En esta sección, se describen los pasos de configuración necesarios si va a instalar por primera vez Directory and Resource Administrator.
La siguiente lista de verificación le guiará por el proceso de configuración de DRA para utilizar el producto por primera vez.
|
Pasos |
Detalles |
|---|---|
|
Instalar una licencia de DRA |
Utilice la utilidad de comprobación de estado para aplicar una licencia de DRA. Para obtener más información sobre las licencias de DRA, consulte Requisitos de licencias. |
|
Configurar los servidores y las funciones de DRA |
Configure el MMS, las excepciones de clonación, la réplica de archivos, la adición de marcas a eventos, el almacenamiento en caché, los AD LDS, los grupos dinámicos, la Papelera, los informes, el Historial de cambios unificado y el servidor de flujo de trabajo. |
|
Configurar el cliente de delegación y configuración |
Configure cómo se accede a los elementos y cómo se muestran en el cliente de configuración y delegación. |
|
Configurar el cliente Web |
Configure la salida automática de la sesión, los certificados, las conexiones del servidor y los componentes de autenticación. |
DRA requiere un archivo de clave de licencia. Este archivo contiene la información de su licencia y se ha instalado en el servidor de administración. Después de instalar el servidor de administración, use la utilidad de comprobación de estado para instalar el archivo de clave de licencia de prueba (TrialLicense.lic) proporcionado por NetIQ Corporation.
Para actualizar una licencia existente o de prueba, abra la consola de delegación y configuración y desplácese a Gestión de configuraciones > Actualizar licencia. Al actualizar la licencia, actualice el archivo de licencia en cada servidor de administración.
Puede ver la licencia del producto mediante la consola de delegación y configuración o la consola de gestión de cuentas y recursos. Para ver la licencia del producto, desplácese al menú Archivo > Propiedades de DRA > Licencia.
Para administrar el acceso con privilegios mínimos para las tareas de Active Directory que utilizan DRA, deben configurarse muchos componentes y procesos. Entre ellos, se incluyen las configuraciones de componentes de cliente y generales. En esta sección, se proporciona información sobre los componentes y los procesos generales que deben configurarse para DRA.
Un entorno de conjunto de varios maestros (MMS, Multi-Master Set) utiliza varios servidores de administración para gestionar el mismo conjunto de dominios y servidores miembros. Un MMS está formado por un servidor de administración principal y varios servidores de administración secundarios asociados.
El modo por defecto del servidor de administración es Principal. A medida que añada servidores secundarios al entorno MMS, tenga en cuenta que un servidor de administración secundario solo puede pertenecer a un único conjunto de servidores.
Para asegurarse de que cada servidor del conjunto gestione los mismos datos, sincronice periódicamente los servidores secundarios con el servidor de administración principal. Para reducir el mantenimiento, utilice la misma cuenta de servicio para todos los servidores de administración en el bosque de dominios.
IMPORTANTE:
Al instalar el servidor secundario, seleccione Servidor de administración secundario en el instalador.
La versión de DRA del nuevo servidor secundario debe ser igual a la del servidor principal de DRA para que todas las funciones del servidor principal estén disponibles en el secundario.
Puede añadir un servidor de administración secundario a un MMS existente en el cliente de delegación y configuración. Para añadir un servidor secundario, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
NOTA:Para añadir correctamente un nuevo servidor secundario, debe instalar primero el producto Directory and Resource Administrator en el equipo del servidor de administración. Para obtener más información, consulte Instalación del servidor de administración de DRA.
Para añadir un servidor de administración secundario, haga clic con el botón derecho en Administration Server (Servidor de administración) en el nodo "Configuration Management" (Gestión de configuraciones) y seleccione Add Secondary Server (Añadir servidor secundario).
Puede subir de nivel un servidor de administración secundario a uno principal. Al subir de nivel un servidor de administración secundario a uno principal, el servidor de administración principal existente se convierte en el secundario en el conjunto de servidores. Para subir de nivel un servidor de administración secundario, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios. Antes de subir de nivel un servidor de administración secundario, sincronice el MMS para que presente la configuración más reciente.
Para obtener información acerca de cómo sincronizar el MMS, consulte Programación de la sincronización.
NOTA:Un servidor primario que se acaba de subir de nivel solo puede conectarse a servidores secundarios que estuviesen disponibles durante el proceso de subida de nivel. Si un servidor secundario deja de estar disponible durante el proceso de subida de nivel, póngase en contacto con el servicio de asistencia técnica.
Para subir de nivel un servidor de administración secundario:
Desplácese al nodo Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración).
En el panel derecho, seleccione el servidor de administración secundario que desea subir de nivel.
En el menú Tareas, haga clic en Advanced (Opciones avanzadas) > Promote Server (Subir de nivel servidor).
IMPORTANTE:Si la cuenta de servicio del servidor secundario es diferente a la del servidor principal o el servidor secundario se ha instalado en un dominio diferente al del servidor principal (dominios de confianza/que no son de confianza) y sube de nivel el servidor secundario, asegúrese de delegar las siguientes funciones antes de realizar el proceso de subida de nivel: Auditar todos los objetos, Configurar servidores y dominios y Generar informes de IU. A continuación, compruebe que las sincronizaciones de MMS se hayan realizado correctamente.
Puede bajar de nivel un servidor de administración principal a uno secundario. Para bajar de nivel un servidor de administración principal, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
Para bajar de nivel un servidor de administración principal:
Desplácese al nodo Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración).
En el panel derecho, seleccione el servidor de administración principal que desea bajar de nivel.
En el menú Tareas, haga clic en Advanced (Opciones avanzadas) > Demote Server (Bajar de nivel servidor).
Especifique el equipo que desea designar como el nuevo servidor de administración principal y haga clic en Aceptar.
La sincronización garantiza que todos los servidores de administración del MMS utilicen los mismos datos de configuración. Aunque se pueden sincronizar manualmente los servidores en cualquier momento, la programación por defecto determina la sincronización del MMS cada 4 horas. Modifique esta programación para adaptarla a sus necesidades empresariales.
Para modificar la programación de sincronización o para sincronizar manualmente los servidores MMS, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
Para acceder a la programación de sincronización o realizar sincronizaciones manuales, desplácese a Configuration Management (Gestión de configuraciones) > Administration Servers (Servidores de administración) y utilice el menú Tareas o haga clic con el botón derecho en las opciones del servidor seleccionado. La programación de sincronización se encuentra en las propiedades del servidor seleccionado.
Descripción de las opciones de sincronización
Existen básicamente cuatro opciones diferentes para sincronizar servidores MMS:
Seleccione el servidor principal y sincronice todos los servidores secundarios, "Synchronize All Servers" (Sincronizar todos los servidores).
Seleccione un servidor secundario y sincronice solo ese servidor.
Configure la programación de sincronización de los servidores principal y secundarios de forma independiente.
Configure la programación de sincronización de todos los servidores. Esta opción está habilitada si se ha seleccionado el siguiente ajuste en la programación de sincronización del servidor principal:
Configure secondary Administration servers when refreshing the primary Administration server (Configurar los servidores de administración secundarios al actualizar el servidor de administración principal)
NOTA:Si desactiva esta opción, los archivos de configuración se copian en los servidores secundarios de la programación principal, pero no se cargarán en ese momento en la programación secundaria; se cargarán en función de la programación configurada en el servidor secundario. Esto es útil si los servidores se encuentran en distintas zonas horarias. Por ejemplo, puede configurar todos los servidores para que se actualice la configuración en mitad de la noche, aunque haya diferencias de hora debido a las distintas zonas horarias.
Las excepciones de clonación permiten definir propiedades de usuarios, grupos, contactos y equipos que no se copiarán cuando se clone uno de estos objetos.
Puede gestionar las excepciones de clonación con los poderes adecuados. La función Gestionar excepciones de clonación otorga poderes para ver, crear y suprimir excepciones de clonación.
Para ver o suprimir una excepción de clonación existente, o crear una nueva, desplácese a Configuration Management (Gestión de configuraciones) > Clone Exceptions (Excepciones de clonación) > Tareas, o bien haga clic con el botón derecho en el menú.
Al crear herramientas personalizadas, es posible que deba instalar los archivos de compatibilidad utilizados por la herramienta personalizada en el equipo cliente de DRA antes de poder ejecutar la herramienta personalizada. Puede utilizar las funciones de réplica de archivos de DRA para replicar de forma fácil y rápida los archivos de compatibilidad de herramientas personalizadas desde el servidor de administración principal en los servidores de administración secundarios del MMS, así como en los equipos cliente de DRA. La réplica de archivos también permite replicar guiones de activador de servidores principales en secundarios.
Puede utilizar de forma conjunta las herramientas personalizadas y la réplica de archivos para asegurarse de que los equipos cliente de DRA puedan acceder a los archivos de herramientas personalizadas. DRA replica los archivos de herramientas personalizadas en los servidores de administración secundarios para garantizar que los equipos cliente de DRA que se conectan a los servidores de administración secundarios puedan acceder a las herramientas personalizadas.
DRA replica los archivos de herramientas personalizadas en el servidor de administración principal en los servidores de administración secundarios durante el proceso de sincronización de MMS. DRA descarga los archivos de herramientas personalizadas en los equipos cliente de DRA cuando estos se conectan a los servidores de administración.
NOTA:DRA descarga los archivos de herramientas personalizadas en la siguiente ubicación de los equipos cliente de DRA:
{DirInstalDRA} \{ID de MMS}\Download
El ID de MMS es la identificación del conjunto de varios maestros desde el que DRA descarga los archivos de herramientas personalizadas.
Al cargar archivos en el servidor de administración principal, especifique los archivos que desea cargar y replicar entre el servidor de administración primario y todos los servidores de administración secundarios del conjunto MMS. DRA permite cargar archivos de biblioteca, guión y ejecutables.
La función Replicar archivos le permite replicar archivos del servidor de administración principal en los servidores de administración secundarios del MMS, así como en los equipos clientes de DRA. La función Replicar archivos contiene los siguientes poderes:
Suprimir archivos del servidor: este poder permite a DRA suprimir archivos que ya no existen en los servidores de administración principal y secundarios, y los equipos cliente de DRA.
Definir información del archivo: este poder permite a DRA actualizar la información de los archivos en los servidores de administración secundarios.
Cargar archivos en el servidor: este poder permita a DRA cargar archivos del equipo cliente de DRA en el servidor de administración principal.
NOTA:Solo puede cargar un archivo para la réplica cada vez mediante la interfaz de usuario de réplica de archivos de la consola de delegación y configuración.
Para cargar un archivo de herramienta personalizada en el servidor de administración principal:
Desplácese a Configuration Management (Gestión de configuraciones) > File Replication (Réplica de archivos).
En el menú Tareas, haga clic en Upload file (Cargar archivo).
Para buscar y seleccionar el archivo que desea cargar, haga clic en Examinar.
Si desea descargar el archivo seleccionado en todos los equipos cliente de DRA, seleccione la casilla de verificación Download to all client computers (Descargar en todos los equipos cliente).
Si desea registrar una biblioteca COM, seleccione la casilla de verificación Register COM library (Registrar biblioteca COM).
Haga clic en Aceptar.
NOTA:
DRA carga en la carpeta {DirInstalDRA}\FileTransfer\Replicate del servidor de administración principal el archivo de guión o los archivos de compatibilidad que deben replicarse en otros servidores de administración secundarios. La carpeta {DirInstalDRA}\FileTransfer\Replicate también recibe el nombre de {Vía_archivos_replicados_DRA}.
DRA carga el archivo de guión o los archivos de compatibilidad que deben replicarse en los equipos cliente de DRA, en la carpeta {DirInstalDRA}\FileTransfer\Replicate del servidor de administración principal.
El archivo de herramienta personalizada cargado en el servidor de administración principal se distribuirá a los servidores de administración secundarios durante la próxima sincronización programada o mediante sincronización manual.
Si tiene varios archivos que desea cargar y replicar entre el servidor de administración principal y los servidores de administración secundarios en el MMS, puede cargarlos manualmente para la réplica. Para ello, copie los archivos en el directorio de réplica del servidor de administración principal, que se encuentra en la siguiente ubicación:
{DRAInstallDir}\FileTransfer\Replicate
El directorio de réplica se crea durante la instalación de DRA.
El servidor de administración identifica automáticamente los archivos en el directorio de réplica y replica los archivos entre los servidores de administración durante la próxima sincronización programada. Después de la sincronización, DRA muestra los archivos cargados en la ventana Réplica de archivos de la consola de delegación y configuración.
NOTA:Si desea replicar archivos que contienen bibliotecas COM que deben registrarse, no puede copiar manualmente los archivos en el directorio de réplica del servidor de administración. Debe utilizar la consola de delegación y configuración para cargar cada archivo y registrar la biblioteca COM.
Si tiene varios archivos que desea replicar entre el servidor de administración principal y los equipos cliente de DRA, puede copiar los archivos en el directorio de réplica del cliente del servidor de administración principal, que se encuentra en la siguiente ubicación:
{DRAInstallDir}\FileTransfer\Download
El directorio de réplica del cliente se crea durante la instalación de DRA.
El servidor de administración identifica automáticamente los archivos en la carpeta Download y replica los archivos en los servidores de administración secundarios durante la próxima sincronización programada. Después de la sincronización, DRA muestra los archivos cargados en la ventana Réplica de archivos de la consola de delegación y configuración. DRA descarga los archivos replicados en los equipos cliente de DRA la primera vez que estos se conectan a los servidores de administración tras la réplica.
NOTA:Si desea replicar archivos que contienen bibliotecas COM que deben registrarse, no puede copiar los archivos en el directorio de descarga del servidor de administración. Debe utilizar la consola de delegación y configuración para cargar cada archivo y registrar la biblioteca COM.
Cuando se habilita la auditoría de los servicios de dominio de AD, los eventos de DRA se registran como generados por la cuenta de servicio de DRA o la cuenta de acceso al dominio, si se ha configurado. La adición de marcas a eventos lleva esta función un paso más allá al generar un evento de AD DS adicional que identifica al administrador asistente que realizó la operación.
Para que se generen estos eventos, debe configurar la auditoría de AD DS y habilitar la función de adición de marcas a eventos en el servidor de administración de DRA. Si se ha habilitado la adición de marcas a eventos, podrá ver los cambios que los administradores asistentes realizan en los informes de eventos de Change Guardian.
Para configurar la auditoría de AD DS, consulte Auditoría de AD DS.
Para configurar la integración de Change Guardian, consulte Configuración de los servidores del Historial de cambios unificado.
Para habilitar la adición de marcas a eventos, abra la consola de delegación y configuración como administrador de DRA y realice lo siguiente:
Acceda a Configuration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar opciones del servidor de administración) > Event Stamping (Adición de marcas a eventos).
Seleccione un tipo de objeto y haga clic en Actualizar.
Seleccione el atributo que desea utilizar para la adición de marcas a eventos para ese tipo de objeto.
DRA admite actualmente la adición de marcas a eventos para usuarios, grupos, contactos, equipos y unidades administrativas.
DRA también requiere que los atributos existan en el esquema de AD para cada uno de los dominios gestionados. Debe tener esto en cuenta si añade dominios gestionados después de configurar la adición de marcas a eventos. Si añadiese un dominio gestionado que no incluyese el atributo seleccionado, las operaciones de ese dominio no se auditarían con los datos de adición de marcas a eventos.
DRA modificará esos atributos, por lo que debe seleccionar los atributos que DRA o cualquier otra aplicación del entorno no utilicen.
Para obtener más información sobre la adición de marcas a eventos, consulte Funcionamiento de la adición de marcas a eventos.
Al habilitar la compatibilidad con la gestión de un grupo por varios administradores, se utiliza uno de los dos atributos por defecto para almacenar los administradores del grupo. El atributo al ejecutar Microsoft Exchange es msExchCoManagedByLink. El atributo por defecto al no ejecutar Microsoft Exchange es nonSecurityMember. Esta última opción se puede modificar. Sin embargo, es recomendable que se ponga en contacto con el servicio de asistencia técnica para determinar el atributo adecuado si necesita cambiar esta configuración.
Para habilitar la compatibilidad de varios administradores con los grupos:
En el panel izquierdo, haga clic en Configuration Management (Gestión de configuraciones).
En "Common Tasks" (Tareas comunes), en el panel derecho, haga clic en Update Administration Server Options (Actualizar opciones del servidor de administración).
En la pestaña "Enable Support for Group Multiple Managers" (Habilitar compatibilidad con varios administradores de grupos), seleccione la casilla de verificación Enable support for group’s multiple managers (Habilitar compatibilidad con varios administradores del grupo).
Esta función permite habilitar o inhabilitar el uso de la comunicación cifrada entre el servidor de administración y los clientes de delegación y configuración y los de gestión de cuentas y recursos. Por defecto, DRA cifra las contraseñas de las cuentas. Esta función no cifra las comunicaciones del cliente Web o de PowerShell, que se gestiona por separado mediante certificados del servidor.
El uso de comunicaciones cifradas puede afectar al rendimiento. La comunicación cifrada está inhabilitada por defecto. Si habilita esta opción, los datos se cifran durante la comunicación entre las interfaces de usuario y el servidor de administración. DRA utiliza el cifrado estándar de Microsoft para la llamada a procedimiento remoto (RPC).
Para habilitar las comunicaciones cifradas, desplácese aConfiguration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar las opciones del servidor de administración) > pestaña General y seleccione la casilla de verificación Encrypted Communications (Comunicaciones cifradas).
NOTA:Para cifrar todas las comunicaciones entre el servidor de administración y las interfaces de usuario, debe disponer de los poderes adecuados, como los de la función integrada Configurar servidores y dominios.
Con los atributos virtuales, puede crear nuevas propiedades y asociarlas a usuarios, grupos, grupos dinámicos de distribución, contactos, equipos y unidades administrativas. Los atributos virtuales le permiten crear nuevas propiedades sin necesidad de ampliar el esquema de Active Directory.
Mediante atributos virtuales, puede añadir nuevas propiedades a objetos en Active Directory. Solo puede crear, habilitar, inhabilitar y asociar atributos virtuales, además de anular su asociación, en el servidor de administración principal. DRA almacenará los atributos virtuales que cree en AD LDS. DRA replica los atributos virtuales del servidor de administración principal en los servidores de administración secundarios durante el proceso de sincronización de MMS.
Puede gestionar los atributos virtuales con los poderes adecuados. La función Gestionar atributos virtuales otorga poderes para crear, habilitar, asociar, inhabilitar y ver atributos virtuales, así como anular su asociación.
Necesita disponer del poder Crear atributos virtuales para crearlos y del poder Ver atributos virtuales para visualizarlos.
Para crear un atributo virtual, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales) > nodo Managed Attributes (Atributos gestionados) y haga clic en New Virtual Attribute (Nuevo atributo virtual) en el menú Tareas.
Solo puede asociar atributos virtuales habilitados a objetos de Active Directory. Una vez que asocia un atributo virtual a un objeto, el atributo virtual está disponible como parte de las propiedades del objeto.
Para que los atributos virtuales se muestren a través de las interfaces de usuario de DRA, debe crear una página de propiedades personalizada.
Para asociar un atributo virtual a un objeto, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales) > nodo Managed Attributes (Atributos gestionados) y seleccione Associate (Asociar) > (tipo de objeto).
NOTA:
Solo puede asociar atributos virtuales a usuarios, grupos, grupos dinámicos de distribución, equipos, contactos y unidades administrativas.
Al asociar un atributo virtual a un objeto, DRA crea automáticamente dos poderes personalizados por defecto. Los administradores asistentes deben disponer de estos poderes personalizados para gestionar el atributo virtual.
Se puede anular la asociación de atributos virtuales de los objetos de Active Directory. Cualquier objeto nuevo que cree no mostrará el atributo virtual cuya asociación se ha anulado como parte de las propiedades del objeto.
Para anular la asociación de un atributo virtual de un objeto de Active Directory, desplácese a Configuration Management (Gestión de configuraciones) > Virtual Attributes (Atributos virtuales)> Managed Classes (Clases gestionadas) > nodo (tipo de objeto). Haga clic en el atributo virtual y seleccione Disassociate (Anular asociación).
Puede inhabilitar los atributos virtuales si no se han asociado a un objeto de Active Directory. Al inhabilitar un atributo virtual, los administradores no pueden ver el atributo virtual ni asociarlo a un objeto.
Para inhabilitar un atributo virtual, desplácese a Configuration Management (Gestión de configuraciones) > Managed Attributes (Atributos gestionados). Haga clic en el atributo correspondiente en el panel de lista y seleccione Inhabilitar.
El servidor de administración se encarga de la creación y el mantenimiento de la memoria caché de cuentas que contiene partes de Active Directory para los dominios gestionados. DRA utiliza la memoria caché de cuentas para mejorar el rendimiento al gestionar cuentas de usuario, grupos, contactos y cuentas de equipo.
Para programar el periodo de actualización de la memoria caché o ver su estado, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
NOTA:Para realizar actualizaciones incrementales de la memoria caché de cuentas en dominios que contienen subárboles gestionados, asegúrese de que la cuenta de servicio tenga acceso de lectura al contenedor Objetos suprimidos, así como a todos los objetos del dominio del subárbol. Puede usar la utilidad Objetos suprimidos para comprobar y delegar los poderes adecuados.
Una actualización incremental de la memoria caché de cuentas solo actualiza los datos que han cambiado desde la última actualización. La actualización incremental le proporciona un método simplificado de mantenerse al día con los cambios de Active Directory. Utilice la actualización incremental para actualizar rápidamente la memoria caché de cuentas con el mínimo efecto en la actividad de su empresa.
IMPORTANTE:Microsoft Server limita el número de usuarios simultáneos conectados a la sesión de WinRM/WinRS a cinco y el número de shells por usuario a cinco, así que asegúrese de que la misma cuenta de usuario esté limitada a cinco shells para los servidores secundarios de DRA.
Una actualización incremental actualiza los siguientes datos:
Objetos nuevos y clonados
Objetos suprimidos y movidos
Pertenencias a grupos
Todas las propiedades almacenadas en caché de los objetos modificados
Una actualización completa de la memoria caché de cuentas reconstruye la memoria caché de cuentas de DRA para el dominio especificado.
NOTA:Al ejecutar una actualización completa de la memoria caché de cuentas, el dominio no estará disponible para los usuarios de DRA.
Para actualizar la memoria caché de cuentas, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios
.
Para llevar a cabo al instante una actualización completa de la memoria caché de cuentas:
Desplácese a Configuration Management (Gestión de configuraciones) > Managed Domains (Dominios gestionados).
Haga clic con el botón derecho en el dominio que desee y seleccione Propiedades.
Haga clic en Actualizar ahora en la pestaña Full refresh (Actualización completa).
La frecuencia con la que debe actualizar la memoria caché de cuentas dependerá de la frecuencia con la que cambie su empresa. Utilice la actualización incremental para actualizar la memoria caché de cuentas con frecuencia, lo que garantiza que DRA disponga de la información más actualizada sobre Active Directory.
Por defecto, el servidor de administración lleva a cabo una actualización incremental de la memoria caché de cuentas con las siguientes frecuencias:
|
Tipo de dominio |
Periodo de actualización programado por defecto |
|---|---|
|
Dominios gestionados |
Cada 5 minutos |
|
Dominios de confianza |
Cada hora |
No se puede programar una actualización completa de la memoria caché de cuentas (FACR). Sin embargo, DRA ejecuta una FACR en las siguientes circunstancias:
Después de configurar un dominio gestionado por primera vez.
Después de actualizar DRA a una nueva versión completa desde una versión anterior.
Después de instalar un paquete de servicios de DRA.
Las actualizaciones completas de la memoria caché de cuentas tardan varios minutos en completarse.
Debe actualizar periódicamente la memoria caché de cuentas para asegurarse de que DRA disponga de la información más reciente. Antes de realizar o programar una actualización de la memoria caché de cuentas, tenga en cuenta lo siguiente:
Para realizar una actualización incremental de la memoria caché de cuentas, las cuentas de acceso o servicio del servidor de administración deben tener permiso para acceder a los objetos suprimidos en la instancia de Active Directory del dominio gestionado o de confianza.
Si DRA realiza una actualización de la memoria caché de cuentas, el servidor de administración no incluirá los grupos de seguridad locales de los dominios de confianza. Como la memoria caché no contiene estos grupos, DRA no le permitirá añadir un grupo de seguridad local de dominio desde el dominio de confianza a un grupo local en el servidor miembro gestionado.
Si omite un dominio de confianza de una actualización de la memoria caché de cuentas, el servidor de administración también omitirá ese dominio de la actualización de configuración del dominio.
Si incluye un dominio de confianza omitido anteriormente en la actualización de la memoria caché de cuentas, realice una actualización completa de la memoria caché de cuentas para el dominio gestionado. Esto garantiza que la memoria caché de cuentas incluida en el servidor de administración del dominio gestionado refleje correctamente los datos de pertenencia a grupo en los dominios gestionados y de confianza.
Si define el intervalo de actualización incremental de la memoria caché de cuentas en Nunca, el servidor de administración solo realizará actualizaciones completas de la memoria caché de cuentas. Una actualización completa de la memoria caché de cuentas puede tardar algún tiempo en completarse. Durante ese proceso, no se pueden gestionar los objetos de ese dominio.
DRA no puede determinar automáticamente cuándo se realizan cambios mediante otras herramientas, como los Servicios de directorio de Microsoft. Las operaciones realizadas fuera de DRA pueden afectar a la precisión de la información almacenada en caché. Por ejemplo, si utiliza otra herramienta para añadir un buzón a una cuenta de usuario, no puede usar Exchange para gestionar ese buzón hasta que actualice la memoria caché de cuentas.
Al realizar una actualización completa de la memoria caché de cuentas, las estadísticas de las últimas entradas a la sesión se conservan en la memoria caché. A continuación, el servidor de administración recopila la información más reciente de entrada a la sesión desde todos los controladores de dominio.
La recopilación de impresoras de AD está inhabilitada por defecto. Para habilitarla, desplácese a Configuration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar opciones del servidor de administración) > pestaña General y seleccione la casilla de verificación Collect Printers (Recopilar impresoras).
Puede configurar la actualización de limpieza de AD LDS para que se ejecute según una programación para dominios específicos. La configuración por defecto es no actualizar "Nunca". También puede ver el estado de limpieza e información específica relacionada con la configuración de AD LDS (ADAM).
Para configurar la programación de limpieza de AD LDS o ver su estado, haga clic con el botón derecho en el nodo Account and Resource Management (Gestión de cuentas y recursos) > Todos mis recursos gestionados y seleccione Propiedades > Adlds Cleanup Refresh Schedule (Programación de la actualización de limpieza de AD LDS) o Adlds Cleanup status (Estado de la limpieza de AD LDS) respectivamente.
Para ver información de configuración de AD LDS (ADAM), desplácese a Configuration Management (Gestión de configuraciones) > Update Server Options (Actualizar opciones del servidor) > ADAM Configuration (Configuración de ADAM).
Un grupo dinámico es aquel cuya pertenencia a grupo cambia según un conjunto definido de criterios que puede configurar en las propiedades del grupo. En las propiedades del dominio, puede configurar la actualización del grupo dinámico para que se ejecute según una programación de dominios específicos. La configuración por defecto es no actualizar "Nunca". También puede ver el estado de la actualización.
Para configurar la programación o ver el estado de actualización del grupo dinámico, haga clic con el botón derecho en el dominio que desee del nodo Gestión de cuentas y recursos > Todos mis objetos gestionados y seleccione Propiedades > Dynamic group refresh (Actualización del grupo dinámico) o Dynamic group status (Estado del grupo dinámico) respectivamente.
Para obtener más información sobre grupos dinámicos, consulte Grupos dinámicos de DRA.
Puede habilitar o inhabilitar la Papelera para cada dominio u objeto de Microsoft Windows dentro de cada dominio, y configurar cuándo y cómo desea que se realice la limpieza de la Papelera.
Para obtener información detallada sobre el uso de la Papelera, consulte Papelera.
Puede habilitar la Papelera para dominios específicos de Microsoft Windows y para objetos dentro de esos dominios. Por defecto, DRA habilita la Papelera para cada dominio que gestiona y todos los objetos del dominio. Debe ser miembro del grupo de admin. de DRA o de administradores asistentes de configuración de DRA para habilitar la Papelera.
Si su entorno incluye la siguiente configuración, utilice la utilidad Papelera para habilitar esta función:
DRA gestiona un subárbol de este dominio.
Las cuentas de acceso o servicio del servidor de administración no tienen permiso para crear el contenedor de la Papelera, desplazar las cuentas a ese contenedor ni modificar las cuentas incluidas en él.
También puede usar la utilidad Papelera para comprobar los permisos de las cuentas de acceso o servicio del servidor de administración en el contenedor de la Papelera.
Para habilitar la Papelera, haga clic con el botón derecho en el dominio que desee en el nodo Papelera y seleccione Disable Recycle Bin (Habilitar la Papelera).
Puede inhabilitar la Papelera para dominios específicos de Microsoft Windows y para objetos dentro de esos dominios. Si una Papelera inhabilitada contiene cuentas, no podrá ver, suprimir permanentemente ni restaurar esas cuentas.
Debe ser miembro del grupo de admin. de DRA o de administradores asistentes de admin. de configuración de DRA para inhabilitar la Papelera.
Para inhabilitar la Papelera, haga clic con el botón derecho en el dominio que desee en el nodo Papelera y seleccione Enable Recycle Bin (Inhabilitar la Papelera).
La configuración por defecto de limpieza de la Papelera es diariamente. Puede cambiar esta configuración para que la limpieza de la Papelera se realice cada x días. Durante la limpieza programada, la Papelera suprime los objetos que tienen una antigüedad superior a la cantidad de días que ha configurado para cada tipo de objeto. La configuración por defecto para cada tipo consiste en suprimir objetos con más de 1 día. Puede personalizar el comportamiento de la limpieza de la Papelera. Para ello, inhabilite, vuelva a habilitar y defina la antigüedad de los objetos que se suprimirán para cada tipo de objeto.
Para configurar la limpieza de la Papelera, seleccione el dominio que desee en la consola de delegación y configuración y desplácese a Tareas > Propiedades > pestaña Papelera.
En las siguientes secciones, se proporciona información conceptual sobre los informes de gestión de DRA y los recopiladores de informes que puede habilitar. Para acceder al asistente que le permitirá configurar los recopiladores, desplácese a Configuration Management (Gestión de configuraciones) > Update Reporting Service Configuration (Actualizar la configuración del servicio de elaboración de informes).
El recopilador de Active Directory recopila un conjunto específico de atributos de Active Directory para cada usuario, grupo, contacto, equipo, unidad administrativa y grupo dinámico de distribución gestionados en DRA. Estos atributos se almacenan en la base de datos de informes y se utilizan para generar informes en la consola de elaboración de informes.
Puede configurar el recopilador de Active Directory para especificar los atributos que se recopilarán y almacenarán en la base de datos de informes. También puede configurar el servidor de administración de DRA en el que se ejecutará el recopilador.
El recopilador de DRA recopila información sobre la configuración de DRA y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes.
Para habilitar el recopilador de DRA, debe especificar el servidor de administración de DRA en el que se ejecutará el recopilador. Como práctica recomendada, debe programar el recopilador de DRA para que se ejecute después de que se ejecute correctamente el recopilador de Active Directory y en los momentos en que el servidor tenga una menor carga o fuera del horario laboral habitual.
El recopilador de inquilinos de Office 365 recopila información sobre los usuarios gestionados que se sincronizan con Office 365 y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes.
Para habilitar el recopilador de Office 365, debe especificar el servidor de administración de DRA en el que se ejecutará el recopilador.
NOTA:El inquilino de Office 365 solo puede ejecutar una recopilación satisfactoria después de que el recopilador de Active Directory del dominio correspondiente ejecute correctamente una recopilación.
El recopilador de informes de gestión recopila información de auditoría de DRA y la almacena en la base de datos de informes, que se utiliza para generar informes en la consola de elaboración de informes. Al habilitar el recopilador, puede configurar la frecuencia con la que se actualizan los datos en la base de datos para las consultas que se ejecutan en la herramienta de elaboración de informes de DRA.
Esta configuración requiere que la cuenta de servicio de DRA disponga del permiso sysadmin en la instancia de SQL Server del servidor de elaboración de informes. A continuación, se indican las opciones que se pueden configurar:
Audit Export Data Interval (Intervalo de exportación de datos de auditoría): se trata del intervalo en el que se exportan los datos de auditoría del registro de seguimiento de DRA (LAS) en la base de datos "SMCubeDepot" de SQL Server.
Management Report Summarization Interval (Intervalo de resumen de informes de gestión): se trata del intervalo en el que los datos de auditoría de la base de datos de SMCubeDepot se transfieren a la base de datos de informes de DRA donde pueden consultarse con la herramienta de elaboración de informes de DRA.
Puede configurar DRA para que recopile las estadísticas de las últimas entradas a la sesión de todos los controladores de dominio del dominio gestionado. Para habilitar y programar la recopilación de las estadísticas de las últimas entradas a la sesión, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Configurar servidores y dominios.
La función de recopilación de las estadísticas de las últimas entradas a la sesión está inhabilitadas por defecto. Si desea recopilar los datos de las estadísticas de las últimas entradas a la sesión, debe habilitar esta función. Una vez que habilite la recopilación de estadísticas de las últimas entrada a la sesión, podrá ver estas estadísticas para un usuario específico o mostrar el estado de la recopilación de estadísticas de las últimas entradas a la sesión.
Para recopilar las estadísticas de las últimas entradas a la sesión:
Desplácese a Configuration Management (Gestión de configuraciones) > Managed Domains (Dominios gestionados).
Haga clic con el botón derecho en el dominio que desee y seleccione Propiedades.
Haga clic en la pestaña Last logon schedule (Programación de últimas entradas a la sesión) para configurar la recopilación de estadísticas de las últimas entradas a la sesión.
Por defecto, la función de Historial de cambios unificado (UCH, Unified Change History) permite generar informes de los cambios realizados por DRA.
Para gestionar el Historial de cambios unificado, asigne la función de administración del servidor del Historial de cambios unificado o los poderes correspondientes mostrados a continuación a los administradores asistentes:
Eliminar la configuración del servidor del Historial de cambios unificado.
Definir la información de configuración del Historial de cambios unificado.
Ver la información de configuración del Historial de cambios unificado.
Para delegar los poderes de UCH:
Haga clic en Poderes en el nodo de gestión de delegación y utilice la función de búsqueda de objetos para buscar y seleccionar los objetos de UCH que desee.
Haga clic en una de los poderes de UCH seleccionados y seleccione Delegate Roles and Powers (Delegar funciones y poderes).
Busque el usuario específico, el grupo o el grupo de administradores asistentes al que desea delegar poderes.
Utilice el Selector de objetos para buscar y añadir los objetos que desee y, a continuación, haga clic en Roles and Powers (Funciones y poderes) en el Asistente.
Haga clic en ActiveViewsy utilice el Selector de objetos para buscar y añadir los objetos que desee.
Haga clic en Siguiente y, a continuación, en Finalizar para completar el proceso de asignación de delegación.
Para configurar los servidores UCH:
Lance la consola Web y entre a la sesión con las credenciales de administrador asistente.
Vaya a Administración > Integraciones > Unified Change History (Historial de cambios unificado) y haga clic en el icono Añadir.
Especifique el nombre o la dirección IP del servidor UCH, el número de puerto, el tipo de servidor y la información de la cuenta de acceso en la configuración del Historial de cambios unificado.
Pruebe la conexión del servidor y haga clic en Aceptar para guardar la configuración.
Añada servidores adicionales según proceda.
Para utilizar la Automatización del flujo de trabajo en DRA, debe instalar el Motor de flujo de trabajo en una instancia de Windows Server y configurar el servidor de Automatización del flujo de trabajo mediante la consola Web.
Para configurar el servidor de Automatización del flujo de trabajo, entre a la consola Web y acceda a Administración > Integraciones > Automatización del flujo de trabajo.
Para obtener información acerca de cómo instalar el Motor de flujo de trabajo, consulte Workflow Automation Administrator Guide (Guía del administrador de Automatización del flujo de trabajo).
El cliente de delegación y configuración proporciona acceso a las tareas de configuración y delegación, y satisface las necesidades de gestión empresarial, desde la administración distribuida hasta la aplicación de directivas. Mediante la consola de delegación y configuración, puede definir el modelo de seguridad y las configuraciones de servidor que necesita para gestionar su empresa de forma eficaz.
Para configurar el cliente de delegación y configuración:
Lance el cliente de delegación y configuración, y desplácese a Configuration Management (Gestión de configuraciones) > Update Administration Server Options (Actualizar opciones del servidor de administración).
Haga clic en la pestaña Client Options (Opciones de cliente) y defina los valores que prefiera en las opciones de configuración que se muestran:
"Allow users to search by ActiveView" (Permitir a los usuarios buscar por ActiveView)
"Hide source-only objects from console lists" (Ocultar los objetos solo de origen de las listas de consolas)
"Show advanced Active Directory objects" (Mostrar objetos avanzados de Active Directory)
"Show Security command" (Mostrar el comando de seguridad)
"Show resource and shared mailboxes when searching for users" (Mostrar recurso y buzones compartidos al buscar usuarios)
"Default user UPN suffix to current domain" (Sufijo de UPN de usuario por defecto en el dominio actual)
"Maximum items editable at a time (Multi-select)" (Número máximo de elementos que se pueden editar cada vez, selección múltiple)
Opciones de búsqueda
"Carriage Return Option" (Opción de retorno de carro)
"Exchange Mailbox Storage Limits Units" (Unidades de los límites de almacenamiento de los buzones de Exchange)
Puede configurar la consola Web para realizar la autenticación con tarjetas inteligentes o mediante la autenticación multifactor y personalizar también la marca con su propio logotipo y título de la aplicación.
Puede iniciar la consola Web desde cualquier equipo, o dispositivo iOS o Android que ejecute un navegador Web. Para iniciar la consola, especifique la dirección URL adecuada en el campo de dirección del navegador Web. Por ejemplo, si ha instalado el componente Web en el equipo HOUserver, escriba https://HOUserver/draclient en el campo de dirección del navegador Web.
NOTA:Para que se muestre la información más reciente de la cuenta y de Microsoft Exchange en la consola Web, configure el navegador Web para que compruebe si hay versiones más recientes de las páginas en caché en cada visita.
Puede definir un incremento de tiempo para que la consola Web salga automáticamente de la sesión después de un periodo de inactividad o establecerla para que nunca cierre la sesión automáticamente.
Para configurar la salida automática de la sesión en la consola Web, desplácese a Administración > Configuración > Salir automáticamente.
Puede configurar una de las tres opciones en la consola Web para definir las opciones de conexión del servidor DRA al entrar a la sesión. Una vez establecida, la configuración de conexión es la misma tanto para los administradores como para los administradores asistentes en el panel desplegable Opciones al entrar a la consola Web.
Utilizar siempre la ubicación por defecto del servidor DRA (Siempre).
No utilizar nunca la ubicación por defecto del servidor DRA (Nunca).
Utilizar solo la ubicación por defecto del servidor DRA si se selecciona (Solo si está seleccionado).
A continuación, se describe el comportamiento de cada opción al entrar a la sesión:
|
Configuración de la conexión |
Pantalla de entrada a la sesión - Opciones |
Descripciones de las opciones de conexión |
|---|---|---|
|
Siempre |
Ninguno |
Se inhabilitan las configuraciones de la opción. |
|
Nunca |
Usar descubrimiento automático |
Busca automáticamente un servidor DRA; no hay disponible ninguna opción de configuración. |
|
Conectar a un servidor DRA específico |
El usuario configura el servidor y el puerto. |
|
Conectarse a un servidor DRA que gestiona un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
|
Solo si está seleccionado |
Usar descubrimiento automático |
Busca automáticamente un servidor DRA; no hay disponible ninguna opción de configuración. |
|
Conectar al servidor DRA por defecto |
Se selecciona el servidor por defecto y se inhabilita la configuración del servidor DRA. |
|
Conectar a un servidor DRA específico |
El usuario configura el servidor y el puerto. |
|
Conectarse a un servidor DRA que gestiona un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
Para configurar la conexión del servidor DRA en la consola Web, desplácese a Administración > Configuración > Conexión del servidor DRA.
La configuración de la conexión del servicio REST incluye la configuración de una ubicación de servidor por defecto y un tiempo límite de conexión expresado en segundos. Puede configurar una de las tres opciones en la consola Web para definir las opciones de conexión del servicio REST al entrar a la sesión. Una vez establecida, la configuración de conexión es la misma tanto para los administradores como para los administradores asistentes en el panel desplegable Opciones al entrar a la consola Web.
Utilizar siempre la ubicación por defecto del servicio REST (Siempre).
No utilizar nunca la ubicación por defecto del servicio REST (Nunca).
Utilizar solo la ubicación por defecto del servicio REST si se selecciona (Solo si está seleccionado).
A continuación, se describe el comportamiento de cada opción al entrar a la sesión:
|
Configuración de la conexión |
Pantalla de entrada a la sesión - Opciones |
Descripciones de las opciones de conexión |
|---|---|---|
|
Siempre |
Ninguno |
Se inhabilitan las configuraciones de la opción. |
|
Nunca |
Usar descubrimiento automático |
Busca automáticamente un servidor REST; no hay disponible ninguna opción de configuración. |
|
Conectar a un servidor REST específico |
El usuario configura el servidor y el puerto. |
|
Conectar a un servidor REST de un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
|
Solo si está seleccionado |
Usar descubrimiento automático |
Busca automáticamente un servidor REST; no hay disponible ninguna opción de configuración. |
|
Conectar al servidor REST por defecto |
Se selecciona el servidor REST por defecto y se inhabilita la configuración del servidor REST. |
|
Conectar a un servidor REST específico |
El usuario configura el servidor y el puerto. |
|
Conectar a un servidor REST de un dominio específico |
El usuario especifica un dominio gestionado y elige una opción de conexión:
|
Para configurar la conexión del servicio REST en la consola Web, desplácese a Administración > Configuración > Conexión del servicio REST.
Esta sección contiene información para configurar la autenticación con tarjeta inteligente, la autenticación de Windows y la autenticación multifactor mediante la integración de Advanced Authentication.
Para configurar la consola Web para que acepte a un usuario en función de las credenciales del cliente de la tarjeta inteligente, debe configurar Internet Information Services (IIS) y el archivo de configuración de los servicios REST.
IMPORTANTE:Asegúrese de que los certificados de la tarjeta inteligente se hayan instalado también en el almacén de certificados raíz del servidor Web debido a que IIS debe poder encontrar certificados que coincidan con los que se incluyen en la tarjeta.
Instale los componentes de autenticación en el servidor Web.
Inicie el gestor del servidor.
Haga clic en Servidor Web (IIS).
Acceda a la sección Role Services (Servicios de función) y haga clic en Add Role Services (Añadir servicios de función).
Vaya al nodo de servicios de función de seguridad y seleccione Windows Authentication (Autenticación de Windows) y Client Certificate Mapping Authentication (Autenticación de asignaciones de certificado de cliente).
Habilite la autenticación en el servidor Web.
Inicie el Administrador de IIS.
Seleccione el servidor Web.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Active Directory Client Certificate Authentication" (Autenticación de asignaciones de certificado de cliente) y "Windows Authentication" (Autenticación de Windows).
Configure el cliente de DRA.
Seleccione el cliente de DRA.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Windows Authentication" (Autenticación de Windows) y desactive "Anonymous Authentication" (Autenticación anónima).
Habilite los certificados SSL y de cliente en el cliente de DRA.
Busque el icono de Servicios SSL que aparece debajo de la sección de IIS y haga doble clic en él.
Seleccione Require SSL (Requerir SSL) y, a continuación, Require (Requerir) en "Client certificates" (Certificados de cliente).
SUGERENCIA:Si la opción está disponible, seleccione Require 128-bit SSL (Requerir SSL de 128 bits).
Configure la aplicación Web de los servicios REST.
Seleccione la aplicación Web de los servicios REST.
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Windows Authentication" (Autenticación de Windows) y desactive "Anonymous Authentication" (Autenticación anónima).
Habilite los certificados SSL y de cliente en la aplicación Web de los servicios REST.
Busque el icono de Servicios SSL que aparece debajo de la sección de IIS y haga doble clic en él.
Seleccione Require SSL (Requerir SSL) y, a continuación, Require (Requerir) en "Client certificates" (Certificados de cliente).
SUGERENCIA:Si la opción está disponible, seleccione Require 128-bit SSL (Requerir SSL de 128 bits).
Configure el archivo del servicio Web WCF.
Seleccione la aplicación Web de los servicios REST y cambia a la vista de contenido.
Busque el archivo .svc y haga clic con el botón derecho en él.
Seleccione Switch to Features View (Cambiar a la vista de funciones).
Busque el icono de Autenticación que aparece debajo de la sección de IIS y haga doble clic en él.
Habilite "Anonymous Authentication" (Autenticación anónima) e inhabilite todos los demás métodos de autenticación.
Edite el archivo de configuración de servicios REST.
Utilice un editor de texto para abrir el archivo C:\inetpub\wwwroot\DRAClient\rest\web.config.
Busque la línea <authentication mode="None" /> y suprímala.
Añada las líneas mostradas a continuación debajo de la línea <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Añada las siguientes líneas debajo de la línea <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Añada las siguientes líneas encima de la línea <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Guarde el archivo y reinicie el servidor IIS.
Para habilitar la autenticación de Windows en la consola Web, debe configurar Internet Information Services (IIS) y el archivo de configuración de los servicios REST.
Abra Gestor IIS.
En el panel Conexiones, localice la aplicación Web de servicios REST y selecciónela.
En el panel derecho, vaya a la sección IIS y haga doble clic en Autenticación.
Habilite Windows Authentication (Autenticación de Windows) e inhabilite todos los demás métodos de autenticación.
Utilice un editor de texto para abrir el archivo C:\inetpub\wwwroot\DRAClient\rest\web.config y busque la línea <authentication mode="None" />.
Cambie "None" por "Windows" y guarde el archivo.
Reinicie el servidor IIS.
Advanced Authentication Framework (AAF) es nuestro paquete de software principal que permite ir más allá del uso de un nombre de usuario y una contraseña sencillos a una forma más segura de proteger la información confidencial mediante el uso de la autenticación multifactor.
Advanced Authentication admite los siguientes protocolos de comunicación para la seguridad:
TLS 1.2 (valor por defecto), TLS 1.1 y TLS 1.0
SSL 3.0
La autenticación multifactor es un método de control de acceso al equipo que requiere más de un método de autenticación a partir de categorías independientes de credenciales para verificar la identidad de un usuario.
Existen tres tipos de categorías de autenticación o factores:
Conocimientos. Esta categoría requiere que conozca información específica, como una contraseña o un código de activación.
Posesión. Esta categoría requiere que tenga un dispositivo de autenticación, como una tarjeta o un teléfono inteligentes.
Cuerpo. Esta categoría requiere que utilice una parte de su anatomía, como su huella dactilar, como método de verificación.
Cada factor de autenticación contiene al menos un método de autenticación. Un método de autenticación es una técnica específica que puede utilizar para establecer la identidad de un usuario, por ejemplo, mediante el uso de una huella digital o la solicitud de una contraseña.
Puede considerar un proceso de autenticación como seguro si utiliza más de un tipo de método de autenticación; por ejemplo, si requiere una contraseña y una huella digital.
Advanced Authentication admite los siguientes métodos de autenticación:
Contraseña de LDAP
Servicio de autenticación remota telefónica de usuario (RADIUS, Remote Authentication Dial-In User Service)
Teléfono inteligente
SUGERENCIA:El método de teléfono inteligente requiere que el usuario descargue una aplicación para iOS o Android. Para obtener más información, consulte Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication: guía del usuario de las aplicaciones para teléfonos inteligentes) en el sitio Web de documentación de NetIQ.
Utilice la información de las siguientes secciones para configurar la consola Web a fin de utilizar la autenticación multifactor.
IMPORTANTE:Aunque algunos de los pasos descritos en las siguientes secciones se realizan dentro de la consola Web, la mayoría del proceso de configuración de autenticación multifactor requiere acceso a AAF. En estos procedimientos, se presupone que ha instalado AAF y tiene acceso a la documentación de ayuda de AAF.
El primer paso para configurar la consola Web para utilizar la autenticación multifactor consiste en añadir todos los dominios de Active Directory que contienen los administradores de DRA y los administradores asistentes gestionados por DRA a AAF. Estos dominios se denominan repositorios y contienen los atributos de identidad de los usuarios y grupos que desea autenticar.
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Repositories (Repositorios).
Haga clic en Añadir.
Complete el formulario.
SUGERENCIA:El tipo de LDAP es AD.
SUGERENCIA:Escriba un nombre de usuario y una contraseña de nivel de administrador en los campos correspondientes.
Haga clic en Add Server (Añadir servidor).
Escriba la dirección IP del servidor LDAP en el campo Address (Dirección).
Haga clic en Save (Guardar).
Repita los pasos 3 a 7 para todos los demás repositorios de AD gestionados por DRA.
En cada repositorio que aparezca en la página "Repositories" (Repositorios), haga clic en Sync now (Sincronizar ahora) para sincronizarlo con el servidor AAF.
Una cadena de autenticación contiene al menos un método de autenticación. Se llamará a los métodos de la cadena en el orden en el que se añadieron a esta. Para que un usuario logre autenticarse, debe superar todos los métodos de la cadena. Por ejemplo, puede crear una cadena que contenga el método de contraseña LDAP y el método SMS. Cuando un usuario intenta autenticarse con esta cadena, debe autenticarse primero con su contraseña LDAP; a continuación, se le enviará un mensaje de texto a su teléfono móvil con una contraseña de un solo uso. Después de que introduzca la contraseña, todos los métodos de la cadena se habrán cumplido y la autenticación se completará satisfactoriamente. Se puede asignar una cadena de autenticación a un usuario o un grupo específicos.
Para crear una cadena de autenticación:
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Chains (Cadenas). En el panel derecho, se muestra una lista de las cadenas disponibles.
Haga clic en Añadir.
Complete el formulario. Todos los campos son obligatorios.
IMPORTANTE:Añada los métodos de autenticación en el orden en que deben llamarse, es decir, si desea que el usuario introduzca primero una contraseña LDAP, añádala primero.
IMPORTANTE:Asegúrese de que el conmutador Apply if used by endpoint owner (Aplicar si se utiliza por el propietario del puesto final) se haya establecido en OFF (desactivado).
Cambie Is enabled (Está habilitado) a ON (activado).
Escriba los nombres de las funciones o grupos que se someterán a la solicitud de autenticación en el campo Roles & Groups (Funciones y grupos).
SUGERENCIA:Si desea que la cadena se aplique a todos los usuarios, escriba all users (todos los usuarios) en el campo Roles & Groups (Funciones y grupos) y seleccione All Users (Todos los usuarios) en la lista desplegable resultante.
Todos los usuarios o los grupos que seleccione se añadirán debajo del campo Roles & Groups (Funciones y grupos).
Haga clic en Save (Guardar).
Un evento de autenticación lo activa una aplicación (en ese caso, la consola Web) que desea que se autentique un usuario. Se debe asignar al menos una cadena de autenticación al evento para que, cuando se active el evento, se llame a los métodos de la cadena asociada con el evento para autenticar al usuario.
Un puesto final es el dispositivo real, como un equipo o un teléfono inteligente, que ejecuta el software que activa el evento de autenticación. DRA registrará el puesto final en AAF después de crear el evento.
Puede utilizar el recuadro de lista blanca de puestos finales para restringir el acceso a un evento a puestos finales específicos, o bien puede permitir que todos los puestos finales accedan al evento.
Para crear un evento de autenticación:
Entre al portal de administración de AAF con un nombre de usuario y contraseña de nivel de administrador.
Vaya al panel izquierdo y haga clic en Events (Eventos). En el panel derecho, se muestra una lista de los eventos disponibles.
Haga clic en Añadir.
Complete el formulario. Todos los campos son obligatorios.
IMPORTANTE:Asegúrese de que el conmutador Is enabled (Está habilitado) se haya establecido en ON (activado).
Si desea restringir el acceso a puestos finales específicos, vaya a la sección de la lista blanca de puestos finales y desplace los puestos finales seleccionados de la lista Available (Disponibles) a la lista Used (Usados).
SUGERENCIA:Si no hay ningún puesto final en la lista Used (Usados), el evento estará disponible para todos los puestos finales.
Después de configurar cadenas y eventos, puede entrar a la consola Web como administrador y habilitar Advanced Authentication.
Una vez habilitada la autenticación, todos los usuarios deberán autenticarse mediante AAF para que se les conceda acceso a la consola Web.
IMPORTANTE:Antes de habilitar la consola Web, debe haberse inscrito en los métodos de autenticación que la consola Web utilizará para la autenticación de usuarios. Consulte Advanced Authentication Framework User Guide (Guía del usuario de Advanced Authentication Framework) para obtener información sobre cómo inscribirse en los métodos de autenticación.
Para habilitar Advanced Authentication, entre a la consola Web y desplácese a Administración > Configuración > Advanced Authentication. Active la casilla de verificación Habilitado y configure el formulario en función de las instrucciones proporcionadas para cada campo.
SUGERENCIA:Después de guardar la configuración, se creará el puesto final en AAF. Para verlo o editarlo, entre al portal de administración de AAF con un nombre de usuario y una contraseña de nivel de administrador y haga clic en Endpoints (Puestos finales) en el panel izquierdo.
Entre al portal de administración de AAF con un nombre de usuario y una contraseña de nivel de administrador y haga clic en Events (Eventos) en el panel izquierdo.
Edite cada uno de los eventos de la consola Web:
Abra el evento para editarlo.
Vaya a la sección de la lista blanca de puestos finales y desplace el puesto final que creó al configurar la consola Web de la lista Available (Disponibles) a la lista Used (Usados). Esto garantizará que solo la consola Web pueda utilizar estos eventos.
Haga clic en Save (Guardar).