Befugnisse sind die Grundbausteine für die Verwaltung nach dem Prinzip der „geringsten Berechtigung“. Durch das Zuweisen von Befugnissen an Benutzer können Sie ein dynamisches Sicherheitsmodell implementieren und pflegen. Diese Prozeduren führen Sie in der Delegierungs- und Konfigurationskonsole aus.
Es stehen über 390 integrierte Befugnisse zum Verwalten von Objekten und Ausführen üblicher Verwaltungsaufgaben zur Verfügung, mit denen Sie beim Definieren von Rollen und Zuweisen von Delegierungen arbeiten können. Integrierte Befugnisse können nicht gelöscht werden, aber Sie können sie klonen, um benutzerdefinierte Befugnisse zu erstellen. Nachstehend finden Sie einige Beispiele für integrierte Befugnisse:
Diese Befugnis gewährt das Recht zum Erstellen von Gruppen und Festlegen aller Eigenschaften während der Gruppenausstellung.
Wenn die Papierkorbfunktion aktiviert ist, ermöglicht diese Befugnis das Verschieben von Benutzerkonten in den Papierkorb. Wenn die Papierkorbfunktion deaktiviert ist, ermöglicht diese Befugnis das dauerhafte Löschen von Benutzerkonten.
Diese Befugnis gewährt das Recht zum Ändern aller Eigenschaften der Computerkonten.
Um eine benutzerdefinierte Befugnis zu erstellen, erstellen Sie eine neue Befugnis oder klonen Sie eine vorhandene Befugnis. Sie können vorhandene Befugnisse als Schablone für neue Befugnisdelegierungen verwenden. Eine Befugnis definiert die Eigenschaften eines Objekts, die ein Hilfsadministrator in der verwalteten Domäne bzw. im verwalteten Teilbaum anzeigen, ändern oder erstellen kann. Benutzerdefinierte Befugnisse können den Zugriff auf mehrere Eigenschaften enthalten, wie die Befugnis View All User Properties (Alle Benutzereigenschaften anzeigen).
HINWEIS:Nicht alle integrierten Befugnisse können geklont werden.
Benutzerdefinierte Befugnisse werden über den Knoten Delegation Management (Delegierungsverwaltung) > Powers (Befugnisse) in der Delegierungs- und Konfigurationskonsole implementiert. Über diesen Knoten können Sie die folgenden Aktionen ausführen:
Alle Befugniseigenschaften anzeigen
Neue Befugnisse erstellen
Vorhandene Befugnisse klonen
Benutzerdefinierte Befugnisse ändern
Befugnisänderungsberichte generieren
Um die oben genannten Aktionen ausführen zu können, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse der Rolle „Manage Security Model“ (Sicherheitsmodell verwalten).
Beachten Sie die folgenden Punkte, bevor Sie eine neue Befugnis erstellen.
Überprüfen Sie die mit DRA bereitgestellten Befugnisse.
Ermitteln Sie, ob Sie eine benutzerdefinierte Befugnis benötigen. Möglicherweise können Sie eine vorhandene Benutzerdefinierte Befugnis klonen.
Schließen Sie die Prozeduren im entsprechenden Assistenten ab. Schließen Sie beispielsweise den Assistenten „New Power“ (Neue Befugnis) ab.
Zeigen Sie die neue Befugnis an.
Ändern Sie die neue Befugnis je nach Bedarf.
Der allgemeine Workflow zum Ausführen beliebiger in diesem Abschnitt genannter Aktionen besteht im Auswählen des Knotens Powers (Befugnisse) und Ausführen einer der folgenden Schritte:
Öffnen Sie über das Aufgabenmenü oder über das Kontextmenü den entsprechenden Assistenten bzw. das Dialogfeld, um die erforderlichen Aktionen abzuschließen.
Suchen Sie das Befugnisobjekt im Bereich List items that match my criteria (Objekte auflisten, die mit meinen Kriterien übereinstimmen) und verwenden Sie das Menü Tasks (Aufgaben) oder das Kontextmenü, um den entsprechenden Assistenten bzw. das Dialogfeld auszuwählen und zu öffnen und die erforderlichen Aktionen abzuschließen.
Sie können Berechtigungen oder Funktionalitäten zu einer Befugnis hinzufügen, indem Sie die Befugnis erweitern.
Um beispielsweise einem Hilfsadministrator das Recht zu gewähren, ein Benutzerkonto zu erstellen, können Sie entweder die Befugnis Create User and Modify All Properties (Benutzer erstellen und alle Eigenschaften ändern) oder die Befugnis Create User and Modify Limited Properties (Benutzer erstellen begrenzte Eigenschaften ändern) zuweisen. Wenn Sie zusätzlich die Befugnis Add New User to Group (Neuen Benutzer zur Gruppe hinzufügen) zuweisen, kann der Hilfsadministrator während der Verwendung des Assistenten zur Benutzererstellung das neue Benutzerkonto zu einer Gruppe hinzufügen. In diesem Fall liefert die Befugnis Add New User to Group (Neuen Benutzer zur Gruppe hinzufügen) eine zusätzliche Assistentenfunktion. Die Befugnis Add New User to Group (Neuen Benutzer zur Gruppe hinzufügen) ist die sogenannte Erweiterungsbefugnis.
Erweiterungsbefugnisse können nicht eigenständig Berechtigungen oder Funktionalitäten hinzufügen. Um eine Aufgabe, die eine Erweiterungsbefugnis enthält, erfolgreich zu delegieren, müssen sie Die Erweiterungsbefugnis zusammen mit der zur erweiternden Befugnis zuweisen.
HINWEIS:
Um erfolgreich eine Gruppe zu erstellen und die neue Gruppe in eine ActiveView einzuschließen, müssen Sie in der betreffenden ActiveView über die Befugnis Add New Group to ActiveView (Neue Gruppe zu ActiveView) verfügen. Die betreffende ActiveView muss außerdem die organisatorische Einheit oder den integrierten Container einschließen, in der bzw. dem die neue Gruppe enthalten ist.
Um erfolgreich eine Gruppe zu klonen und die neue Gruppe in eine ActiveView einzuschließen, müssen Sie in der betreffenden ActiveView über die Befugnis Add Cloned Group to ActiveView (Geklonte Gruppe zu ActiveView) verfügen. Die betreffende ActiveView muss außerdem die Ursprungsgruppe und die organisatorische Einheit bzw. den integrierten Container enthalten, in der bzw. dem die neue Gruppe enthalten sein soll.
Die folgende Tabelle listet einige Beispiele für die Aktionen auf, die beim Erstellen einer neuen Befugnis oder Ändern der Eigenschaften einer vorhandenen Befugnis konfiguriert werden können:
|
Zu delegierende Aufgabe |
Zuzuweisende Befugnis |
Zuzuweisende Erweiterungsbefugnis |
|---|---|---|
|
Gruppe klonen und die neue Gruppe in eine angegebene ActiveView einschließen |
Clone Group and Modify All Properties (Gruppe klonen und alle Eigenschaften ändern) |
Add Cloned Group to ActiveView (Geklonte Gruppe zur ActiveView hinzufügen) |
|
Gruppe erstellen und die neue Gruppe in eine angegebene ActiveView einschließen |
Create Group and Modify All Properties (Gruppe erstellen und alle Eigenschaften ändern) |
Add New Group to ActiveView (Neue Gruppe zur ActiveView hinzufügen) |
|
Kontakt mit aktivierter Email-Funktion erstellen |
Create Contact and Modify All Properties (Kontakt erstellen und alle Eigenschaften ändern) Create Contact and Modify Limited Properties (Kontakt erstellen und begrenzte Eigenschaften ändern) |
Enable Email for New Contact (Email-Funktion für neuen Kontakt aktivieren) |
|
Gruppe mit aktivierter Email-Funktion erstellen |
Create Group and Modify All Properties (Gruppe erstellen und alle Eigenschaften ändern) |
Enable Email for New Group (Email-Funktion für neue Gruppe aktivieren) |
|
Benutzerkonto mit aktivierter Email-Funktion erstellen |
Create User and Modify All Properties (Benutzer erstellen und alle Eigenschaften ändern) Create User and Modify Limited Properties (Benutzer erstellen und begrenzte Eigenschaften ändern) |
Enable Email for New User (Email-Funktion für neuen Benutzer aktivieren) |
|
Benutzerkonto erstellen und das neue Konto zu angegebenen Gruppen hinzufügen |
Create User and Modify All Properties (Benutzer erstellen und alle Eigenschaften ändern) Create User and Modify Limited Properties (Benutzer erstellen und begrenzte Eigenschaften ändern) |
Add New User to Group (Neuen Benutzer zur Gruppe hinzufügen) |