Mit DRA können Sie verschiedene Richtlinien konfigurieren, um die Sicherheit im Unternehmen zu erhöhen und die Beschädigung von Daten zu verhindern. Diese Richtlinien funktionieren im Kontext des dynamischen Sicherheitsmodells, das sicherstellt, dass die Richtlinienerzwingung bei Änderungen im Unternehmen schnell angepasst werden kann. Durch das Erstellen von Richtlinien wie Benennungskonventionen, Grenzwerte für die Speicherplatzauslastung und Eigenschaftenvalidierungen können Sie die Einhaltung von Regeln erzwingen, die zur Erhaltung der Datenintegrität im Unternehmen beitragen.
In DRA können Sie Richtlinienregeln für die folgenden Unternehmensbereiche schnell erstellen:
Microsoft Exchange
Office 365
Home directory (Basisverzeichnis)
Passwortgenerierung
DRA stellt außerdem integrierte Richtlinien für Gruppen, Benutzerkonten und Computer zur Verfügung.
Um Richtlinien zu verwalten oder zu definieren, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse der Rolle „DRA Administration“ (Verwaltung von DRA) oder „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten). Der Bericht „Policy Details“ in DRA unterstützt Sie bei der Verwaltung der Richtlinien. Dieser Bericht enthält die folgenden Informationen:
Gibt an, ob die Richtlinie aktiviert ist
Führt die verknüpften Vorgänge auf
Führt die von der Richtlinie geregelten Objekte auf
Liefert Details zum Umfang der Richtlinie
Verwenden Sie diesen Bericht, um sicherzustellen, dass die Richtlinien richtig definiert sind. Sie können den Bericht auch dazu verwenden, Richtlinieneigenschaften zu vergleichen, Konflikte zu ermitteln oder die Erzwingung der Richtlinien im Unternehmen zur verbessern.
Sie können jede Aufgabe bzw. jeden administrativen Vorgang mit einer oder mehreren Richtlinien verknüpfen. Wenn Sie einen Vorgang ausführen, der mit einer Richtlinie verknüpft ist, führt der Verwaltungsserver die Richtlinie aus und erzwingt die angegebenen Regeln. Wenn der Server eine Richtlinienverletzung erkennt, gibt er eine Fehlermeldung zurück. Wenn der Server keine Richtlinienverletzung erkennt, führt er den angeforderten Vorgang aus. Sie können den Umfang einer Richtlinie begrenzen, indem Sie sie mit bestimmten ActiveViews oder Hilfsadministratorgruppen verknüpfen.
Wenn ein Vorgang mit mehr als einer Richtlinie verknüpft ist, erzwingt der Verwaltungsserver die Richtlinien in alphabetischer Reihenfolge. Das heißt, dass die Richtlinie A unabhängig von den angegebenen Regeln vor der Richtlinie B erzwungen wird.
Halten Sie sich an den folgenden Leitfaden, sicherzustellen, dass die Richtlinien nicht miteinander in Konflikt geraten:
Benennen Sie die Richtlinien so, dass sie in der richtigen Reihenfolge ausgeführt werden.
Stellen Sie sicher, dass keine der Richtlinien mit Überprüfungen oder Aktionen anderer Richtlinien interferiert.
Testen Sie benutzerdefinierte Richtlinien gründlich, bevor Sie sie in der Produktionsumgebung implementieren.
Der Verwaltungsserver trägt den Richtlinienstatus bei jeder Richtlinienausführung in das Revisionsprotokoll ein. Diese Protokolleinträge enthalten einen Rückgabecode und Informationen über die verknüpften Vorgänge, die behandelten Objekte und den Erfolg der Ausführung der benutzerdefinierten Richtlinie.
ACHTUNG:Richtlinien werden mit dem DRA-Servicekonto ausgeführt. Da das Servicekonto über Administratorberechtigungen verfügt, haben Richtlinien vollen Zugriff auf alle Unternehmensdaten. Aus diesem Grund können Hilfsadministratoren, denen die integrierte Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) zugewiesen ist, unter Umständen über höhere Befugnisse als beabsichtigt verfügen.
Integrierte Richtlinien werden bei der Installation des Verwaltungsservers implementiert. Bei der Arbeit mit diesen Richtlinien sind Sie möglicherweise mit den folgenden Begriffen konfrontiert:
Legt die Objekte oder Eigenschaften fest, auf die DRA die Richtlinie anwendet. Bestimmte Richtlinien ermöglichen Ihnen beispielsweise das Anwenden einer Richtlinie auf bestimmte Hilfsadministratoren in bestimmten ActiveViews. Bei anderen Richtlinien können Sie aus verschiedenen Objektklassen auswählen, wie Benutzerkonten oder Gruppen.
Erzwingen Richtlinienregeln auf allen Objekten der spezifizierten Klasse oder des spezifizierten Typs in den verwalteten Domänen. Bei globalen Richtlinien können Sie den Richtlinienumfang der Objekte, auf die die Richtlinie angewendet wird, nicht eingrenzen.
Legt fest, ob die Richtlinie in Verbindung mit anderen Richtlinien oder eigenständig angewendet wird. Um eine Richtlinienbeziehung zu erstellen, definieren Sie zwei oder mehr Regeln, die auf die gleiche Aktion angewendet werden, und wählen Sie die Option „Mitglied einer Richtliniengruppe“. Wenn die Vorgangsparameter oder Eigenschaften mit einer der Regeln übereinstimmen, ist der Vorgang erfolgreich.
Integrierte Richtlinien stellen Geschäftsregeln zur Bewältigung allgemeiner Aspekte in Bezug auf die Gewährleistung der Sicherheit und der Datenintegrität bereit. Diese Richtlinien sind Bestandteil des standardmäßigen Sicherheitsmodells und ermöglichen die Integration der DRA-Sicherheitsfunktionen in die vorhandene Unternehmenskonfiguration.
DRA bietet zwei Möglichkeiten zum Erzwingen von Richtlinien. Sie können benutzerdefinierte Richtlinien erstellen oder aus verschiedenen integrierten Richtlinien wählen. Die integrierten Richtlinien ermöglichen ein einfaches Anwenden von Richtlinien, ohne dass benutzerdefinierte Skripte entwickelt werden müssen. Wenn Sie eine benutzerdefinierte Richtlinie müssen, können Sie eine vorhandene integrierte Richtlinie verwenden und an Ihre Anforderungen anpassen. Für die meisten Richtlinien können Sie den Fehlermeldungstext ändern, die Richtlinie umbenennen, eine Beschreibung hinzufügen und festlegen, wie die Richtlinie angewendet werden soll.
Bei der Installation von DRA werden mehrere integrierte Richtlinien aktiviert. Die folgenden Richtlinien werden standardmäßig implementiert. Wenn Sie diese Richtlinien nicht erzwingen möchten, können Sie sie deaktivieren oder löschen.
|
Richtlinienname |
Standardwert |
Beschreibung |
|---|---|---|
|
$ComputerNameLengthPolicy |
64 15 (vor Windows 2000) |
Begrenzt die Anzahl der Zeichen im Computernamen bzw. im Computernamen vor Windows 2000 |
|
$GroupNameLengthPolicy |
64 20 (vor Windows 2000) |
Begrenzt die Anzahl der Zeichen im Gruppennamen bzw. im Gruppennamen vor Windows 2000 |
|
$GroupSizePolicy |
5.000 |
Begrenzt die Anzahl der Mitglieder in einer Gruppe |
|
$NameUniquenessPolicy |
Keine |
Stellt sicher, dass Namen vor Windows 2000 und Eigennamen (CN) in allen verwalteten Domänen eindeutig sind |
|
$SpecialGroupsPolicy |
Keine |
Verhindert die nicht überprüfte Eskalation von Befugnissen in der Umgebung |
|
$UCPowerConflictPolicy |
Keine |
Verhindert die Eskalation von Befugnissen, indem festgelegt wird, dass sich die Befugnis zum Klonen von Benutzern und die Befugnis zum Erstellen von Benutzern gegenseitig ausschließen |
|
$UPNUniquenessPolicy |
Keine |
Gewährleistet, dass die UPN-Namen in allen verwalteten Domänen eindeutig sind |
|
$UserNameLengthPolicy |
64 20 (Anmeldenamen älterer Systeme) |
Beschränkt die Anzahl der Zeichen für den Benutzeranmeldenamen bzw. Benutzeranmeldenamen älterer Systeme |
DRA stellt mehrere Richtlinien bereit, die Sie für ihr Sicherheitsmodell anpassen können.
HINWEIS:Sie können eine Richtlinie erstellen, die einen Eintrag für eine Eigenschaft erfordert, die über die DRA-Benutzeroberflächen zurzeit nicht verfügbar ist. Wenn die Richtlinie einen Eintrag erfordert und die Benutzeroberfläche kein Feld zur Eingabe des Werts bereitstellt, beispielsweise ein Abteilungsfeld für ein neues Benutzerkonto, können Sie das Objekt nicht erstellen oder verwalten. Um dieses Problem zu verhindern, konfigurieren Sie Richtlinien, die nur Eigenschaften erfordern, auf die über die Benutzeroberfläche zugegriffen werden kann.
Sie können ein Skript oder ein ausführbares Programm mit einem DRA- oder Exchange-Vorgang verknüpfen. Mit benutzerdefinierten Richtlinien können Sie beliebige Vorgänge bestätigen.
Sie können global eine Höchstlänge für Namen von Benutzerkonten, Gruppen, organisatorischen Einheiten, Kontakten oder Computern erzwingen.
Die Richtlinie überprüft den Namencontainer (Eigenname oder cn für „Common Name“) und den Namen aus Systemen vor Windows 2000 (Benutzeranmeldenamen).
Sie können global einen Grenzwert für die Anzahl der Mitglieder in einer Gruppe erzwingen.
Diese Richtlinie gewährleistet, dass Namen vor Windows 2000 in allen verwalteten Domänen eindeutig sind. In Microsoft Windows-Domänen müssen Namen vor Windows 2000 innerhalb einer Domäne eindeutig sein. Diese globale Richtlinie erzwingt diese Regel in allen verwalteten Domänen.
Diese Richtlinie gewährleistet, dass Benutzerprinzipalnamen (UPN) in allen verwalteten Domänen eindeutig sind. In Microsoft Windows-Domänen müssen Benutzerprinzipalnamen innerhalb einer Domäne eindeutig sein. Diese Richtlinie erzwingt diese Regel in allen verwalteten Domänen. Weil dies eine globale Richtlinie ist, stellt DRA den Richtliniennamen, die Richtlinienbeschreibung und die Richtlinienbeziehung bereit.
Diese Richtlinie verhindert, dass der Benutzer Mitglieder einer Administratorgruppe verwaltet, sofern er nicht selbst Mitglied dieser Administratorgruppe ist. Diese globale Richtlinie ist standardmäßig aktiviert.
Wenn Sie Aktionen für Mitglieder der Administratorgruppe einschränken, sind im Assistenten zum Erstellen von Richtlinien keine weiteren Informationen erforderlich. Sie können eine benutzerdefinierte Fehlermeldung angeben. Weil dies eine globale Richtlinie ist, stellt DRA den Richtliniennamen, die Richtlinienbeschreibung und die Richtlinienbeziehung bereit.
Diese Richtlinie verhindert eine mögliche Eskalation von Befugnissen. Wenn diese Richtlinie aktiviert ist, können Sie entweder Benutzerkonten erstellen oder Benutzerkonten klonen. Sie können jedoch nicht gleichzeitig über beide Befugnisse verfügen. Diese globale Richtlinie gewährleistet, dass Sie keine Benutzerkonten in der gleichen ActiveView erstellen und klonen können.
Die Richtlinie erfordert keine zusätzlichen Informationen.
Sie können Benennungskonventionen festlegen, die für bestimmte Hilfsadministratoren, ActiveViews und Objektklassen wie Benutzerkonten oder Gruppen gelten.
Sie können auch die genauen Namen angeben, die von dieser Richtlinie überwacht werden.
Sie können eine Richtlinie erstellen, die eine beliebige Eigenschaft einer organisatorischen Einheit oder eines Kontoobjekts überprüft. Sie können hierzu einen Standardwert, eine Eigenschaftsformatmaske und gültige Werte bzw. Bereiche angeben.
Verwenden Sie diese Richtlinie, um die Datenintegrität zu erzwingen, indem Sie bestimmte Eingabefelder beim Erstellen, Klonen oder Ändern der Eigenschaften bestimmter Objekte überprüfen. Diese Richtlinie bietet eine herausragende Flexibilität und Leistungsfähigkeit für das Bestätigen von Eingaben, Angeben von Standardeinträgen und Begrenzen der Eingabeauswahl für verschiedene Eigenschaftenfelder. Mit dieser Richtlinie können Sie die Richtigkeit einer Eingabe erzwingen, bevor eine Aufgabe abgeschlossen wird, und so die Datenintegrität in den verwalteten Domänen erhalten.
Nehmen Sie beispielsweise an, dass Sie drei Abteilungen haben: Fertigung, Vertrieb und Verwaltung. Sie können die Einträge, die DRA akzeptiert, auf diese drei Werte beschränken. Sie können diese Richtlinie auch dazu verwenden, das richtige Telefonnummernformat zu erzwingen, einen gültigen Wertebereich bereitzustellen oder eine Eingabe in einem Email-Adressfeld zu erzwingen. Um mehrere Formatmasken für eine Telefonnummer anzugeben, zum Beispiel (123)456 7890 und 456 7890, definieren Sie die Eigenschaftsformatmaske als (###)### ####,### ####.
Sie können eine Richtlinie erstellen, um Office 365-Lizenzen basierend auf der Mitgliedschaft in einer Active Directory-Gruppe zuzuweisen. Diese Richtlinie erzwingt außerdem das Entfernen der Office 365-Lizenz, wenn ein Mitglied aus der entsprechenden Active Directory-Gruppe entfernt wird.
Wenn ein Benutzer, der nicht mit der Cloud synchronisiert ist, zur Active Directory-Gruppe hinzugefügt wird, wird der Benutzer synchronisiert, bevor ihm eine Office 365-Lizenz zugewiesen wird.
Während der Erstellung der Richtlinie können Sie bestimmte Eigenschaften und Einstellungen festlegen, wie den Namen der Richtlinie und den Text der Fehlermeldung, der angezeigt wird, wenn ein Hilfsadministrator versucht, eine Aktion auszuführen, die diese Richtlinie verletzt.
Standardmäßig werden Richtlinien, die Sie zum Erzwingen von Office 365-Lizenzen erstellen, nicht angewendet, wenn Änderungen außerhalb von DRA vorgenommen werden, es sei denn, Sie aktivieren außerdem den Lizenzaktualisierungszeitplan auf der Mandanteneigenschaftenseite.
Integrierte Richtlinien sind Bestandteil des standardmäßigen Sicherheitsmodells. Sie können diese Richtlinien zum Erzwingen des aktuellen Sicherheitsmodells verwenden oder sie an Ihre besonderen Anforderungen anpassen. Sie können den Namen, die Regeleinstellungen, den Umfang, die Richtlinienbeziehung und die Fehlermeldung verschiedener integrierter Richtlinien ändern. Sie können jede integrierte Richtlinie aktivieren oder deaktivieren.
Außerdem können Sie ganz einfach neue Richtlinien erstellen.
Mit benutzerdefinierten Richtlinien können Sie die Leistungsfähigkeit und Flexibilität des standardmäßigen Sicherheitsmodells optimal nutzen. Mithilfe von benutzerdefinierten Richtlinien können Sie DRA mit vorhandenen Unternehmenskomponenten integrieren und sicherstellen, dass die proprietären Regeln erzwungen werden. Mit der Funktion der benutzerdefinierten Richtlinien können Sie Ihre Unternehmensrichtlinien erweitern.
Um benutzerdefinierte Richtlinien zu erstellen und zu erzwingen, verknüpfen Sie ein ausführbares Programm oder ein Skript mit einem Verwaltungsvorgang. Beispielsweise könnten Sie ein Richtlinienskript verwenden, das mit dem Vorgang UserCreate (Benutzer erstellen) verknüpft ist und in der Personaldatenbank überprüft, ob ein angegebener Mitarbeiter vorhanden ist. Wenn der Mitarbeiter in der Personaldatenbank vorhanden ist, aber kein vorhandenes Konto hat, ruft das Skript die Mitarbeiter-ID, seinen Vornamen und seinen Nachnamen aus der Datenbank ab. Der Vorgang wird erfolgreich ausgeführt und füllt die richtigen Informationen in das Eigenschaftenfenster des Benutzerkontos ein. Wenn der Mitarbeiter bereits über ein Konto verfügt, schlägt der Vorgang fehl.
Skripte bieten eine herausragende Flexibilität und Leistungsfähigkeit. Sie können eigene Richtlinienskripte mit Directory and Resource Administrator ADSI Provider (ADSI-Anbieter), Software Development Kit (SDK) und PowerShell-Cmdlets erstellen. Weitere Informationen über das Erstellen Ihrer eigenen Richtlinien Skripte finden Sie im Referenzabschnitt auf der Website der DRA-Dokumentation.
Um eine sicherere Umgebung bereitzustellen, bietet Ihnen DRA die Möglichkeit, die Befugnisse der in Microsoft Windows integrierten Sicherheitsgruppen einzuschränken. Die Möglichkeit, Gruppenmitgliedschaften, die Eigenschaften integrierter Sicherheitsgruppen oder die Eigenschaften der Gruppenmitglieder ändern zu können, kann wichtige Auswirkungen auf die Sicherheit haben. Wenn Sie beispielsweise das Passwort in der Gruppe der Serveroperatoren ändern, können Sie sich anschließend als dieser Benutzer anmelden und die Befugnisse nutzen, die dieser integrierten Sicherheitsgruppe zugewiesen sind.
DRA verhindert dieses Sicherheitsproblem mithilfe einer Richtlinie, die Ihre Befugnisse über die nativen integrierten Sicherheitsgruppen und deren Mitglieder überprüft. Diese Bestätigung gewährleistet, dass die angeforderten Aktionen keine Befugniseskalation bewirken. Wenn Sie diese Richtlinie aktivieren, kann ein Hilfsadministrator, der Mitglied einer integrierten Sicherheitsgruppe ist, beispielsweise Mitglied der Gruppe der Serveroperatoren, nur die anderen Mitglieder der gleichen Gruppe verwalten.
Mit DRA-Richtlinien können Sie die Befugnisse der folgenden integrierten Microsoft Windows-Sicherheitsgruppen einschränken:
Konten-Operatoren
Administratoren
Sicherungs-Operatoren
Zertifikatherausgeber
DNS-Administratoren
Domänenadministratoren
Organisations-Admins
Richtlinien-Ersteller-Besitzer
Druck-Operatoren
Schema-Admins
HINWEIS:DRA verwendet die internen IDs zur Bezugnahme auf integrierte Sicherheitsgruppen. DRA unterstützt diese Gruppen also auch dann, wenn sie umbenannt wurden. Diese Funktion gewährleistet, dass DRA integrierte Sicherheitsgruppen unterstützt, die in verschiedenen Ländern verschiedene Bezeichnungen tragen. DRA nimmt beispielsweise mit der gleichen internen ID Bezug auf die Gruppe „Administratoren“ und auf die Gruppe Administrators.
Mithilfe einer Richtlinie beschränkt DRA die Befugnisse, die von den nativen integrierten Sicherheitsgurten und deren Mitgliedern ausgeübt werden können. Diese Richtlinie, $SpecialGroupsPolicy, schränkt die Aktionen ein, die ein Mitglied einer nativen integrierten Sicherheitsgruppe auf andere Mitglieder oder andere native integrierte Sicherheitsgruppen ausführen kann. Diese Richtlinie ist in DRA standardmäßig aktiviert. Wenn Sie die Aktionen für native integrierte Sicherheitsgruppen und deren Mitglieder nicht einschränken möchten, können Sie diese Richtlinie deaktivieren.
Wenn diese Richtlinie aktiviert ist, verwendet DRA die folgenden Validierungstests, um zu bestimmen, ob eine Aktion auf eine native integrierte Sicherheitsgruppe oder deren Mitglieder zulässig ist:
Wenn Sie ein Microsoft Windows-Administrator sind, können Sie Aktionen auf native integrierte Sicherheitsgruppen und deren Mitglieder ausführen, für die Sie über die entsprechenden Befugnisse verfügen.
Wenn Sie Mitglied einer integrierten Sicherheitsgruppe sind, können Sie Aktionen auf die gleiche integrierte Sicherheitsgruppe und auf deren Mitglieder ausführen, sofern Sie über die entsprechenden Befugnisse verfügen.
Wenn Sie kein Mitglied einer integrierten Sicherheitsgruppe sind, können Sie keine integrierte Sicherheitsgruppe und keine ihrer Mitglieder ändern.
Wenn Sie beispielsweise Mitglied der Gruppen der Serveroperatoren und der Kontenoperatoren sind und über die entsprechenden Befugnisse verfügen, können Sie Aktionen für Mitglieder der Gruppe der Serveroperatoren, Mitglieder der Gruppe der Kontenoperatoren und Mitglieder beider Gruppen ausführen. Sie können jedoch keine Aktionen für ein Benutzerkonto ausführen, das Mitglied der Gruppe der Druckoperatoren und der Gruppe der Kontenoperatoren ist.
DRA verhindert, dass Sie die folgenden Aktionen in nativen integrierten Sicherheitsgruppen ausführen:
Gruppen klonen
Gruppen erstellen
Gruppen löschen
Mitglieder zu einer Gruppe hinzufügen
Mitglieder aus einer Gruppe entfernen
Gruppen in eine organisatorische Einheit verschieben
Eigenschaften einer Gruppe ändern
Postfächer kopieren
Postfächer entfernen
Benutzerkonten klonen
Benutzerkonten erstellen
Benutzerkonten löschen
Benutzerkonten in eine organisatorische Einheit verschieben
Benutzerkontoeigenschaften ändern
DRA schränkt außerdem die Aktionen ein, um sicherzustellen, dass keine Befugnisse über ein Objekt erlangt werden. Wenn Sie beispielsweise ein Benutzerkonto zu einer Gruppe hinzufügen, überprüft DRA, ob Sie dadurch zusätzliche Befugnisse über das Benutzerkonto erhalten. Diese Überprüfung trägt zum Schutz vor einer Befugniseskalation bei.
Über den Knoten „Richtlinien- und Automatisierungsmanagement“ können Sie auf Richtlinien für Microsoft Exchange und für das Basisverzeichnis sowie auf integrierte und benutzerdefinierte Richtlinien zugreifen. Mit den folgenden allgemeinen Aufgaben können Sie die Sicherheit und Datenintegrität im Unternehmen verbessern.
Sie können Regeln für die Microsoft Exchange-Konfiguration, Postfachrichtlinien, automatische Benennung und Vertretungserzeugung definieren. Mit diesen Regeln kann definiert werden, wie Postfächer verwaltet werden, wenn ein Hilfsadministrator ein Benutzerkonto erstellt, ändert oder gelöscht.
Sie können Richtlinien in Bezug auf ungültige Zeichen und auf die Zeichenlänge erzwingen, um Datensynchronisierungsfehler zu verhindern.
Mit den Office 365-Regeln können Sie festlegen, wie Exchange Online die Office 365-Postfächer verwaltet, wenn Sie Benutzerkonten erstellen oder löschen.
Mit dieser Richtlinie können Sie Basisverzeichnisse und Basisfreigaben automatisch erstellen, umbenennen oder löschen, wenn ein Hilfsadministrator ein Benutzerkonto erstellt, umbenennt oder löscht. Mit der Basisverzeichnisrichtlinie können Sie außerdem die Unterstützung für ein Speicherplatzkontingent für Basisverzeichnisse auf Microsoft Windows-Servern und auf Nicht-Windows-Servern aktivieren oder deaktivieren.
Mit diesen Richtlinien können Sie die Anforderungen für Passwörter, die von DRA generiert werden, definieren.
Exchange stellt mehrere Richtlinien bereit, mit denen Sie Microsoft Exchange-Objekte effizienter verwalten können. Mit der Microsoft Exchange-Richtlinie können Sie die Postfachverwaltung automatisieren, Benennungskonventionen für Aliasse erzwingen und Postfachspeicher erzwingen und automatisch Email-Adressen erzeugen.
Mit diesen Richtlinien können Sie Ihre Workflows optimieren und die Datenintegrität erhalten. Beispielsweise können Sie festlegen, wie Exchange Postfächer verwaltet, wenn Sie Benutzerkonten erstellen, ändern oder löschen. Zum Definieren und Verwalten von Microsoft Exchange-Richtlinien müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten).
Um eine standardmäßige Email-Adress-Richtlinie festzulegen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) enthalten sind. Außerdem muss Ihre Lizenz das Exchange-Produkt unterstützen.
So legen Sie eine standardmäßige Email-Adress-Richtlinie fest:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Exchange Policies (Exchange-Richtlinien konfigurieren) > Proxy Generation (Stellvertretungserzeugung).
Geben Sie die Domäne des Microsoft Exchange-Servers an.
Klicken Sie auf Durchsuchen.
Geben Sie je nach Bedarf zusätzliche Suchkriterien ein und klicken Sie dann auf Find Now (Jetzt suchen).
Wählen Sie die zu konfigurierende Domäne aus und klicken Sie auf OK.
Geben Sie die Regeln für die Vertretungsgenerierung für die ausgewählte Domäne an.
Klicken Sie auf Hinzufügen.
Wählen Sie einen Vertretungstyp aus. Klicken Sie beispielsweise auf Internetadresse.
Akzeptieren Sie den Standardwert oder geben Sie eine neue Regel für die Vertretungsgenerierung ein und klicken Sie dann auf OK.
Weitere Informationen zu den unterstützten Ersetzungszeichenfolgen für Vertretunsgenerierungsregeln finden Sie in Richtlinie des Delegierungs- und Konfigurationsclients.
Klicken Sie auf Benutzerdefinierte Attribute, um den benutzerdefinierten Namen der benutzerdefinierten Postfacheigenschaften zu bearbeiten.
Wählen Sie das Attribute aus und klicken Sie auf die Schaltfläche Bearbeiten.
Geben Sie im Fenster der Attributeigenschaften den Attributnamen in das Feld Custom name (Benutzerdefinierter Name) ein und klicken Sie auf OK.
Klicken Sie auf OK.
HINWEIS:DRA-Richtlinienadministratoren sollten über die Befugnis Manage Custom Tools (Benutzerdefinierte Tools verwalten) verfügen, um benutzerdefinierte Attribute in der Microsoft Excel-Richtlinie zu ändern.
Mit Postfachregeln können Sie festlegen, wie Exchange Postfächer verwaltet, wenn Hilfsadministratoren Benutzerkonten erstellen, klonen, ändern oder löschen. Postfachregeln verwalten die Microsoft Exchange-Postfächer automatisch auf Grundlage der Verwaltung der verknüpften Benutzerkonten durch die Hilfsadministratoren.
HINWEIS:Wenn Sie die Option Do not allow Assistant Admins to create a user account without a mailbox (Nicht zulassen, dass Hilfsadministratoren Benutzerkonten ohne Postfach verwalten) in Microsoft Windows-Domänen aktivieren, stellen Sie sicher, dass der Hilfsadministrator über die Befugnis entweder zum Klonen oder zum Erstellen eines Benutzerkontos verfügt. Wenn diese Option aktiviert ist, können die Hilfsadministratoren Windows-Benutzerkonten nur mit einem Postfach erstellen.
Um Microsoft Exchange-Postfachregeln festzulegen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) enthalten sind. Außerdem muss Ihre Lizenz das Exchange-Produkt unterstützen.
So legen Sie Exchange-Postfachregeln fest:
Navigieren Sie zu Richtlinien- und Automatisierungsmanagement > Configure Exchange Policies (Exchange-Richtlinien konfigurieren) > Mailbox Rules (Postfachregeln).
Wählen Sie die Postfachrichtlinien aus, die Exchange erzwingen soll, wenn Benutzerkonten erstellt oder geändert werden.
Klicken Sie auf OK.
Zum Festlegen von Office 365-Richtlinien müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten). Außerdem muss Ihre Lizenz das Microsoft Exchange-Produkt unterstützen.
Um ungültige Zeichen und Zeichenlängen für Eigenschaften einzuschränken, die mit Office 365 synchronisiert werden, klicken Sie auf Office 365 Rules (Office 365-Regeln) und aktivieren Sie das Kontrollkästchen Enforce online mailbox policies for invalid characters and character lengths (Online-Postfachrichtlinien für ungültige Zeichen und Zeichenlängen erzwingen).
Wenn Sie zulassen möchten, dass DRA die Office 365-Lizenzen verwaltet, führen Sie die folgenden Schritte aus:
Erstellen Sie eine Lizenzerzwingungsrichtlinie.
Aktivieren Sie License update schedule (Lizenzaktualisierungszeitplan) auf der Mandanteneigenschaftenseite.
Um eine Richtlinie für das Erzwingen von Office 365-Lizenzen zu erstellen, klicken Sie auf den Knoten Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) in der Delegierungs- und Konfigurationskonsole und wählen Sie New Policy > Create New Policy to Enforce Office 365 Licenses (Neue Richtlinie > Neue Richtlinie zum Erzwingen von Office 365-Lizenzen erstellen) aus.
Wenn die Richtlinie erzwungen ist und ein Benutzer zu Active Directory hinzugefügt wird, weist DRA dem Benutzer basierend auf der Gruppenmitgliedschaft automatisch die Office 365-Lizenz zu.
Richtlinien, die Sie zum Erzwingen von Office 365-Lizenzen erstellen, werden nicht angewendet, wenn Änderungen außerhalb von DRA vorgenommen werden, es sei denn, Sie aktivieren außerdem License update schedule (Lizenzaktualisierungszeitplan) auf der Mandanteneigenschaftenseite. Der Lizenzaktualisierungsauftrag gewährleistet, dass die Office 365-Lizenzen, die den Benutzern zugewiesen sind, mit den Office 365-Lizenzrichtlinien übereinstimmen.
Der Lizenzaktualisierungsauftrag und die Office 365-Lizenzrichtlinien stellen gemeinsam sicher, dass allen verwalteten Benutzern nur die beabsichtigten Office 365-Lizenzen zugewiesen sind.
HINWEIS:
DRA verwaltet keine Office 365-Lizenzen für reine Online-Benutzerkonten. Damit DRA die Benutzer mit Office 365-Lizenzen verwaltet, müssen diese Benutzer mit Active Directory synchronisiert sein.
Wenn Sie die Office 365-Lizenzen mit DRA verwalten, überschreibt DRA bei jeder jeweils nächsten Ausführung des Lizenzaktualisierungszeitplans alle manuellen Änderungen an Office 365-Lizenzen, die außerhalb von DRA vorgenommen wurden.
Wenn Sie den Office 365-Lizenzaktualisierungsauftrag aktivieren, bevor Sie sicherstellen, dass die Office 365-Lizenzrichtlinien richtig konfiguriert sind, können die zugewiesenen Lizenzen nach dem Ausführen des Lizenzaktualisierungszeitplans falsch sein.
Wenn Sie eine große Anzahl an Benutzerkonten verwalten, kann das Erstellen und Pflegen der Basisverzeichnisse und Freigaben sehr zeitaufwendig und eine Quelle von Sicherheitsfehlern sein. Jedes Mal, wenn ein Benutzer erstellt, umbenannt oder gelöscht wird, ist möglicherweise eine zusätzliche Wartung erforderlich. Die Basisverzeichnisrichtlinien unterstützen Sie beim Warten der Basisverzeichnisse und Basisfreigaben.
Mit DRA können Sie das Erstellen und Pflegen von Benutzerbasisverzeichnissen automatisieren. Sie können DRA beispielsweise ganz einfach so konfigurieren, dass der Verwaltungsserver ein Basisverzeichnis erstellt, wenn ein Benutzerkonto erstellt wird. Wenn Sie beim Erstellen eines Benutzerkontos einen Basisverzeichnispfad angeben, erstellt der Server in diesem Fall automatisch das Basisverzeichnis am festgelegten Pfad. Wenn Sie keinen Pfad angeben, erstellt der Server kein Basisverzeichnis.
DRA unterstützt DFS-Pfade (Distributed File System) für das Erstellen von Benutzerbasisverzeichnissen und das Konfigurieren der Basisverzeichnisrichtlinien für Benutzer in zulässigen übergeordneten Pfaden. Sie können Basisverzeichnisse in Netapp Filers und DFS-Pfade oder Partitionen erstellen, umbenennen und löschen.
Zum Konfigurieren von Richtlinien für Basisverzeichnisse, Freigaben und Volume-Speicherplatzkontingenten müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten). Jede Richtlinie verwaltet basierend auf der Verwaltung der verknüpften Benutzerkonten automatisch die Basisverzeichnisse, Freigaben und Volume-Speicherplatzkontingente.
Um Richtlinien für Basisverzeichnisse zu konfigurieren, navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Home Directory Policies (Richtlinien für Basisverzeichnis konfigurieren) >
Home directory (Basisverzeichnis)
Home share (Basisfreigabe)
Home Volume Disk Quota (Basis-Volume-Speicherplatzkontingent)
Das Servicekonto oder Zugriffskonto des Verwaltungsservers sollte auf jedem Computer, auf dem ein Basisverzeichnis erstellt werden soll, ein Administrator oder Mitglied der Administratorengruppe in der entsprechenden Domäne sein.
Für jedes Laufwerk, für das DRA Basisverzeichnisse verwaltet und speichert, muss eine Verwaltungsfreigabe wie C$ oder D$ vorhanden sein. DRA verwendet die Verwaltungsfreigaben zum Ausführen von Automatisierungsaufgaben für Basisverzeichnisse und Basisfreigaben. Wenn diese Freigaben nicht vorhanden sind, kann DRA keine Automatisierung für Basisverzeichnisse und Basisfreigaben bereitstellen.
So konfigurieren Sie die zulässigen übergeordneten Pfade für NetApp Filer:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Home Directory Policies (Basisverzeichnisrichtlinien konfigurieren).
Geben Sie im Textfeld Allowable parent paths (Zulässige übergeordnete Pfade) einen der zulässigen Pfade aus der folgenden Tabelle ein:
|
Freigabetyp |
Zulässiger Pfad |
|---|---|
|
Windows |
(\\FileName\adminshare:\volumerootpath\directorypath) |
|
Andere Systeme |
(\\non-windows\share) |
Klicken Sie auf Hinzufügen.
Wiederholen Sie die Schritte 1–3 für jeden zulässigen übergeordneten Pfad, an dem die Basisverzeichnisrichtlinien angewendet werden sollen.
Um die Konsistenz mit richtigen Microsoft Windows-Sicherheitsrichtlinien zu erhalten, erstellt DRA Zugriffssteuerungseinschränkungen nur auf der Verzeichnisebene. Das Einrichten von Zugriffssteuerungseinschränkungen auf Ebene des Freigabenamens und auf Ebene des Datei- oder Verzeichnisobjekts führt für Administratoren und Benutzer oft zu verwirrenden Zugriffsschemen.
Wenn Sie die Zugriffssteuerungseinschränkung für ein Basisverzeichnis ändern, ändert DRA nicht die vorhandene Sicherheit für das Verzeichnis. In diesem Fall müssen Sie sicherstellen, dass die Benutzerkonten über entsprechenden Zugriff auf ihr eigenes Basisverzeichnis verfügen.
DRA automatisiert die Wartungsaufgaben von Basisverzeichnissen, indem es die Basisverzeichnisse verwaltet, wenn ein Benutzerkonto geändert wird. DRA kann verschiedene Aktionen ausführen, wenn ein Benutzerkonto erstellt, geklont, geändert, umbenannt oder gelöscht wird.
Beachten Sie zur erfolgreichen Implementierung einer Basisverzeichnisrichtlinie die folgenden Hinweise:
Stellen Sie sicher, dass der angegebene Pfad das richtige Format hat.
Um einen Pfad für ein einzelnes Basisverzeichnis anzugeben, verwenden Sie eine der Schablonen aus der folgenden Tabelle:
|
Freigabetyp |
Pfadschablone |
|---|---|
|
Windows |
\\computer\share\. Wenn DRA beispielsweise automatisch ein Basisverzeichnis im Ordner Home Share auf dem Computer „server01“ erstellen soll, geben Sie \\server01\Home Share\ ein. |
|
Andere Systeme |
\\non-windows\share |
Um die Basisverzeichnisverwaltung im Stammverzeichnis der entsprechenden Basisfreigabe zu standardisieren, verwenden Sie die UNC-Syntax (UNC: Universal Naming Convention; universelle Benennungskonvention), wie \\server name\C:\path to root directory.
Um einen Pfad für geschachtelte Basisverzeichnisse anzugeben, verwenden Sie eine der Schablonen aus der folgenden Tabelle:
|
Freigabetyp |
Pfadschablone |
|---|---|
|
Windows |
\\computer\share\first directory\second directory\ Wenn DRA zum Beispiel automatisch ein Basisverzeichnis im vorhandenen Verzeichnis JSmith\Home Share unter dem Basisfreigabeordner auf dem Computer server01 erstellen soll, geben Sie \\server01\Home Share\JSmith\Home ein. |
|
Andere Systeme |
\\non-windows\share\first directory\second directory\ |
HINWEIS:DRA unterstützt außerdem die folgenden Formate: \\computer\share\username und \\computer\share\%username%. In beiden Fällen erstellt DRA automatisch ein Basisverzeichnis für das verknüpfte Benutzerkonto.
Wenn Sie eine Richtlinie oder einen Automatisierungsauslöser zum Verwalten von Basisverzeichnissen in NetApp Filer definieren, müssen Sie für die Verzeichnisspezifikation ein anderes Format verwenden.
Wenn Sie NetApp Filer verwenden, geben Sie das übergeordnete Verzeichnis im folgenden Format an: \\FilerName\adminshare:\volumerootpath\directorypath
Die Variable „adminshare“ ist das ausgeblendete Verzeichnis, das dem Stammvolume in NetApp Filer zugeordnet ist, zum Beispiel c$. Wenn der lokale Pfad der Freigabe in NetApp Filer, „usfiler“ genannt, beispielsweise c$\vol\vol0\mydirectory ist, können Sie für NetApp Filer den Stammpfad \\usfiler\c:\vol\vol0\mydirectory festlegen.
Um einen DFS-Pfad anzugeben, wenn Sie Benutzerbasisverzeichnisse erstellen oder Basisverzeichnisrichtlinien für Benutzer konfigurieren, verwenden Sie das Format \\server\root\<link>, wobei „root“ entweder die verwaltete Domäne oder ein eigenständiges Stammverzeichnis im folgenden Format sein kann: \\FilerName\adminshare:\volumerootpath\directorypath.
Erstellen Sie ein freigegebenes Verzeichnis zum Speichern des Basisverzeichnisses für dieses Benutzerkonto.
Stellen Sie sicher, dass DRA Zugriff auf den im Pfad spezifizierten Computer bzw. die im Pfad spezifizierte Freigabe hat.
Mit dieser Regel erstellt DRA automatisch Basisverzeichnisse für neue Benutzerkonten. Wenn DRA ein Basisverzeichnis erstellt, verwendet der Verwaltungsserver den Pfad, der in den Feldern Home directory (Basisverzeichnis) im Assistenten zur Benutzererstellung angegeben ist. Sie können diesen Pfad später über die Profil-Registerkarte im Fenster der Benutzereigenschaften ändern und DRA verschiebt das Basisverzeichnis dann an den neuen Speicherort. Wenn Sie für diese Felder keine Werte angeben, erstellt DRA kein Basisverzeichnis für das Benutzerkonto.
DRA legt die Sicherheit für das neue Verzeichnis basierend auf den unter Home directory permissions (Basisverzeichnisberechtigungen) ausgewählten Optionen fest. Mit diesen Optionen können Sie den allgemeinen Zugriff für alle Basisverzeichnisse steuern.
Sie können beispielsweise festlegen, dass Mitglieder der Administratorengruppe Vollzugriff und Mitglieder der Helpdesk-Gruppe Lesezugriff auf die Freigabe haben, in der die Basisverzeichnisse der Benutzer erstellt werden. Wenn DRA dann ein Basisverzeichnis für einen Benutzer erstellt, kann das neue Basisverzeichnis die Rechte des übergeordneten Verzeichnisses erben. Die Mitglieder der Administratorengruppe haben deshalb Vollzugriff auf alle Benutzerbasisverzeichnisse und die Mitglieder der Helpdesk-Gruppe Lesezugriff auf alle Benutzerbasisverzeichnisse.
Wenn das angegebene Basisverzeichnis bereits vorhanden ist, erstellt DRA kein Basisverzeichnis und ändert auch nicht die vorhandenen Verzeichnisberechtigungen.
Mit dieser Regel kann DRA die folgenden Optionen automatisch ausführen:
Basisverzeichnis erstellen, wenn ein neuer Basisverzeichnispfad angegeben wird
Basisverzeichnisinhalt verschieben, wenn der Basisverzeichnispfad geändert wird
Basisverzeichnis umbenennen, wenn das verknüpfte Benutzerkonto umbenannt wird
Wenn Sie ein Benutzerkonto umbenennen, benennt DRA das vorhandene Basisverzeichnis basierend auf dem neuen Kontonamen um. Wenn das vorhandene Basisverzeichnis zurzeit verwendet wird, erstellt DRA ein neues Basisverzeichnis mit dem neuen Namen und ändert das vorhandene Basisverzeichnis nicht.
Sie können das Basisverzeichnis umbenennen, wenn Name und Speicherort des vorigen Basisverzeichnisses und des neuen Basisverzeichnisses übereinstimmen. Wenn jedoch beim Umbenennen des Verzeichnisses ein Fehler auftritt, erstellt DRA ein neues Basisverzeichnis, verschiebt den Inhalt des vorigen Basisverzeichnisses in das neue Basisverzeichnis und löscht das vorhandene Basisverzeichnis.
Wenn Sie den Basisverzeichnispfad ändern, versucht DRA, das angegebene Basisverzeichnis zu erstellen und den Inhalt des vorigen Basisverzeichnisses an den neuen Speicherort zu verschieben. Sie können die Basisverzeichnisrichtlinie auch so konfigurieren, dass beim Erstellen des neuen Basisverzeichnisses der Inhalt des vorigen Basisverzeichnisses nicht verschoben wird. DRA weist außerdem die zugewiesenen Zugriffssteuerungslisten vom vorigen Verzeichnis auf das neue Verzeichnis an. Wenn das angegebene Basisverzeichnis bereits vorhanden ist, erstellt DRA das neue Verzeichnis nicht und ändert auch nicht die vorhandenen Verzeichnisberechtigungen. Wenn das vorige Basisverzeichnis nicht gesperrt ist, wird es von DRA gelöscht.
Wenn DRA das Basisverzeichnis nicht umbenennen kann, versucht DRA, ein neues Basisverzeichnis mit einem neuen Namen zu erstellen und den Inhalt des vorigen Basisverzeichnisses in das neue Basisverzeichnis zu kopieren. Anschließend versucht DRA, das vorige Basisverzeichnis zu löschen. Sie können DRA so konfigurieren, dass der Inhalt des vorigen Basisverzeichnisses nicht in das neue Basisverzeichnis kopiert wird, und die Inhalte des vorigen Basisverzeichnisses manuell zum neuen Basisverzeichnis verschieben, um Probleme wie das Kopieren geöffneter Dateien zu verhindern.
Zum Löschen des vorigen Basisverzeichnisses benötigt DRA explizite Berechtigungen, um schreibgeschützte Dateien und Unterverzeichnisse aus dem vorigen Basisverzeichnis löschen zu können. Sie können DRA die explizite Berechtigung erteilen, schreibgeschützte Dateien und Unterverzeichnisse aus dem vorigen Basisverzeichnis zu löschen.
Sie können in DRA zulässige übergeordnete Verzeichnisse oder Pfade für Basisverzeichnisse auf Dateiservern angeben. Wenn Sie viele Verzeichnis- oder Dateiserverpfade angeben müssen, können Sie diese Pfade in eine CSV-Datei exportieren und die Pfade aus der CSV-Datei über die DRA-Konsole zu DRA hinzufügen. Mithilfe der im Feld Allowable parent paths (Zulässige übergeordnete Pfade) eingegebenen Informationen gewährleistet DRA Folgendes:
DRA löscht das übergeordnete Verzeichnis auf dem Dateiserver nicht, wenn Hilfsadministratoren ein Benutzerkonto und das Basisverzeichnis das Benutzerkontos löschen.
DRA verschiebt das Basisverzeichnis zu einem gültigen übergeordneten Verzeichnis oder Pfad auf dem Dateiserver, wenn Sie das Benutzerkonto umbenennen oder den Basisverzeichnispfad des Benutzerkontos ändern.
Mit dieser Regel kann DRA ein Basisverzeichnis automatisch löschen, wenn das verknüpfte Benutzerkonto gelöscht wird. Wenn Sie den Papierkorb aktivieren, löscht DRA das Basisverzeichnis erst, wenn Sie das Benutzerkonto im Papierkorb löschen. Zum Löschen des Basisverzeichnisses benötigt DRA explizite Berechtigungen, um schreibgeschützte Dateien und Unterverzeichnisse aus dem vorigen Basisverzeichnis löschen zu können. Sie können DRA die explizite Berechtigung erteilen, schreibgeschützte Dateien und Unterverzeichnisse aus dem vorigen Basisverzeichnis zu löschen.
DRA automatisiert Wartungsaufgaben für Basisfreigaben, indem es Basisfreigaben verwaltet, wenn ein Benutzerkonto geändert wird oder Basisverzeichnisse verwaltet werden. DRA kann verschiedene Aktionen ausführen, wenn ein Benutzerkonto erstellt, geklont, geändert, umbenannt oder gelöscht wird.
Um die Konsistenz mit den richtigen Microsoft Windows-Sicherheitsrichtlinien zu erhalten, erstellt DRA keine Zugriffssteuerungseinschränkungen auf Ebene der Freigabenamen. Stattdessen erstellt DRA Zugriffssteuerungseinschränkungen nur auf Verzeichnisebene. Das Einrichten von Zugriffssteuerungseinschränkungen auf Ebene des Freigabenamens und auf Ebene des Datei- oder Verzeichnisobjekts führt für Administratoren und Benutzer oft zu verwirrenden Zugriffsschemen.
HINWEIS:Der angegebene Speicherort muss eine gemeinsame Basisfreigabe haben, zum Beispiel HOMEDIRS, die sich eine Ebene über den Basisverzeichnissen befindet.
Der folgende Pfad ist beispielsweise gültig: \\HOUSERV1\HOMEDIRS\%username%
Der folgende Pfad ist ungültig: \\HOUSERV1\%username%
Beim Definieren der Automatisierungsregeln für Basisfreigaben können Sie ein Präfix und ein Suffix für jede automatisch erstellte Basisfreigabe festlegen. Durch Festlegen eines Präfixes oder Suffixes können Sie eine Benennungskonvention für die Basisfreigaben erzwingen.
Beispiel: Sie aktivieren die Automatisierungsregeln „Create home directory“ (Basisverzeichnis erstellen) und „Create home share“ (Basisfreigabe erstellen). Für die Basisfreigabe legen Sie einen Unterstrich als Präfix und ein Dollarzeichen als Suffix fest. Wenn Sie einen Benutzer mit dem Namen „TomS“ erstellen, ordnen Sie sein neues Verzeichnis dem Laufwerk U zu und legen \\HOUSERV1\HOMEDIRS\%username% als Verzeichnispfad fest In diesem Beispiel erstellt DRA eine Netzwerkfreigabe mit dem Namen _TomS$, die auf das Verzeichnis \\HOUSERV1\HOMEDIRS\TomS zeigt.
Wenn DRA eine Basisfreigabe erstellt, verwendet der Verwaltungsserver den Pfad, der in den Feldern Home directory (Basisverzeichnis) im Assistenten zur Benutzererstellung angegeben ist. Sie können diesen Pfad später über die Profil-Registerkarte im Fenster der Benutzereigenschaften ändern.
DRA erstellt den Freigabenamen durch Anfügen des ggf. festgelegten Präfix und Suffix an den Benutzernamen. Wenn sie lange Benutzerkontonamen verwenden, kann DRA das für die Basisfreigabe angegebene Präfix und Suffix möglicherweise nicht hinzufügen. Das Präfix und das Suffix und die Anzahl der zulässigen Verbindungen basieren auf den ausgewählten Optionen zum Erstellen der Basisfreigaben.
Wenn der Basisverzeichnisname, der auf Grundlage des neu erstellten Benutzerkontonamens generiert wird, bereits vorhanden ist, löscht DRA die vorhandene Freigabe und erstellt eine neue Freigabe im festgelegten Basisverzeichnis.
Beim Klonen eines Benutzerkontos ist der Freigabename des vorhandenen Benutzerkontos zwingenderweise bereits vorhanden. Wenn Sie ein Benutzerkonto klonen, klont DRA auch die Informationen für das Basisverzeichnis und passt die Informationen für den neuen Benutzer an.
Wenn Sie den Speicherort des Basisverzeichnisses ändern, löscht DRA die vorhandene Freigabe und erstellt eine neue Freigabe im neuen Basisverzeichnis. Wenn das originale Basisverzeichnis leer ist, löscht DRA es.
Wenn Sie ein Benutzerkonto umbenennen, löscht DRA die vorhandene Basisfreigabe und erstellt basierend auf dem neuen Kontonamen eine neue Freigabe. Die neue Freigabe zeigt zum vorhandenen Basisverzeichnis.
Wenn Sie ein Benutzerkonto dauerhaft löschen, löscht DRA die verknüpfte Basisfreigabe.
Mit DRA können Sie Speicherplatzkontingente für Basis-Volumes verwalten. Sie können diese Richtlinie in nativen Domänen implementieren, wo sich das Basisverzeichnis auf einem Microsoft Windows-Computer befindet. Wenn Sie diese Richtlinie implementieren, sollten Sie ein Speicherplatzkontingent von mindestens 25 MB festlegen, um ausreichend Platz zur Verfügung zu stellen.
Mit dieser Funktion können Sie Richtlinieneinstellungen für die von DRA generierten Passwörter festlegen. DRA erzwingt diese Einstellungen nicht für Passwörter, die von Benutzern erstellt werden. Beim Konfigurieren der Eigenschaften für die Passwortrichtlinie muss eine Passwortlänge von mindestens 6 und höchstens 127 Zeichen festgelegt werden. Alle Werte außer der Passwortlänge dürfen auf null festgelegt werden.
Um Richtlinien für die Passwortgenerierung zu konfigurieren, navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Password Generation Policies (Richtlinien für die Passwortgenerierung konfigurieren) und aktivieren Sie das Kontrollkästchen Enable Password Policy (Passwortrichtlinie aktivieren). Klicken Sie auf Password Settings (Passworteinstellungen) und konfigurieren Sie die Eigenschaften der Passwortrichtlinie.
Zum Löschen, Aktivieren oder Deaktivieren von Richtlinien müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten).
Um eine dieser Aktionen auszuführen, navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Policy (Richtlinie). Klicken Sie im rechten Bereich mit der rechten Maustaste auf die Richtlinie, die Sie löschen, aktivieren oder deaktivieren möchten, und wählen Sie die gewünschte Aktion aus.
Zum Implementieren von integrierten Richtlinien müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten). Weitere Informationen zu integrierten Richtlinien finden Sie unter Grundlegendes zu integrierten Richtlinien.
HINWEIS:Bevor Sie eine integrierte Richtlinie mit einem Hilfsadministrator und einer ActiveView verknüpfen, stellen Sie sicher, dass der Hilfsadministrator der gewünschten ActiveView zugewiesen ist.
So implementieren Sie integrierte Richtlinien:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Policy (Richtlinie).
Klicken Sie im Aufgabenmenü auf New Policy (Neue Richtlinie) und wählen Sie dann die Art der zu erstellenden integrierten Richtlinie aus.
Geben Sie in den einzelnen Fenstern des Assistenten die gewünschten Werte ein und klicken Sie auf Next (Weiter). Sie können die neue Richtlinie beispielsweise mit einer bestimmten ActiveView verknüpfen, sodass DRA die Richtlinie für Objekte erzwingt, die in der angegebenen ActiveView enthalten sind.
Überprüfen Sie die Zusammenfassung und klicken Sie auf Finish (Fertigstellen).
Zum Implementieren einer benutzerdefinierten Richtlinie müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten).
Um eine benutzerdefinierte Richtlinie erfolgreich zu implementieren, müssen Sie ein Skript erstellen, das während eines bestimmten Vorgangs (Verwaltungsaufgabe) ausgeführt wird. Im Skript der benutzerdefinierten Richtlinie können Sie Fehlermeldungen definieren, die angezeigt werden sollen, wenn eine Aktion die Richtlinie verletzt. Sie können auch eine standardmäßige Fehlermeldung über den Assistenten zum Erstellen von Richtlinien festlegen.
Weitere Informationen zum Verfassen von benutzerdefinierten Richtlinien, Anzeigen einer Liste der Verwaltungsaufgaben und Verwenden von Argument-Arrays finden Sie im SDK. Weitere Informationen finden Sie unter Skripte oder ausführbare Programme für benutzerdefinierte Richtlinien erstellen.
HINWEIS:
Bevor Sie eine benutzerdefinierte Richtlinie mit einem Hilfsadministrator und einer ActiveView verknüpfen, stellen Sie sicher, dass der Hilfsadministrator der gewünschten ActiveView zugewiesen ist.
Wenn der Pfad für das Skript oder das ausführbare Programm der benutzerdefinierten Richtlinie Leerzeichen enthält, schließen Sie den Pfad in Anführungszeichen (") ein.
So implementieren Sie eine benutzerdefinierte Richtlinie:
Verfassen Sie ein Skript oder ausführbares Programm für die Richtlinie.
Melden Sie sich an einem DRA-Clientcomputer mit einem Konto an, dem in der verwalteten Domäne die integrierte Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) zugewiesen ist.
Starten Sie die Delegierungs- und Konfigurationskonsole.
Stellen Sie eine Verbindung zum primären Verwaltungsserver her.
Erweitern Sie im linken Bereich Richtlinien- und Automatisierungsmanagement.
Klicken Sie auf Policy (Richtlinie).
Klicken Sie im Aufgabenmenü auf New Policy > Create a Custom Policy (Neue Richtlinie > Benutzerdefinierte Richtlinie erstellen).
Geben Sie in den einzelnen Fenstern des Assistenten die gewünschten Werte ein und klicken Sie auf Next (Weiter). Sie können die neue Richtlinie beispielsweise mit einer bestimmten ActiveView verknüpfen, sodass DRA die Richtlinie für Objekte erzwingt, die in der angegebenen ActiveView enthalten sind.
Überprüfen Sie die Zusammenfassung und klicken Sie auf Finish (Fertigstellen).
Zum Ändern der Eigenschaften einer benutzerdefinierten Richtlinie müssen Sie über die erforderlichen Befugnisse verfügen, beispielsweise über die Befugnisse der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten).
So ändern Sie Richtlinieneigenschaften:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Policy (Richtlinie).
Klicken Sie mit der rechten Maustaste auf die Richtlinie, die Sie ändern möchten, und wählen Sie Properties (Eigenschaften) aus.
Ändern Sie die gewünschten Eigenschaften und Einstellungen der Richtlinie.
Weitere Informationen zum Erstellen von Skripten oder ausführbaren Programmen für benutzerdefinierte Richtlinien finden Sie im SDK.
So greifen Sie auf das SDK zu:
Stellen Sie sicher, dass das SDK auf dem Computer installiert ist. Das Setup-Programm erstellt eine Verknüpfung zum SDK in der Directory and Resource Administrator-Programmgruppe. Weitere Informationen hierzu finden Sie in der Installations-Checkliste unter DRA-Verwaltungsserver installieren.
Klicken Sie auf die SDK-Verknüpfung in der im Directory and Resource Administrator-Programmgruppe.
Weitere Informationen zum SDK finden Sie im DRA REST Services Guide
(DRA-REST-Services-Handbuch) auf der Website der DRA-Dokumentation.
Die Richtlinie für die automatische Benennung umfasst drei Richtlinienkonfigurationen in den Exchange-Richtlinien, die exklusiv im Delegierungs- und Konfigurationsclient verfügbar sind, das heißt, es handelt sich um eine clientseitige Richtlinie.
Die Richtlinie für die automatische Benennung ermöglicht das Festlegen von Regeln für die automatisierte Benennung bestimmter Eigenschaften eines Postfachs. Mit diesen Optionen können Sie Benennungskonventionen erstellen und schnell Standardwerte für den Anzeigenamen, den Verzeichnisnamen und die Aliaseigenschaften generieren. Exchange bietet Ihnen für verschiedene Optionen der automatisierten Benennung die Möglichkeit, Ersatzzeichenfolgen festzulegen, wie %First oder %Last.
Wenn Exchange einen Verzeichnisnamen oder ein Alias generiert, überprüft es, ob der generierte Wert eindeutig ist. Wenn der generierte Wert nicht eindeutig ist, hängt Exchange einen Bindestrich (-) und eine zweistellige Nummer (beginnend mit -01) an, um einen eindeutigen Wert zu erhalten. Beim Generieren von Anzeigenamen überprüft Exchange nicht, ob der Wert eindeutig ist.
Exchange unterstützt die folgenden Ersatzzeichenfolgen für die Richtlinien zur automatischen Benennung und Vertretungsgenerierung:
|
%First |
Gibt den Wert der Eigenschaft „First name“ (Vorname) des verknüpften Benutzerkontos an. |
|---|---|
|
%Last |
Gibt den Wert der Eigenschaft „Last name“ (Nachname) des verknüpften Benutzerkontos an. |
|
%Initials |
Gibt den Wert der Eigenschaft „Initials“ (Initialen) des verknüpften Benutzerkontos an. |
|
%Alias |
Gibt den Wert der Eigenschaft „Alias“ des Postfachs an. |
|
%DirNam |
Gibt den Wert der Eigenschaft „Directory name“ (Verzeichnisname) des Postfachs an. Für das Generieren von Email-Adressen für Microsoft Exchange-Postfächer unterstützt Exchange keine Vertretungsgenerierungs-Zeichenfolgen mit der Variable %DirName. |
|
%UserName |
Gibt den Wert der Eigenschaft „User name“ (Benutzername) des verknüpften Benutzerkontos an. |
Sie können auch eine Zahl zwischen dem Prozentzeichen (%) und der Ersatzzeichenfolge angeben, um die Anzahl der aus dem Wert zu übernehmenden Zeichen festzulegen. Beispiel: %2First entspricht den ersten zwei Zeichen der Eigenschaft First name (Vorname) des Benutzerkontos.
Jede automatische Benennungsregel oder Vertretungsgenerierungsrichtlinie kann eine oder mehrere Ersatzzeichenfolgen enthalten. Sie können in jeder Regel auch Zeichen als Präfix oder Suffix für eine bestimmte Ersatzzeichenfolge angeben, zum Beispiel ein Punkt oder ein Leerzeichen (.) nach der Ersatzzeichenfolge %Initials (Initialen). Wenn die Eigenschaft der Ersatzzeichenfolge leer ist, schließt Exchange das Suffix für diese Eigenschaft nicht ein.
Beispiel: Angenommen, Sie verwenden die folgende automatische Benennungsregel für die Eigenschaft Display name (Anzeigename):
%First %1Initials. %Last
Wenn der Wert der Eigenschaft First name (Vorname) Susan ist, der Wert der Eigenschaft Initials (Initialen) May ist und der Wert der Eigenschaft Last name (Nachname) Smith, legt Exchange die Eigenschaft Display name auf Susan M. Smith fest.
Wenn der Wert der Eigenschaft First name (Vorname) Michael ist, der Wert der Eigenschaft Initials (Initialen) leer ist und der Wert der Eigenschaft Last name (Nachname) Jones, legt Exchange die Eigenschaft Display name (Anzeigename) auf Michael Jones fest.
Um Optionen für die automatisierte Benennung von Postfächern festzulegen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) enthalten sind. Außerdem muss Ihre Lizenz das Exchange-Produkt unterstützen.
So legen Sie eine Richtlinie für die automatisierte Benennung von Postfächern fest:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Exchange Policies (Exchange-Richtlinien konfigurieren) > Alias naming (Aliasbenennung).
Geben Sie die geeigneten Informationen für die Namensgenerierung an.
Wählen Sie Enforce alias naming rules during mailbox updates (Alias-Benennungsregeln bei Postfachaktualisierungen erzwingen) aus.
Klicken Sie auf OK.
Um Optionen für die Benennung von Ressourcen festzulegen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) enthalten sind. Außerdem muss Ihre Lizenz das Exchange-Produkt unterstützen.
So legen Sie eine Richtlinie für die Ressourcenbenennung fest:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Exchange Policies (Exchange-Richtlinien konfigurieren) > Resource naming (Ressourcenbenennung).
Geben Sie die geeigneten Informationen für die Generierung des Ressourcennamens an.
Wählen Sie Enforce resource naming rules during mailbox updates (Ressourcen-Benennungsregeln bei Postfachaktualisierungen erzwingen) aus.
Klicken Sie auf OK.
Um Optionen für die Benennung von Archiven festzulegen, müssen Sie über die entsprechenden Befugnisse verfügen, beispielsweise über die Befugnisse, die in der integrierten Rolle „Manage Policies and Automation Triggers“ (Richtlinien und Automatisierungsauslöser verwalten) enthalten sind. Außerdem muss Ihre Lizenz das Exchange-Produkt unterstützen.
So legen Sie eine Richtlinie für die Archivbenennung fest:
Navigieren Sie zu Policy and Automation Management (Richtlinien- und Automatisierungsmanagement) > Configure Exchange Policies (Exchange-Richtlinien konfigurieren) > Archive naming (Archivbenennung).
Geben Sie die geeigneten Informationen für die Generierung der Archivnamen für Benutzerkonten an.
Wählen Sie Enforce archive naming rules during mailbox updates (Archiv-Benennungsregeln bei Postfachaktualisierungen erzwingen) aus.
Klicken Sie auf OK.