Für die DRA-Komponenten sind die folgende Software und die folgenden Konten erforderlich:
|
Komponente |
Voraussetzungen |
|---|---|
|
Installationsziel Betriebssystem |
Betriebssystem des NetIQ Administration-Servers:
DRA-Benutzeroberflächen:
|
|
Installationsprogramm |
|
|
Verwaltungsserver |
Directory and Resource Administrator:
Administration von Microsoft Office 365/Exchange Online:
Weitere Informationen finden Sie unter Unterstützte Plattformen. |
|
Benutzeroberfläche |
DRA-Benutzeroberflächen:
|
|
DRA-Hostservice |
|
|
DRA-REST-Endgerät und -Service |
|
|
PowerShell-Erweiterungen |
|
|
DRA-Webkonsole |
Webserver:
Microsoft IIS-Komponenten:
|
|
Komponente |
Betriebssysteme |
|---|---|
|
DRA-Server |
|
|
Konto |
Beschreibung |
Berechtigungen |
|---|---|---|
|
AD-LDS-Gruppe |
Das DRA-Servicekonto muss zu dieser Gruppe hinzugefügt werden, um Zugriff auf AD-LDS zu erhalten. |
|
|
DRA-Servicekonto |
Zum Ausführen des NetIQ Administration-Services erforderliche Berechtigungen |
HINWEIS:
|
|
DRA-Administrator |
Benutzerkonto oder Gruppe, das/die für die integrierte DRA-Administratorrolle bereitgestellt wird |
|
|
DRA-Hilfsadministratorkonten |
Konten, denen über DRA Befugnisse delegiert werden |
|
Nachstehend finden Sie Informationen zu den Berechtigungen und Privilegien, die für die angegebenen Konten und für die auszuführenden Konfigurationsbefehle erforderlich sind.
Domänenzugriffskonto: Erteilen Sie dem Domänenzugriffskonto mit dem ADSI-Editor die folgenden Active Directory-Berechtigungen auf der obersten Domänenebene für die folgenden Nachfolgerobjekttypen:
VOLLZUGRIFF auf builtInDomain-Objekte
VOLLZUGRIFF auf Computerobjekte
VOLLZUGRIFF auf Verbindungspunktobjekte
VOLLSTÄNDIGE KONTROLLE über Kontaktobjekte
VOLLSTÄNDIGE KONTROLLE über Containerobjekte
VOLLZUGRIFF auf Gruppenobjekte
VOLLZUGRIFF auf InetOrgPerson-Objekte
VOLLZUGRIFF auf MsExchDynamicDistributionList-Objekte
VOLLZUGRIFF auf MsExchSystemObjectsContainer-Objekte
VOLLZUGRIFF auf Objekte vom Typ „organisatorische Einheit“
VOLLZUGRIFF auf Druckerobjekte
VOLLZUGRIFF auf publicFolder-Objekte
VOLLZUGRIFF auf Objekte vom Typ „freigegebener Ordner“
VOLLZUGRIFF auf Benutzerobjekte
Erteilen Sie dem Domänenzugriffskonto die folgenden Active Directory-Berechtigungen auf oberster Domänenebene für dieses Objekt und alle Nachfolgerobjekte:
Erstellen von Computerobjekten zulassen
Erstellen von Kontaktobjekten zulassen
Erstellen von Containerobjekten zulassen
Erstellen von Gruppenobjekten zulassen
Erstellen von MsExchDynamicDistributionList-Objekten zulassen
Erstellen von Objekten vom Typ „organisatorische Einheit“ zulassen
Erstellen von publicFolder-Objekten zulassen
Erstellen von Objekten vom Typ „freigegebener Ordner“ zulassen
Erstellen von Benutzerobjekten zulassen
Löschen von Computerobjekten zulassen
Löschen von Kontaktobjekten zulassen
Löschen von Containern zulassen
Löschen von Gruppenobjekten zulassen
Löschen von InetOrgPerson-Objekten zulassen
Löschen von MsExchDynamicDistributionList-Objekten zulassen
Löschen von Objekten vom Typ „organisatorische Einheit“ zulassen
Löschen von publicFolder-Objekten zulassen
Löschen von Objekten vom Typ „freigegebener Ordner“ zulassen
Löschen von Benutzerobjekten zulassen
HINWEIS:
Bestimmte integrierte Containerobjekte in Active Directory übernehmen standardmäßig nicht die Berechtigungen von der obersten Domänenebene. Aus diesem Grund muss für diese Objekte die Vererbung aktiviert werden oder es müssen explizite Berechtigungen festgelegt werden.
Wenn der REST-Server nicht auf dem gleichen Server wie der DRA-Verwaltungsserver installiert ist, benötigt das ausgeführte REST-Servicekonto in Active Directory Vollzugriff auf den REST-Server. Legen Sie zum Beispiel VOLLZUGRIFF auf CN=DRARestServer,CN=System,DC=myDomain,DC=com fest.
Exchange-Zugriffskonto: Weisen Sie zur Verwaltung von vor Ort bereitgestellten Microsoft Exchange-Objekten dem Exchange-Zugriffskonto die Rolle „Organisationsverwaltung“ zu und weisen Sie das Exchange-Zugriffskonto der Gruppe „Konten-Operatoren“ zu.
Skype-Zugriffskonto: Stellen Sie sicher, dass dieses Konto ein Skype-fähiger Benutzer ist und mindestens eine der folgenden Rollenmitgliedschaften erfüllt:
Mitglied der CSAdministrator-Rolle
Mitglied der CSUserAdministrator-Rolle und der CSArchiving-Rolle
Konto für den Zugriff auf öffentliche Ordner: Weisen Sie dem Konto für den Zugriff auf öffentliche Ordner die folgenden Active Directory-Berechtigungen zu:
Verwaltung öffentlicher Ordner
Für Mail aktivierte öffentliche Ordner
Azure-Mandantenzugriffskonto: Weisen Sie dem Azure-Mandantenzugriffskonto die folgenden Azure Active Directory-Berechtigungen zu:
Verteilergruppen
E-Mail-Empfänger
Erstellung von E-Mail-Empfängern
Erstellung von Sicherheitsgruppen und Sicherheitsgruppenmitgliedschaft
(Optional) Skype for Business-Administrator
Wenn Sie Skype for Business Online verwalten möchten, weisen Sie dem Azure-Mandantenzugriffskonto die Befugnis „Skype for Business-Administrator“ zu.
Benutzeradministrator
Berechtigungen für NetIQ Administration-Servicekonto:
Lokale Administratoren
Erteilen Sie dem Überschreibungskonto mit der geringsten Berechtigung die „uneingeschränkte Berechtigung“ auf Freigabeordner oder DFS-Ordner, wo Basisverzeichnisse bereitgestellt werden.
Ressourcenverwaltung: Zum Verwalten von veröffentlichten Ressourcen in einer verwalteten Active Directory-Domäne müssen dem Domänenzugriffskonto lokale Administrationsberechtigungen für diese Ressourcen erteilt werden.
Nach der DRA-Installation: Nachdem die erforderlichen Domänen hinzugefügt wurden oder mit DRA verwaltet werden, führen Sie die folgenden Befehle aus:
Berechtigung auf den Container „Gelöschte Objekte“ vom DRA-Installationsordner delegieren (Befehl muss von einem Domänenadministrator ausgeführt werden):
DraDelObjsUtil.exe /domain:<NetBIOS-Domänenname> /delegate:<Kontoname>
Berechtigung auf organisatorische Einheit „NetIQRecycleBin“ vom DRA-Installationsordner delegieren:
DraRecycleBinUtil.exe /domain:<NetBIOS-Domänenname> /delegate:<Kontoname>
Fernzugriff auf SAM: Weisen Sie Domänencontroller oder von DRA verwaltete Mitgliedsserver zu, damit die in den Einstellungen für Gruppenrichtlinienobjekte unten aufgeführten Konten Fernabfragen in der Datenbank von Security Account Manager (SAM) ausführen können. Die Konfiguration muss das DRA-Servicekonto enthalten.
Netzwerkzugriff: Clients einschränken, die Remoteaufrufe an SAM ausführen dürfen
Gehen Sie wie folgt vor, um auf diese Einstellung zuzugreifen:
Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole auf dem Domänencontroller.
Erweitern Sie Domänen > [Domänencontroller] > Gruppenrichtlinienobjekte in der Baumstruktur.
Klicken Sie mit der rechten Maustaste auf Standard-Domänencontrollerrichtlinie und wählen Sie Bearbeiten aus, um den Gruppenrichtlinienobjekt-Editor für diese Richtlinie zu öffnen.
Erweitern Sie Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Lokale Richtlinien in der Baumstruktur des Gruppenrichtlinienobjekt-Editors.
Doppelklicken Sie im Richtlinienbereich auf Netzwerkzugriff: Clients einschränken, die Remoteaufrufe an SAM ausführen dürfen und wählen Sie Diese Richtlinieneinstellung definieren aus.
Klicken Sie auf Sicherheit bearbeiten und aktivieren Sie Zulassen für den Fernzugriff. Fügen Sie das DRA-Servicekonto hinzu, falls es noch nicht als Benutzer oder Teil der Administratorengruppe enthalten ist.
Wenden Sie die Änderungen an. Dies fügt die Sicherheitsbeschreibung O:BAG:BAD:(A;;RC;;;BA) zu den Richtlinieneinstellungen hinzu.
Weitere Informationen hierzu finden Sie im Knowledgebase-Artikel 7023292.