3.5 Requisitos del servidor de administración de DRA, la consola Web y las extensiones REST

Los componentes de DRA requieren el software y las cuentas siguientes:

3.5.1 Requisitos de software

Componente	Requisitos previos
Destino de instalación Sistema operativo	Sistema operativo de NetIQ Administration Server: Microsoft Windows Server 2012 R2, 2016 y 2019 NOTA:El servidor también debe ser un miembro de un dominio de Microsoft Active Directory local admitido. Interfaces de DRA: Microsoft Windows Server 2012 R2, 2016 y 2019 Microsoft Windows 8.1 (x86 y x64) y 10 (x86 y x64)
Instalador	Microsoft .NET Framework 4.6.2 y posterior
Servidor de administración	Directory and Resource Administrator: Microsoft .NET Framework 4.6.2 y posterior Microsoft Visual C++ 2013 Redistributable Packages (x64) y Microsoft Visual C++ 2017 (Update 3) Redistributable Packages (x64 y x86) Microsoft Message Queuing Funciones de Active Directory Lightweight Directory Services de Microsoft Servicio de Registro remoto iniciado Módulo Microsoft Internet Information Services URL Rewrite Enrutamiento de solicitud de aplicaciones de Microsoft Internet Information Services Administración de Microsoft Office 365/Exchange Online: Módulo Windows Azure Active Directory para Windows PowerShell Skype Empresarial Online y Módulo de Windows PowerShell Para obtener más información, consulte Plataformas compatibles.
Interfaz de usuario	Interfaces de DRA: Microsoft .NET Framework 4.6.2 Microsoft Visual C++ 2017 (Update 3) Redistributable Packages (x64 y x86)
Servicio de host de DRA	Microsoft .NET Framework 4.6.2 Servidor de administración de DRA
Servicio y puesto final REST de DRA	Microsoft .NET Framework 4.6.2
Extensiones de PowerShell	Microsoft .NET Framework 4.6.2 PowerShell 5.1 o posterior
Consola Web de DRA	Servidor Web: Microsoft .NET Framework 4.x > Servicios WCF > Activación HTTP Microsoft Internet Information Server 8.0, 8.5 y 10 Módulo Microsoft Internet Information Services URL Rewrite Enrutamiento de solicitud de aplicaciones de Microsoft Internet Information Services Componentes de Microsoft IIS: Servidor Web Características HTTP comunes Contenido estático Documento por defecto Navegador de directorios Errores HTTP Desarrollo de aplicaciones ASP Estado y diagnóstico Registro HTTP Monitor de petición Seguridad Autenticación básica Rendimiento Compresión de contenido estático Herramientas de gestión del servidor Web

3.5.2 Dominio del servidor

Componente	Sistemas operativos
Servidor DRA	Microsoft Windows Server 2019 Microsoft Windows Server 2016 Microsoft Windows Server 2012 R2

3.5.3 Requisitos de la cuenta

Cuenta	Descripción	Permisos
Grupo de AD LDS	La cuenta de servicio de DRA debe añadirse a este grupo para acceder a AD LDS.	Grupo de seguridad local de dominio
Cuenta de servicio de DRA	Los permisos necesarios para ejecutar el servicio de administración de NetIQ.	Para los permisos de "Usuarios COM distribuidos" Miembro del grupo de administradores de AD LDS. Grupo de operadores de cuentas. Grupos de archivos de registro (OnePointOp ConfgAdms y OnePointOp). Se debe seleccionar una de las siguientes pestañas Cuenta > Opciones de cuenta para el usuario de la cuenta del servicio de DRA si instala DRA en un servidor mediante la metodología STIG: Cifrado AES de Kerberos de 128 bits Cifrado AES de Kerberos de 256 bits NOTA: Para obtener más información sobre cómo configurar las cuentas de acceso al dominio con privilegios mínimos, consulte: Cuentas de acceso de DRA con privilegios mínimos. Para obtener más información sobre cómo configurar una cuenta de servicio gestionado de grupos para DRA, consulte: "Configuración de servicios de DRA para una cuenta de servicio gestionado de grupos".
Administrador de DRA	Cuenta de usuario o grupo configurada para la función integrada de administradores de DRA.	Grupo de seguridad local de dominio o cuenta de usuario de dominio. Miembro del dominio gestionado o un dominio de confianza. Si especifica una cuenta desde un dominio de confianza, asegúrese de que el equipo del servidor de administración pueda autenticar esta cuenta.
Cuentas de administrador asistente de DRA	Cuentas con competencias delegadas a través de DRA	Añada todas las cuentas de administrador asistente de DRA al grupo "Usuarios COM distribuidos" para que puedan conectarse al servidor DRA desde clientes remotos. Solo es necesario si se utiliza el cliente pesado o la consola de delegación y configuración. NOTA:Se puede configurar DRA para gestionar esto durante la instalación.

3.5.4 Cuentas de acceso de DRA con privilegios mínimos

A continuación, se muestran los permisos y los privilegios necesarios para las cuentas especificadas y los comandos de configuración que debe ejecutar.

Cuenta de acceso al dominio: Utilice ADSI Edit para otorgar a la cuenta de acceso al dominio los siguientes permisos de Active Directory en el nivel de dominio superior para los siguientes tipos de objetos descendientes:

Control TOTAL de los objetos de builtInDomain
Control TOTAL de los objetos de equipo
Control TOTAL de los objetos de punto de conexión
Control TOTAL de los objetos de contacto
Control TOTAL de los objetos de contenedor
Control TOTAL de los objetos de grupo
Control TOTAL de los objetos de InetOrgPerson
Control TOTAL de los objetos de MsExchDynamicDistributionList
Control TOTAL de los objetos de MsExchSystemObjectsContainer
Control TOTAL de los objetos de unidad administrativa
Control TOTAL de los objetos de impresora
Control TOTAL de los objetos de publicFolder
Control TOTAL de los objetos de carpeta compartida
Control TOTAL de los objetos de usuario

Otorgue a la cuenta de acceso al dominio los siguientes permisos de Active Directory en el nivel de dominio superior para este objeto y todos los objetos descendientes:

Permitir creación de objetos de equipo.
Permitir creación de objetos de contacto.
Permitir creación de objetos de contenedor.
Permitir creación de objetos de grupo.
Permitir creación de objetos de MsExchDynamicDistributionList.
Permitir creación de objetos de unidad administrativa.
Permitir creación de objetos de publicFolders.
Permitir creación de objetos de carpeta compartida.
Permitir creación de objetos de usuario.
Permitir supresión de objetos de equipo.
Permitir supresión de objetos de contacto.
Permitir supresión de contenedor.
Permitir supresión de objetos de grupo.
Permitir supresión de objetos de InetOrgPerson.
Permitir supresión de objetos de MsExchDynamicDistributionList.
Permitir supresión de objetos de unidad administrativa.
Permitir supresión de objetos de publicFolders.
Permitir supresión de objetos de carpeta compartida.
Permitir supresión de objetos de usuario.

NOTA:

Por defecto, algunos objetos de contenedor integrados de Active Directory no heredan los permisos del nivel superior del dominio. Por este motivo, los objetos requieren que se habilite la herencia o que se establezcan los permisos explícitos.
Si el servidor REST no está instalado en el mismo servidor que el servidor de administración de DRA, la cuenta del servicio REST en ejecución debe tener control total sobre el servidor REST de Active Directory. Por ejemplo, defina el control TOTAL en CN=DRARestServer,CN=System,DC=myDomain,DC=com.

Cuenta de acceso a Exchange: para gestionar los objetos de Microsoft Exchange local, asigne la función de gestión administrativa a la cuenta de acceso a Exchange y esta al grupo Operadores de cuentas.

Cuenta de acceso a Skype: asegúrese de que esta cuenta sea un usuario habilitado para Skype y que sea miembro de al menos una de las siguientes funciones:

Función de CSAdministrator
Funciones de CSUserAdministrator y CSArchiving

Cuenta de acceso a las carpetas públicas: asigne los siguientes permisos de Active Directory a la cuenta de acceso a las carpetas públicas:

Gestión de carpetas públicas
Carpetas públicas habilitadas para correo

Cuenta de acceso de arrendatario de Azure: asigne los siguientes permisos de Azure Active Directory a la cuenta de acceso de arrendatario de Azure:

Grupos de distribución
Destinatarios de correo
Creación de destinatarios de correo
Creación de grupos de seguridad y pertenencia a ellos
(Opcional) Administrador de Skype Empresarial

Si desea gestionar Skype Empresarial Online, asigne el poder Administrador de Skype Empresarial a la cuenta de acceso de arrendatario de Azure.
Administrador de usuarios

Permisos de la cuenta de servicio de administración de NetIQ:

Administradores locales
Otorgue la cuenta de anulación de privilegios mínimos "Permiso completo" en las carpetas compartidas o las carpetas DFS donde se aprovisionan los directorios principales.
Gestión de recursos: para gestionar los recursos publicados en un dominio de Active Directory gestionado, se debe otorgar a la cuenta de acceso al dominio permisos de administración local en esos recursos.

Después de la instalación de DRA: Después de que los dominios necesarios se añadan o estén siendo administrados por DRA, ejecute los siguientes comandos:

Para delegar permisos al "Contenedor Objetos eliminados" de la carpeta de instalación de DRA (nota: un administrador de dominio debe ejecutar el comando):

DraDelObjsUtil.exe /domain:<NombreDominioNetbios> /delegate:<Nombre de cuenta>
Para delegar permiso en la "NetIQReceyleBin OU" de la carpeta de instalación de DRA:

DraRecycleBinUtil.exe /domain:<NombreDominioNetbios> /delegate:<Nombre de la cuenta>

Acceso remoto a SAM: asigne controladores de dominio o servidores miembros gestionados por DRA para habilitar las cuentas que se enumeran a continuación en la configuración de GPO a fin de que puedan realizar consultas remotas en la base de datos del Administrador de cuentas de seguridad (SAM). La configuración debe incluir la cuenta de servicio de DRA.

Acceso de red: restrinja clientes con permiso para realizar llamadas remotas a SAM.

Para acceder a esta opción, realice lo siguiente:

Abra la consola de gestión de directivas de grupo en el controlador de dominio.
Expanda Dominios > [controlador de dominio] > Objetos de directiva de grupo en el árbol de nodos.
Haga clic con el botón derecho en Directiva predeterminada de controladores de dominio y seleccione Editar para abrir el editor de GPO de esta directiva.
Expanda Configuración del equipo > Directivas > Configuración de Windows > Configuración de seguridad > Directivas locales en el árbol de nodo del editor de GPO.
Haga doble clic en Acceso de red: evitar que clientes con permiso realicen llamadas remotas a SAM en el panel de directivas y seleccione Definir esta configuración de directiva.
Haga clic en Editar seguridad y habilite la opción Permitir para el acceso remoto. Añada la cuenta de servicio de DRA si no se ha incluido aún como usuario o parte del grupo de administradores.
Aplique los cambios. Esto añadirá el descriptor de seguridad O:BAG:BAD:(A;;RC;;;BA) a la configuración de directivas.

Para obtener más información, consulte el artículo 7023292 de Knowledge Base.