e desenhar as fronteiras entre Tier 0, Tier 1 e Tier 2.
Etapa 03
Contas administrativas separadas, grupos revisados e privilégio mínimo.
Etapa 04
Restrições de logon e configurações de segurança aplicadas por OU.
Etapa 05
Baselines, administração dedicada e proteção da camada crítica.
Etapa 06
Kerberos, NTLM, Protected Users, LDAP e SMB endurecidos por etapas.
Etapa 07
Senhas locais únicas e contas de serviço gerenciadas pelo domínio.
Etapa 08
Advanced Audit Policy, eventos críticos e PowerShell para verificação.
Etapa 09
Testar, comprovar e documentar a postura de segurança alcançada.
Sem dezenas de módulos artificiais: cada módulo tem um objetivo claro e uma prática executada no laboratório. Abra cada um para ver o que você vai fazer.
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Prática
Clareza antes da compra evita frustração depois. Veja os dois lados.
Tiering e Hardening são o passo seguinte para quem já administra Windows Server, Active Directory e Group Policy: a mesma infraestrutura, agora administrada com segurança.
Windows Server
O sistema operacional de servidores e suas roles.
Active Directory
Domínio, contas, grupos, OUs e DNS.
Group Policy
Configuração centralizada de usuários e computadores.
PowerShell
Automação e verificação repetível.
Tiering
Fronteiras de privilégio aplicadas ao diretório.
Hardening
Redução da superfície de exposição, com método.
Identity Security
Proteção das identidades que controlam a infraestrutura.
Microsoft SysAdmin
As competências reunidas em quem sustenta a infraestrutura inteira.
Administrar é fazer funcionar. Administrar profissionalmente também é saber proteger.
Esta página descreve uma sequência de competências técnicas, não uma promessa de emprego, promoção ou faixa salarial. O que acontece depois depende do seu contexto e da sua dedicação.
CTO | Especialista em Infraestrutura de TI, Microsoft, Cloud e Cybersecurity
Leonardo Duarte atua há mais de duas décadas com infraestrutura de TI, conduzindo projetos de ambientes Microsoft, redes corporativas, cloud e segurança da informação.
Na função de CTO, participa do desenho, da implantação e da sustentação de ambientes em que o Active Directory é o centro da identidade — e em que proteger contas privilegiadas é parte do trabalho, não um projeto isolado.
A experiência em consultoria e em times internos moldou a abordagem do treinamento: explicar o porquê de cada decisão de segurança e mostrar como validar o resultado em laboratório antes de levar a mudança para produção.
Tudo o que está incluído no treinamento, antes de falarmos de preço.
O modelo e sua relação com a estratégia moderna.
Classificação de recursos e fronteiras.
Identidades separadas por nível.
A estratégia como configuração.
Cada conta só onde precisa entrar.
A camada mais crítica protegida.
Analisadas, testadas e adaptadas.
Kerberos, NTLM e Protected Users.
Signing, channel binding e LDAPS.
Versões, assinatura e enforcement.
Senha local única e rotacionada.
Contas de serviço gerenciadas.
Eventos críticos com visibilidade.
Verificações repetíveis.
Roteiro para avaliar o seu ambiente.
Hardening completo de um cenário corporativo.
Investimento: R$ 397,00
Tiering, contas privilegiadas, Domain Controllers e Hardening em um único treinamento prático — do assessment ao projeto final.
Proteção de Identidades, Acessos Privilegiados e Hardening do Active Directory
De R$ 597,00
Por
R$397,00
Quero proteger meu Active DirectoryPagamento processado em ambiente seguro
[CHECKOUT_NAO_CONFIGURADO] — informe NEXT_PUBLIC_CHECKOUT_URL
Garantia de 7 dias
Você terá 7 dias para conhecer o treinamento e avaliar se ele atende às suas expectativas. Termos da Garantia.
Estude no seu ritmo e retorne ao treinamento sempre que precisar revisar uma configuração ou reforçar um conceito.
Ao concluir o treinamento, você poderá emitir seu certificado de conclusão.
Certificado do treinamento
Certificamos que
[Nome do aluno]
concluiu o treinamento Active Directory Tiering & Hardening, com laboratórios práticos de Tiering, proteção de acessos privilegiados e Hardening do Active Directory.
Leonardo Duarte
Instrutor
ITLOVERS TRAINING
Emissor
Se a sua dúvida não estiver aqui, fale diretamente com a equipe.
Não é o ponto de partida ideal. Este treinamento é de nível intermediário ao avançado e não é o primeiro contato com Active Directory. Quem está começando deve fazer primeiro o treinamento de Active Directory e voltar a este depois.
Sim. É recomendável conhecer Domain Controllers, usuários, grupos, OUs, DNS, autenticação e a administração básica do Windows Server. O curso parte desse conhecimento para chegar à administração segura.
O básico, sim: criar, vincular e entender o escopo de uma GPO. As configurações de segurança usadas no Tiering — direitos de logon, opções de segurança, auditoria — são explicadas em detalhe durante o curso.
É a camada que controla a identidade: Domain Controllers, o próprio Active Directory, os grupos privilegiados, as contas que os administram e os sistemas capazes de controlá-los. Quem controla o Tier 0 controla, na prática, todo o ambiente.
Tier 1 é a administração de servidores membros e aplicações. Tier 2 é a administração de estações e dispositivos de usuários. Cada tier tem suas próprias contas administrativas, que não são usadas nos demais.
Sim, como forma de implementar segregação administrativa dentro do Active Directory. A Microsoft descreve hoje o acesso privilegiado pelo Enterprise Access Model, que substitui o modelo legado de tiers como referência e o estende a nuvem e ambientes híbridos — mas o princípio de separar quem controla a identidade de quem administra servidores e estações continua central, e é exatamente isso que o curso implementa.
Sim. O curso relaciona o Tiering clássico ao Enterprise Access Model (control plane, management plane e data/workload plane), a estações administrativas dedicadas, Zero Trust e menor privilégio, e trabalha com as orientações atuais sobre senhas, NTLM, RC4, LDAP signing, SMB signing e Windows LAPS.
Sim. Você cria contas por tier, os grupos correspondentes e um padrão de nomenclatura — adaptável à realidade da sua organização.
Sim. Com User Rights Assignment por GPO — Deny log on locally, Deny log on through Remote Desktop Services e os direitos de Allow — e com a avaliação de políticas e silos de autenticação. Tudo testado em laboratório, com acesso de emergência planejado.
Sim. Como revisar os membros, reduzir membros permanentes, evitar o uso cotidiano, auditar alterações e reduzir a exposição dessas credenciais — além de Enterprise Admins, Schema Admins, Administrators e os grupos de operadores.
Sim. Administração dedicada, baseline específica, restrição de logon, firewall, auditoria, protocolos, backup e a proteção da camada física ou virtual que hospeda os DCs.
Sim. Você analisa as baselines com o Security Compliance Toolkit, compara com as políticas existentes, aplica em laboratório e valida impactos. O curso nunca recomenda aplicá-las indiscriminadamente em produção.
Sim. O Windows LAPS nativo — não o LAPS legado, que está descontinuado — com política, delegação de leitura, rotação de senha e auditoria das recuperações.
Sim. Você identifica contas de serviço tradicionais, revisa seus privilégios e implementa Group Managed Service Accounts em laboratório, validando o funcionamento do serviço.
Sim. LDAP signing, channel binding, LDAPS e certificados — sempre precedidos de auditoria dos clientes e testes de compatibilidade, porque exigir essas configurações sem inventário pode interromper aplicações.
Sim, de forma defensiva: como cada protocolo é usado no domínio, como auditar o uso de NTLM, a transição de RC4 para AES no Kerberos e como reduzir dependências de protocolos legados por etapas.
Sim. PowerShell é usado para inventário e verificação: membros de grupos privilegiados, contas, computadores por tier, políticas de senha e contas de serviço.
Sim. Advanced Audit Policy, eventos de alteração em grupos privilegiados, logons administrativos, alterações de GPO e de diretório — e por que auditoria sem análise não é suficiente.
Sim. O curso é orientado a laboratório: um domínio com um Domain Controller e uma máquina por tier, onde cada política é aplicada, testada e validada.
Sim. Em um cenário corporativo fictício, você percorre dez fases — do assessment à documentação — aplicando Tiering e Hardening de ponta a ponta.
Sim. Você compra uma vez e o conteúdo permanece disponível, sem mensalidade e sem prazo de expiração, para consulta sempre que precisar.
Sim. Ao concluir o treinamento você poderá emitir um certificado de conclusão, que pode ser incluído no currículo e no perfil do LinkedIn.
Não. É o certificado de conclusão do treinamento, emitido pela ITLOVERS TRAINING. Não se trata de uma certificação oficial Microsoft, e o treinamento não possui vínculo com a Microsoft.
Você terá 7 dias para conhecer o treinamento e avaliar se ele atende às suas expectativas. As condições completas são apresentadas no momento da compra e nos Termos de Uso.
Ainda com dúvidas? Fale pelo WhatsApp.
Proteger o Active Directory é uma das competências do SysAdmin Microsoft. Estes são os outros treinamentos da plataforma.
Instalação, roles, rede e administração do sistema operacional de servidores.
Disk Management, DiskPart, MBR e GPT, partições, volumes, NTFS, ReFS, mount points, Storage Spaces e PowerShell.
Domínio, OUs, usuários, grupos, GPO, DNS, DHCP, segurança e troubleshooting.
Compartilhamentos SMB, Share Permissions, NTFS, grupos do Active Directory, AGDLP, ABE, FSRM, quotas, auditoria, DFS e PowerShell.
Arquitetura RDS, Session Host, Connection Broker, RD Web Access, RD Gateway e RemoteApp.
Sincronização, computer groups, GPO, aprovação de atualizações, manutenção e troubleshooting.
Collections, aplicações, distribution points, software updates, OSD, PXE, task sequences e troubleshooting.
Automação de tarefas administrativas em ambientes Microsoft.
Virtualização em Windows Server: hosts, switches virtuais, réplicas e clusters.
Gerenciamento de dispositivos na nuvem, políticas, compliance e aplicações.
Identidade, Exchange Online, Teams e governança na nuvem da Microsoft.
Implemente Tiering, proteja contas privilegiadas, fortaleça Domain Controllers e aplique Hardening em um laboratório prático.
R$397,00
Acesso vitalícioCertificado7 dias de garantia
Quero dominar AD Tiering & Hardening