Mit einem aktiven Azure-Konto und einem oder mehreren Azure-Mandanten können Sie DRA zur Verwaltung von Benutzer- und Gruppenobjekten mit Azure Active Directory konfigurieren. Diese Objekte umfassen Benutzer und Gruppen, die in Azure erstellt wurden oder von DRA-verwalteten Domänen mit dem Azure-Mandanten synchronisiert werden.
Zum Verwalten von Azure-Aufgaben sind die Azure PowerShell-Module, Azure Active Directory and Azure Resource Manager Profile, erforderlich. Außerdem benötigen Sie ein Konto in Azure Active Directory. Informationen zu den Kontoberechtigungen für den Azure-Mandantenzugriff finden Sie in DRA-Zugriffskonten mit niedrigsten Berechtigungen.
WICHTIG:Vorgänge wie das Erstellen, Ändern, Löschen, Deaktivieren und Aktivieren von Azure-Objekten werden in der Delegierungs- und Konfigurationskonsole nicht unterstützt.
Zum Verwalten von Azure-Mandanten müssen Sie entweder den DRA-Administrator oder einen Hilfsadministrator mit der delegierten Rolle „Configure Servers and Domains“ (Server und Domänen konfigurieren) verwenden und zum Verwalten von Azure-Objekten sind die integrierten Azure-Rollen erforderlich.
Weisen Sie zum Delegieren von Azure-Objekten die folgenden Azure-Rollen zu:
Azure Group Administration (Azure-Gruppenverwaltung): Diese Rolle umfasst alle Befugnisse, die zum Verwalten von Azure-Gruppen und der Azure-Gruppenmitgliedschaft erforderlich sind.
Azure User Administration (Azure-Benutzerverwaltung): Diese Rolle umfasst alle Befugnisse, die zum Verwalten von Azure-Benutzern erforderlich sind.
Mit den folgenden Befugnissen können Sie die Erstellung und Verwaltung von Azure-Benutzern und -Gruppen delegieren.
Befugnisse für Azure-Benutzerkonten:
Create Azure User and Modify All Properties (Azure-Benutzer erstellen und alle Eigenschaften ändern)
Delete Azure User Account Permanently (Azure-Benutzerkonto dauerhaft löschen)
Manage Sign-In for Azure Users (Anmeldung für Azure-Benutzer verwalten)
Manage Sign-In for Azure Users Synced to Azure Tenant (Anmeldung für mit Azure-Mandant synchronisierte Azure-Benutzer verwalten)
Modify All Azure User Properties (Alle Azure-Benutzereigenschaften ändern)
Reset Azure User Account Password (Azure-Benutzerkontopasswort zurücksetzen)
View All Azure User Properties (Alle Azure-Benutzereigenschaften anzeigen)
Befugnisse für Azure-Gruppen:
Add Object to Azure Group (Objekt zu Azure-Gruppe hinzufügen)
Create Azure Group and Modify All Properties (Azure-Gruppe erstellen und alle Eigenschaften ändern)
Delete Azure Group Account (Azure-Gruppenkonto löschen)
Modify All Azure Group Properties (Alle Azure-Gruppeneigenschaften ändern)
Remove Object from Azure Group (Objekt aus Azure-Gruppe entfernen)
View All Azure Group Properties (Alle Azure-Gruppeneigenschaften anzeigen)
Um die Eigenschaften der Azure-Benutzer oder -Gruppen auf granularer Ebene zu verwalten, können Sie benutzerdefinierte Befugnisse erstellen, indem Sie bestimmte Objektattribute auswählen.
Die folgenden Azure-Gruppentypen werden unterstützt:
Verteilerliste
Mail-aktivierte Sicherheit
Office 365
Sicherheit
HINWEIS:In Azure erstellte Gastbenutzer werden nicht unterstützt.
Um einen neuen Azure-Mandanten zu verwalten, fügen Sie den neuen Mandanten hinzu, indem Sie eine Azure-Anwendung in der Delegierungs- und Konfigurationskonsole fertigstellen. DRA unterstützt die Online- und Offline-Erstellung von Azure-Anwendungen und erfordert eine Azure-Anwendung mit den folgenden Berechtigungen, um Objekte im Mandanten zu verwalten:
Lese- und Schreibzugriff auf die vollständigen Profile aller Benutzer
Lese- und Schreibzugriff auf alle Gruppen
Lesezugriff auf Verzeichnisdaten
Diese Berechtigungen werden der Azure-Anwendung sowohl beim Online- als auch beim Offline-Verfahren automatisch erteilt.
So erstellen Sie eine Azure-Anwendung online und fügen einen Mandanten hinzu:
Wechseln Sie in der Delegierungs- und Konfigurationskonsole zu Configuration Management (Konfigurationsmanagement) > Azure Tenants (Azure-Mandanten).
Klicken Sie mit der rechten Maustaste auf Azure Tenants (Azure-Mandanten) und wählen Sie „New Azure Tenant“ (Neuer Azure-Mandant) aus.
(Optional) Geben Sie das Quellankerattribut an, mit dem die Active Directory-Objekte während der Synchronisierung Azure zugeordnet werden.
Geben Sie das Konto für den Zugriff auf den Azure-Mandanten an und bestätigen Sie den Berechtigungsnachweis.
Informationen zu den Kontoberechtigungen für den Azure-Mandantenzugriff finden Sie in DRA-Zugriffskonten mit niedrigsten Berechtigungen.
Aktivieren Sie die Option Allow DRA to create the Azure application (DRA das Erstellen der Azure-Anwendung erlauben) aus.
Geben Sie den Berechtigungsnachweis für ein Benutzerkonto mit der Rolle „Azure AD Company Administrator“ (Azure AD-Unternehmensadministrator) an und bestätigen Sie dann den Berechtigungsnachweis.
Klicken Sie auf Finish (Fertig stellen).
Das Hinzufügen des Azure-Mandanten kann mehrere Minuten dauern. Nachdem der Mandant erfolgreich hinzugefügt wurde, führt DRA eine vollständige Aktualisierung des Konto-Cache für den Mandanten aus und der hinzugefügte Mandant wird im Anzeigebereich der Azure-Mandanten angezeigt.
So erstellen Sie eine Azure-Anwendung für DRA offline und fügen einen Mandanten hinzu:
Wechseln Sie in der Delegierungs- und Konfigurationskonsole zu Configuration Management (Konfigurationsmanagement) > Azure Tenants (Azure-Mandanten).
Klicken Sie mit der rechten Maustaste auf Azure Tenants (Azure-Mandanten) und wählen Sie New Azure Tenant (Neuer Azure-Mandant) aus.
(Optional) Geben Sie das Quellankerattribut an, mit dem die Active Directory-Objekte während der Synchronisierung Azure zugeordnet werden.
Geben Sie das Konto für den Zugriff auf den Azure-Mandanten an und bestätigen Sie den Berechtigungsnachweis.
Aktivieren Sie die Option Create the Azure application offline (Azure-Anwendung offline erstellen).
Starten Sie eine PowerShell-Sitzung auf dem DRA-Verwaltungsserver und wechseln Sie zu C:\Program Files (x86)\NetIQ\DRA\SupportingFiles.
Führen Sie . .\NewDraAzureApplication.ps1 aus, um PowerShell zu laden.
Führen Sie das Cmdlet New-DRAAzureApplication aus, um die Eingabeaufforderung für die Parameter zu erhalten.
Geben Sie für New-DraAzureApplication die folgenden Parameter an:
<name> – Name der Anwendung vom Mandanten-Assistenten.
WICHTIG:Micro Focus empfiehlt, den in der DRA-Konsole angegebenen Namen zu verwenden.
(Optional) <environment> – Geben Sie je nachdem, welchen Mandanten Sie verwenden, „AzureCloud“, „AzureChinaCloud“, „AzureGermanyCloud“ oder „AzureUSGovernment“ an.
Geben Sie im Dialogfeld „Credential“ (Anmeldedaten) den Berechtigungsnachweis des Unternehmensadministrators an.
Die ID und das Passwort für die Azure-Anwendung werden generiert.
Kopieren Sie die Anwendungs-ID und das Passwort in die DRA-Konsole (Mandanten-Assistent, DRA Azure Application Credentials (Berechtigungsnachweis für DRA Azure-Anwendung) und bestätigen Sie die Anmeldedaten.
Klicken Sie auf Finish (Fertig stellen).
Das Hinzufügen des Azure-Mandanten kann mehrere Minuten dauern. Nachdem der Mandant erfolgreich hinzugefügt wurde, führt DRA eine vollständige Aktualisierung des Konto-Cache für den Mandanten aus und der hinzugefügte Mandant wird dann im Anzeigebereich der Azure-Mandanten angezeigt.
Führen Sie die unten aufgeführten Schritte aus, um ein Azure-Passwort online oder offline zurückzusetzen.
So setzen Sie ein Azure-Anwendungspasswort für DRA mit den Azure-Anmeldedaten zurück:
Wechseln Sie in der Delegierungs- und Konfigurationskonsole zu Configuration Management (Konfigurationsmanagement) > Azure Tenants (Azure-Mandanten).
Klicken Sie mit der rechten Maustaste auf den verwalteten Azure-Mandanten und wählen Sie Properties (Eigenschaften) aus.
Klicken Sie im Eigenschaftenbereich auf Azure Application (Azure-Anwendung).
Wählen Sie die Option Allow DRA to reset the password using your Azure Credentials (DRA erlauben, das Passwort mit den Azure-Anmeldedaten zurückzusetzen) und geben Sie die Azure-Anmeldedaten ein.
Wenden Sie die Änderungen an.
So setzen Sie ein Azure-Anwendungspasswort für DRA offline zurück:
Starten Sie eine PowerShell-Sitzung auf dem DRA-Verwaltungsserver und wechseln Sie zu C:\Program Files (x86)\NetIQ\DRA\SupportingFiles.
Führen Sie . .\ResetDraAzureApplicationPassword.ps1 aus, um PowerShell zu laden.
Führen Sie das Cmdlet . .\ResetDraAzureApplicationPassword aus, um die Eingabeaufforderung für die Parameter zu erhalten.
Geben Sie für Reset-DRAAzureApplicationPassword die folgenden Parameter an:
<name> – Name der Anwendung vom Mandanten-Assistenten.
WICHTIG:Micro Focus empfiehlt, den in der DRA-Konsole angegebenen Namen zu verwenden.
(Optional) <environment> – Geben Sie je nachdem, welchen Mandanten Sie verwenden, „AzureCloud“, „AzureChinaCloud“, „AzureGermanyCloud“ oder „AzureUSGovernment“ an.
Geben Sie im Dialogfeld „Credential“ (Anmeldedaten) den Berechtigungsnachweis des Unternehmensadministrators an.
Die ID und das Passwort für die Azure-Anwendung werden generiert.
Kopieren Sie die Anwendungs-ID und das Passwort in die DRA-Konsole (Mandanten-Assistent, DRA Azure Application Credentials (Berechtigungsnachweis für DRA Azure-Anwendung) und bestätigen Sie die Anmeldedaten.
Öffnen Sie die Delegierungs- und Konfigurationskonsole und wechseln Sie zu Configuration Management (Konfigurationsmanagement) > Azure Tenants (Azure-Mandanten).
Klicken Sie mit der rechten Maustaste auf einen Azure-Mandanten und wechseln Sie zu Properties (Eigenschaften) > Azure Application (Azure-Anwendung).
Wählen Sie Reset the password offline (Passwort offline zurücksetzen) mit der bereitgestellten Skriptoption und fügen Sie das Azure-Anwendungspasswort ein, das vom Skript generiert wird.
Wenden Sie die Änderungen an.