Microsoft Windows bestimmt anhand des Benutzerkontotyps die Zugriffsberechtigungen des betreffenden Benutzerkontos. Ein Benutzer kann global oder lokal sein. DRA unterstützt auch InetOrgPerson-Objekte, betrachtet InetOrgPerson-Objekte jedoch als normale Benutzer.
Ein globales Benutzerkonto ist ein Benutzerkonto, das in jeder Domäne verwendet werden kann, die die Domäne, in der das Benutzerkonto erstellt wurde, verbürgt. Sie können einem Benutzerkonto spezifische Berechtigungen zuweisen. Sie können ein Benutzerkonto auch als Mitglied einer Gruppe festlegen und dann der Gruppe die gewünschten Berechtigungen zuweisen. Das Organisieren von Benutzerkonten in Gruppen vereinfacht die Verwaltung der Netzwerkberechtigungen für große Benutzeranzahlen.
Ein lokales Benutzerkonto entspricht einem Konto, mit dem Sie sich beim Windows-Betriebssystem anmelden. Mit diesem Konto können Sie auf die Systemressourcen in Ihrem eigenen Benutzerbereich zugreifen.
Weitere Informationen zum Verwalten von Benutzerkonten finden Sie in den folgenden Themen:
Microsoft Windows speichert Benutzerkonto- und Gruppendefinitionen im Verzeichnis der verwalteten Domäne. Ein Verwaltungsserver kann daher nicht die Verzeichnisinformationen einer verbürgten Domäne ändern, sofern diese Domäne nicht ebenfalls von DRA verwaltet wird.
In der Konto- und Ressourcenverwaltung können beispielsweise Benutzerkonten und Gruppen angezeigt werden, die Sie nicht bearbeiten können. Diese Benutzerkonten und Gruppen sind in Domänen definiert, die von einer der verwalteten Domänen verbürgt sind. Sie können jedoch Konten und Gruppen einer verbürgten Domäne zu anderen Gruppen in der verwalteten Domäne hinzufügen.
Dieser Abschnitt beschreibt die Verwaltung von Benutzerkonten über den Konto- und Ressourcenverwaltungsknoten der Delegierungs- und Konfigurationskonsole und über die Webkonsole. Sofern Sie über die entsprechenden Befugnisse verfügen, können Sie verschiedene Verwaltungsaufgaben für Benutzerkonten ausführen, beispielsweise Konten erstellen oder löschen. Wenn Sie mehrere Benutzerkonten gleichzeitig auswählen, können Sie ausgewählte Aufgaben in einem Vorgang für mehrere Benutzer ausführen, beispielsweise Benutzer löschen, verschieben oder zu einer Gruppe hinzufügen. Weitere Informationen zu den Ihnen zugewiesenen Befugnissen finden Sie unter Anzeigen der eigenen zugewiesenen Befugnisse und Rollen.
Sie können alle anwendbaren, unten aufgeführten Aufgaben über das Menü Aufgaben oder über das Kontextmenü ausführen. Im Allgemeinen wählen Sie den Knoten All My Managed Objects (Alle meine verwalteten Objekte) aus und führen dann den Vorgang Find Now (Jetzt suchen) aus, um das gewünschte Benutzerobjekt zu suchen und auszuwählen. Wenn Sie einen neuen Benutzer erstellen möchten, wählen Sie die Domäne bzw. Organisationseinheit aus, in der Sie den Benutzer erstellen möchten. Das Aufgabenmenü zeigt, welche Aufgaben verfügbar sind, wenn Sie ein oder mehrere Benutzerkonten auswählen.
Sie können Ihr eigenes Konto verwalten, indem Sie allgemeine Eigenschaften wie Ihre Telefonnummer ändern. Stellen Sie sicher, dass Sie über die erforderlichen Befugnisse verfügen, bevor Sie Ihr Konto verwalten.
Sie können ein Benutzerkonto in eine andere ActiveView kopieren. Diese Aktion wird als Übertragen des Benutzerkontos bezeichnet. Um ein Benutzerkonto zu einer anderen ActiveView zu kopieren, benötigen Sie sowohl in der ursprünglichen ActiveView als auch in der als Ziel festgelegten ActiveView die Befugnis „Benutzer zu anderer ActiveView kopieren“. Beim Übertragen eines Benutzerkontos zu einer anderen ActiveView wird das Benutzerkonto nicht aus der ursprünglichen ActiveView entfernt.
HINWEIS:Das Kopieren eines Benutzerkontos in eine andere Aktivansicht ist nur über den Konto- und Ressourcenverwaltungsknoten der Delegierungs- und Konfigurationskonsole möglich.
Sie können Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum umbenennen. Wenn Sie den Anmeldenamen des Benutzers ändern, wird auch der Name des mit dem Benutzerkonto verknüpften Postfachs geändert.
Sie können die meisten der unten aufgeführten Aufgaben über die Registerkarte Verwaltung > Suche in der Webkonsole ausführen. Führen Sie eine Suchoperation aus, um das erforderliche Benutzerobjekt zu suchen und auszuwählen. Nachdem Sie ein oder mehrere Objekte in der Liste ausgewählt haben, wird die Symbolleiste mit Optionen wie „Erstellen“, „Konto“ und „Exchange“ aktiv. Klicken Sie auf die Optionen, um ihre Funktion anzuzeigen.
Sie können Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum erstellen. Außerdem können Sie für das neue Konto die Eigenschaften bearbeiten, ein Postfach erstellen, die Email-Funktion aktivieren und Gruppenmitgliedschaften festlegen.
HINWEIS:
Möglicherweise wird in Ihrem Unternehmen eine Namenskonvention durch eine Richtlinie erzwungen, die festlegt, welchen Namen Sie dem neuen Benutzerkonto zuweisen dürfen.
Standardmäßig platziert DRA das neue Benutzerkonto in die Organisationseinheit „Benutzer“ der verwalteten Domäne.
InetOrgPerson-Objekte können in DRA nicht erstellt werden.
Beim Klonen eines Benutzerkontos werden die Gruppen, deren Mitglied der ursprüngliche Benutzer ist, automatisch zum neuen Benutzerkonto hinzugefügt, sodass Sie beim Konfigurieren des neuen Kontos Zeit sparen können. Wie mit jedem anderen neuen Konto können Sie auch hier Gruppen zum neuen Konto hinzufügen oder davon entfernen, die Email-Funktion aktivieren und andere Eigenschaftenkonfigurationen vornehmen.
HINWEIS:Durch Klonen eines InetOrgPerson-Objekts erstellen Sie ein neues Benutzerkonto.
Sie können die Eigenschaften der Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum verwalten. Ihre Befugnisse legen fest, welche Eigenschaften eines Benutzerkontos Sie ändern dürfen. Wenn Sie Exchange installiert und die Microsoft Exchange-Unterstützung aktiviert haben, können Sie die Eigenschaften des verknüpften Postfachs bei der Verwaltung der Benutzerkonten ändern.
HINWEIS:Wenn Richtlinien für das Basisverzeichnis aktiviert sind, ändert DRA automatisch das Basisverzeichnis eines Benutzerkontos, wenn Sie das betreffende Konto verwalten. Wenn Sie beispielsweise den Speicherort des Basisverzeichnisses ändern, versucht DRA, das festgelegte Basisverzeichnis zu erstellen und Inhalte vom vorigen Basisverzeichnis zum neuen Speicherort zu verschieben. DRA wendet außerdem die zugewiesenen Zugriffssteuerungslisten vom vorigen Verzeichnis auf das neue Verzeichnis an.
Sie können Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum aktivieren. Wenn Sie ein Microsoft Windows-Konto verwalten, können Sie den Domänencontroller festlegen, auf dem DRA die Änderung anwendet.
Wenn Sie diese Änderung auf einen bestimmten Domänencontroller anwenden, wendet DRA die Änderung außerdem auf den standardmäßigen Domänencontroller der verwalteten Domäne an. In den Domäneneigenschaften können Sie überprüfen, welchen standardmäßigen Domänencontroller DRA verwendet.
Sie können Benutzerkonten in der verwalteten Domäne deaktivieren. Wenn Sie ein Microsoft Windows-Konto verwalten, können Sie den Domänencontroller festlegen, auf dem DRA die Änderung anwendet.
Wenn Sie diese Änderung auf einen bestimmten Domänencontroller anwenden, wendet DRA die Änderung außerdem auf den standardmäßigen Domänencontroller der verwalteten Domäne an. In den Domäneneigenschaften können Sie überprüfen, welchen standardmäßigen Domänencontroller DRA verwendet.
Sie können Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum entsperren.
DRA ruft den Benutzerkontostatus aus dem Konto-Cache ab. Deshalb kann in der Benutzeroberfläche angezeigt werden, dass ein ausgewähltes Konto entsperrt ist, obwohl es eigentlich gesperrt ist. DRA lässt das Entsperren eines Benutzerkontos auch dann zu, wenn der Kontostatus anzeigt, dass das Konto derzeit entsperrt ist. Sie können auch einen Domänencontroller festlegen, wenn Sie ein Benutzerkonto mit der DRA-Konsole entsperren, ohne das Benutzerkontopasswort zurücksetzen zu müssen.
Sie können das Passwort für ein Konto in der verwalteten Domäne oder im verwalteten Teilbaum zurücksetzen. Ihre Befugnisse legen fest, welche Felder des Benutzerkontos Sie ändern können.
Wenn Sie das Passwort eines Benutzerkontos zurücksetzen, entsperrt DRA automatisch das Konto. Sie können auswählen, ob DRA ein neues Passwort für das Benutzerkonto generieren soll. Außerdem können Sie bestimmte passwortbezogene Optionen für das Konto ändern. Wenn Sie ein Microsoft Windows-Konto verwalten, können Sie den Domänencontroller festlegen, auf dem DRA die Änderungen anwendet.
HINWEIS:Wenn Sie diese Änderung auf einen bestimmten Domänencontroller anwenden, wendet DRA die Änderung außerdem auf den standardmäßigen Domänencontroller der verwalteten Domäne an. In den Domäneneigenschaften können Sie überprüfen, welchen standardmäßigen Domänencontroller DRA verwendet.
Sie können ein Benutzerkonto in einen anderen Container, beispielsweise in eine Organisationseinheit, der verwalteten Domäne oder des verwalteten Teilbaums verschieben.
Sie können Benutzerkonten in der verwalteten Domäne oder im verwalteten Teilbaum löschen. Wenn der Papierkorb für die betreffende Domäne deaktiviert ist, wird das Benutzerkonto beim Löschen dauerhaft aus Active Directory gelöscht. Wenn der Papierkorb für die betreffende Domäne aktiviert ist, wird das Benutzerkonto beim Löschen in den Papierkorb verschoben.
ACHTUNG:Wenn Sie ein neues Benutzerkonto erstellen, weist Microsoft Windows dem Konto eine Sicherheits-ID (SID) zu. Die SID wird nicht aus dem Kontonamen erstellt. Microsoft Windows verwendet SIDs, um die Berechtigungen in Zugriffssteuerungslisten für jede Ressource aufzuzeichnen. Wenn Sie ein Benutzerkonto löschen, können Sie dessen Zugriffsrechte nicht durch Erstellen eines Benutzerkontos mit dem gleichen Namen wiederherstellen.
Sie können Benutzerkonten zu einer bestimmten Gruppe in der verwalteten Domäne oder im verwalteten Teilbaum hinzufügen oder aus einer solchen Gruppe entfernen. Sie können außerdem die Eigenschaften vorhandener Gruppen, in denen das betreffende Konto Mitglied ist, anzeigen oder bearbeiten.
DRA bietet Ihnen die Möglichkeit, Benutzerkonten schnell und effizient umzuwandeln. Wenn die mit einem Benutzerkonto verbundene Person neue Verantwortungsbereiche übernimmt, können Sie die Umwandlungsfunktionen in DRA nutzen. Die Auftragsrollenschablonen ermöglichen ein einfaches Hinzufügen, Entfernen und Aktualisieren der Gruppenmitgliedschaften eines Kontos. Die Möglichkeit, ein Benutzerkonto umwandeln zu können, spart Zeit und Geld und erleichtert Ihnen die Arbeit, wenn ein Mitarbeiter befördert wird, die Abteilung wechselt oder das Unternehmen verlässt.
Die Funktionen zum Umwandeln eines Benutzerkontos unterstützen Sie beim Ausführen der folgenden Aufgaben:
Entfernen der Gruppenmitgliedschaften eines Benutzerkontos
Hinzufügen von Gruppenmitgliedschaften zu einem Benutzerkonto
Ändern der Benutzereigenschaften
Entfernen bestimmter Gruppenmitgliedschaften und Hinzufügen anderer Gruppenmitgliedschaften zu einem Benutzerkonto
Gehen Sie zum Umwandeln eines Benutzerkontos folgendermaßen vor:
Überlegen Sie, ob Gruppenmitgliedschaften hinzugefügt, entfernt oder sowohl hinzugefügt als auch entfernt werden müssen.
Überprüfen Sie die vorhandenen Schablonen zum Entfernen bzw. Hinzufügen von Gruppenmitgliedschaften, um sicherzustellen, dass Sie über die erforderlichen Benutzerkontenschablonen verfügen.
Erstellen Sie je nach Bedarf erforderliche Kontoschablonen.
Schließen Sie den Assistenten zum Umwandeln von Benutzern ab.
Beim Umwandeln des Benutzers durch DRA werden die von der Entfernungsschablone bezeichneten Gruppenmitgliedschaften vom Benutzerkonto entfernt, während die von der Hinzufügungsschablone bezeichneten Gruppenmitgliedschaften zum Benutzerkonto hinzugefügt werden. Alle Mitgliedschaften, die in keiner der Schablonen enthalten sind, werden von DRA unverändert beibehalten. Beispiel: Ein Mitarbeiter der Vertriebsabteilung wird vom Vertriebsteam für die USA zum Vertriebsteam für Europa versetzt. Innerhalb der Organisation gibt es Verteiler- und Sicherheitsgruppen, die jeweils für ein bestimmtes Vertriebsteam gelten, aber auch bestimmte Gruppen, die von allen Vertriebsteams geteilt werden. Das US-Vertriebsteam nutzt die Verteilergruppen „US Hotspots“ und „US Vertriebsmanagement“, während das Vertriebsteam für Europa die Verteilergruppen „Euro Hotspots“ und „Euro Vertriebsmanagement“ nutzt. Beide Teams sind Mitglied der Sicherheitsgruppe „Sicherheit globaler Vertrieb“, haben aber auch standortspezifische Sicherheitsgruppen.
Ihrer Entfernungsschablone „Schablone Vertrieb US“ würden Sie folgende Gruppenmitgliedschaften zuweisen:
US Hotspots
US Vertriebsmanagement
Sicherheit globaler Vertrieb
Sicherheit US
Ihrer Hinzufügungsschablone „Schablone Vertrieb Euro“ würden Sie folgende Gruppenmitgliedschaften zuweisen:
Euro Hotspots
Euro Vertriebsmanagement
Sicherheit globaler Vertrieb
Sicherheit Euro
Während des Umwandlungsprozesses wird das Benutzerkonto des versetzten Mitarbeiters zuerst von allen Gruppenmitgliedschaften entfernt, die in der Schablone „Vertrieb US“ enthalten sind, und dann zu allen Gruppenmitgliedschaften hinzugefügt, die in der Schablone „Vertrieb Euro“ bezeichnet sind. Wenn der Benutzer außerdem Mitglied der Verteilergruppe „Pokerspieler“ ist, bleibt diese Gruppenmitgliedschaft unverändert beibehalten.
Die folgenden Befugnisse geben einem Hilfsadministrator die Möglichkeit, ein Benutzerkonto während der Umwandlung umfassender zu ändern:
Adresseigenschaften während der Umwandlung eines Benutzerkontos ändern
Beschreibung während der Umwandlung eines Benutzerkontos ändern
Büro während der Umwandlung eines Benutzerkontos ändern
Telefoneigenschaften während der Umwandlung eines Benutzerkontos ändern
Sie können die Fähigkeit zum Hinzufügen oder Entfernen von Gruppenmitgliedschaften auch einschränken, indem Sie einem Hilfsadministrator nur eines der folgenden Befugnisse gewähren:
Benutzer zu Gruppen einer Schablone hinzufügen
Benutzer aus Gruppen einer Schablone hinzufügen
Mit diesen Optionen zum Einschränken der Befugnisse können Sie eine zusätzliche Sicherheitsebene in Ihrem Unternehmen erstellen. Wenn Sie einzelnen Benutzern die Befugnis geben, die Gruppen einer Schablone nur zu entfernen, können Sie vorläufige Benutzerkonten erstellen. Diese vorläufigen Konten können dann überprüft werden, bevor ein anderer Hilfsadministrator mithilfe einer Hinzufügungsschablone neue Gruppenmitgliedschaften erteilt.
Die Umwandlung von Benutzerkonten ist direkt mit den Rollen und Aufgabenhierarchien in Ihrer Organisation verbunden. Erwägen Sie das Erstellen einer Schablone für jede Rolle bzw. jede Funktion im Unternehmen. DRA unterscheidet nicht zwischen Benutzerkontoschablonen zum Entfernen und Benutzerkontoschablonen zum Hinzufügen. Erstellen Sie eine einzelne Benutzerkontoschablone für jede Rolle in der Organisation. Während der Umwandlung wählen Sie die Schablone wahlweise als Entfernungsschablone oder als Hinzufügungsschablone aus. Wenn Sie eine Schablone als Entfernungsschablone verwenden, hindert Sie dies nicht daran, dieselbe Schablone in einer späteren Umwandlung als Hinzufügungsschablone zu verwenden.
Um eine Benutzerumwandlungsschablone zu erstellen, benötigen Sie die Befugnisse zum Erstellen eines Benutzerkontos und Zuweisen des Benutzerkontos zu den entsprechenden Gruppen. Diese Befugnisse können Sie erhalten, indem Ihr Konto den Rollen „Benutzerkonten erstellen und löschen“ und „Gruppenverwaltung“ in den entsprechenden ActiveViews zugewiesen wird oder indem Ihnen einzelne Befugnisse zugewiesen werden.
Beim Umwandeln eines Benutzerkontos können Sie Gruppenmitgliedschaften für ein Benutzerkonto hinzufügen, entfernen oder hinzufügen und entfernen. Verwenden Sie diesen Workflow, wenn Personen in Ihrer Organisation von einem Aufgabenbereich zu einem neuen Aufgabenbereich versetzt werden. Sie benötigen die Rolle „Benutzer umwandeln“ oder eine Rolle mit entsprechenden Befugnissen zum Umwandeln von Benutzerkonten. Diese Funktion kann nur über den Konto- und Ressourcenverwaltungsknoten der Delegierungs- und Konfigurationskonsole ausgeführt werden.
So wandeln Sie ein Benutzerkonto um:
Erweitern Sie im linken Bereich All My Managed Objects (Alle meine verwalteten Objekte).
Zum Festlegen des Benutzerkontos, das Sie verwalten möchten, führen Sie den Vorgang Jetzt suchen aus, um das gewünschte Benutzerobjekt zu suchen und auszuwählen.
Klicken Sie auf Aufgaben > Umwandeln.
Überprüfen Sie das Begrüßungsfenster und klicken Sie auf Weiter.
Wählen Sie im Fenster zum Auswählen der Benutzerschablone die Aktion Durchsuchen aus, um die gewünschte Entfernungsschablone auszuwählen.
Wenn Sie die Eigenschaften der Benutzerkontoschablone zum Entfernen überprüfen möchten, klicken Sie auf Anzeigen.
Wählen Sie mit der Aktion Durchsuchen die entsprechende Hinzufügungsschablone aus.
Wenn Sie die Eigenschaften der Benutzerkontoschablone zum Hinzufügen überprüfen möchten, klicken Sie auf Anzeigen.
Sofern Sie über die entsprechenden Befugnisse verfügen, können Sie die Option Andere Eigenschaften des Benutzers ändern aktivieren und die zu ändernden Eigenschaften auswählen. Klicken Sie auf Weiter, um durch die verfügbaren Eigenschaften zu navigieren.
Klicken Sie auf Weiter.
Überprüfen Sie das Zusammenfassungsfenster und klicken Sie auf Fertig stellen.