Al planificar la implantación de Directory and Resource Administrator, utilice esta sección para evaluar la compatibilidad del hardware y el entorno, y anotar los puertos y los protocolos necesarios que deberá configurar para la implantación.
En esta sección, se proporciona información de ajuste de tamaño para la recomendación básica de recursos. Los resultados pueden variar según el hardware disponible, el entorno específico, el tipo concreto de datos procesados y otros factores. Es probable que otras configuraciones de hardware de mayor dimensión y potencia puedan manejar una carga mayor. Si tiene alguna pregunta, póngase en contacto con los servicios de consultoría de NetIQ.
Se ejecuta en un entorno con aproximadamente un millón de objetos de Active Directory:
|
Componente |
CPU |
Memoria |
Almacenamiento |
|---|---|---|---|
|
Servidor de administración de DRA |
4 CPU (x64)/núcleos a 2,0 GHz |
16 GB |
100 GB |
|
Consola Web de DRA |
2 CPU (x64)/núcleos a 2,0 GHz |
8 GB |
100 GB |
|
Módulo de elaboración de informes de DRA |
4 CPU (x64)/núcleos a 2,0 GHz |
16 GB |
100 GB |
|
Servidor de flujo de trabajo de DRA |
4 CPU (x64)/núcleos a 2,0 GHz |
16 GB |
100 GB |
DRA mantiene activos grandes segmentos de memoria durante periodos prolongados. Durante la provisión de recursos para un entorno virtual, se deben tener en cuenta las siguientes recomendaciones:
Asigne el almacenamiento como "Provisión pesada".
Establezca la reserva de memoria en "Reserve All Guest Memory(All Locked)".
Asegúrese de que el archivo de paginación sea lo suficientemente grande como para cubrir la posible reasignación de la memoria inflada en la capa virtual.
En esta sección, se indican los puertos y los protocolos de comunicación de DRA.
Los puertos que se pueden configurar se indican con un asterisco (*).
Los puertos que requieren un certificado se indican con dos asteriscos (**).
|
Protocolo y puerto |
Dirección |
Destino |
Uso |
|---|---|---|---|
|
TCP 135 |
Bidireccional |
Servidores de administración de DRA |
Asignador de puesto final, un requisito básico para la comunicación de DRA; permite que los servidores de administración se localicen entre sí en MMS. |
|
TCP 445 |
Bidireccional |
Servidores de administración de DRA |
Réplica del modelo de delegación; réplica basada en archivos durante la sincronización MMS (SMB). |
|
Intervalo de puertos TCP dinámicos* |
Bidireccional |
Controladores de dominio de Microsoft Active Directory |
Por defecto, DRA asigna puertos de forma dinámica a partir del intervalo de puertos TCP 1024 a 65535. Sin embargo, puede configurar este intervalo mediante servicios de componentes. Para obtener más información, consulte la sección Uso de COM distribuido con el cortafuegos (DCOM). |
|
TCP 50000 * |
Bidireccional |
Servidores de administración de DRA |
Réplica de atributos y comunicación del servidor de DRA con ADAM. (LDAP) |
|
TCP 50001 * |
Bidireccional |
Servidores de administración de DRA |
Réplica de atributos SSL (ADAM). |
|
TCP/UDP 389 |
Saliente |
Controladores de dominio de Microsoft Active Directory |
Gestión de objetos de Active Directory (LDAP). |
|
Saliente |
Microsoft Exchange Server |
Gestión de buzones (LDAP). |
|
|
TCP/UDP 53 |
Saliente |
Controladores de dominio de Microsoft Active Directory |
Resolución de nombres |
|
TCP/UDP 88 |
Saliente |
Controladores de dominio de Microsoft Active Directory |
Permite la autenticación desde el servidor de DRA en los controladores de dominio (Kerberos). |
|
TCP 80 |
Saliente |
Microsoft Exchange Server |
Necesario para las versiones de Exchange server de 2010 a 2013 instaladas localmente (HTTP). |
|
Saliente |
Microsoft Office 365 |
Acceso remoto a PowerShell (HTTP). |
|
|
TCP 443 |
Saliente |
Microsoft Office 365 y Change Guardian |
Acceso de API gráfica e integración de Change Guardian (HTTPS). |
|
TCP 443, 5986 y 5985 |
Saliente |
Microsoft PowerShell |
cmdlets nativos de PowerShell (HTTPS) y acceso remoto a PowerShell. |
|
TCP 8092 * ** |
Saliente |
Servidor de flujo de trabajo |
Activación y estado de flujo de trabajo (HTTPS). |
|
TCP 50101 * |
Entrante |
Cliente de DRA |
Haga clic con el botón derecho en el informe Historial de cambios para obtener un informe de auditoría de IU. Se puede configurar durante la instalación. |
|
TCP 8989 |
Host local |
Servicio de archivo de registro |
Comunicación con el archivo de registro (no es necesario abrirlo a través del cortafuegos). |
|
TCP 50102 |
Bidireccional |
Servicio del núcleo de DRA |
Servicio de archivo de registro |
|
TCP 50103 |
Host local |
Servicio de caché de DRA |
Comunicación del servicio de caché en el servidor DRA (no necesita abrirlo a través del cortafuegos). |
|
TCP 1433 |
Saliente |
Microsoft SQL Server |
Recopilación de datos de informes. |
|
UDP 1434 |
Saliente |
Microsoft SQL Server |
El servicio de navegador de SQL Server utiliza este puerto para identificar el puerto de la instancia con nombre. |
|
TCP 8443 |
Bidireccional |
Servidor de Change Guardian |
Historial de cambios unificado. |
|
Protocolo y puerto |
Dirección |
Destino |
Uso |
|---|---|---|---|
|
TCP 8755 * ** |
Entrante |
Servidor IIS, cmdlets de PowerShell de DRA. |
Ejecute las actividades de flujo de trabajo basadas en REST de DRA (ActivityBroker). |
|
TCP 11192 * ** |
Saliente |
Servicio de host de DRA |
Para la comunicación entre el servicio REST de DRA y el servicio de administración de DRA. |
|
TCP 135 |
Saliente |
Controladores de dominio de Microsoft Active Directory |
Detección automática mediante el punto de conexión de servicio (SCP). |
|
TCP 443 |
Saliente |
Controladores de dominio de Microsoft AD |
Detección automática mediante el punto de conexión de servicio (SCP). |
|
Protocolo y puerto |
Dirección |
Destino |
Uso |
|---|---|---|---|
|
TCP 8755 * ** |
Saliente |
Servicio REST de DRA |
Para la comunicación entre la consola Web, PowerShell y el servicio de host de DRA. |
|
TCP 443 |
Entrante |
Navegador de cliente |
Apertura del sitio Web de DRA. |
|
TCP 443 ** |
Saliente |
Servidor de Advanced Authentication |
Advanced Authentication |
|
Protocolo y puerto |
Dirección |
Destino |
Uso |
|---|---|---|---|
|
TCP 135 |
Saliente |
Controladores de dominio de Microsoft Active Directory |
Detección automática mediante SCP. |
|
Intervalo de puertos TCP dinámicos* |
Saliente |
Servidores de administración de DRA |
Actividades de flujo de trabajo del adaptador de DRA. Por defecto, DCOM asigna puertos de forma dinámica a partir del intervalo de puertos TCP 1024 a 65535. Sin embargo, puede configurar este intervalo mediante servicios de componentes. Para obtener más información, consulte la sección Uso de COM distribuido con el cortafuegos (DCOM). |
|
TCP 50102 |
Saliente |
Servicio del núcleo de DRA |
Creación de informes Historial de cambios. |
|
Protocolo y puerto |
Dirección |
Destino |
Uso |
|---|---|---|---|
|
TCP 8755 |
Saliente |
Servidores de administración de DRA |
Ejecute las actividades de flujo de trabajo basadas en REST de DRA (ActivityBroker). |
|
Intervalo de puertos TCP dinámicos* |
Saliente |
Servidores de administración de DRA |
Actividades de flujo de trabajo del adaptador de DRA. Por defecto, DCOM asigna puertos de forma dinámica a partir del intervalo de puertos TCP 1024 a 65535. Sin embargo, puede configurar este intervalo mediante servicios de componentes. Para obtener más información, consulte la sección Uso de COM distribuido con el cortafuegos (DCOM). |
|
TCP 1433 |
Saliente |
Microsoft SQL Server |
Almacenamiento de datos de flujo de trabajo. |
|
TCP 8091 |
Entrante |
Consola de operaciones y consola de configuración. |
API de BSL de flujo de trabajo (TCP). |
|
TCP 8092 ** |
Entrante |
Servidores de administración de DRA |
API de BSL de flujo de trabajo (HTTP y HTTPS) |
|
TCP 2219 |
Host local |
Proveedor de espacio de nombres |
Utilizado por el proveedor de espacio de nombres para ejecutar adaptadores. |
|
TCP 9900 |
Host local |
Correlation Engine |
Utilizado por el motor de correlación para comunicarse con el motor de flujo de trabajo y el proveedor del espacio de nombres. |
|
TCP 10117 |
Host local |
Proveedor de espacio de nombres de gestión de recursos |
Utilizado por el proveedor de espacio de nombres de gestión de recursos. |
Para obtener la información más reciente acerca de las plataformas de software admitidas, consulte la página de Directory and Resource Administrator en el sitio Web de NetIQ:
|
Sistema gestionado |
Requisitos previos |
|---|---|
|
Active Directory |
|
|
Microsoft Exchange |
|
|
Microsoft Office 365 |
|
|
Skype Empresarial |
|
|
Historial de cambios |
|
|
Navegadores Web |
|
|
Automatización de flujos de trabajo |
|
DRA presenta los siguientes requisitos del servidor para el software y las cuentas:
|
Componente |
Requisitos previos |
|---|---|
|
Destino de instalación Sistema operativo |
Sistema operativo de NetIQ Administration Server:
Interfaces de DRA de Windows:
|
|
Instalador |
|
|
Servidor de administración |
Directory and Resource Administrator:
Administración de Microsoft Office 365/Exchange Online:
Para obtener más información, consulte Plataformas compatibles. |
|
Componentes Web heredados |
Servidor Web:
Componentes de Microsoft IIS:
Interfaces de DRA de Windows:
|
|
Cuenta |
Descripción |
Permisos |
|---|---|---|
|
Grupo de AD LDS |
La cuenta de servicio de DRA debe añadirse a este grupo para acceder a AD LDS. |
|
|
Cuenta de servicio de DRA |
Los permisos necesarios para ejecutar el servicio de administración de NetIQ. |
NOTA:Para obtener más información sobre cómo configurar las cuentas de acceso de dominio con privilegios mínimos, consulte: Cuentas de acceso de DRA con privilegios mínimos. |
|
Administrador de DRA |
Cuenta de usuario o grupo configurada para la función integrada de administradores de DRA. |
|
|
Cuentas de administrador asistente de DRA |
Cuentas con competencias delegadas a través de DRA. |
|
A continuación, se muestran los permisos y los privilegios necesarios para las cuentas especificadas y los comandos de configuración que debe ejecutar.
Cuenta de acceso al dominio: Asigne los siguientes permisos de Active Directory a la cuenta de acceso al dominio:
Control TOTAL de los objetos de dominio integrados
Control TOTAL de los objetos de equipo
Control TOTAL de los objetos de contacto
Control TOTAL de los objetos de contenedor
Control TOTAL de los grupos de distribución dinámica
Control TOTAL de los objetos de grupo
Control TOTAL de los objetos de Inetorgperson
Control TOTAL de los objetos de MsExchSystemObjectContainer
Control TOTAL de los objetos de unidad organizativa
Control TOTAL de los objetos de impresora
Control TOTAL de las carpetas públicas
Control TOTAL de los objetos de usuario
Especifique los siguientes privilegios con un ámbito de "Este objeto y todos los objetos secundarios" en la cuenta de acceso al dominio:
Permitir creación de objetos de equipo.
Permitir creación de objetos de contacto.
Permitir creación de contenedor.
Permitir creación de objetos de grupo.
Permitir creación de MsExchDynamicDistiributionList.
Permitir creación de objetos de unidad organizativa.
Permitir creación de carpetas públicas.
Permitir creación de punto de conexión de servicio.
Permitir creación de objetos de usuario.
Permitir supresión de objetos de equipo.
Permitir supresión de objetos de contacto.
Permite supresión de contenedor.
Permitir supresión de objetos de grupo.
Permitir supresión de objetos de InetOrgPerson.
Permitir supresión de MsExchDynamicDistiributionList.
Permitir supresión de objetos de unidad organizativa.
Permitir supresión de carpetas públicas.
Permitir supresión de punto de conexión de servicio.
Permitir supresión de objetos de usuario.
Cuenta de acceso de inquilino a Office 365: asigne los siguientes permisos de Active Directory a la cuenta de acceso de inquilino a Office 365:
Administrador de gestión de usuarios de Office 365
Gestión de destinatarios de Exchange Online
Cuenta de acceso a Exchange: asigne la función Administración de organización a la cuenta de acceso a Exchange para gestionar Exchange 2010.
Cuenta de acceso a Skype: asegúrese de que esta cuenta sea un usuario habilitado para Skype y que sea miembro de al menos una de las siguientes funciones:
Función de CSAdministrator
Funciones de CSUserAdministrator y CSArchiving
Cuenta de acceso a las carpetas públicas: asigne los siguientes permisos de Active Directory a la cuenta de acceso a las carpetas públicas:
Gestión de carpetas públicas
Carpetas públicas habilitadas para correo
Después de la instalación de DRA:
Ejecute el siguiente comando para delegar permisos al "Contenedor Objetos eliminados" de la carpeta de instalación de DRA (Nota: un administrador de dominio debe ejecutar el comando):
DraDelObjsUtil.exe /domain:<NombreDominioNetbios> /delegate:<Nombre de cuenta>
Ejecute el siguiente comando para delegar el permiso a "NetIQReceyleBin OU" desde la carpeta de instalación (Nota: esta acción solo puede realizarse después de añadir los dominios respectivos para que DRA los gestione):
DraRecycleBinUtil.exe /domain:<NombreDominioNetbios> /delegate:<Nombre de la cuenta>
Añada la cuenta de anulación de privilegios mínimos al grupo "Administradores locales" en cada equipo que gestionará DRA como, por ejemplo, impresoras, servicios, registro de eventos, dispositivos, etc.
Conceda la cuenta de anulación de privilegios mínimos "Permiso completo" en las carpetas compartidas o las carpetas DFS donde se aprovisionan los directorios principales.
Añada la cuenta de anulación de privilegios mínimos a la función "Administración de organización" para gestionar los objetos de Exchange.
Entre los requisitos de la consola Web y las extensiones REST, se incluyen los siguientes:
|
Componente |
Requisitos previos |
|---|---|
|
Destino de instalación |
Sistema operativo:
|
|
Servicio de host de DRA |
|
|
Servicio y puesto final REST de DRA |
|
|
Extensiones de PowerShell |
|
|
Consola Web de DRA |
Servidor Web:
Componentes de Microsoft IIS:
|
Entre los requisitos del módulo de elaboración de informes de DRA, se incluyen los siguientes:
|
Componente |
Requisitos previos |
|---|---|
|
Destino de instalación |
Sistema operativo:
|
|
NetIQ Reporting Center (v3.2) |
Base de datos:
Servidor Web:
Microsoft .NET Framework 3.5: Todos los servidores de administración de DRA que se conectan al módulo de elaboración de informes de DRA también requieren .NET Framework 3.5. NOTA:Al instalar NetIQ Reporting Center (NRC) en un equipo con SQL Server, es posible que sea necesario instalar manualmente .NET Framework 3.5 antes de instalar NRC. |
|
Módulo de elaboración de informes de DRA |
Base de datos:
|
La licencia determina los productos y las funciones que puede utilizar. DRA requiere una clave de licencia instalada con el servidor de administración.
Después de instalar el servidor de administración, puede utilizar la utilidad de comprobación de estado para instalar una clave de licencia de prueba (TrialLicense.lic) que le permita gestionar un número ilimitado de cuentas de usuario y buzones durante 30 días.
Consulte el Acuerdo de licencia de usuario final (EULA) para obtener información sobre la definición y las restricciones de licencia.