DRA le permite configurar varias directivas que le ayudarán a proteger su empresa y evitar que se dañen los datos. Estas directivas funcionan dentro del contexto del modelo de seguridad dinámico, lo que garantiza que la aplicación de directivas esté automáticamente al día en relación con los cambios de la empresa. El establecimiento de directivas, como las convenciones de denominación, los límites de uso del disco y la validación de propiedades, le permite aplicar reglas que ayudarán a mantener la integridad de los datos de su empresa.
En DRA, puede definir rápidamente reglas de directiva para estas áreas de gestión empresarial:
Microsoft Exchange
Office 365
Directorio personal.
Generación de contraseñas
DRA también proporciona directivas integradas para grupos, cuentas de usuario y equipos.
Para administrar o definir directivas, debe disponer de los poderes adecuados, como los que se incluyen en las funciones Administradores de DRA o Gestionar directivas y activadores de automatización. Para ayudarle a gestionar las directivas, DRA proporciona el informe de información de directiva. Este informe proporciona la siguiente información:
Indica si se ha habilitado la directiva.
Muestra las operaciones asociadas.
Muestra los objetos que se rigen por esta directiva.
Proporciona información sobre el ámbito de la directiva.
Puede utilizar este informe para asegurarse de que se hayan definido correctamente las directivas. También puede utilizar este informe para comparar las propiedades de las directivas, detectar conflictos y aplicar de forma más eficaz las directivas en su empresa.
Puede asociar cada tarea u operación de administración a una o varias directivas. Al realizar una operación asociada a una directiva, el servidor de administrador ejecuta la directiva y aplica las reglas especificadas. Si el servidor detecta una infracción de la directiva, devuelve un mensaje de error. Si el servidor no detecta ninguna infracción de la directiva, completa la operación. Puede limitar el ámbito de una directiva al asociarla a determinados grupos de administradores asistentes o ActiveViews.
Si se ha asociado una operación a varias directivas, el servidor de administración las aplica en orden alfabético. Es decir, la directiva A se aplicará antes que la directiva B, independientemente de las reglas especificadas.
Para asegurarse de que las directivas no entren en conflicto entre sí, siga las siguientes directrices:
Asigne un nombre a las directivas para que se ejecuten en el orden correcto.
Compruebe que cada directiva no interfiera con las validaciones o las acciones realizadas por otras directivas.
Pruebe de forma exhaustiva las directivas personalizadas antes de implementarlas en el entorno de producción
El servidor de administración introduce el estado de la directiva en el registro de auditoría cada vez que se ejecuta una directiva. Estas entradas de registro incluyen el código de devolución, las operaciones asociadas, los objetos en los que se han realizado acciones y si la directiva personalizada se ha aplicado correctamente.
ADVERTENCIA:Las directivas se ejecutan mediante la cuenta de servicio de administración. Como la cuenta de servicio dispone de permisos de administrador, las directivas tienen acceso completo a todos los datos de la empresa. Por lo tanto, los administradores asistentes asociados a la función integrada Gestionar directivas y activadores de automatización podrían obtener más poderes de los que tenía intención de otorgar.
Las directivas integradas se implementan al instalar el servidor de administración. Al trabajar con estas directivas, es posible que aparezcan los siguientes términos:
Define los objetos o las propiedades a los que DRA aplica la directiva. Por ejemplo, algunas directivas permiten aplicar una directiva a determinados administradores asistentes en ActiveViews específicas. Algunas directivas permiten elegir entre diferentes clases de objetos, como cuentas de usuario o grupos.
Aplique las reglas de directiva en todos los objetos de la clase o tipo especificados en los dominios gestionados. Las directivas globales no le permiten limitar el alcance de los objetos a los que se aplica la directiva.
Define si la directiva se aplica de forma conjunta o por sí misma. Para establecer una relación de directivas, defina dos o más reglas que se apliquen a la misma acción y elija el miembro de una opción de grupo de directivas. Si la propiedad o los parámetros de la operación coinciden con cualquiera de las reglas, la operación se realizará correctamente.
Las directivas integradas proporcionan reglas de negocios para abordar problemas habituales de seguridad e integridad de los datos. Estas directivas forman parte del modelo de seguridad por defecto, lo que le permite integrar las funciones de seguridad de DRA en la configuración empresarial existente.
DRA proporciona dos formas de aplicar directivas. Puede crear directivas personalizadas o elegir entre varias directivas integradas. Las directivas integradas facilitan la aplicación de directivas sin necesidad de desarrollar guiones personalizados. Si necesita implementar una directiva personalizada, puede adaptar una directiva existente para que se ajuste a sus necesidades. La mayoría de las directivas le permiten modificar el texto del mensaje de error, cambiar el nombre de la directiva, añadir una descripción y especificar cómo se aplica.
Al instalar DRA, están habilitadas diversas directivas integradas. Las siguientes directivas se implementan por defecto. Si no desea aplicar estas directivas, puede inhabilitarlas o suprimirlas.
|
Nombre de directiva |
Valor por defecto |
Descripción |
|---|---|---|
|
$ComputerNameLengthPolicy |
64 15 (anterior a Windows 2000) |
Limita el número de caracteres en el nombre de equipo actual o anterior a Windows 2000. |
|
$GroupNameLengthPolicy |
64 20 (anterior a Windows 2000) |
Limita el número de caracteres en el nombre de grupo actual o anterior a Windows 2000. |
|
$GroupSizePolicy |
5000 |
Limita el número de miembros de un grupo. |
|
$NameUniquenessPolicy |
Ninguno |
Garantiza que los nombres de CN actuales y anteriores a Windows 2000 sean exclusivos en todos los dominios gestionados. |
|
$SpecialGroupsPolicy |
Ninguno |
Impide una derivación no comprobada de poderes en el entorno. |
|
$UCPowerConflictPolicy |
Ninguno |
Impide la derivación de poderes al establecer los poderes para crear y clonar usuarios se excluyan mutuamente. |
|
$UPNUniquenessPolicy |
Ninguno |
Garantiza que los nombres de UPN sean exclusivos en todos los dominios gestionados. |
|
$UserNameLengthPolicy |
64 20 (nombre de entrada a la sesión de nivel inferior) |
Limita el número de caracteres en el nombre de entrada a la sesión del usuario o inferior. |
DRA proporciona varias directivas que puede personalizar para el modelo de seguridad.
NOTA:Puede crear una directiva que requiera una entrada para una propiedad que no esté disponible actualmente en las interfaces de usuario de DRA. Si la directiva requiere una entrada y la interfaz de usuario no proporciona un campo para introducir el valor, como un departamento para una nueva cuenta de usuario, no podrá crear ni gestionar el objeto. Para evitar este problema, configure las directivas que requieran que solo se pueda acceder a esas propiedades desde las interfaces de usuario.
Permite vincular un guión o un archivo ejecutable a una operación de DRA o Exchange. Las directivas personalizadas permiten validar cualquier operación que elija.
Permite aplicar globalmente la longitud máxima de nombre para cuentas de usuario, grupos, unidades administrativas, contactos o equipos.
La directiva comprueba el contenedor de nombres (nombre común o cn) o el nombre anterior a Windows 2000 (nombre de entrada a la sesión del usuario).
Permite aplicar globalmente el límite de miembros de un grupo.
Comprueba que un nombre anterior a Windows 2000 sea exclusivo en todos los dominios gestionados. En los dominios de Microsoft Windows, los nombres anteriores a Windows 2000 deben ser exclusivos dentro de un dominio. Esta directiva global aplica esta regla en todos los dominios gestionados.
Comprueba que un nombre principal de usuario (UPN, User Principal Name) sea exclusivo en todos los dominios gestionados. En los dominios de Microsoft Windows, los UPN deben ser exclusivos dentro de un dominio. Esta directiva aplica esta regla en todos los dominios gestionados. Como se trata de una directiva global, DRA proporciona el nombre, la descripción y la relación de directivas.
Impide gestionar miembros de un grupo de administradores a menos que sea miembro de ese grupo. Esta directiva global está habilitada por defecto.
Al limitar las acciones de los miembros de los grupos de administradores, el Asistente para crear directivas no requiere información adicional. Puede especificar un mensaje de error personalizado. Como se trata de una directiva global, DRA proporciona el nombre, la descripción y la relación de directivas.
Impide una posible derivación de poderes. Cuando esta directiva está habilitada, puede crear o clonar cuentas de usuario, pero no puede disponer de ambos poderes. Esta directiva global garantiza que no se puedan crear y clonar cuentas de usuario en la misma ActiveView.
Esta directiva no requiere información adicional.
Permite establecer convenciones de denominación que se aplican a administradores asistentes, ActiveViews y clases de objetos específicos, como cuentas de usuario o grupos.
También puede especificar los nombres exactos supervisados por esta directiva.
Permite crear una directiva para validar cualquier propiedad de una unidad administrativa o un objeto de cuenta. Puede especificar un valor por defecto, una máscara de formato de propiedad, y los valores y los rangos válidos.
Utilice esta directiva para aplicar la integridad de los datos mediante la validación de campos de entrada específicos al crear, clonar o modificar propiedades de determinados objetos. Esta directiva proporciona una gran flexibilidad y eficacia para validar entradas, proporcionar entradas por defecto y limitar las opciones de entrada para diversos campos de propiedad. Con esta directiva, puede solicitar que se realice una entrada correcta antes de que se complete la tarea, lo que permite mantener la integridad de los datos en los dominios gestionados.
Por ejemplo, suponga que tiene tres departamentos: Fabricación, Ventas y Administración. Puede limitar las entradas que DRA aceptará solo para estos tres valores. También puede utilizar esta directiva para aplicar formatos de números de teléfono adecuados, proporcionar un rango de datos válidos o requerir una entrada para el campo de dirección de correo electrónico. Para especificar varias máscaras de formato para un número de teléfono como, por ejemplo, (123)456 7890, así como 456 7890, defina la máscara de formato de la propiedad como (###)### ####,### ####.
Permite crear una directiva para asignar licencias de Office 365 en función de la pertenencia al grupo de Active Directory. Esta directiva también aplica la eliminación de las licencias de Office 365 al suprimir un miembro del grupo de Active Directory correspondiente.
Si un usuario que no se haya sincronizado con la nube se añade al grupo de Active Directory, este se sincronizará antes de que se asigne una licencia de Office 365 al usuario.
Durante la creación de la directiva, puede especificar varias propiedades y configuraciones, como el nombre de la directiva y la redacción del mensaje de error que aparece cuando un administrador asistente intenta realizar una acción que infringe esta directiva.
Por defecto, las directivas que cree para aplicar las licencias de Office 365 no se implementarán cuando se realicen cambios fuera de DRA, a menos que también habilite la programación de actualización de licencias en la página de propiedades del inquilino.
Como las directivas integradas forman parte del modelo de seguridad por defecto, puede utilizar estas directivas para aplicar el modelo de seguridad actual o modificarlas para satisfacer mejor sus necesidades. Puede cambiar el nombre, la configuración de las reglas, el ámbito, la relación de directivas y el mensaje de error de varias directivas integradas. Puede habilitar o inhabilitar cada directiva integrada.
También puede crear fácilmente nuevas directivas.
Las directivas personalizadas permiten aprovechar por completo la eficacia y la flexibilidad del modelo de seguridad por defecto. Mediante el uso de directivas personalizadas, puede integrar DRA en componentes empresariales existentes al mismo tiempo que garantiza que se cumplan las reglas patentadas. Puede utilizar la función de directivas personalizadas para ampliar las directivas de su empresa.
Puede crear y aplicar directivas personalizadas mediante la asociación de un archivo ejecutable o un guión a una operación de administración. Por ejemplo, un guión de directiva asociado con la operación UserCreate puede comprobar la base de datos de RR.HH. para comprobar si existe el empleado especificado. Si el empleado existe en la base de datos de RR.HH. y no tiene una cuenta existente, el guión recupera el ID, el nombre y el apellido del empleado de la base de datos. La operación se completa correctamente y llena la ventana de propiedades de la cuenta de usuario con la información adecuada. Sin embargo, si el empleado ya dispone de una cuenta, se produce un error en la operación.
Los guiones le proporcionan una enorme cantidad de flexibilidad y eficacia. Para crear sus propios guiones de directivas, puede utilizar el proveedor ADSI de Directory and Resource Administrator (proveedor ADSI), el kit de desarrollo de software (SDK) y cmdlets de PowerShell. Para obtener más información sobre cómo crear sus propios guiones de directivas, consulte la sección de referencia en el sitio de documentación de DRA.
Para proporcionar un entorno más seguro, DRA permite limitar los poderes otorgados a los grupos de seguridad integrados de Microsoft Windows. La capacidad de modificar la pertenencia a grupo, las propiedades integradas del grupo de seguridad o las propiedades de los miembros del grupo puede tener importantes implicaciones de seguridad. Por ejemplo, si puede cambiar la contraseña de un usuario del grupo Operadores de servidores, puede entrar a la sesión como ese usuario y disponer de los poderes delegados a este grupo de seguridad integrado.
DRA impide que se produzca este problema de seguridad al proporcionar una directiva que comprueba los poderes que tiene para un grupo de seguridad integrado nativo y sus miembros. Esta validación garantiza que las acciones solicitadas no amplíen estos poderes. Después de habilitar esta directiva, un administrador asistente que sea miembro de un grupo de seguridad integrado, como el grupo Operadores de servidores, solo puede gestionar otros miembros del mismo grupo.
Puede restringir los poderes de los siguientes grupos de seguridad integrados de Microsoft Windows mediante las directivas de DRA:
Operadores de cuentas
Administradores
Operadores de copia de seguridad
Editores de CERT
Administradores de DNS
Administradores de dominio
Administradores de empresa
Propietarios del creador de directivas de grupo
Operadores de impresión
Administradores de esquema
NOTA:DRA hace referencia a los grupos de seguridad integrados por sus identificadores internos. Por lo tanto, DRA admitirá estos grupos, incluso aunque se cambie su nombre. Esta función garantiza que DRA admita grupos de seguridad integrados con nombres diferentes en distintos países. Por ejemplo, DRA hace referencia a los grupos Administradores yAdministratoren con el mismo identificador interno.
DRA utiliza la directiva para limitar los poderes que pueden utilizar los grupos de seguridad integrados nativos y sus miembros. Esta directiva, denominada $SpecialGroupsPolicy , restringe las acciones que un miembro de un grupo de seguridad integrado nativo puede realizar en otros miembros u otros grupos de seguridad integrados nativos. DRA habilita esta directiva por defecto. Si no desea restringir las acciones realizadas en los grupos de seguridad integrados nativos y sus miembros, puede inhabilitar esta directiva.
Si se ha habilitado esta directiva, DRA utiliza las siguientes pruebas de validación para determinar si se permite una acción en un grupo de seguridad integrado nativo o sus miembros:
Si es un administrador de Microsoft Windows, puede realizar acciones en grupos de seguridad integrados nativos y sus miembros que dispongan de los poderes adecuados.
Si es miembro de un grupo de seguridad integrado, puede realizar acciones en el mismo grupo de seguridad integrado y sus miembros, siempre que disponga de los poderes adecuados.
Si no es miembro de un grupo de seguridad integrado, no podrá modificar un grupo de seguridad integrado ni sus miembros.
Por ejemplo, si es miembro de los grupos Operadores de servidores y Operadores de cuentas, y dispone de los poderes adecuados, puede realizar acciones en los miembros de un grupo, otro o ambos. Sin embargo, no puede realizar acciones en una cuenta de usuario que sea miembro de los grupos Operadores de impresión y Operadores de cuentas.
DRA le impide realizar las siguientes acciones en los grupos de seguridad integrados nativos:
Clonación de un grupo.
Creación de un grupo
Supresión de un grupo
Adición de un miembro a un grupo
Eliminación de un miembro de un grupo.
Traslado de un grupo a una unidad administrativa.
Modificación de las propiedades de un grupo
Copia de un buzón.
Eliminación de un buzón.
Clonación de una cuenta de usuario
Creación de una cuenta de usuario
Supresión de una cuenta de usuario
Traslado de una cuenta de usuario a una unidad administrativa.
Modificación de las propiedades de la cuenta de usuario
DRA también restringe las acciones para garantizar que no obtenga poderes para un objeto. Por ejemplo, al añadir una cuenta de usuario a un grupo, DRA comprueba que no obtenga poderes adicionales en la cuenta de usuario porque sea miembro de ese grupo. Esta validación ayuda a la protección frente a una derivación de poderes.
Mediante el nodo "Policy and Automation Management" (Gestión de directivas y automatización), puede acceder a las directivas de Microsoft Exchange y el directorio personal, así como a las directivas integradas y personalizadas. Utilice las siguientes tareas habituales para mejorar la seguridad de su empresa y la integridad de los datos.
Permite definir las reglas de configuración de Microsoft Exchange, directiva de buzón, denominación automática y generación de apoderado. Estas reglas pueden definir cómo se gestionan los buzones cuando un administrador asistente crea, modifica o suprime una cuenta de usuario.
Permite aplicar directivas de caracteres no válidos y longitud de caracteres para evitar errores en la sincronización de directorios.
Las reglas de Office 365 permiten especificar cómo Exchange Online gestiona los buzones de Office 365 al crear o suprimir cuentas de usuario.
Permite crear, renombrar o suprimir automáticamente directorios y recursos compartidos personales cuando un administrador asistente crea o suprime una cuenta de usuario, o cambia su nombre. La directiva de directorio personal también permite habilitar o inhabilitar la compatibilidad con cuotas de disco para directorios personales en servidores de Microsoft Windows, así como en servidores que no sean de Windows.
Permite definir los requisitos para las contraseñas generadas por DRA.
Exchange proporciona varias directivas para ayudarle a gestionar de forma más eficaz los objetos de Microsoft Exchange. La directiva de Microsoft Exchange permite automatizar la gestión de buzones, aplicar convenciones de denominación para alias y almacenes de buzones, y generar automáticamente direcciones de correo electrónico.
Estas directivas pueden ayudarle a simplificar los flujos de trabajo y mantener la integridad de los datos. Por ejemplo, puede especificar cómo Exchange gestiona los buzones al crear, modificar o suprimir cuentas de usuario. Para definir y gestionar las directivas de Microsoft Exchange, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización.
Para especificar una directiva de dirección de correo electrónico por defecto, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización, y su licencia debe admitir el producto Exchange.
Para especificar una directiva de dirección de correo electrónico por defecto:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Exchange Policies (Configurar las directivas de Exchange) > Proxy Generation (Generación de apoderado).
Especifique el dominio del servidor de Microsoft Exchange.
Haga clic en Examinar.
Especifique los criterios de búsqueda adicionales según sea necesario y, a continuación, haga clic en Find Now (Buscar ahora).
Seleccione el dominio que desea configurar y, a continuación, haga clic en Aceptar.
Especifique las reglas de generación de apoderado para el dominio seleccionado.
Haga clic en Añadir.
Seleccione un tipo de apoderado. Por ejemplo, haga clic en Dirección de Internet.
Acepte el valor por defecto o escriba una nueva regla de generación de apoderado y, a continuación, haga clic en Aceptar.
Para obtener más información acerca de las cadenas de sustitución admitidas para las reglas de generación de apoderado, consulte Directiva del cliente de delegación y configuración.
Haga clic en Atributos personalizados para editar el nombre personalizado de las propiedades de buzón personalizadas.
Seleccione el atributo y haga clic en el botón Editar.
En la ventana Attribute Properties (Propiedades de atributo), introduzca el nombre del atributo en el campo Custom name (Nombre personalizado) y haga clic en Aceptar.
Haga clic en Aceptar.
NOTA:Los administradores de directivas de DRA deben disponer del poder Gestionar herramientas personalizadas para modificar atributos personalizados de la directiva de Microsoft Exchange.
Las reglas de buzón permiten especificar cómo Exchange gestiona los buzones cuando los administradores asistentes crean, clonan, modifican o suprimen cuentas de usuario. Las reglas de buzón gestionan automáticamente los buzones de Microsoft Exchange en función de la forma en que los administradores asistentes gestionan las cuentas de usuario asociadas.
NOTA:Si se habilita Do not allow Assistant Admins to create a user account without a mailbox (No permitir que los administradores asistentes creen una nueva cuenta de usuario sin un buzón) en los dominios de Microsoft Windows, asegúrese de que el administrador asistente tenga poder para clonar o crear una cuenta de usuario. Al habilitar esta opción, los administradores asistentes deben crear cuentas de usuario con un buzón.
Para especificar las reglas de buzón de Microsoft Exchange, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización, y su licencia debe admitir el producto Exchange.
Para especificar las reglas de buzón de Exchange:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Exchange Policies (Configurar las directivas de Exchange) > Mailbox Rule (Reglas de buzón).
Seleccione las directivas de buzón que desea que Exchange aplique cuando cree o modifique cuentas de usuario.
Haga clic en Aceptar.
Para definir y gestionar las directivas de buzón de Office 365, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización. La licencia debe admitir también el producto Microsoft Exchange.
Para restringir los caracteres no válidos y las longitudes de caracteres con propiedades que se sincronizan con Office 365, haga clic en Office 365 Rules (Reglas de Office 365) y seleccione la casilla de verificación Enforce online mailbox policies for invalid characters and character lengths (Aplicar directivas de buzón en línea para caracteres no válidos y longitudes de caracteres).
Si desea permitir que DRA gestione sus licencias de Office 365, debe realizar lo siguiente:
Crear una directiva de aplicación de licencia.
Habilite License update schedule (Programación de actualización de licencias) en la página de propiedades del inquilino.
Para crear una directiva a fin de aplicar las licencias de Office 365, haga clic en el nodo Policy and Automation Management (Gestión de directivas y automatización) en la consola de delegación y configuración y seleccione New Policy > Create New Policy to Enforce Office 365 Licenses (Nueva directiva > Crear nueva directiva para aplicar las licencias de Office 365).
Cuando se aplica la directiva y se añade un usuario a Active Directory, DRA utiliza la pertenencia a grupo para asignar automáticamente la licencia de Office 365 al usuario.
Las directivas que cree para aplicar las licencias de Office 365 no se aplicarán cuando se realicen cambios fuera de DRA, a menos que también habilite License update schedule (Programación de actualización de licencias) en la página de propiedades del inquilino. La tarea de actualización de licencias garantiza que las licencias de Office 365 asignadas a los usuarios coincidan con las directivas de licencia de Office 365.
La tarea de actualización de licencias y las directivas de licencia de Office 365 trabajan de forma conjunta para garantizar que a todos los usuarios gestionados se les asignen solo las licencias de Office 365 que se supone que deben tener.
NOTA:
DRA no gestiona las licencias de Office 365 para cuentas de usuario solo en línea. Para que DRA gestione los usuarios con licencias de Office 365, estos deben sincronizarse con Active Directory.
Si opta por utilizar DRA para gestionar las licencias de Office 365, DRA anulará todos los cambios manuales realizados en Office 365 que se hayan aplicado fuera de DRA la próxima vez que se ejecute la tarea de actualización de licencias.
Si habilita la tarea de actualización de licencias de Office 365 antes de asegurarse de que se hayan configurado correctamente las directivas de licencia de Office 365, las licencias asignadas pueden ser incorrectas después de que se ejecute esa tarea.
Al gestionar una gran cantidad de cuentas de usuario, la creación y el mantenimiento de estos directorios y recursos compartidos pueden requerir mucho tiempo y convertirse en una fuente de errores de seguridad. Es posible que se necesite mantenimiento adicional cada vez que se cree, cambie de nombre o suprima un usuario. Las directivas de directorio personal le ayudarán a gestionar el mantenimiento del directorio personal y los recursos compartidos personales.
DRA permite automatizar la creación y el mantenimiento de los directorios personales del usuario. Por ejemplo, puede configurar fácilmente DRA para que el servidor de administración cree un directorio personal cuando cree una cuenta de usuario. En este caso, si especifica una vía del directorio personal al crear la cuenta de usuario, el servidor crea automáticamente el directorio personal según la vía especificada. Si no especifica una vía, el servidor no creará el directorio personal.
DRA es compatible con las vías del Sistema de archivos distribuido (DFS, Distributed File System) durante la creación de los directorios personales de usuario o la configuración de las directivas de directorio personal para los usuarios en las vías principales permitidas. Puede crear, cambiar de nombre y suprimir directorios personales en vías o particiones de archivadores NetApp y DFS.
Para configurar las directivas de directorio, los recursos compartidos y las cuotas de disco de volúmenes personales, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización. Cada directiva gestiona automáticamente los directorios, los recursos compartidos y las cuotas de disco de volúmenes personales en función de cómo administre las cuentas de usuario asociadas.
Para configurar las directivas de directorio personal, desplácese a Policy and Automation Management (Gestión de directivas y automatización) > Configure Home Directory Policies (Configurar directivas de directorio personal) >
Directorio personal.
"Home share" (Recurso compartido personal)
"Home Volume Disk Quota" (Cuota de disco de volúmenes personales)
En cada equipo en el que necesite crear un recurso compartido personal, se deben utilizar una cuenta de servicio o de acceso del servidor de administración con función de administrador en ese equipo o de miembro del grupo de administradores en el dominio correspondiente.
Debe haber un recurso compartido de administración como, por ejemplo, C$ o D$, en cada unidad en la que DRA gestione o almacene directorios personales. DRA utiliza los recursos compartidos de administración para realizar algunas tareas de automatización del directorio y los recursos compartidos personales. Si no existen estos recursos compartidos, DRA no podrá proporcionar la automatización de directorios y recursos compartidos personales.
Para configurar las vías principales permitidas para un archivador NetApp:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Home Directory Policies (Configurar las directivas de directorio personal).
En el recuadro de textoAllowable parent paths (Vías principales permitidas), introduzca una de las vías permitidas de la siguiente tabla:
|
Tipo de recurso compartido |
Vía permitida |
|---|---|
|
Windows |
(\\nombreArchivo\recursoCompartidoAdmin:\víaRaízVolumen\víaDirectorio) |
|
No Windows |
(\\no Windows\recurso compartido) |
Haga clic en Añadir.
Repita los pasos 1 a 3 para cada vía principal permitida cada vez que desee aplicar las directivas de directorio personal.
Para mantener la coherencia con las directivas de seguridad de Microsoft Windows adecuadas, DRA crea restricciones de control de acceso solo en el nivel de directorio. Al establecer restricciones de control de acceso tanto en el nivel de nombre de recurso compartido como en el nivel de objeto de archivo o directorio, a menudo se obtiene un esquema de acceso confuso para administradores y usuarios.
Al cambiar una restricción de control de acceso para un recurso compartido personal, DRA no cambia la seguridad existente para ese directorio. En este caso, deberá asegurarse de que las cuentas de usuario dispongan de acceso adecuado a sus propios directorios personales.
DRA automatiza las tareas de mantenimiento del directorio personal al gestionar directorios personales cuando se modifica una cuenta de usuario. DRA puede realizar diferentes acciones cuando se crea, clona, modifica, cambia de nombre o suprime una cuenta de usuario.
Para aplicar correctamente la directiva de directorio personal, tenga en cuenta las directrices siguientes:
Asegúrese de que la vía especificada utilice el formato correcto.
Para especificar una vía para un único directorio personal, utilice una de las plantillas de la tabla siguiente:
|
Tipo de recurso compartido |
Plantilla de vía |
|---|---|
|
Windows |
\\equipo\recurso compartido\. Por ejemplo, si desea que DRA cree automáticamente un directorio personal en la carpeta Home Share del equipo "server01", escriba \\server01\Home Share\ |
|
No Windows |
\\no windows\recurso compartido |
Para estandarizar la administración del directorio personal en el directorio raíz del recurso personal correspondiente, utilice la sintaxis de la convención de denominación universal, como \\nombre del servidor\C:\vía al directorio raíz.
Para especificar una vía para los directorios personales anidados, utilice una de las plantillas de la tabla siguiente:
|
Tipo de recurso compartido |
Plantilla de vía |
|---|---|
|
Windows |
\\equipo\recurso compartido\primer directorio\segundo directorio\ Por ejemplo, si desea que DRA cree automáticamente un directorio personal en el directorio JSmith\Home existente de la carpeta "Home Share" del equipo "server01", escriba \\server01\Home Share\JSmith\Home. |
|
No Windows |
\\no Windows\recurso compartido\primer directorio\segundo directorio\ |
NOTA:DRA también admite los siguientes formatos: \\equipo\recurso compartido\nombre de usuario y \\equipo\recurso compartido\%username%. En cada caso, DRA crea automáticamente un directorio personal para la cuenta de usuario asociada.
Al definir una directiva o un activador de automatización para gestionar directorios personales en un archivador NetApp, deberá utilizar un formato diferente para especificar el directorio.
Si se utiliza archivadores NetApp, especifique el directorio principal con el siguiente formato: \\nombreArchivador\recursoCompartidoAdmin:\víaRaízVolumen\víaDirectorio
La variable "recursoCompartidoAdmin" hace referencia al recurso compartido oculto que se asigna al volumen raíz en el archivador NetApp, como c$. Por ejemplo, si la vía local del recurso compartido en un archivador NetApp, denominado usfiler, es c$\vol\vol0\mydirectory, puede especificar una vía raíz \\usfiler\c:\vol\vol0\mydirectory para el archivador NetApp.
Para especificar una vía DFS al crear directorios personales de usuario o configurar directivas de directorio personal para los usuarios, utilice \\servidor\raíz\formato <enlace>, donde "raíz" puede ser el dominio gestionado o un directorio raíz independiente con el siguiente formato: \\nombreArchivador\recursoCompartidoAdmin:\víaRaízVolumen\víaDirectorio.
Cree un directorio compartido para almacenar el directorio personal para esta cuenta de usuario.
Asegúrese de que DRA pueda acceder al equipo o el recurso compartido a los que se hace referencia en la vía.
Esta regla permite a DRA crear automáticamente los directorios personales respectivos para nuevas cuentas de usuario. Cuando DRA crea un directorio personal, el servidor de administración utiliza la vía especificada en los camposDirectorio personal del Asistente para crear usuarios. Posteriormente, puede modificar esta vía a través de la pestaña Perfil de la ventana de propiedades de usuario y DRA trasladará el directorio personal a la nueva ubicación. Si no especifica valores para estos campos, DRA no creará un directorio personal para esa cuenta de usuario.
DRA establece la seguridad para el nuevo directorio según las opciones seleccionadas de Home directory permissions (Permisos del directorio personal). Estas opciones permiten controlar el acceso general para todos los directorios personales.
Por ejemplo, puede especificar que los miembros del grupo Administradores tengan control total y los miembros del grupo Ayuda técnica tengan acceso de lectura al recurso compartido en el que se crean los directorios personales de usuario. A continuación, cuando DRA cree un directorio personal del usuario, el directorio personal nuevo podrá heredar estos derechos del directorio principal. Por lo tanto, los miembros del grupo Administradores tienen control total de todos los directorios personales de usuario y los miembros del grupo Ayuda técnica tienen acceso de lectura a todos los directorios personales de usuario.
Si el directorio personal especificado ya existe, DRA no lo creará ni modificará los permisos del directorio existente.
Esta regla permite a DRA realizar las siguientes acciones:
Crear un directorio personal al especificar una vía del directorio personal nuevo.
Mover el contenido del directorio personal al cambiar la vía del directorio personal.
Cambiar el nombre de un directorio personal al cambiar el nombre de la cuenta de usuario.
Al cambiar el nombre una cuenta de usuario, DRA cambia el nombre del directorio personal existente en función del nuevo nombre de cuenta. Si se está utilizando el directorio personal existente, DRA crea un nuevo directorio personal con el nuevo nombre y no cambia el directorio personal existente.
Puede cambiar el nombre el directorio personal si el nombre y la ubicación anteriores del directorio personal son iguales a los nuevos. Sin embargo, si se produce un error en el cambio de nombre del directorio, DRA crea un nuevo directorio personal, transfiere el contenido del directorio personal anterior al nuevo y suprime el directorio personal existente.
Si cambia la vía del directorio personal, DRA intenta crear el directorio personal especificado y transfiere el contenido del directorio personal anterior a la nueva ubicación. También puede configurar la directiva de directorio personal para crear un directorio personal sin transferir el contenido del directorio personal existente. DRA también aplica la ACL asignada desde el directorio anterior al nuevo. Si el directorio personal especificado ya existe, DRA no crea este nuevo directorio ni modifica los permisos de directorio existentes. Si no se ha bloqueado el directorio personal anterior, DRA lo suprime.
Si DRA no puede cambiar el nombre del directorio personal, DRA intentará crear un nuevo directorio personal con un nuevo nombre y copiará el contenido del directorio personal anterior en el nuevo. A continuación, DRA intentará suprimir el directorio personal anterior. Puede configurar DRA para que no copie el contenido del directorio personal anterior en el nuevo y transfiera manualmente el contenido del directorio personal anterior al nuevo para evitar problemas, como la copia de archivos abiertos.
Al suprimir el directorio personal anterior, DRA requiere un permiso explícito para suprimir los subdirectorios y los archivos de solo lectura del directorio personal anterior. Puede proporcionar a DRA el permiso para suprimir explícitamente los subdirectorios y los archivos de solo lectura del directorio personal anterior.
DRA permite especificar los directorios o las vías principales autorizadas para los recursos compartidos personales de los servidores de archivos. Si dispone de muchas vías de directorio o servidor de archivos que especificar, puede exportarlas a un archivo CSV y añadir las vías desde el archivo CSV a DRA mediante la consola de DRA. DRA utiliza la información introducida en el campo Allowable parent paths (Vías principales admitidas) para asegurarse de lo siguiente:
DRA no elimina el directorio principal en el servidor de archivos cuando los administradores asistentes suprimen una cuenta de usuario y el directorio principal de la cuenta de usuario.
DRA mueve el directorio personal a un directorio o una vía principales válidos en el servidor de archivos cuando cambia el nombre de una cuenta de usuario o cambia la vía del directorio principal de una cuenta de usuario.
Esta regla permite a DRA suprimir automáticamente un directorio personal cuando se suprime la cuenta de usuario asociada. Si se habilita la Papelera, DRA no suprimirá el directorio personal hasta que se elimine la cuenta de usuario desde la Papelera. Al suprimir el directorio personal, DRA requiere un permiso explícito para suprimir los subdirectorios y los archivos de solo lectura del directorio personal anterior. Puede proporcionar a DRA el permiso para suprimir explícitamente los subdirectorios y los archivos de solo lectura del directorio personal anterior.
DRA automatiza las tareas de mantenimiento de los recursos compartidos personales mediante la gestión de estos recursos cuando se modifica una cuenta de usuario o se gestionan directorios personales. DRA puede realizar diferentes acciones cuando se crea, clona, modifica, cambia de nombre o suprime una cuenta de usuario.
Para mantener la coherencia con las directivas de seguridad de Microsoft Windows adecuadas, DRA no establece restricciones de control de acceso en el nivel de nombre de recurso compartido. En su lugar, DRA establece restricciones de control de acceso solo en el nivel del directorio. Al establecer restricciones de control de acceso tanto en el nivel de nombre de recurso compartido como en el nivel de objeto de archivo o directorio, a menudo se obtiene un esquema de acceso confuso para administradores y usuarios.
NOTA:La ubicación especificada debe tener un recurso compartido personal común, como HOMEDIRS, en un nivel superior a los directorios personales.
Por ejemplo, la siguiente vía es válida: \\HOUSERV1\HOMEDIRS\%username%
La siguiente vía no es válida: \\HOUSERV1\%username%
Al definir las reglas de automatización de recursos compartidos personales, puede especificar un prefijo y un sufijo para cada recurso compartido personal creado de forma automática. Mediante la especificación de un prefijo o un sufijo, se puede aplicar una convención de denominación para los recursos compartidos personales.
Por ejemplo, puede habilitar las reglas de automatización Crear directorio personal y Crear recurso compartido personal. Para el recurso compartido personal, especifique un prefijo de carácter de subrayado y un sufijo de signo de dólar. Si se crea un usuario denominado TomS, se debe asignar el nuevo directorio a la unidad U y especificar \\HOUSERV1\HOMEDIRS\%username% como la vía de directorio. En este ejemplo, DRA crea un recurso compartido de red denominado _TomS$ que señala al directorio \\HOUSERV1\HOMEDIRS\TomS.
Cuando DRA crea un recurso compartido personal, el servidor de administración utiliza la vía especificada en los camposDirectorio personal del Asistente para crear usuarios. Puede modificar posteriormente esta vía a través de la pestaña Perfil de la ventana de propiedades de usuario.
DRA crea el nombre del recurso compartido mediante la adición del prefijo y el sufijo especificados, si hay, al nombre de usuario. Si utiliza nombres de cuenta de usuario largos, es posible que DRA no pueda añadir el prefijo y el sufijo del recurso compartido personal especificados. El prefijo y el sufijo, así como el número de conexiones permitidas, se basan en las opciones de creación de recursos compartidos personales que seleccione.
Si ya existe el nombre del recurso compartido personal generado a partir del nombre de cuenta de usuario recién creada, DRA suprime el recurso compartido existente y crea un nuevo recurso compartido en el directorio principal especificado.
Al clonar una cuenta de usuario, el nombre compartido de la cuenta de usuario actual debe existir actualmente. Al clonar una cuenta de usuario, DRA clona también la información del directorio personal y la personaliza para el nuevo usuario.
Al cambiar la ubicación del directorio personal, DRA elimina el recurso compartido existente y crea un nuevo recurso compartido en el nuevo directorio personal. Si el directorio personal original está vacío, DRA suprime el directorio original.
Al cambiar el nombre de una cuenta de usuario, DRA suprime el recurso compartido personal existente y crea uno nuevo basado en el nuevo nombre de cuenta. El nuevo recurso compartido señala al directorio personal existente.
Al suprimir de forma permanente una cuenta de usuario, DRA suprime el recurso compartido personal.
DRA permite gestionar cuotas de disco de volúmenes personales. Puede implementar esta directiva en dominios nativos en los que el directorio personal resida en un equipo con Microsoft Windows. Al implementar esta directiva, debe especificar una cuota de disco de al menos 25 MB para permitir un amplio espacio.
Esta función le permite especificar la configuración de directivas para las contraseñas que genera DRA. DRA no aplica esta configuración en las contraseñas que crean los usuarios. Al configurar las propiedades de la directiva de contraseñas, la longitud de la contraseña no debe ser inferior a 6 caracteres ni superior a 127 caracteres. Todos los valores pueden definirse en cero, excepto la longitud de contraseña.
Para configurar las directivas de generación de contraseñas, acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Password Generation Policies (Configurar directivas de generación de contraseñas) y seleccione la casilla de verificación Enable Password Policy (Habilitar directiva de contraseñas). Haga clic en Password Settings (Configuración de contraseñas) y configure las propiedades de la directiva de contraseñas.
Para suprimir, habilitar e inhabilitar directivas, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización.
Para llevar a cabo una de estas acciones, desplácese a Policy and Automation Management (Gestión de directivas y automatización) > Policy (Directiva). Haga clic con el botón derecho en la directiva que desea suprimir, habilitar o inhabilitar en el panel derecho y seleccione la acción deseada.
Para implementar directivas integradas, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización. Para obtener más información acerca de las directivas integradas, consulte Descripción de las directivas integradas.
NOTA:Antes de asociar la directiva integrada a un administrador asistente y una ActiveView, compruebe primero que el administrador asistente se haya asignado a esa ActiveView.
Para implementar directivas integradas:
Desplácese a Policy and Automation Management (Gestión de directivas y automatización) > Policy (Directiva).
En el menú Tareas, haga clic en New Policy (Nueva directiva) y, a continuación, seleccione el tipo de directiva integrada que desea crear.
En cada ventana del asistente, especifique los valores adecuados y, a continuación, haga clic en Siguiente. Por ejemplo, puede asociar esta nueva directiva a una ActiveView específica, lo que permite que DRA aplique esta directiva en los objetos incluidos en esa ActiveView.
Revise el resumen y haga clic en Finalizar.
Para implementar una directiva personalizada, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización.
Para implementar correctamente una directiva personalizada, debe escribir un guión que se ejecute durante una operación (tarea administrativa) específica. En el guión de la directiva personalizada, puede definir mensajes de error para que se muestren siempre que una acción infrinja la directiva. También puede especificar un mensaje de error por defecto mediante el Asistente para crear directivas.
Para obtener más información acerca de cómo escribir directivas personalizadas, ver una lista de las operaciones de administración o utilizar matrices de argumentos, consulte el SDK. Para obtener más información, consulte Escritura de archivos ejecutables o guiones de directivas personalizadas.
NOTA:
Antes de asociar la directiva personalizada a un administrador asistente y una ActiveView, asegúrese primero de que el administrador asistente se haya asignado a esa ActiveView.
Si la vía del archivo ejecutable o el guión de la directiva personalizada contiene espacios, escriba la vía entre comillas (").
Para implementar una directiva personalizada:
Escriba un archivo ejecutable o un guión de directiva.
Entre en un equipo cliente de DRA con una cuenta a la que se le haya asignado la función integrada Gestionar directivas y activadores de automatización en el dominio gestionado.
Inicie la consola de delegación y configuración.
Conéctese al servidor de administración principal.
En el panel izquierdo, expanda Policy and Automation Management (Gestión de directivas y automatización).
Haga clic en Policy (Directiva).
En el menú Tareas, haga clic en New Policy > Create a Custom Policy (Nueva directiva > Crear una directiva personalizada).
En cada ventana del asistente, especifique los valores adecuados y, a continuación, haga clic en Siguiente. Por ejemplo, puede asociar esta nueva directiva a una ActiveView específica, lo que permite que DRA aplique esta directiva en los objetos incluidos en esa ActiveView.
Revise el resumen y haga clic en Finalizar.
Para modificar todas las propiedades de una directiva, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización.
Para modificar las propiedades de directiva:
Desplácese a Policy and Automation Management (Gestión de directivas y automatización) > Policy (Directiva).
Haga clic en la directiva que desee modificar y seleccione Propiedades.
Modifique las propiedades y los ajustes adecuados para esta directiva.
Para obtener más información acerca de cómo escribir archivos ejecutables o guiones de directivas personalizadas, consulte el SDK.
Para acceder al SDK:
Asegúrese de que haya instalado el SDK en el equipo. El programa de instalación crea un acceso directo al SDK en el grupo de programas de Directory and Resource Administrator. Para obtener más información, consulte la lista de verificación de instalación en Instalación del servidor de administración de DRA.
Haga clic en el acceso directo al SDK en el grupo de programas de Directory and Resource Administrator.
Para obtener más información sobre el SDK, consulte DRA REST Services Guide
(Guía de servicios REST de DRA) en el sitio de documentación de DRA.
La directiva de denominación automática incluye tres configuraciones de directivas de Exchange que son exclusivas del cliente de delegación y configuración, lo que significa que se trata de una directiva del cliente.
La directiva de denominación automática permite especificar reglas de denominación automatizada para propiedades específicas de un buzón. Estas opciones permiten establecer convenciones de denominación y generar rápidamente valores estándar para las propiedades de nombre de visualización, nombre de directorio y alias. Exchange permite especificar cadenas de sustitución como, por ejemplo %First y %Last, para varias opciones de denominación automatizada.
Cuando Exchange genera un alias o un nombre de directorio, comprueba si el valor generado es exclusivo. Si el valor generado no es exclusivo, Exchange añade un guión (-) y un número de dos dígitos, empezando por -01, para conseguir que el valor sea exclusivo. Si Exchange genera un nombre de visualización, no comprueba si el valor es exclusivo.
Exchange admite las siguientes cadenas de sustitución para las directivas de generación de apoderado y denominación automática:
|
%First |
Indica el valor de la propiedad Nombre de la cuenta de usuario asociada. |
|---|---|
|
%Last |
Indica el valor de la propiedad Apellidos de la cuenta de usuario asociada. |
|
%Initials |
Indica el valor de la propiedad Iniciales de la cuenta de usuario asociada. |
|
%Alias |
Indica el valor de la propiedad de buzón Alias. |
|
%DirNam |
Indica el valor de la propiedad buzón Nombre de directorio. Al generar direcciones de correo electrónico para buzones de Microsoft Exchange, Exchange no admite cadenas de generación de apoderado que especifiquen la variable %DirName. |
|
%UserName |
Indica el valor de la propiedad de nombre de usuario de la cuenta de usuario asociada. |
También puede especificar un número entre el signo de porcentaje (%) y el nombre de la cadena de sustitución para indicar el número de caracteres que se incluirán de ese valor. Por ejemplo, %2First indica los dos primeros caracteres de la propiedad Nombre name de la cuenta de usuario.
Cada directiva de generación de apoderado y regla de denominación automática puede contener una o varias cadenas de sustitución. También puede especificar caracteres en cada regla como un prefijo o un sufijo para una cadena de sustitución específica, como un punto y un espacio(.) después de la cadena de sustitución %Initials. Si la propiedad de la cadena de sustitución está en blanco, Exchange no incluirá el sufijo de esa propiedad.
Por ejemplo, tenga en cuenta la siguiente regla de denominación automática para la propiedad Nombre de visualización:
%First %1Initials. %Last
Si la propiedad Nombre es Susan, la propiedad Iniciales es May y la propiedad Apellidos es Smith, Exchange define la propiedad Nombre de visualización name en Susan M. Smith.
Si la propiedad Nombre es Michael, la propiedad Iniciales está en blanco y la propiedad Apellidos es Jones, Exchange define la propiedad Nombre de visualización en Michael Jones.
Para especificar las opciones de denominación automatizada de buzones, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización, y su licencia debe admitir el producto Exchange.
Para especificar una directiva de denominación automatizada de buzones:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Exchange Policies (Configurar las directivas de Exchange) > Alias naming (Denominación de alias).
Especifique la información de generación de nombres adecuada.
Seleccione Enforce alias naming rules during mailbox updates (Aplicar reglas de denominación de alias durante las actualizaciones de buzones).
Haga clic en Aceptar.
Para especificar las opciones de denominación de recursos, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización, y su licencia debe admitir el producto Exchange.
Para especificar una directiva de denominación de recursos:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Exchange Policies (Configurar las directivas de Exchange) > Resource naming (Denominación de recursos).
Especifique la información de generación de nombres de recursos adecuada.
Seleccione Enforce resource naming rules during mailbox updates (Aplicar reglas de denominación de recursos durante las actualizaciones de buzones).
Haga clic en Aceptar.
Para especificar las opciones de denominación de archivos de reserva, debe disponer de los poderes adecuados, como los que se incluyen en la función integrada Gestionar directivas y activadores de automatización, y su licencia debe admitir el producto Exchange.
Para especificar un archivo de denominación de archivos de reserva:
Acceda a Policy and Automation Management (Gestión de directivas y automatización) > Configure Exchange Policies (Configurar las directivas de Exchange) > Archive naming (Denominación de archivos de reserva).
Especifique la información de generación de nombres de archivos de reserva adecuada para las cuentas de usuario.
Seleccione Enforce archive naming rules during mailbox updates (Aplicar reglas de denominación de archivos de reserva durante las actualizaciones de buzones).
Haga clic en Aceptar.