Las directivas integradas se implementan al instalar el servidor de administración. Al trabajar con estas directivas, es posible que aparezcan los siguientes términos:
Define los objetos o las propiedades a los que DRA aplica la directiva. Por ejemplo, algunas directivas permiten aplicar una directiva a determinados administradores asistentes en ActiveViews específicas. Algunas directivas permiten elegir entre diferentes clases de objetos, como cuentas de usuario o grupos.
Aplique las reglas de directiva en todos los objetos de la clase o tipo especificados en los dominios gestionados. Las directivas globales no le permiten limitar el alcance de los objetos a los que se aplica la directiva.
Define si la directiva se aplica de forma conjunta o por sí misma. Para establecer una relación de directivas, defina dos o más reglas que se apliquen a la misma acción y elija el miembro de una opción de grupo de directivas. Si la propiedad o los parámetros de la operación coinciden con cualquiera de las reglas, la operación se realizará correctamente.
Temas sobre directivas integradas:
Las directivas integradas proporcionan reglas de negocios para abordar problemas habituales de seguridad e integridad de los datos. Estas directivas forman parte del modelo de seguridad por defecto, lo que le permite integrar las funciones de seguridad de DRA en la configuración empresarial existente.
DRA proporciona dos formas de aplicar directivas. Puede crear directivas personalizadas o elegir entre varias directivas integradas. Las directivas integradas facilitan la aplicación de directivas sin necesidad de desarrollar guiones personalizados. Si necesita implementar una directiva personalizada, puede adaptar una directiva existente para que se ajuste a sus necesidades. La mayoría de las directivas le permiten modificar el texto del mensaje de error, cambiar el nombre de la directiva, añadir una descripción y especificar cómo se aplica.
Al instalar DRA, están habilitadas diversas directivas integradas. Las siguientes directivas se implementan por defecto. Si no desea aplicar estas directivas, puede inhabilitarlas o suprimirlas.
|
Nombre de directiva |
Valor por defecto |
Descripción |
|---|---|---|
|
$ComputerNameLengthPolicy |
64 15 (anterior a Windows 2000) |
Limita el número de caracteres en el nombre de equipo actual o anterior a Windows 2000. |
|
$GroupNameLengthPolicy |
64 20 (anterior a Windows 2000) |
Limita el número de caracteres en el nombre de grupo actual o anterior a Windows 2000. |
|
$GroupSizePolicy |
5000 |
Limita el número de miembros de un grupo. |
|
$NameUniquenessPolicy |
Ninguno |
Garantiza que los nombres de CN actuales y anteriores a Windows 2000 sean exclusivos en todos los dominios gestionados. |
|
$SpecialGroupsPolicy |
Ninguno |
Impide una derivación no comprobada de poderes en el entorno. |
|
$UCPowerConflictPolicy |
Ninguno |
Impide la derivación de poderes al establecer los poderes para crear y clonar usuarios se excluyan mutuamente. |
|
$UPNUniquenessPolicy |
Ninguno |
Garantiza que los nombres de UPN sean exclusivos en todos los dominios gestionados. |
|
$UserNameLengthPolicy |
64 20 (nombre de entrada a la sesión de nivel inferior) |
Limita el número de caracteres en el nombre de entrada a la sesión del usuario o inferior. |
DRA proporciona varias directivas que puede personalizar para el modelo de seguridad.
NOTA:Puede crear una directiva que requiera una entrada para una propiedad que no esté disponible actualmente en las interfaces de usuario de DRA. Si la directiva requiere una entrada y la interfaz de usuario no proporciona un campo para introducir el valor, como un departamento para una nueva cuenta de usuario, no podrá crear ni gestionar el objeto. Para evitar este problema, configure las directivas que requieran que solo se pueda acceder a esas propiedades desde las interfaces de usuario.
Permite vincular un guión o un archivo ejecutable a una operación de DRA o Exchange. Las directivas personalizadas permiten validar cualquier operación que elija.
Permite aplicar globalmente la longitud máxima de nombre para cuentas de usuario, grupos, unidades administrativas, contactos o equipos.
La directiva comprueba el contenedor de nombres (nombre común o cn) o el nombre anterior a Windows 2000 (nombre de entrada a la sesión del usuario).
Permite aplicar globalmente el límite de miembros de un grupo.
Comprueba que un nombre anterior a Windows 2000 sea exclusivo en todos los dominios gestionados. En los dominios de Microsoft Windows, los nombres anteriores a Windows 2000 deben ser exclusivos dentro de un dominio. Esta directiva global aplica esta regla en todos los dominios gestionados.
Comprueba que un nombre principal de usuario (UPN, User Principal Name) sea exclusivo en todos los dominios gestionados. En los dominios de Microsoft Windows, los UPN deben ser exclusivos dentro de un dominio. Esta directiva aplica esta regla en todos los dominios gestionados. Como se trata de una directiva global, DRA proporciona el nombre, la descripción y la relación de directivas.
Impide gestionar miembros de un grupo de administradores a menos que sea miembro de ese grupo. Esta directiva global está habilitada por defecto.
Al limitar las acciones de los miembros de los grupos de administradores, el Asistente para crear directivas no requiere información adicional. Puede especificar un mensaje de error personalizado. Como se trata de una directiva global, DRA proporciona el nombre, la descripción y la relación de directivas.
Impide una posible derivación de poderes. Cuando esta directiva está habilitada, puede crear o clonar cuentas de usuario, pero no puede disponer de ambos poderes. Esta directiva global garantiza que no se puedan crear y clonar cuentas de usuario en la misma ActiveView.
Esta directiva no requiere información adicional.
Permite establecer convenciones de denominación que se aplican a administradores asistentes, ActiveViews y clases de objetos específicos, como cuentas de usuario o grupos.
También puede especificar los nombres exactos supervisados por esta directiva.
Permite crear una directiva para validar cualquier propiedad de una unidad administrativa o un objeto de cuenta. Puede especificar un valor por defecto, una máscara de formato de propiedad, y los valores y los rangos válidos.
Utilice esta directiva para aplicar la integridad de los datos mediante la validación de campos de entrada específicos al crear, clonar o modificar propiedades de determinados objetos. Esta directiva proporciona una gran flexibilidad y eficacia para validar entradas, proporcionar entradas por defecto y limitar las opciones de entrada para diversos campos de propiedad. Con esta directiva, puede solicitar que se realice una entrada correcta antes de que se complete la tarea, lo que permite mantener la integridad de los datos en los dominios gestionados.
Por ejemplo, suponga que tiene tres departamentos: Fabricación, Ventas y Administración. Puede limitar las entradas que DRA aceptará solo para estos tres valores. También puede utilizar esta directiva para aplicar formatos de números de teléfono adecuados, proporcionar un rango de datos válidos o requerir una entrada para el campo de dirección de correo electrónico. Para especificar varias máscaras de formato para un número de teléfono como, por ejemplo, (123)456 7890, así como 456 7890, defina la máscara de formato de la propiedad como (###)### ####,### ####.
Permite crear una directiva para asignar licencias de Office 365 en función de la pertenencia al grupo de Active Directory. Esta directiva también aplica la eliminación de las licencias de Office 365 al suprimir un miembro del grupo de Active Directory correspondiente.
Si un usuario que no se haya sincronizado con la nube se añade al grupo de Active Directory, este se sincronizará antes de que se asigne una licencia de Office 365 al usuario.
Durante la creación de la directiva, puede especificar varias propiedades y configuraciones, como el nombre de la directiva y la redacción del mensaje de error que aparece cuando un administrador asistente intenta realizar una acción que infringe esta directiva.
La opción "Ensure only licenses assigned by DRA policies" (Garantizar solo las licencias asignadas por directivas de DRA) está habilitada en todas las cuentas. La opción "All other licenses will be removed" (Se eliminarán todas las demás licencias) se incluye en la página de propiedades del arrendatario, que se puede configurar por arrendatario. Esta opción se utiliza para las directivas de licencias de Office 365 de DRA a fin de configurar cómo se aplicarán las asignaciones de licencias:
Si se ha habilitado esta opción, la aplicación de la licencia de DRA garantizará que solo las licencias asignadas a través de las directivas de DRA se aprovisionen en las cuentas (las licencias asignadas fuera de DRA se eliminarán de las cuentas asignadas a la directiva de licencias). Si se ha inhabilitado esta opción (comportamiento por defecto), la aplicación de la licencia de DRA solo garantizará que las licencias específicas que ha incluido en las directivas de Office 365 se aprovisionen en las cuentas (al cancelar la asignación de una cuenta a una directiva de licencia, solo se desaprovisionarán las licencias asignadas por esa directiva).
Como las directivas integradas forman parte del modelo de seguridad por defecto, puede utilizar estas directivas para aplicar el modelo de seguridad actual o modificarlas para satisfacer mejor sus necesidades. Puede cambiar el nombre, la configuración de las reglas, el ámbito, la relación de directivas y el mensaje de error de varias directivas integradas. Puede habilitar o inhabilitar cada directiva integrada.
También puede crear fácilmente nuevas directivas.