Zum Verwalten des Zugriffs auf Active Directory-Aufgaben mit den niedrigsten Berechtigungen in DRA müssen zahlreiche Komponenten und Prozesse konfiguriert werden. Dies umfasst die Konfiguration allgemeiner Komponenten und von Clientkomponenten. Dieser Abschnitt bietet Informationen zu den allgemeinen Komponenten und Prozessen, die für DRA konfiguriert werden müssen.
In einer MMS-Umgebung werden mehrere Verwaltungsserver zur Verwaltung des gleichen Satzes an Domänen und Mitgliedsservern verwendet. Ein MMS besteht aus einem primären Verwaltungsserver und mehreren sekundären Verwaltungsservern.
Der Standardmodus für den Verwaltungsserver ist der Primärmodus. Beachten Sie beim Hinzufügen von Sekundärservern zur MMS-Umgebung, dass ein sekundärer Verwaltungsserver nur zu einem Serversatz gehören kann.
Um sicherzustellen, dass jeder Server im Satz die gleichen Daten verwaltet, synchronisieren Sie die Sekundärserver regelmäßig mit dem primären Verwaltungsserver. Um die Wartung zu reduzieren, verwenden Sie das gleiche Servicekonto für alle Verwaltungsserver in der Gesamtstruktur der Domäne.
WICHTIG:
Wählen Sie bei der Installation des Sekundärservers Secondary Administration Server (Sekundärer Verwaltungsserver) im Installationsprogramm aus.
Die DRA-Version des neuen Sekundärservers muss der Version des DRA-Primärservers entsprechen, damit alle Funktionen des Primärservers auf dem Sekundärserver verfügbar sind.
Im Delegierungs- und Konfigurationsclient können Sie einen sekundären Verwaltungsserver zu einem vorhandenen MMS hinzufügen. Um einen Sekundärserver hinzuzufügen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die in der integrierten Rolle zum Konfigurieren von Servern und Domänen enthaltenen Befugnisse.
HINWEIS:Um einen neuen Sekundärserver erfolgreich hinzuzufügen, installieren Sie zunächst das Directory and Resource Administrator-Produkt auf dem Verwaltungsservercomputer. Weitere Informationen finden Sie unter DRA-Verwaltungsserver installieren.
Um einen sekundären Verwaltungsserver hinzuzufügen, klicken Sie mit der rechten Maustaste im Konfigurationsmanagementknoten auf Administration Server (Verwaltungsserver) und wählen Sie Add Secondary Server (Sekundärserver hinzufügen).
Sie können einen sekundären Verwaltungsserver auf einen primären Verwaltungsserver hochstufen. Wenn Sie einen sekundären Verwaltungsserver auf einen primären Verwaltungsserver hochstufen, wird der ursprüngliche primäre Verwaltungsserver in einen sekundären Verwaltungsserver im Serversatz umgewandelt. Um einen sekundären Verwaltungsserver hochzustufen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die in der integrierten Rolle zum Konfigurieren von Servern und Domänen enthaltenen Befugnisse. Bevor Sie einen sekundären Verwaltungsserver hochstufen, synchronisieren Sie den MMS, um die neueste Konfiguration zu übernehmen.
Weitere Informationen über das Synchronisieren des MMS finden Sie in Synchronisierung planen.
HINWEIS:Ein neu hochgestufter Primärserver kann nur Verbindungen zu Sekundärservern herstellen, die während des Hochstufungsprozesses verfügbar waren. Wenn ein Sekundärserver während des Hochstufens unverfügbar geworden ist, wenden Sie sich an den technischen Support.
So stufen Sie einen sekundären Verwaltungsserver hoch:
Navigieren Sie zum Knoten Configuration Management (Konfigurationsmanagement) >Administration Servers (Verwaltungsserver).
Wählen Sie im rechten Bereich den sekundären Verwaltungsserver aus, den Sie hochstufen möchten.
Klicken Sie im Aufgabenmenü auf Advanced (Erweitert) > Promote Server (Server hochstufen).
WICHTIG:Wenn das Servicekonto des Sekundärservers vom Primärserver abweicht oder der Sekundärserver in einer anderen Domäne als der Primärserver installiert ist (verbürgte/nicht verbürgte Domänen) und Sie den Sekundärserver hochstufen, stellen Sie sicher, dass Sie vor dem Hochstufen des Sekundärservers die folgenden Rollen delegieren: Audit All Objects (Alle Objekte überwachen), Configure Servers and Domains (Server und Domänen konfigurieren) und Generate UI Reports (Benutzeroberflächenberichte generieren). Überprüfen Sie dann, ob die MMS-Synchronisierung erfolgreich war.
Sie können einen primären Verwaltungsserver auf einen sekundären Verwaltungsserver herabstufen. Um einen primären Verwaltungsserver herabzustufen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die in der integrierten Rolle zum Konfigurieren von Servern und Domänen enthaltenen Befugnisse.
So stufen Sie einen primären Verwaltungsserver herab:
Navigieren Sie zum Knoten Configuration Management (Konfigurationsmanagement) >Administration Servers (Verwaltungsserver).
Wählen Sie im rechten Bereich den primären Verwaltungsserver aus, den Sie herabstufen möchten.
Klicken Sie im Aufgabenmenü auf Advanced (Erweitert) > Demote Server (Server herabstufen).
Geben Sie den Computer an, der als neuer primärer Verwaltungsserver dienen soll, und klicken Sie auf OK.
Die Synchronisierung gewährleistet, dass alle Verwaltungsserver im MMS die gleichen Konfigurationsdaten verwenden. Sie können die Server jederzeit manuell synchronisieren, aber der standardmäßige Zeitplan ist auf eine Synchronisierung des MMS alle 4 Stunden festgelegt. Sie können diesen Zeitplan ändern, um ihn an die besonderen Anforderungen Ihres Unternehmens anzupassen.
Um den Synchronisierungszeitplan zu ändern oder MMS-Server manuell zu synchronisieren, müssen Sie über geeignete Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle zum Konfigurieren von Servern und Domänen enthalten sind.
Um auf den Synchronisierungszeitplan zuzugreifen oder eine manuelle Synchronisierung auszuführen, navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Administration Servers (Verwaltungsserver) und verwenden Sie das Menü Tasks (Aufgaben) oder die Optionen im Kontextmenü des ausgewählten Servers. Der Synchronisierungszeitplan ist in den Eigenschaften eines ausgewählten Servers enthalten.
Grundlegende Informationen zu den Synchronisierungsoptionen
Es gibt im Wesentlichen vier unterschiedliche Optionen zum Synchronisieren von MMS-Servern:
Den Primärserver auswählen und alle Sekundärserver mit „Synchronize All Servers“ (Alle Server synchronisieren) synchronisieren
Einen Sekundärserver auswählen und nur diesen Server synchronisieren
Den Synchronisierungszeitplan für Primär- und Sekundärserver unabhängig voneinander konfigurieren
Den Synchronisierungszeitplan für alle Server konfigurieren. Diese Option ist aktiviert, wenn die folgende Einstellung im Synchronisierungszeitplan des Primärservers ausgewählt ist:
Configure secondary Administration servers when refreshing the primary Administration server (Sekundäre Verwaltungsserver konfigurieren, wenn primärer Verwaltungsserver aktualisiert wird)
HINWEIS:Wenn Sie diese Option deaktivieren, werden die Konfigurationsdateien gemäß Zeitplan des Primärservers zu den Sekundärservern kopiert, zu diesem Zeitpunkt aber nicht auf dem Sekundärserver geladen. Sie werden auf dem Sekundärserver gemäß dem für den Sekundärserver konfigurierten Zeitplan geladen. Dies ist hilfreich, wenn sich die Server in unterschiedlichen Zeitzonen befinden. Beispielsweise können Sie konfigurieren, dass alle Server ihre Konfiguration mitten in der Nacht aktualisieren, auch wenn dies je nach Zeitzone nicht gleichzeitig erfolgt.
Über Klonausnahmen können Sie Eigenschaften für Benutzer, Gruppen, Kontakte und Computer definieren, die beim Klonen dieser Objekte nicht kopiert werden sollen.
Wenn Sie über die entsprechenden Befugnisse verfügen, können Sie Klonausnahmen verwalten. Die Rolle „Manage Clone Exceptions“ (Klonausnahmen verwalten) gewährt die Befugnisse zum Anzeigen, Erstellen und Löschen von Klonausnahmen.
Um eine vorhandene Klonausnahme anzuzeigen oder zu löschen oder um eine neue Klonausnahme zu erstellen, navigieren Sie zu Configuration Management (Konfigurationsmanagement> Clone Exceptions (Klonausnahmen) > Tasks (Aufgaben) oder öffnen Sie das Kontextmenü.
Wenn Sie benutzerdefinierte Tools erstellen, müssen Sie möglicherweise unterstützende Dateien installieren, die das benutzerdefinierte Tool auf dem Computer mit der Delegierungs- und Konfigurationskonsole von DRA verwendet, damit es ausgeführt werden kann. Mit den Dateireproduktionsfunktionen von DRA können Sie Unterstützungsdateien für benutzerdefinierte Tools schnell und einfach vom primären Verwaltungsserver auf sekundäre Verwaltungsserver im MMS und auf DRA-Clientcomputer reproduzieren. Die Dateireproduktion kann auch zum Reproduzieren von Auslöserskripten vom Primär- auf Sekundärserver verwendet werden.
Sie können benutzerdefinierte Tools und die Dateireproduktion zusammen verwenden, um sicherzustellen, dass DRA-Clientcomputer auf Dateien benutzerdefinierter Tools zugreifen können. DRA reproduziert Dateien benutzerdefinierter Tools zu sekundären Verwaltungsservern, um sicherzustellen, dass DRA-Clientcomputer, die eine Verbindung zu sekundären Verwaltungsservern herstellen, auf die benutzerdefinierten Tools zugreifen können.
DRA reproduziert die Dateien benutzerdefinierter Tools während des MMS-Synchronisierungsprozesses vom primären Verwaltungsserver zu den sekundären Verwaltungsservern. Wenn die DRA-Clientcomputer eine Verbindung zu den Verwaltungsservern herstellen, lädt DRA die Dateien benutzerdefinierter Tools auf die DRA-Clientcomputer herunter.
HINWEIS:DRA lädt die Dateien des benutzerdefinierten Tools zum folgenden Speicherort auf den DRA-Clientcomputern herunter:
{DRA-Installationsverzeichnis} \{MMS-ID}\Download
„MMS-ID“ steht für die ID des Multi-Master-Sets, von dem DRA die Dateien für das benutzerdefinierte Tool herunterlädt.
Wenn Sie Dateien auf den primären Verwaltungsserver hochladen, legen Sie fest, welche Dateien Sie hochladen und zwischen dem primären Verwaltungsserver und allen sekundären Verwaltungsservern im MMS reproduzieren möchten. Mit DRA können Sie Bibliothekdateien, Skriptdateien und ausführbare Dateien hochladen.
Mit der Rolle „Replicate Files“ (Dateien reproduzieren) können Sie Dateien vom primären Verwaltungsserver zu den sekundären Verwaltungsservern im MMS und zu DRA-Clientcomputern reproduzieren. Die Rolle „Replicate Files“ (Dateien reproduzieren) umfasst die folgenden Befugnisse:
Dateien vom Server löschen: Mit dieser Befugnis kann DRA Dateien löschen, die auf dem primären Verwaltungsserver, auf den sekundären Verwaltungsservern und auf den DRA-Clientcomputern nicht mehr vorhanden sind.
Dateiinformationen festlegen: Mit dieser Befugnis kann DRA Dateiinformationen für Dateien auf den sekundären Verwaltungsservern aktualisieren.
Dateien auf Server hochladen: Mit dieser Befugnis kann DRA Dateien vom DRA-Clientcomputer auf den primären Verwaltungsserver hochladen.
HINWEIS:Sie können immer nur eine Datei gleichzeitig über die Benutzeroberfläche zur Dateireproduktion in der Delegierungs- und Konfigurationskonsole hochladen.
So laden Sie eine Datei eines benutzerdefinierten Tools zum primären Verwaltungsserver hoch:
Navigieren Sie zu Configuration Management (Konfigurationsmanagement) > File Replication (Dateireproduktion).
Klicken Sie im Aufgabenmenü auf Upload File (Datei hochladen).
Um eine Datei, die Sie hochladen möchten, zu suchen und auszuwählen, klicken Sie auf Browse (Durchsuchen).
Wenn Sie die ausgewählte Datei auf alle DRA-Clientcomputer herunterladen möchten, aktivieren Sie das Kontrollkästchen Download to all client computers (Auf alle Clientcomputer herunterladen).
Wenn Sie eine COM-Bibliothek registrieren möchten, aktivieren Sie das Kontrollkästchen Register COM library (COM-Bibliothek registrieren).
Klicken Sie auf OK.
HINWEIS:
DRA lädt die Skriptdatei bzw. die unterstützenden Dateien, die auf andere sekundäre Verwaltungsserver reproduziert werden müssen, in den Ordner {DRA-Installationsverzeichnis}\FileTransfer\Replicate auf dem primären Verwaltungsserver hoch. Auf den Ordner {DRA-Installationsverzeichnis}\FileTransfer\Replicate wird auch mit {DRA_Pfad_für_reproduzierte_Dateien} verwiesen.
DRA lädt die Skriptdatei bzw. die unterstützenden Dateien, die auf DRA-Clientcomputer reproduziert werden müssen, in den Ordner {DRA-Installationsverzeichnis}\FileTransfer\Download auf dem primären Verwaltungsserver hoch.
Die Datei für das benutzerdefinierte Tool, die auf den primären Verwaltungsserver hochgeladen wird, wird bei der nächsten geplanten Synchronisierung oder durch eine manuelle Synchronisierung an die sekundären Verwaltungsserver verteilt.
Wenn Sie mehrere Dateien hochladen und zwischen dem primären Verwaltungsserver und den sekundären Verwaltungsservern im MMS reproduzieren möchten, können Sie die Dateien manuell zur Reproduktion hochladen, indem Sie sie in das Reproduktionsverzeichnis des primären Verwaltungsservers kopieren. Dies befindet sich an folgendem Speicherort:
{DRAInstallDir}\FileTransfer\Replicate
Das Reproduktionsverzeichnis wird bei der Installation von DRA erstellt.
Der Verwaltungsserver identifiziert automatisch die Dateien im Reproduktionsverzeichnis und reproduziert die Dateien zwischen den Verwaltungsservern während der nächsten planmäßigen Synchronisierung. Nach der Synchronisierung zeigt DRA die hochgeladenen Dateien im Fenster „File Replication“ (Dateireproduktion) in der Delegierungs- und Konfigurationskonsole an.
HINWEIS:Wenn Sie Dateien reproduzieren möchten, die COM-Bibliotheken enthalten, die registriert werden müssen, können Sie die Dateien nicht manuell in das Reproduktionsverzeichnis des Verwaltungsservers kopieren. Stattdessen müssen Sie die Dateien mit der Delegierungs- und Konfigurationskonsole hochladen und die COM-Bibliothek registrieren.
Wenn Sie mehrere Dateien zwischen dem primären Verwaltungsserver und DRA-Clientcomputern reproduzieren möchten, können Sie die Dateien in das Client-Reproduktionsverzeichnis auf dem primären Verwaltungsserver kopieren. Es befindet sich an folgendem Speicherort:
{DRAInstallDir}\FileTransfer\Download
Das Client-Reproduktionsverzeichnis wird bei der Installation von DRA erstellt.
Der Verwaltungsserver identifiziert automatisch die Dateien im Download-Ordner und reproduziert die Dateien während der nächsten planmäßigen Synchronisierung auf die sekundären Verwaltungsserver. Nach der Synchronisierung zeigt DRA die hochgeladenen Dateien im Fenster „File Replication“ (Dateireproduktion) in der Delegierungs- und Konfigurationskonsole an. DRA lädt die reproduzierten Dateien auf die DRA-Clientcomputer herunter, wenn die DRA-Clientcomputer nach der Reproduktion zum ersten Mal eine Verbindung zu den Verwaltungsservern herstellen.
HINWEIS:Wenn Sie Dateien reproduzieren möchten, die COM-Bibliotheken enthalten, die registriert werden müssen, können Sie die Dateien nicht in das Downloadverzeichnis des Verwaltungsservers kopieren. Stattdessen müssen Sie die Dateien mit der Delegierungs- und Konfigurationskonsole hochladen und die COM-Bibliothek registrieren.
Wenn die AD Domain Services-Überwachung aktiviert ist, werden DRA-Ereignisse als vom DRA-Servicekonto oder vom Domänenzugriffskonto generiert protokolliert, sofern eines dieser Konten konfiguriert ist. Ereignisstempel erweitern diese Funktion und generieren ein zusätzliches AD DS-Ereignis, das den Hilfsadministrator identifiziert, der den Vorgang ausgeführt hat.
Damit diese Ereignisse generiert werden, müssen Sie die AD DS-Überwachung konfigurieren und Ereignisstempel auf dem DRA-Verwaltungsserver aktivieren. Wenn Ereignisstempel aktiviert sind, können Sie die von den Hilfsadministratoren vorgenommenen Änderungen in den Change Guardian-Ereignisberichten anzeigen.
Informationen zur Konfiguration der AD DS-Überwachung finden Sie in der Microsoft-Referenz AD DS Auditing Step-by-Step Guide (Schritt-für-Schritt-Handbuch für die AD DS-Überwachung).
Informationen zur Konfiguration der Change Guardian-Integration finden Sie in Server für Unified-Änderungsverlauf (UCH) konfigurieren.
Um Ereignisstempel zu aktivieren, öffnen Sie die Delegierungs- und Konfigurationskonsole als DRA-Administrator und führen Sie die folgenden Schritte aus:
Navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Update Administration Server Options (Verwaltungsserveroptionen aktualisieren) > Event Stamping (Ereignisstempel).
Wählen Sie einen Objekttyp aus und klicken Sie auf Update (Aktualisieren).
Wählen Sie ein Attribut aus, das für die Ereignisstempel dieses Objekttyps verwendet werden soll.
Aktuell unterstützt DRA Ereignisstempel für Benutzer, Gruppen, Kontakte, Computer und organisatorische Einheiten.
DRA erfordert außerdem, dass die Attribute im AD-Schema für alle verwalteten Domänen vorhanden sind. Dies muss beachtet werden, wenn verwaltete Domänen nach dem Konfigurieren von Ereignisstempeln hinzugefügt werden. Wenn Sie eine verwaltete Domäne hinzufügen, die ein ausgewähltes Attribut nicht enthält, können die Vorgänge in dieser Domäne nicht anhand der Ereignisstempeldaten überwacht werden.
DRA ändert diese Attribute. Wählen Sie daher Attribute aus, die nicht von DRA oder anderen Anwendungen in der Umgebung verwendet werden.
Weitere Informationen zu Ereignisstempeln finden Sie unter Funktionsweise von Ereignisstempeln.
Mit Azure Sync können Sie Richtlinien in Bezug auf ungültige Zeichen und auf die Zeichenlänge erzwingen, um Verzeichnissynchronisierungsfehler zu verhindern. Wenn diese Option aktiviert ist, wird sichergestellt, dass für Eigenschaften, die mit Azure Active Directory synchronisiert werden, ungültige Zeichen eingeschränkt und Zeichenlängenlimits erzwungen werden.
So aktivieren Sie Azure Sync:
Klicken Sie im linken Bereich auf Configuration Management (Konfigurationsmanagement).
Klicken Sie unter „Common Tasks“ (Allgemeine Aufgaben) im rechten Bereich auf Update Administration Server Options (Verwaltungsserveroptionen aktualisieren).
Wählen Sie auf der Registerkarte „Azure Sync“ die Option Enforce online mailbox policies for invalid characters and character length (Online-Postfach-Richtlinien für ungültige Zeichen und Zeichenlänge erzwingen) aus.
Wenn Sie die Unterstützung mehrerer Manager für die Verwaltung einer Gruppe aktivieren, werden die Manager der Gruppe in einem von zwei standardmäßigen Attributen gespeichert. Wenn Microsoft Exchange ausgeführt wird, ist dies das Attribut msExchCoManagedByLink. Wenn Microsoft Exchange nicht ausgeführt wird, ist das standardmäßige Attribut nonSecurityMember. Die letzte der beiden Optionen kann geändert werden. Wir empfehlen jedoch, den technischen Support zu kontaktieren, falls Sie diese Einstellung ändern möchten.
So aktivieren Sie die Unterstützung für mehrere Manager für Gruppen:
Klicken Sie im linken Bereich auf Configuration Management (Konfigurationsmanagement).
Klicken Sie unter „Common Tasks“ (Allgemeine Aufgaben) im rechten Bereich auf Update Administration Server Options (Verwaltungsserveroptionen aktualisieren).
Aktivieren Sie auf der Registerkarte „Enable Support for Group Multiple Managers“ (Unterstützung für mehrere Gruppenmanager aktivieren) das Kontrollkästchen Enable support for group's multiple managers (Unterstützung für mehrere Gruppenmanager aktivieren).
Mit dieser Funktion können Sie die Verschlüsselung der Kommunikation zwischen dem Delegierungs- und Konfigurationsclient und dem Verwaltungsserver aktivieren und deaktivieren. Standardmäßig verschlüsselt DRA Kontopasswörter. Die Funktion betrifft nicht die Webclient- oder PowerShell-Kommunikationen, die separat von Serverzertifikaten gehandhabt werden.
Die Verwendung einer verschlüsselten Kommunikation kann die Leistung beeinträchtigen. Standardmäßig ist die verschlüsselte Kommunikation deaktiviert. Wenn Sie die Option aktivieren, werden die Daten während der Kommunikation zwischen den Benutzeroberflächen und dem Verwaltungsserver verschlüsselt. DRA verwendet die Microsoft-Standardverschlüsselung für Remoteprozeduraufruf (RPC, Remote Procedure Call).
Um die verschlüsselte Kommunikation zu aktivieren, navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Update Administration Server Options (Verwaltungsserveroptionen aktualisieren) > Registerkarte General (Allgemein) und aktivieren Sie das Kontrollkästchen Encrypted Communications (Verschlüsselte Kommunikation).
HINWEIS:Um die gesamte Kommunikation zwischen dem Verwaltungsserver und den Benutzeroberflächen zu verschlüsseln, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle zum Konfigurieren von Servern und Domänen.
Mithilfe von virtuellen Attributen können Sie neue Eigenschaften erstellen und diese Eigenschaften mit Benutzern, Gruppen, dynamischen Verteilergruppen, Kontakten, Computern und organisatorischen Einheiten verknüpfen. Mit virtuellen Attributen können Sie neue Eigenschaften erstellen, ohne das Active Directory-Schema erweitern zu müssen.
Mithilfe von virtuellen Attributen können Sie neue Eigenschaften zu Objekten in Active Directory hinzufügen. Virtuelle Attribute können nur auf dem primären Verwaltungsserver erstellt, aktiviert, deaktiviert, verknüpft und aus einer Verknüpfung gelöst werden. DRA speichert die virtuellen Attribute, die Sie erstellen, in AD LDS. DRA reproduziert die virtuellen Attribute während des MMS-Synchronisierungsprozesses vom primären Verwaltungsserver zu den sekundären Verwaltungsservern.
Wenn Sie über die entsprechenden Befugnisse verfügen, können Sie virtuelle Attribute verwalten. Die Rolle „Manage Virtual Attributes“ (Virtuelle Attribute verwalten) umfasst Befugnisse zum Erstellen, Aktivieren, Verknüpfen, Lösen der Verknüpfung, Deaktivieren und Anzeigen von virtuellen Attributen.
Sie benötigen die Befugnis Create Virtual Attributes (Virtuelle Attribute erstellen), um virtuelle Attribute zu erstellen, und die Befugnis View Virtual Attributes (Virtuelle Attribute anzeigen), um virtuelle Attribute anzuzeigen.
Um ein virtuelles Attribut zu erstellen, navigieren Sie zum Knoten Configuration Management (Konfigurationsmanagement) > Virtual Attributes (Virtuelle Attribute) > Managed Attribures (Verwaltete Attribute) und klicken Sie im Aufgabenmenü auf New Virtual Attribute (Neues virtuelles Attribut).
Sie können nur aktivierte virtuelle Attribute mit Active Directory-Objekten verknüpfen. Nachdem Sie ein virtuelles Attribut mit einem Objekt verknüpft haben, ist das virtuelle Attribut als Teil der Objekteigenschaften verfügbar.
Um virtuelle Attribute über die DRA-Benutzeroberflächen verfügbar zu machen, müssen Sie eine benutzerdefinierte Eigenschaftenseite erstellen.
Um ein virtuelles Attribut mit einem Objekt zu verknüpfen, navigieren Sie zum Knoten Configuration Management (Konfigurationsmanagement) > Virtual Attributes (Virtuelle Attribute) > Managed Attributes (Verwaltete Attribute), klicken Sie mit der rechten Maustaste auf das virtuelle Attribut, das Sie verwenden möchten, und wählen Sie Associate (Verknüpfen) > (Objekttyp) aus.
HINWEIS:
Sie können virtuelle Attribute nur mit Benutzern, Gruppen, dynamischen Verteilergruppen, Computern, Kontakten und organisatorischen Einheiten verknüpfen.
Wenn Sie ein virtuelles Attribut mit einem Objekt verknüpfen, erstellt DRA automatisch zwei standardmäßige benutzerdefinierte Befugnisse. Die Hilfsadministratoren müssen über diese benutzerdefinierten Befugnisse verfügen, um das virtuelle Attribut verwalten zu können.
Sie können die Verknüpfung virtueller Attribute mit Active Directory-Objekten aufheben. Für neu erstellte Objekte werden virtuelle Attribute, deren Verknüpfung zum betreffenden Objekttyp aufgehoben wurde, nicht in den Objekteigenschaften angezeigt.
Um die Verknüpfung zwischen einem virtuellen Attribut und einem Active Directory-Objekt aufzuheben, navigieren Sie zum Knoten Configuration Management (Konfigurationsmanagement) > Virtual Attributes (Virtuelle Attribute) > Managed Classes (Verwaltete Klassen) > (Objekttyp). Klicken Sie mit der rechten Maustaste auf das virtuelle Attribut und wählen Sie Disassociate (Zuordnung aufheben) aus.
Sie können virtuelle Attribute deaktivieren, wenn sie mit keinem Active Directory-Objekt verknüpft sind. Wenn Sie ein virtuelles Attribut deaktivieren, können die Administratoren das virtuelle Attribut nicht anzeigen oder mit einem Objekt verknüpfen.
Um ein virtuelles Attribut zu deaktivieren, navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Managed Attributes (Verwaltete Attribute). Klicken Sie mit der rechten Maustaste auf das Attribut im Listenbereich und wählen Sie Disable (Deaktivieren) aus.
Der Verwaltungsserver erstellt und pflegt einen Konto-Cache, der Teile von Active Directory für die verwalteten Domänen enthält. Der Konto-Cache in DRA dient der Leistungsverbesserung beim Verwalten von Benutzerkonten, Gruppen, Kontakten und Computerkonten.
Um einen Zeitplan für das Aktualisieren des Cache zu erstellen oder den Cache-Status anzuzeigen, benötigen Sie die entsprechenden Befugnisse, beispielsweise die Befugnisse der integrierten Rolle zum Konfigurieren von Servern und Domänen.
HINWEIS:Um inkrementelle Aktualisierungen des Konto-Cache in Domänen mit verwalteten Teilbäumen auszuführen, stellen Sie sicher, dass das Servicekonto über Lesezugriff auf den Container „Gelöschte Objekte“ und auf alle Objekte in der Domäne des Teilbaums verfügt. Mit dem Dienstprogramm „Gelöschte Objekte“ können Sie die entsprechenden Berechtigungen überprüfen und delegieren.
Eine inkrementelle Aktualisierung des Konto-Cache aktualisiert nur die Daten, die seit der letzten Aktualisierung geändert wurden. Inkrementelle Aktualisierungen sind eine optimierte Methode, die Änderungen in Active Directory laufend zu übernehmen. Verwenden Sie die inkrementelle Aktualisierung, um den Konto-Cache schnell zu aktualisieren und die Unternehmensvorgänge möglichst wenig zu beeinträchtigen.
WICHTIG:Microsoft Server begrenzt die Anzahl an gleichzeitigen Benutzern mit einer Verbindung zur WinRM/WinRS-Sitzung und die Anzahl der Shells pro Benutzer auf jeweils fünf. Stellen Sie daher sicher, dass das gleiche Benutzerkonto für DRA-Sekundärserver ebenfalls auf fünf Shells begrenzt ist.
Bei der inkrementellen Aktualisierung werden die folgenden Daten aktualisiert:
Neue und geklonte Objekte
Gelöschte und verschobene Objekte
Gruppenmitgliedschaften
Alle im Cache gespeicherten Objekteigenschaften für geänderte Objekte
Bei der vollständigen Cache-Aktualisierung wird der Konto-Cache von DRA für die angegebene Domäne neu erstellt.
HINWEIS:Während der Ausführung einer vollständigen Cache-Aktualisierung ist die Domäne für DRA-Benutzer nicht verfügbar.
Um den Konto-Cache zu aktualisieren, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die in der integrierten Rolle Configure Servers and Domains
(Server und Domänen konfigurieren) enthaltenen Befugnisse.
So führen Sie eine sofortige, vollständige Aktualisierung des Konto-Cache aus:
Navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Managed Domains (Verwaltete Domänen).
Klicken Sie mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Properties (Eigenschaften) aus.
Klicken Sie auf Refresh Now (Jetzt aktualisieren) auf der Registerkarte Full refresh (Vollständige Aktualisierung).
Die erforderliche Häufigkeit der Aktualisierung des Konto-Cache hängt von der Frequenz der Änderungen in Ihrem Unternehmen ab. Aktualisieren Sie den Konto-Cache regelmäßig mit der inkrementellen Aktualisierung, um sicherzustellen, dass DRA über die neuesten Informationen aus Active Directory verfügt.
Standardmäßig führt der Verwaltungsserver in den folgenden Intervallen eine inkrementelle Aktualisierung des Konto-Cache aus:
|
Domänentyp |
Standardmäßige planmäßige Aktualisierung |
|---|---|
|
Verwaltete Domänen |
Alle 5 Minuten |
|
Verbürgte Domänen |
Jede Stunde |
Eine vollständige Aktualisierung des Konto-Cache kann nicht geplant werden. DRA führt unter folgenden Umständen automatisch eine vollständige Aktualisierung des Konto-Cache aus:
Nach der ersten Konfiguration einer verwalteten Domäne
Nach der Aufrüstung von DRA von einer früheren Version auf eine neue Vollversion
Nach der Installation eines DRA Service Pack
Eine vollständige Aktualisierung des Konto-Cache kann einige Minuten dauern.
Der Konto-Cache muss regelmäßig aktualisiert werden, damit DRA über die neuesten Informationen verfügt. Beachten Sie die folgenden Hinweise, bevor Sie eine Aktualisierung des Konto-Cache ausführen oder planen:
Zum Ausführen einer inkrementellen Aktualisierung des Konto-Cache muss das Servicekonto oder Zugriffskonto des Verwaltungsservers berechtigt sein, auf gelöschte Objekte im Active Directory-Verzeichnis der verwalteten bzw. verbürgten Domäne zuzugreifen.
Wenn DRA eine Aktualisierung des Konto-Cache ausführt, schließt der Verwaltungsserver die lokalen Sicherheitsgruppen von verbürgten Domänen nicht ein. Da der Cache diese Gruppen nicht enthält, lässt DRA nicht zu, dass Sie eine lokale Sicherheitsgruppe der Domäne von der verbürgten Domäne zu einer lokalen Gruppe auf dem verwalteten Mitgliedsserver hinzufügen.
Wenn Sie eine verbürgte Domäne aus einer Aktualisierung des Konto-Cache auslassen, lässt der Verwaltungsserver diese Domäne auch bei der Aktualisierung der Domänenkonfiguration aus.
Wenn Sie eine zuvor ausgelassene verbürgte Domäne in die Aktualisierung des Konto-Cache einschließen, führen Sie eine vollständige Aktualisierung des Konto-Cache für die verwaltete Domäne aus. So gewährleisten Sie, dass der Konto-Cache auf dem Verwaltungsserver der verwalteten Domäne die Gruppenmitgliedschaftsdaten in den verwalteten und verbürgten Domänen richtig widerspiegelt.
Wenn Sie das Intervall für die inkrementelle Aktualisierung des Konto-Cache auf Nie festlegen, führt der Verwaltungsserver nur vollständige Aktualisierungen des Konto-Cache aus. Eine vollständige Aktualisierung des Konto-Cache kann eine gewisse Zeit in Anspruch nehmen. Währenddessen können Sie die Objekte in der betreffenden Domäne nicht verwalten.
DRA kann nicht automatisch ermitteln, wann Änderungen durch andere Tools, wie Microsoft Directory Services, vorgenommen werden. Außerhalb von DRA ausgeführte Operationen können die Genauigkeit der Informationen im Cache beeinträchtigen. Wenn Sie beispielsweise ein anderes Tool verwenden, um ein Postfach zu einem Benutzerkonto hinzuzufügen, können Sie dieses Postfach erst nach einer Aktualisierung des Konto-Cache mit Exchange verwalten.
Bei einer vollständigen Aktualisierung des Konto-Cache werden die neuesten Anmeldestatistiken, die im Cache gepflegt werden, gelöscht. Der Verwaltungsserver erfasst dann die neuesten Anmeldeinformationen von allen Domänencontrollern.
Die AD-Druckersammlung ist standardmäßig deaktiviert. Um sie zu aktivieren, navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Update Administration Server Options (Verwaltungsserveroptionen aktualisieren) > Registerkarte General (Allgemein) und aktivieren Sie das Kontrollkästchen „Collect Printers“ (Drucker erfassen).
Sie können die AD LDS-Bereinigungsaktualisierung zur Ausführung nach Zeitplan für bestimmte Domänen konfigurieren. Die standardmäßige Einstellung ist „Nie“, d. h. es wird nie nach Zeitplan aktualisiert. Sie können außerdem den Bereinigungsstatus und spezifische Informationen zur AD LDS (ADAM)-Konfiguration anzeigen.
Um den Zeitplan zu konfigurieren oder den Status der AD LDS-Bereinigung anzuzeigen, klicken Sie im Knoten Account and Resource Management (Konto- und Ressourcenverwaltung) > All My Managed Objects (Alle meine verwalteten Objekte) mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Properties (Eigenschaften) > Adlds Cleanup Refresh Schedule (AD LDS-Aktualisierungszeitplan) bzw. Adlds Cleanup Status (AD LDS-Bereinigungsstatus) aus.
Um die AD LDS (ADAM)-Konfigurationsinformationen anzuzeigen, navigieren Sie zu Configuration Management Konfigurationsmanagement > Update Server Options (Serveroptionen aktualisieren) > ADAM Configuration (ADAM-Konfiguration).
Eine dynamische Gruppe ist eine Gruppe, deren Mitgliedschaft basierend auf einem festgelegten Satz Kriterien variiert, die Sie in den Eigenschaften der Gruppe konfigurieren. In den Domäneneigenschaften können Sie konfigurieren, dass die Aktualisierung der dynamischen Gruppen für bestimmte Domänen nach einem Zeitplan ausgeführt wird. Die standardmäßige Einstellung ist „Nie“, d. h. es wird nie nach Zeitplan aktualisiert. Sie können den Aktualisierungsstatus auch manuell aktualisieren.
Um den Zeitplan zu konfigurieren oder den Status der Aktualisierung der dynamischen Gruppen anzuzeigen, klicken Sie im Knoten Account and Resource Management (Konto- und Ressourcenverwaltung) > All My Managed Objects (Alle meine verwalteten Objekte) mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Properties (Eigenschaften) > Dynamic group refresh (Aktualisierung der dynamischen Gruppe) bzw. Dynamic group status (Status der dynamischen Gruppe) aus.
Weitere Informationen zu dynamischen Gruppen finden Sie unter Dynamische Gruppen in DRA.
Sie können den Papierkorb für jede Microsoft Windows-Domäne bzw. für Objekte in jeder Domäne aktivieren oder deaktivieren. Außerdem können Sie konfigurieren, wann und wie die Papierkorbbereinigung ausgeführt werden soll.
Weitere Informationen zur Verwendung des Papierkorbs finden Sie unter Papierkorb.
Sie können den Papierkorb für bestimmte Microsoft Windows-Domänen und für Objekte in diesen Domänen aktivieren. Standardmäßig aktiviert DRA den Papierkorb für jede Domäne, die mit DRA verwaltet wird, und für alle in der Domäne enthaltenen Objekte. Sie müssen Mitglied der Gruppe der DRA-Administratoren oder der DRA-Konfigurationsadministratoren sein, um den Papierkorb aktivieren zu können.
Wenn die Umgebung die folgende Konfiguration enthält, aktivieren Sie den Papierkorb mit dem Recycle Bin-Dienstprogramm:
DRA verwaltet einen Teilbaum dieser Domäne.
Das Service- oder Zugriffskonto des Verwaltungsservers verfügt nicht über die erforderlichen Berechtigungen zum Erstellen des Papierkorb-Containers, Verschieben von Konten in diesen Container und Bearbeiten der Konten in diesem Container.
Mit dem Recycle Bin-Dienstprogramm können Sie die Berechtigungen des Service- oder Zugriffskontos des Verwaltungsservers auf den Papierkorb-Container überprüfen.
Um den Papierkorb zu aktivieren, klicken Sie im Knoten Recycle Bin (Papierkorb) mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Enable Recycle Bin (Papierkorb aktivieren) aus.
Sie können den Papierkorb für bestimmte Microsoft Windows-Domänen und für Objekte in diesen Domänen deaktivieren. Wenn ein deaktivierter Papierkorb Konten enthält, können Sie diese Konten nicht anzeigen, dauerhaft löschen oder wiederherstellen.
Sie müssen Mitglied der Gruppe der DRA-Administratoren oder der DRA-Konfigurationshilfsadministratoren sein, um den Papierkorb deaktivieren zu können.
Um den Papierkorb zu deaktivieren, klicken Sie im Knoten Recycle Bin (Papierkorb) mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Disable Recycle Bin (Papierkorb deaktivieren) aus.
Standardmäßig wird der Papierkorb täglich bereinigt. Sie können diese Konfiguration so ändern, dass der Papierkorb der Domäne alle x Tage bereinigt wird. Während der planmäßigen Bereinigung werden Objekte im Papierkorb, die älter als die für den betreffenden Objekttyp konfigurierte Anzahl Tage sind, aus dem Papierkorb gelöscht. Standardmäßig werden für jeden Objekttyp alle Objekte gelöscht, die älter als 1 Tag sind. Sie können das Verhalten der Papierkorbbereinigung anpassen, indem Sie sie deaktivieren, erneut aktivieren oder das Alter der zu löschenden Objekte je nach Objekttyp festlegen.
Um die Bereinigung des Papierkorbs zu konfigurieren, wählen Sie in der Delegierungs- und Konfigurationskonsole die gewünschte Domäne aus und wechseln Sie zur Registerkarte Tasks (Aufgaben) > Properties (Eigenschaften) > Recycle Bin (Papierkorb).
Die folgenden Abschnitte enthalten grundlegende Informationen über die Verwaltungsberichte in DRA und über die Berichtkollektoren, die Sie aktivieren können. Um auf den Assistenten zuzugreifen, in dem Sie die Kollektoren konfigurieren, navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Update Reporting Service Configuration (Konfiguration des Berichterstellungsservices aktualisieren).
Der Active Directory-Kollektor erfasst für jeden verwalteten Benutzer, jede verwaltete Gruppe, jeden verwalteten Kontakt, jeden verwalteten Computer, jede verwaltete organisatorische Einheiten und jede verwaltete dynamische Verteilergruppe in DRA einen festgelegten Satz an Attributen aus Active Directory. Diese Attribute werden in der Berichterstellungsdatenbank gespeichert und dienen dem Generieren von Berichten in der Reporting-Konsole.
In der Konfiguration des Active Directory-Kollektors können Sie festlegen, welche Attribute erfasst und in der Reporting-Datenbank gespeichert werden sollen. Sie können auch konfigurieren, auf welchem DRA-Verwaltungsserver der Kollektor ausgeführt wird.
Der DRA-Kollektor erfasst Informationen zur Konfiguration von DRA und speichert diese Informationen in der Reporting-Datenbank, die zum Generieren von Berichten in der Reporting-Konsole verwendet wird.
Um den DRA-Kollektor zu aktivieren, müssen Sie festlegen, auf welchem DRA-Verwaltungsserver der Kollektor ausgeführt werden soll. Eine bewährte Vorgehensweise ist es, die Ausführung des DRA-Kollektors nach der erfolgreichen Ausführung des Active Directory-Kollektors und zu Uhrzeiten mit geringer Belastung des Servers bzw. außerhalb der normalen Betriebszeiten zu planen.
Der Azure-Mandantenkollektor erfasst Informationen über Azure-Benutzer und -Gruppen, die mit Azure Active Directory-Mandanten synchronisiert werden, und speichert diese Informationen in der Reporting-Datenbank, die zum Generieren von Berichten in der Reporting-Konsole verwendet wird.
Um den Azure-Mandantenkollektor zu aktivieren, müssen Sie festlegen, auf welchem DRA-Verwaltungsserver der Kollektor ausgeführt werden soll.
HINWEIS:Der Azure-Mandant kann eine erfolgreiche Sammlung nur ausführen, nachdem der Active Directory-Kollektor der entsprechenden Domäne eine erfolgreiche Sammlung ausgeführt hat.
Der Verwaltungsberichte-Kollektor erfasst DRA-Revisionsinformationen und speichert diese Informationen in der Reporting-Datenbank, die zum Generieren von Berichten in der Reporting-Konsole verwendet wird. Beim Aktivieren des Kollektors können Sie konfigurieren, wie oft die Daten in der Datenbank für Abfragen im DRA-Berichterstellungstool aktualisiert werden sollen.
Für diese Konfiguration muss das DRA-Servicekonto über die Berechtigung sysadmin in SQL Server auf dem Reporting-Server verfügen. Die konfigurierbaren Optionen werden nachfolgend beschrieben:
Audit Export Data Interval (Intervall für Export der Revisionsdaten): Dies legt das Zeitintervall zum Exportieren von Revisionsdaten aus dem DRA-Ablaufprotokoll (LAS) zur Datenbank „SMCubeDepot“ in SQL Server fest.
Management Report Summarization Interval (Zusammenfassungsintervall für Verwaltungsbericht): Dies legt das Zeitintervall fest, gemäß dem Revisionsdaten aus der SMCubeDepot-Datenbank zur DRA-Berichterstellungsdatenbank übertragen werden, wo sie mit dem DRA-Berichterstellungstool abgefragt werden können.
Sie können DRA so konfigurieren, dass die Statistiken zu den letzten Anmeldungen von allen Domänencontrollern in der verwalteten Domäne erfasst werden. Um das Erfassen von Statistiken zu den letzten Anmeldungen zu aktivieren und zu planen, müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die in der integrierten Rolle zum Konfigurieren von Servern und Domänen enthaltenen Befugnisse.
Standardmäßig ist die Funktion zum Erfassen von Statistiken zu den letzten Anmeldungen deaktiviert. Wenn Sie Statistiken zu den letzten Anmeldungen erfassen möchten, müssen Sie die Funktion aktivieren. Nachdem Sie das Erfassen von Statistiken zu den letzten Anmeldungen aktiviert haben, können Sie Statistiken zur letzten Anmeldung eines bestimmten Benutzers anzeigen oder den Status der Erfassung der Statistiken zur letzten Anmeldung anzeigen.
So erfassen Sie Statistiken zur letzten Anmeldung:
Navigieren Sie zu Configuration Management (Konfigurationsmanagement) > Managed Domains (Verwaltete Domänen).
Klicken Sie mit der rechten Maustaste auf die gewünschte Domäne und wählen Sie Properties (Eigenschaften) aus.
Klicken Sie auf die Registerkarte Last logon schedule (Zeitplan für letzte Anmeldung), um die Erfassung von Statistiken zu den letzten Anmeldungen zu aktivieren.
Mit der Unified-Änderungsverlauf-Serverfunktion können Sie Berichte zu außerhalb von DRA vorgenommenen Änderungen generieren.
Um den Unified-Änderungsverlauf-Server zu verwalten, weisen Sie den Hilfsadministratoren die Rolle „Unified Change History Server Administration“ (Unified-Änderungsverlauf-Serveradministration) oder die unten aufgeführten zutreffenden Befugnisse zu:
Delete Unified Change History Server Configuration (Serverkonfiguration des Unified-Änderungsverlaufs löschen)
Set Unified Change History Configuration Information (Konfigurationsinformationen für Unified-Änderungsverlauf festlegen)
View Unified Change History Configuration Information (Konfigurationsinformationen für Unified-Änderungsverlauf anzeigen)
So delegieren Sie Befugnisse für den Unified-Änderungsverlauf-Server (UCH-Server):
Klicken Sie im Knoten „Delegation Management“ (Delegierungsverwaltung) auf Powers (Befugnisse), suchen Sie mit der Objektsuchfunktion die gewünschten UCH-Befugnisse und wählen Sie sie aus.
Klicken Sie mit der rechten Maustaste auf eine der ausgewählten UCH-Befugnisse und wählen Sie Delegate Roles and Powers (Rollen und Befugnisse delegieren) aus.
Suchen Sie nach dem bestimmten Benutzer, der Gruppe oder der Hilfsadministratorgruppe, dem bzw. der Sie Befugnisse delegieren möchten.
Verwenden Sie die Objektauswahl, um die gewünschten Objekte zu suchen und hinzuzufügen, und klicken Sie im Assistenten auf Roles and Powers (Rollen und Befugnisse).
Klicken Sie auf ActiveViews (Aktivansichten) und verwenden Sie die Objektauswahl, um die gewünschten Aktivansichten zu suchen und hinzuzufügen.
Klicken Sie auf Next (Weiter) und dann auf Finish (Fertigstellen), um den Delegierungsprozess abzuschließen.
So konfigurieren Sie die Server für den Unified-Änderungsverlauf:
Melden Sie sich bei der Delegierungs- und Konfigurationskonsole an.
Erweitern Sie Configuration Management(Konfigurationsmanagement) > Integration Servers (Integrationsserver).
Klicken Sie mit der rechten Maustaste auf Unified Change History (Unified-Änderungsverlauf) und wählen Sie New Unified Change History Server (Neuer Unified-Änderungsverlauf-Server) aus.
Geben Sie den Namen oder die IP-Adresse des Servers für den Unified-Änderungsverlauf, die Portnummer, den Servertyp und die Details des Zugriffskontos in der Konfiguration des Unified-Änderungsverlaufs an.
Testen Sie die Serververbindung und klicken Sie auf Finish (Fertig stellen), um die Konfiguration zu speichern.
Fügen Sie nach Bedarf weitere Server hinzu.
Weisen Sie den Hilfsadministratoren zum Verwalten von Workflows die Rolle „Workflow Automation Server Administration“ (Workflowautomatisierungsserver-Administration) oder die unten aufgeführten zutreffenden Befugnisse zu:
Create Workflow Event and Modify All Properties (Workflowereignis erstellen und alle Eigenschaften ändern)
Delete Workflow Automation Server Configuration (Konfiguration des Workflowautomatisierungsservers löschen)
Set Workflow Automation Server Configuration Information (Informationen für Konfiguration des Workflowautomatisierungsservers festlegen)
Start Workflow (Workflow starten)
View All Workflow Event Properties (Alle Workflowereigniseigenschaften anzeigen)
View All Workflow Properties (Alle Workfloweigenschaften anzeigen)
View Workflow Automation Server Configuration Information (Informationen für Konfiguration des Workflowautomatisierungsservers anzeigen)
So delegieren Sie Befugnisse für die Konfiguration des Workflowautomatisierungsservers:
Klicken Sie im Knoten „Delegation Management“ (Delegierungsverwaltung) auf Powers (Befugnisse), suchen Sie mit der Objektsuchfunktion die gewünschten Workflowbefugnisse und wählen Sie sie aus.
Klicken Sie mit der rechten Maustaste auf eine der ausgewählten Workflowbefugnisse und wählen Sie Delegate Roles and Powers (Rollen und Befugnisse delegieren) aus.
Suchen Sie nach dem bestimmten Benutzer, der Gruppe oder der Hilfsadministratorgruppe, dem bzw. der Sie Befugnisse delegieren möchten.
Verwenden Sie die Objektauswahl, um die gewünschten Objekte zu suchen und hinzuzufügen, und klicken Sie im Assistenten auf Roles and Powers (Rollen und Befugnisse).
Klicken Sie auf ActiveViews (Aktivansichten) und verwenden Sie die Objektauswahl, um die gewünschten Aktivansichten zu suchen und hinzuzufügen.
Klicken Sie auf Next (Weiter) und dann auf Finish (Fertigstellen), um den Delegierungsprozess abzuschließen.
Um die Workflowautomatisierung in DRA verwenden zu können, müssen Sie die Workflow-Engine auf einem Windows-Server installieren und dann den Workflowautomatisierungsserver in der Delegierungs- und Konfigurationskonsole konfigurieren.
So konfigurieren Sie den Workflowautomatisierungsserver:
Melden Sie sich bei der Delegierungs- und Konfigurationskonsole an.
Informationen zu Befugnissen für die Workflowautomatisierung finden Sie unter Befugnisse für die Konfiguration des Workflowautomatisierungsservers delegieren.
Erweitern Sie Configuration Management(Konfigurationsmanagement) > Integration Servers (Integrationsserver).
Klicken Sie mit der rechten Maustaste auf Workflow Automation (Workflowautomatisierung) und wählen Sie New Workflow Automation Server (Neuer Workflowautomatisierungsserver) aus.
Geben Sie im Assistenten Add Workflow Automation Server (Workflowautomatisierungsserver hinzufügen) die Details wie Servername, Port, Protokoll und Zugriffskonto an.
Testen Sie die Serververbindung und klicken Sie auf Finish (Fertig stellen), um die Konfiguration zu speichern.
Weitere Informationen zur Installation der Workflow-Engine finden Sie im Workflow Automation Administrator Guide (Workflowautomatisierung-Administratorhandbuch).
Mit DRA können Sie vom LDAP-Server in Vor-Ort-Bereitstellungen von Active Directory-Domänen nach LDAP-Objekten wie Benutzern, Kontakten, Computern, Gruppen und organisatorischen Einheiten suchen. Der DRA-Server verarbeitet den Vorgang und die Suche wird auf dem Domänencontroller ausgeführt. Verwenden Sie die Suchfilter, um effizientere und wirksamere Suchen auszuführen. Sie können Suchabfragen auch zur späteren Verwendung speichern und entweder öffentlich freigeben oder als privat markieren. Die gespeicherten Abfragen können Sie bearbeiten. Die Rolle „LDAP Advanced Queries“ (Erweiterte LDAP-Abfragen) erteilt Hilfsadministratoren Befugnisse zum Erstellen und Verwalten von LDAP-Suchabfragen. Mit den folgenden Befugnissen können Sie die Erstellung und Verwaltung von LDAP-Suchabfragen delegieren:
Create Private Advanced Query (Private erweiterte Abfrage erstellen)
Create Public Advanced Query (Öffentliche erweiterte Abfrage erstellen)
Delete Public Advanced Query (Öffentliche erweiterte Abfrage löschen)
Execute Advanced Query (Erweiterte Abfrage ausführen)
Execute Saved Advanced Query (Erweiterte gespeicherte Abfrage ausführen)
Modify Public Query (Öffentliche Abfrage ändern)
View Advanced Query (Erweiterte Abfrage anzeigen)
So delegieren Sie Befugnisse für LDAP-Abfragen:
Klicken Sie im Knoten „Delegation Management“ (Delegierungsverwaltung) auf Powers (Befugnisse), suchen Sie mit der Objektsuchfunktion die gewünschten Befugnisse für erweiterte LDAP-Abfragen und wählen Sie sie aus.
Klicken Sie mit der rechten Maustaste auf eine der ausgewählten LDAP-Befugnisse und wählen Sie Delegate Roles and Powers (Rollen und Befugnisse delegieren) aus.
Suchen Sie nach dem bestimmten Benutzer, der Gruppe oder der Hilfsadministratorgruppe, dem bzw. der Sie Befugnisse delegieren möchten.
Verwenden Sie die Objektauswahl, um die gewünschten Objekte zu suchen und hinzuzufügen, und klicken Sie im Assistenten auf Roles and Powers (Rollen und Befugnisse).
Klicken Sie auf ActiveViews (Aktivansichten) und verwenden Sie die Objektauswahl, um die gewünschten Aktivansichten zu suchen und hinzuzufügen.
Klicken Sie auf Next (Weiter) und dann auf Finish (Fertigstellen), um den Delegierungsprozess abzuschließen.
Um in der Webkonsole auf die Suchfunktion zuzugreifen, wechseln Sie zu Management > LDAP Search (Management > LDAP-Suche).