Para administrar el acceso con privilegios mínimos para las tareas de Active Directory que utilizan DRA, deben configurarse muchos componentes y procesos. Entre ellos, se incluyen las configuraciones de componentes de cliente y generales. En esta sección, se proporciona información sobre los componentes y los procesos generales que deben configurarse para DRA.
Un entorno de conjunto de varios maestros (MMS, Multi-Master Set) utiliza varios servidores de administración para gestionar el mismo conjunto de dominios y servidores miembros. Un MMS está formado por un servidor de administración principal y varios servidores de administración secundarios asociados.
El modo por defecto del servidor de administración es Principal. A medida que añada servidores secundarios al entorno MMS, tenga en cuenta que un servidor de administración secundario solo puede pertenecer a un único conjunto de servidores.
Para asegurarse de que cada servidor del conjunto gestione los mismos datos, sincronice periódicamente los servidores secundarios con el servidor de administración principal. Para reducir el mantenimiento, utilice la misma cuenta de servicio para todos los servidores de administración en el bosque de dominios.
IMPORTANTE:
Al instalar el servidor secundario, seleccione Servidor de administración secundario en el instalador.
La versión de DRA del nuevo servidor secundario debe ser igual a la del servidor principal de DRA para que todas las funciones del servidor principal estén disponibles en el secundario.
Puede añadir un servidor de administración secundario a un MMS existente en el cliente de delegación y configuración. Para añadir un servidor secundario, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
NOTA:Para añadir correctamente un nuevo servidor secundario, debe instalar primero el producto Directory and Resource Administrator en el equipo del servidor de administración. Para obtener más información, consulte Instalación del servidor de administración de DRA.
Para añadir un servidor de administración secundario, haga clic con el botón derecho en Administration Servers (Servidores de administración) en el nodo "Configuration Management" (Gestión de configuraciones) y seleccione Add Secondary Server (Añadir servidor secundario).
Puede subir de nivel un servidor de administración secundario a uno principal. Al subir de nivel un servidor de administración secundario a uno principal, el servidor de administración principal existente se convierte en el secundario en el conjunto de servidores. Para subir de nivel un servidor de administración secundario, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios. Antes de subir de nivel un servidor de administración secundario, sincronice el MMS para que presente la configuración más reciente.
Para obtener información acerca de cómo sincronizar el MMS, consulte Programación de la sincronización.
NOTA:Un servidor primario que se acaba de subir de nivel solo puede conectarse a servidores secundarios que estuviesen disponibles durante el proceso de subida de nivel. Si un servidor secundario deja de estar disponible durante el proceso de subida de nivel, póngase en contacto con el servicio de asistencia técnica.
Para subir de nivel un servidor de administración secundario:
Desplácese al nodo Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración).
En el panel derecho, seleccione el servidor de administración secundario que desea subir de nivel.
En el menú Tareas, haga clic en Advanced (Opciones avanzadas) > Promote Server (Subir de nivel servidor).
IMPORTANTE:Si la cuenta de servicio del servidor secundario es diferente a la del servidor principal o el servidor secundario se ha instalado en un dominio diferente al del servidor principal (dominios de confianza/que no son de confianza) y sube de nivel el servidor secundario, asegúrese de delegar las siguientes funciones antes de realizar el proceso de subida de nivel: Auditar todos los objetos, Configurar servidores y dominios y Generar informes de IU. A continuación, compruebe que las sincronizaciones de MMS se hayan realizado correctamente.
Puede bajar de nivel un servidor de administración principal a uno secundario. Para bajar de nivel un servidor de administración principal, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
Para bajar de nivel un servidor de administración principal:
Desplácese al nodo Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración).
En el panel derecho, seleccione el servidor de administración principal que desea bajar de nivel.
En el menú Tareas, haga clic en Advanced (Opciones avanzadas) > Demote Server (Bajar de nivel servidor).
Especifique el equipo que desea designar como el nuevo servidor de administración principal y haga clic en Aceptar.
La sincronización garantiza que todos los servidores de administración del MMS utilicen los mismos datos de configuración. Aunque se pueden sincronizar manualmente los servidores en cualquier momento, la programación por defecto determina la sincronización del MMS cada 4 horas. Modifique esta programación para adaptarla a sus necesidades empresariales.
Para modificar la programación de sincronización o para sincronizar manualmente los servidores MMS, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
Para acceder a la programación de sincronización o realizar sincronizaciones manuales, desplácese a Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración) y utilice el menú Tareas o haga clic con el botón derecho en las opciones del servidor seleccionado. La programación de sincronización se encuentra en las propiedades del servidor seleccionado.
Descripción de las opciones de sincronización
Existen básicamente cuatro opciones diferentes para sincronizar servidores MMS:
Seleccione el servidor principal y sincronice todos los servidores secundarios, "Synchronize All Servers" (Sincronizar todos los servidores).
Seleccione un servidor secundario y sincronice solo ese servidor.
Configure la programación de sincronización de los servidores principal y secundarios de forma independiente.
Configure la programación de sincronización de todos los servidores. Esta opción está habilitada si se ha seleccionado el siguiente ajuste en la programación de sincronización del servidor principal:
Configure secondary Administration servers when refreshing the primary Administration server (Configurar los servidores de administración secundarios al actualizar el servidor de administración principal)
NOTA:Si desactiva esta opción, los archivos de configuración se copian en los servidores secundarios de la programación principal, pero no se cargarán en ese momento en la programación secundaria; se cargarán en función de la programación configurada en el servidor secundario. Esto es útil si los servidores se encuentran en distintas zonas horarias. Por ejemplo, puede configurar todos los servidores para que se actualice la configuración en mitad de la noche, aunque haya diferencias de hora debido a las distintas zonas horarias.
Las excepciones de clonación permiten definir propiedades de usuarios, grupos, contactos y equipos que no se copiarán cuando se clone uno de estos objetos.
Puede gestionar las excepciones de clonación con los poderes adecuados. La función Gestionar excepciones de clonación otorga poderes para ver, crear y suprimir excepciones de clonación.
Para ver o suprimir una excepción de clonación existente, o crear una nueva, desplácese a Configuration Management (Gestión de configuraciones) > Clone Exceptions (Excepciones de clonación) > Tareas, o bien haga clic con el botón derecho en el menú.
Al crear herramientas personalizadas, es posible que deba instalar los archivos de compatibilidad utilizados por la herramienta personalizada en el equipo de la consola de delegación y configuración de DRA antes de poder ejecutar la herramienta personalizada. Puede utilizar las funciones de réplica de archivos de DRA para replicar de forma fácil y rápida los archivos de compatibilidad de herramientas personalizadas desde el servidor de administración principal en los servidores de administración secundarios del MMS, así como en los equipos cliente de DRA. La réplica de archivos también permite replicar guiones de activador de servidores principales en secundarios.
Puede utilizar de forma conjunta las herramientas personalizadas y la réplica de archivos para asegurarse de que los equipos cliente de DRA puedan acceder a los archivos de herramientas personalizadas. DRA replica los archivos de herramientas personalizadas en los servidores de administración secundarios para garantizar que los equipos cliente de DRA que se conectan a los servidores de administración secundarios puedan acceder a las herramientas personalizadas.
DRA replica los archivos de herramientas personalizadas en el servidor de administración principal en los servidores de administración secundarios durante el proceso de sincronización de MMS. DRA descarga los archivos de herramientas personalizadas en los equipos cliente de DRA cuando estos se conectan a los servidores de administración.
NOTA:DRA descarga los archivos de herramientas personalizadas en la siguiente ubicación de los equipos cliente de DRA:
{DirInstalDRA} \{ID de MMS}\Download
El ID de MMS es la identificación del conjunto de varios maestros desde el que DRA descarga los archivos de herramientas personalizadas.
Al cargar archivos en el servidor de administración principal, especifique los archivos que desea cargar y replicar entre el servidor de administración primario y todos los servidores de administración secundarios del conjunto MMS. DRA permite cargar archivos de biblioteca, guión y ejecutables.
La función Replicar archivos le permite replicar archivos del servidor de administración principal en los servidores de administración secundarios del MMS, así como en los equipos clientes de DRA. La función Replicar archivos contiene los siguientes poderes:
Suprimir archivos del servidor: este poder permite a DRA suprimir archivos que ya no existen en los servidores de administración principal y secundarios, y los equipos cliente de DRA.
Definir información del archivo: este poder permite a DRA actualizar la información de los archivos en los servidores de administración secundarios.
Cargar archivos en el servidor: este poder permita a DRA cargar archivos del equipo cliente de DRA en el servidor de administración principal.
NOTA:Solo puede cargar un archivo para la réplica cada vez mediante la interfaz de usuario de réplica de archivos de la consola de delegación y configuración.
Para cargar un archivo de herramienta personalizada en el servidor de administración principal:
Desplácese a Configuration Management (Gestión de configuraciones) > File Replication (Réplica de archivos).
En el menú Tareas, haga clic en Upload file (Cargar archivo).
Para buscar y seleccionar el archivo que desea cargar, haga clic en Examinar.
Si desea descargar el archivo seleccionado en todos los equipos cliente de DRA, seleccione la casilla de verificación Download to all client computers (Descargar en todos los equipos cliente).
Si desea registrar una biblioteca COM, seleccione la casilla de verificación Register COM library (Registrar biblioteca COM).
Haga clic en Aceptar.
NOTA:
DRA carga en la carpeta {DirInstalDRA}\FileTransfer\Replicate del servidor de administración principal el archivo de guión o los archivos de compatibilidad que deben replicarse en otros servidores de administración secundarios. La carpeta {DirInstalDRA}\FileTransfer\Replicate también recibe el nombre de {Vía_archivos_replicados_DRA}.
DRA carga el archivo de guión o los archivos de compatibilidad que deben replicarse en los equipos cliente de DRA, en la carpeta {DirInstalDRA}\FileTransfer\Replicate del servidor de administración principal.
El archivo de herramienta personalizada cargado en el servidor de administración principal se distribuirá a los servidores de administración secundarios durante la próxima sincronización programada o mediante sincronización manual.
Si tiene varios archivos que desea cargar y replicar entre el servidor de administración principal y los servidores de administración secundarios en el MMS, puede cargarlos manualmente para la réplica. Para ello, copie los archivos en el directorio de réplica del servidor de administración principal, que se encuentra en la siguiente ubicación:
{DRAInstallDir}\FileTransfer\Replicate
El directorio de réplica se crea durante la instalación de DRA.
El servidor de administración identifica automáticamente los archivos en el directorio de réplica y replica los archivos entre los servidores de administración durante la próxima sincronización programada. Después de la sincronización, DRA muestra los archivos cargados en la ventana Réplica de archivos de la consola de delegación y configuración.
NOTA:Si desea replicar archivos que contienen bibliotecas COM que deben registrarse, no puede copiar manualmente los archivos en el directorio de réplica del servidor de administración. Debe utilizar la consola de delegación y configuración para cargar cada archivo y registrar la biblioteca COM.
Si tiene varios archivos que desea replicar entre el servidor de administración principal y los equipos cliente de DRA, puede copiar los archivos en el directorio de réplica del cliente del servidor de administración principal, que se encuentra en la siguiente ubicación:
{DRAInstallDir}\FileTransfer\Download
El directorio de réplica del cliente se crea durante la instalación de DRA.
El servidor de administración identifica automáticamente los archivos en la carpeta Download y replica los archivos en los servidores de administración secundarios durante la próxima sincronización programada. Después de la sincronización, DRA muestra los archivos cargados en la ventana Réplica de archivos de la consola de delegación y configuración. DRA descarga los archivos replicados en los equipos cliente de DRA la primera vez que estos se conectan a los servidores de administración tras la réplica.
NOTA:Si desea replicar archivos que contienen bibliotecas COM que deben registrarse, no puede copiar los archivos en el directorio de descarga del servidor de administración. Debe utilizar la consola de delegación y configuración para cargar cada archivo y registrar la biblioteca COM.
Cuando se habilita la auditoría de los servicios de dominio de AD, los eventos de DRA se registran como generados por la cuenta de servicio de DRA o la cuenta de acceso al dominio, si se ha configurado. La adición de marcas a eventos lleva esta función un paso más allá al generar un evento de AD DS adicional que identifica al administrador asistente que realizó la operación.
Para que se generen estos eventos, debe configurar la auditoría de AD DS y habilitar la función de adición de marcas a eventos en el servidor de administración de DRA. Si se ha habilitado la adición de marcas a eventos, podrá ver los cambios que los administradores asistentes realizan en los informes de eventos de Change Guardian.
Para configurar la auditoría de AD DS, consulte la referencia de Microsoft AD DS Auditing Step-by-Step Guide (Guía paso a paso de auditoría de AD DS).
Para configurar la integración de Change Guardian, consulte Configuración de los servidores del Historial de cambios unificado.
Para habilitar la adición de marcas a eventos, abra la consola de delegación y configuración como administrador de DRA y realice lo siguiente:
Acceda a Configuration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar opciones del servidor de administración) > Event Stamping (Adición de marcas a eventos).
Seleccione un tipo de objeto y haga clic en Actualizar.
Seleccione el atributo que desea utilizar para la adición de marcas a eventos para ese tipo de objeto.
DRA admite actualmente la adición de marcas a eventos para usuarios, grupos, contactos, equipos y unidades administrativas.
DRA también requiere que los atributos existan en el esquema de AD para cada uno de los dominios gestionados. Debe tener esto en cuenta si añade dominios gestionados después de configurar la adición de marcas a eventos. Si añadiese un dominio gestionado que no incluyese el atributo seleccionado, las operaciones de ese dominio no se auditarían con los datos de adición de marcas a eventos.
DRA modificará esos atributos, por lo que debe seleccionar los atributos que DRA o cualquier otra aplicación del entorno no utilicen.
Para obtener más información sobre la adición de marcas a eventos, consulte Funcionamiento de la adición de marcas a eventos.
Azure Sync permite aplicar directivas de caracteres no válidos y longitud de caracteres para evitar errores en la sincronización de directorios. Al seleccionar esta opción, se asegurará de que las propiedades sincronizadas con Azure Active Directory restringirán los caracteres no válidos y aplicarán límites de longitud de caracteres.
Para habilitar Azure Sync:
En el panel izquierdo, haga clic en Configuration Management (Gestión de configuraciones).
En "Common Tasks" (Tareas comunes), en el panel derecho, haga clic en Update Administration Server Options (Actualizar opciones del servidor de administración).
En la pestaña Azure Sync, seleccione Enforce online mailbox policies for invalid characters and character length (Aplicar directivas de buzones en línea para caracteres y longitudes de caracteres no válidos).
Al habilitar la compatibilidad con la gestión de un grupo por varios administradores, se utiliza uno de los dos atributos por defecto para almacenar los administradores del grupo. El atributo al ejecutar Microsoft Exchange es msExchCoManagedByLink. El atributo por defecto al no ejecutar Microsoft Exchange es nonSecurityMember. Esta última opción se puede modificar. Sin embargo, es recomendable que se ponga en contacto con el servicio de asistencia técnica para determinar el atributo adecuado si necesita cambiar esta configuración.
Para habilitar la compatibilidad de varios administradores con los grupos:
En el panel izquierdo, haga clic en Configuration Management (Gestión de configuraciones).
En "Common Tasks" (Tareas comunes), en el panel derecho, haga clic en Update Administration Server Options (Actualizar opciones del servidor de administración).
En la pestaña "Enable Support for Group Multiple Managers" (Habilitar compatibilidad con varios administradores de grupos), seleccione la casilla de verificación Enable support for group’s multiple managers (Habilitar compatibilidad con varios administradores del grupo).
Esta función permite habilitar o inhabilitar el uso de la comunicación cifrada entre el cliente de delegación y configuración y el servidor de administración. Por defecto, DRA cifra las contraseñas de las cuentas. Esta función no cifra las comunicaciones del cliente Web o de PowerShell, que se gestiona por separado mediante certificados del servidor.
El uso de comunicaciones cifradas puede afectar al rendimiento. La comunicación cifrada está inhabilitada por defecto. Si habilita esta opción, los datos se cifran durante la comunicación entre las interfaces de usuario y el servidor de administración. DRA utiliza el cifrado estándar de Microsoft para la llamada a procedimiento remoto (RPC).
Para habilitar las comunicaciones cifradas, desplácese aConfiguration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar las opciones del servidor de administración) > pestaña General y seleccione la casilla de verificación Encrypted Communications (Comunicaciones cifradas).
NOTA:Para cifrar todas las comunicaciones entre el servidor de administración y las interfaces de usuario, debe disponer de los poderes adecuados, como los de la función integrada Configurar servidores y dominios.
Con los atributos virtuales, puede crear nuevas propiedades y asociarlas a usuarios, grupos, grupos dinámicos de distribución, contactos, equipos y unidades administrativas. Los atributos virtuales le permiten crear nuevas propiedades sin necesidad de ampliar el esquema de Active Directory.
Mediante atributos virtuales, puede añadir nuevas propiedades a objetos en Active Directory. Solo puede crear, habilitar, inhabilitar y asociar atributos virtuales, además de anular su asociación, en el servidor de administración principal. DRA almacenará los atributos virtuales que cree en AD LDS. DRA replica los atributos virtuales del servidor de administración principal en los servidores de administración secundarios durante el proceso de sincronización de MMS.
Puede gestionar los atributos virtuales con los poderes adecuados. La función Gestionar atributos virtuales otorga poderes para crear, habilitar, asociar, inhabilitar y ver atributos virtuales, así como anular su asociación.
Necesita disponer del poder Crear atributos virtuales para crearlos y del poder Ver atributos virtuales para visualizarlos.
Para crear un atributo virtual, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales) > nodo Managed Attributes (Atributos gestionados) y haga clic en New Virtual Attribute (Nuevo atributo virtual) en el menú Tareas.
Solo puede asociar atributos virtuales habilitados a objetos de Active Directory. Una vez que asocia un atributo virtual a un objeto, el atributo virtual está disponible como parte de las propiedades del objeto.
Para que los atributos virtuales se muestren a través de las interfaces de usuario de DRA, debe crear una página de propiedades personalizada.
Para asociar un atributo virtual a un objeto, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales) > nodo Managed Attributes (Atributos gestionados) y seleccione Associate (Asociar) > (tipo de objeto).
NOTA:
Solo puede asociar atributos virtuales a usuarios, grupos, grupos dinámicos de distribución, equipos, contactos y unidades administrativas.
Al asociar un atributo virtual a un objeto, DRA crea automáticamente dos poderes personalizados por defecto. Los administradores asistentes deben disponer de estos poderes personalizados para gestionar el atributo virtual.
Se puede anular la asociación de atributos virtuales de los objetos de Active Directory. Cualquier objeto nuevo que cree no mostrará el atributo virtual cuya asociación se ha anulado como parte de las propiedades del objeto.
Para anular la asociación de un atributo virtual de un objeto de Active Directory, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales)> Managed Classes (Clases gestionadas) > nodo (tipo de objeto). Haga clic en el atributo virtual y seleccione Disassociate (Anular asociación).
Puede inhabilitar los atributos virtuales si no se han asociado a un objeto de Active Directory. Al inhabilitar un atributo virtual, los administradores no pueden ver el atributo virtual ni asociarlo a un objeto.
Para inhabilitar un atributo virtual, desplácese a Configuration Management (Gestión de configuraciones) > Managed Attributes (Atributos gestionados). Haga clic en el atributo correspondiente en el panel de lista y seleccione Inhabilitar.
El servidor de administración se encarga de la creación y el mantenimiento de la memoria caché de cuentas que contiene partes de Active Directory para los dominios gestionados. DRA utiliza la memoria caché de cuentas para mejorar el rendimiento al gestionar cuentas de usuario, grupos, contactos y cuentas de equipo.
Para programar el periodo de actualización de la memoria caché o ver su estado, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
NOTA:Para realizar actualizaciones incrementales de la memoria caché de cuentas en dominios que contienen subárboles gestionados, asegúrese de que la cuenta de servicio tenga acceso de lectura al contenedor Objetos suprimidos, así como a todos los objetos del dominio del subárbol. Puede usar la utilidad Objetos suprimidos para comprobar y delegar los poderes adecuados.
Una actualización incremental de la memoria caché de cuentas solo actualiza los datos que han cambiado desde la última actualización. La actualización incremental le proporciona un método simplificado de mantenerse al día con los cambios de Active Directory. Utilice la actualización incremental para actualizar rápidamente la memoria caché de cuentas con el mínimo efecto en la actividad de su empresa.
IMPORTANTE:Microsoft Server limita el número de usuarios simultáneos conectados a la sesión de WinRM/WinRS a cinco y el número de shells por usuario a cinco, así que asegúrese de que la misma cuenta de usuario esté limitada a cinco shells para los servidores secundarios de DRA.
Una actualización incremental actualiza los siguientes datos:
Objetos nuevos y clonados
Objetos suprimidos y movidos
Pertenencias a grupos
Todas las propiedades almacenadas en caché de los objetos modificados
Una actualización completa de la memoria caché de cuentas reconstruye la memoria caché de cuentas de DRA para el dominio especificado.
NOTA:Al ejecutar una actualización completa de la memoria caché de cuentas, el dominio no estará disponible para los usuarios de DRA.
Para actualizar la memoria caché de cuentas, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios
.
Para llevar a cabo al instante una actualización completa de la memoria caché de cuentas:
Desplácese a Configuration Management (Gestión de configuraciones) > Managed Domains (Dominios gestionados).
Haga clic con el botón derecho en el dominio que desee y seleccione Propiedades.
Haga clic en Actualizar ahora en la pestaña Full refresh (Actualización completa).
La frecuencia con la que debe actualizar la memoria caché de cuentas dependerá de la frecuencia con la que cambie su empresa. Utilice la actualización incremental para actualizar la memoria caché de cuentas con frecuencia, lo que garantiza que DRA disponga de la información más actualizada sobre Active Directory.
Por defecto, el servidor de administración lleva a cabo una actualización incremental de la memoria caché de cuentas con las siguientes frecuencias:
|
Tipo de dominio |
Periodo de actualización programado por defecto |
|---|---|
|
Dominios gestionados |
Cada 5 minutos |
|
Dominios de confianza |
Cada hora |
No se puede programar una actualización completa de la memoria caché de cuentas (FACR). Sin embargo, DRA ejecuta una FACR en las siguientes circunstancias:
Después de configurar un dominio gestionado por primera vez.
Después de actualizar DRA a una nueva versión completa desde una versión anterior.
Después de instalar un paquete de servicios de DRA.
Las actualizaciones completas de la memoria caché de cuentas tardan varios minutos en completarse.
Debe actualizar periódicamente la memoria caché de cuentas para asegurarse de que DRA disponga de la información más reciente. Antes de realizar o programar una actualización de la memoria caché de cuentas, tenga en cuenta lo siguiente:
Para realizar una actualización incremental de la memoria caché de cuentas, las cuentas de acceso o servicio del servidor de administración deben tener permiso para acceder a los objetos suprimidos en la instancia de Active Directory del dominio gestionado o de confianza.
Si DRA realiza una actualización de la memoria caché de cuentas, el servidor de administración no incluirá los grupos de seguridad locales de los dominios de confianza. Como la memoria caché no contiene estos grupos, DRA no le permitirá añadir un grupo de seguridad local de dominio desde el dominio de confianza a un grupo local en el servidor miembro gestionado.
Si omite un dominio de confianza de una actualización de la memoria caché de cuentas, el servidor de administración también omitirá ese dominio de la actualización de configuración del dominio.
Si incluye un dominio de confianza omitido anteriormente en la actualización de la memoria caché de cuentas, realice una actualización completa de la memoria caché de cuentas para el dominio gestionado. Esto garantiza que la memoria caché de cuentas incluida en el servidor de administración del dominio gestionado refleje correctamente los datos de pertenencia a grupo en los dominios gestionados y de confianza.
Si define el intervalo de actualización incremental de la memoria caché de cuentas en Nunca, el servidor de administración solo realizará actualizaciones completas de la memoria caché de cuentas. Una actualización completa de la memoria caché de cuentas puede tardar algún tiempo en completarse. Durante ese proceso, no se pueden gestionar los objetos de ese dominio.
DRA no puede determinar automáticamente cuándo se realizan cambios mediante otras herramientas, como los Servicios de directorio de Microsoft. Las operaciones realizadas fuera de DRA pueden afectar a la precisión de la información almacenada en caché. Por ejemplo, si utiliza otra herramienta para añadir un buzón a una cuenta de usuario, no puede usar Exchange para gestionar ese buzón hasta que actualice la memoria caché de cuentas.
Al realizar una actualización completa de la memoria caché de cuentas, las estadísticas de las últimas entradas a la sesión se conservan en la memoria caché. A continuación, el servidor de administración recopila la información más reciente de entrada a la sesión desde todos los controladores de dominio.
La recopilación de impresoras de AD está inhabilitada por defecto. Para habilitarla, desplácese a Configuration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar opciones del servidor de administración) > pestaña General y seleccione la casilla de verificación Collect Printers (Recopilar impresoras).
Puede configurar la actualización de limpieza de AD LDS para que se ejecute según una programación para dominios específicos. La configuración por defecto es no actualizar "Nunca". También puede ver el estado de limpieza e información específica relacionada con la configuración de AD LDS (ADAM).
Para configurar la programación de limpieza de AD LDS o ver su estado, haga clic con el botón derecho en el nodo Account and Resource Management (Gestión de cuentas y recursos) > Todos mis recursos gestionados y seleccione Propiedades > Adlds Cleanup Refresh Schedule (Programación de la actualización de limpieza de AD LDS) o Adlds Cleanup status (Estado de la limpieza de AD LDS) respectivamente.
Para ver información de configuración de AD LDS (ADAM), desplácese a Configuration Management (Gestión de configuraciones) > Update Server Options (Actualizar opciones del servidor) > ADAM Configuration (Configuración de ADAM).
Un grupo dinámico es aquel cuya pertenencia a grupo cambia según un conjunto definido de criterios que puede configurar en las propiedades del grupo. En las propiedades del dominio, puede configurar la actualización del grupo dinámico para que se ejecute según una programación de dominios específicos. La configuración por defecto es no actualizar "Nunca". También puede ver el estado de la actualización.
Para configurar la programación o ver el estado de actualización del grupo dinámico, haga clic con el botón derecho en el dominio que desee del nodo Gestión de cuentas y recursos > Todos mis objetos gestionados y seleccione Propiedades > Dynamic group refresh (Actualización del grupo dinámico) o Dynamic group status (Estado del grupo dinámico) respectivamente.
Para obtener más información sobre grupos dinámicos, consulte Grupos dinámicos de DRA.
Puede habilitar o inhabilitar la Papelera para cada dominio u objeto de Microsoft Windows dentro de cada dominio, y configurar cuándo y cómo desea que se realice la limpieza de la Papelera.
Para obtener información detallada sobre el uso de la Papelera, consulte Papelera.
Puede habilitar la Papelera para dominios específicos de Microsoft Windows y para objetos dentro de esos dominios. Por defecto, DRA habilita la Papelera para cada dominio que gestiona y todos los objetos del dominio. Debe ser miembro del grupo de admin. de DRA o de administradores asistentes de configuración de DRA para habilitar la Papelera.
Si su entorno incluye la siguiente configuración, utilice la utilidad Papelera para habilitar esta función:
DRA gestiona un subárbol de este dominio.
Las cuentas de acceso o servicio del servidor de administración no tienen permiso para crear el contenedor de la Papelera, desplazar las cuentas a ese contenedor ni modificar las cuentas incluidas en él.
También puede usar la utilidad Papelera para comprobar los permisos de las cuentas de acceso o servicio del servidor de administración en el contenedor de la Papelera.
Para habilitar la Papelera, haga clic con el botón derecho en el dominio que desee en el nodo Papelera y seleccione Disable Recycle Bin (Habilitar la Papelera).
Puede inhabilitar la Papelera para dominios específicos de Microsoft Windows y para objetos dentro de esos dominios. Si una Papelera inhabilitada contiene cuentas, no podrá ver, suprimir permanentemente ni restaurar esas cuentas.
Debe ser miembro del grupo de admin. de DRA o de administradores asistentes de admin. de configuración de DRA para inhabilitar la Papelera.
Para inhabilitar la Papelera, haga clic con el botón derecho en el dominio que desee en el nodo Papelera y seleccione Enable Recycle Bin (Inhabilitar la Papelera).
La configuración por defecto de limpieza de la Papelera es diariamente. Puede cambiar esta configuración para que la limpieza de la Papelera se realice cada x días. Durante la limpieza programada, la Papelera suprime los objetos que tienen una antigüedad superior a la cantidad de días que ha configurado para cada tipo de objeto. La configuración por defecto para cada tipo consiste en suprimir objetos con más de 1 día. Puede personalizar el comportamiento de la limpieza de la Papelera. Para ello, inhabilite, vuelva a habilitar y defina la antigüedad de los objetos que se suprimirán para cada tipo de objeto.
Para configurar la limpieza de la Papelera, seleccione el dominio que desee en la consola de delegación y configuración y desplácese a Tareas > Propiedades > pestaña Papelera.
En las siguientes secciones, se proporciona información conceptual sobre los informes de gestión de DRA y los recopiladores de informes que puede habilitar. Para acceder al asistente que le permitirá configurar los recopiladores, desplácese a Configuration Management (Gestión de configuraciones) > Update Reporting Service Configuration (Actualizar la configuración del servicio de elaboración de informes).
El recopilador de Active Directory recopila un conjunto específico de atributos de Active Directory para cada usuario, grupo, contacto, equipo, unidad administrativa y grupo dinámico de distribución gestionados en DRA. Estos atributos se almacenan en la base de datos de informes y se utilizan para generar informes en la consola de elaboración de informes.
Puede configurar el recopilador de Active Directory para especificar los atributos que se recopilarán y almacenarán en la base de datos de informes. También puede configurar el servidor de administración de DRA en el que se ejecutará el recopilador.
El recopilador de DRA recopila información sobre la configuración de DRA y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes.
Para habilitar el recopilador de DRA, debe especificar el servidor de administración de DRA en el que se ejecutará el recopilador. Como práctica recomendada, debe programar el recopilador de DRA para que se ejecute después de que se ejecute correctamente el recopilador de Active Directory y en los momentos en que el servidor tenga una menor carga o fuera del horario laboral habitual.
El recopilador de arrendatarios de Azure recopila información sobre los usuarios y los grupos de Azure que se sincronizan con el arrendatario de Azure Active Directory y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes.
Para habilitar el recopilador de arrendatarios de Azure, debe especificar el servidor de administración de DRA en el que se ejecutará el recopilador.
NOTA:El arrendatario de Azure solo puede ejecutar una recopilación satisfactoria después de que el recopilador de Active Directory del dominio correspondiente ejecute correctamente una recopilación.
El recopilador de informes de gestión recopila información de auditoría de DRA y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes. Al habilitar el recopilador, puede configurar la frecuencia con la que se actualizan los datos en la base de datos para las consultas que se ejecutan en la herramienta de elaboración de informes de DRA.
Esta configuración requiere que la cuenta de servicio de DRA disponga del permiso sysadmin en la instancia de SQL Server del servidor de elaboración de informes. A continuación, se indican las opciones que se pueden configurar:
Audit Export Data Interval (Intervalo de exportación de datos de auditoría): se trata del intervalo en el que se exportan los datos de auditoría del registro de seguimiento de DRA (LAS) en la base de datos "SMCubeDepot" de SQL Server.
Management Report Summarization Interval (Intervalo de resumen de informes de gestión): se trata del intervalo en el que los datos de auditoría de la base de datos de SMCubeDepot se transfieren a la base de datos de informes de DRA donde pueden consultarse con la herramienta de elaboración de informes de DRA.
Puede configurar DRA para que recopile las estadísticas de las últimas entradas a la sesión de todos los controladores de dominio del dominio gestionado. Para habilitar y programar la recopilación de las estadísticas de las últimas entradas a la sesión, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
La función de recopilación de las estadísticas de las últimas entradas a la sesión está inhabilitadas por defecto. Si desea recopilar los datos de las estadísticas de las últimas entradas a la sesión, debe habilitar esta función. Una vez que habilite la recopilación de estadísticas de las últimas entrada a la sesión, podrá ver estas estadísticas para un usuario específico o mostrar el estado de la recopilación de estadísticas de las últimas entradas a la sesión.
Para recopilar las estadísticas de las últimas entradas a la sesión:
Desplácese a Configuration Management (Gestión de configuraciones) > Managed Domains (Dominios gestionados).
Haga clic con el botón derecho en el dominio que desee y seleccione Propiedades.
Haga clic en la pestaña Last logon schedule (Programación de últimas entradas a la sesión) para configurar la recopilación de estadísticas de las últimas entradas a la sesión.
La función de servidor del Historial de cambios unificados permite generar informes de los cambios que se realizan fuera de DRA.
Para gestionar el servidor del Historial de cambios unificado, asigne la función de administración del servidor del Historial de cambios unificado o los poderes correspondientes mostrados a continuación a los administradores asistentes:
Eliminar la configuración del servidor del Historial de cambios unificado.
Definir la información de configuración del Historial de cambios unificado.
Ver la información de configuración del Historial de cambios unificado.
Para delegar las atribuciones del servidor del Historial de cambios unificados:
Haga clic en Poderes en el nodo de gestión de delegación y utilice la función de búsqueda de objetos para buscar y seleccionar los poderes de UCH que desee.
Haga clic en una de los poderes de UCH seleccionados y elija Delegate Roles and Powers (Delegar funciones y poderes).
Busque el usuario específico, el grupo o el grupo de administradores asistentes al que desea delegar poderes.
Utilice el Selector de objetos para buscar y añadir los objetos que desee y, a continuación, haga clic en Roles and Powers (Funciones y poderes) en el Asistente.
Haga clic en ActiveViews y utilice el Selector de objetos para buscar y añadir las ActiveViews que desee.
Haga clic en Siguiente y, a continuación, en Finalizar para completar el proceso de asignación de delegación.
Para configurar servidores del Historial de cambios unificados:
Entre a la consola de delegación y configuración.
Expanda Configuration Management (Gestión de configuraciones) > Integration Servers (Servidores de integración).
Haga clic con el botón derecho en Historial de cambios unificado y seleccione New Unified Change History Server (Nuevo servidor del Historial de cambios unificado).
Especifique el nombre o la dirección IP del servidor de UCH, el número de puerto, el tipo de servidor y la información de la cuenta de acceso en la configuración del Historial de cambios unificado.
Pruebe la conexión del servidor y haga clic en Finalizar para guardar la configuración.
Añada servidores adicionales según sea necesario.
Para gestionar el flujo de trabajo, asigne la función Administración del servidor de Automatización del flujo de trabajo o los poderes correspondientes mostrados a continuación a los administradores asistentes:
Crear un evento de flujo de trabajo y modificar todas sus propiedades
Suprimir la configuración del servidor de Automatización del flujo de trabajo
Definir la información de configuración del servidor de Automatización del flujo de trabajo
Iniciar un flujo de trabajo
Ver todas las propiedades de eventos del flujo de trabajo
Ver todas las propiedades del flujo de trabajo
Ver la información de configuración del servidor de Automatización del flujo de trabajo
Para delegar poderes de configuración del servidor de Automatización del flujo de trabajo:
Haga clic en Poderes en el nodo de gestión de delegación y utilice la función de búsqueda de objetos para buscar y seleccionar los poderes de flujo de trabajo que desee.
Haga clic con el botón derecho en uno de los poderes de flujo de trabajo seleccionados y elija Delegate Roles and Powers (Delegar funciones y poderes).
Busque el usuario específico, el grupo o el grupo de administradores asistentes al que desea delegar poderes.
Utilice el Selector de objetos para buscar y añadir los objetos que desee y, a continuación, haga clic en Roles and Powers (Funciones y poderes) en el Asistente.
Haga clic en ActiveViews y utilice el Selector de objetos para buscar y añadir las ActiveViews que desee.
Haga clic en Siguiente y, a continuación, en Finalizar para completar el proceso de asignación de delegación.
Para utilizar la Automatización del flujo de trabajo en DRA, debe instalar el Motor de flujo de trabajo en una instancia de Windows Server y, a continuación, configurar el servidor de Automatización del flujo de trabajo mediante la consola de delegación y configuración.
Para configurar el servidor de Automatización del flujo de trabajo:
Entre a la consola de delegación y configuración.
Para obtener información sobre los poderes de Automatización del flujo de trabajo, consulte Delegación de los poderes de configuración del servidor de Automatización del flujo de trabajo.
Expanda Configuration Management (Gestión de configuraciones) > Integration Servers (Servidores de integración).
Haga clic con el botón derecho en Workflow Automation (Automatización del flujo de trabajo) y seleccione New Workflow Automation Server (Nuevo servidor de Automatización del flujo de trabajo).
En el asistente Add Workflow Automation Server (Añadir servidor de Automatización del flujo de trabajo), especifique información como, por ejemplo, el nombre del servidor, el puerto, el protocolo y la cuenta de acceso.
Pruebe la conexión del servidor y haga clic en Finalizar para guardar la configuración.
Para obtener información acerca de cómo instalar el Motor de flujo de trabajo, consulte Workflow Automation Administrator Guide (Guía del administrador de Automatización del flujo de trabajo).
DRA le permite buscar objetos LDAP en dominios de Active Directory local como, por ejemplo, usuarios, contactos, equipos, grupos y unidades administrativas desde el servidor LDAP. El servidor DRA continúa gestionando la operación y es el controlador de dominio en el que se ejecuta la búsqueda. Utilice los filtros de búsqueda para realizar búsquedas más eficaces y útiles. Asimismo, puede guardar la consulta de búsqueda para utilizarla en el futuro y puede compartirla con otros usuarios o utilizarla por su cuenta si la marca como privada. Puede editar las consultas guardadas. La función Consultas avanzadas de LDAP otorga a los administradores asistentes poderes para crear y administrar consultas de búsqueda LDAP. Utilice los siguientes poderes para delegar la creación y la gestión de consultas de búsquedas LDAP:
Crear una consulta avanzada privada
Crear una consulta avanzada pública
Suprimir una consulta avanzada pública
Ejecutar consulta avanzada
Ejecutar Guardar consulta avanzada
Modificar una consulta pública
Ver una consulta avanzada
Para delegar los poderes de consultas LDAP:
Haga clic en Poderes en el nodo de gestión de delegación y utilice la función de búsqueda de objetos para buscar y seleccionar los poderes de consultas LDAP avanzadas que desee.
Haga clic con el botón derecho en uno de los poderes de LDAP seleccionados y elija Delegate Roles and Powers (Delegar funciones y poderes).
Busque el usuario específico, el grupo o el grupo de administradores asistentes al que desea delegar poderes.
Utilice el Selector de objetos para buscar y añadir los objetos que desee y, a continuación, haga clic en Roles and Powers (Funciones y poderes) en el Asistente.
Haga clic en ActiveViews y utilice el Selector de objetos para buscar y añadir las ActiveViews que desee.
Haga clic en Siguiente y, a continuación, en Finalizar para completar el proceso de asignación de delegación.
Para acceder a la función de búsqueda de la consola Web, desplácese hasta Management > LDAP Search (Gestión > Búsqueda LDAP).