Afin de gérer l'accès à privilège minimal pour les tâches Active Directory à l'aide de DRA, de nombreux composants et processus doivent être configurés. Il s'agit notamment de configurations de composants généraux et clients. Cette section fournit des informations concernant les composants et processus généraux nécessitant une configuration pour DRA.
Un environnement MMS utilise plusieurs serveurs d'administration pour gérer le même ensemble de domaines et de serveurs membres. Un MMS comprend un serveur d'administration primaire et plusieurs serveurs d'administration secondaires.
Le mode par défaut pour le serveur d'administration est Primaire. Lorsque vous ajoutez des serveurs secondaires à votre environnement MMS, n'oubliez pas qu'un serveur d'administration secondaire ne peut appartenir qu'à un seul ensemble de serveurs.
Pour vous assurer que tous les serveurs de l'ensemble gèrent les mêmes données, synchronisez régulièrement les serveurs secondaires avec le serveur d'administration primaire. Pour simplifier la maintenance, utilisez le même compte de service pour tous les serveurs d'administration de la forêt du domaine.
IMPORTANT :
Lorsque vous installez le serveur secondaire, sélectionnez Secondary Administration Server (Serveur d'administration secondaire) dans le programme d'installation.
La version DRA du nouveau serveur secondaire doit être identique à celle du serveur DRA primaire, de sorte que toutes les fonctionnalités qui sont disponibles sur le serveur primaire le soient également sur le serveur secondaire.
Vous pouvez ajouter un serveur d'administration secondaire à un MMS existant dans le client de délégation et de configuration. Pour ajouter un serveur secondaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
REMARQUE :pour que l'ajout d'un serveur secondaire réussisse, vous devez d'abord installer le produit Directory and Resource Administrator sur l'ordinateur du serveur d'administration. Pour plus d'informations, reportez-vous à la section Installation du serveur d'administration DRA.
Pour ajouter un serveur d'administration secondaire, cliquez avec le bouton droit sur Administration Servers (Serveurs d'administration) dans le nœud Configuration Management (Gestion de la configuration), puis sélectionnez Add Secondary Server (Ajouter un serveur secondaire).
Vous pouvez promouvoir un serveur d'administration secondaire au rang de serveur d'administration primaire. Lorsque vous promouvez un serveur d'administration secondaire au rang de serveur d'administration primaire, le serveur d'administration primaire existant devient un serveur d'administration secondaire au sein de l'ensemble de serveurs. Pour promouvoir un serveur d'administration secondaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines. Avant de promouvoir un serveur d'administration secondaire, synchronisez le MMS de sorte qu'il présente la configuration la plus récente.
Pour plus d'informations sur la synchronisation du MMS, reportez-vous à la section Planification de la synchronisation.
REMARQUE :un serveur primaire qui vient d'être promu peut se connecter uniquement aux serveurs secondaires qui étaient disponibles lors du processus de promotion. Si un serveur secondaire est devenu indisponible au cours du processus de promotion, contactez le support technique.
Pour promouvoir un serveur d'administration secondaire :
Accédez au noeud Configuration Management >Administration Servers (Serveurs d'administration).
Dans le volet de droite, sélectionnez le serveur d'administration secondaire à promouvoir.
Dans le menu Tâches, cliquez sur Advanced (Avancé) > Promote Server (Promouvoir un serveur).
IMPORTANT :lorsque le compte de service du serveur secondaire est différent de celui du serveur primaire ou lorsque le serveur secondaire est installé dans un domaine différent de celui du serveur primaire (domaines approuvés/non approuvés) et que vous promouvez le serveur secondaire, veillez à déléguer les rôles suivants avant de promouvoir le serveur secondaire : Audit All Objects (Auditer tous les objets), Configure Servers and Domains (Configurer les serveurs et les domaines) et Generate UI Reports (Générer les rapports de l'interface utilisateur). Vérifiez ensuite que les synchronisations MMS ont réussi.
Vous pouvez rétrograder un serveur d'administration primaire au rang de serveur d'administration secondaire. Pour rétrograder un serveur d'administration primaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Pour rétrograder un serveur d'administration primaire :
Accédez au noeud Configuration Management > Serveurs d'administration.
Dans le volet de droite, sélectionnez le serveur d'administration primaire à rétrograder.
Dans le menu Tâches, cliquez sur Advanced (Avancé) > Demote Server (Rétrograder un serveur).
Spécifiez l'ordinateur à désigner comme nouveau serveur d'administration primaire, puis cliquez sur OK.
La synchronisation permet de garantir que tous les serveurs d'administration du MMS utilisent les mêmes données de configuration. Bien que vous puissiez synchroniser manuellement les serveurs à tout moment, la planification par défaut est définie pour synchroniser le MMS toutes les 4 heures. Vous pouvez modifier cette planification afin de l'adapter aux besoins de votre entreprise.
Pour modifier la planification de la synchronisation ou pour synchroniser manuellement les serveurs MMS, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Pour accéder à la planification de la synchronisation ou pour effectuer des synchronisations manuelles, accédez à Configuration Management > Serveurs d'administration et utilisez le menu Tâches ou cliquez avec le bouton droit sur un serveur sélectionné. La planification de la synchronisation figure dans les propriétés du serveur sélectionné.
Présentation des options de synchronisation
La synchronisation des serveurs MMS peut s'effectuer essentiellement selon quatre options différentes :
Sélectionnez le serveur primaire et synchronisez tous les serveurs secondaires avec l'option Synchronize All Servers (Synchroniser tous les serveurs).
Sélectionnez un serveur secondaire et synchronisez uniquement ce serveur.
Configurez la planification de la synchronisation pour les serveurs primaires et secondaires indépendamment.
Configurez la planification de la synchronisation de tous les serveurs. Cette option est activée lorsque le paramètre suivant est sélectionné dans la planification de la synchronisation du serveur primaire :
Configure secondary Administration servers when refreshing the primary Administration server (Configurer les serveurs d'administration secondaires lors du rafraîchissement du serveur d'administration primaire)
REMARQUE :si vous désélectionnez cette option, les fichiers de configuration sont copiés sur les serveurs secondaires selon la planification primaire, mais ils ne sont pas chargés par le serveur secondaire à ce moment-là ; ils sont chargés en fonction de la planification configurée sur le serveur secondaire. Cela est utile si les serveurs se trouvent dans des fuseaux horaires différents. Par exemple, vous pouvez configurer tous les serveurs pour qu'ils rafraîchissent leur configuration en pleine nuit, même si cela implique des heures différentes en raison des fuseaux horaires.
Les exceptions de clonage permettent de définir des propriétés d'utilisateurs, de groupes, de contacts et d'ordinateurs qui ne sont pas copiées en cas de clonage de l'un de ces objets.
Vous pouvez gérer les exceptions de clonage pour autant que vous disposiez des pouvoirs appropriés. Le rôle Gérer les exceptions de clonage octroie des pouvoirs pour afficher, créer et supprimer des exceptions de clonage.
Pour afficher ou supprimer une exception de clonage existante ou pour en créer une, accédez à Configuration Management > Clone Exceptions (Exceptions de clonage) > Tasks (Tâches) ou cliquez avec le bouton droit.
Lorsque vous créez des outils personnalisés, il se peut qu'avant d'exécuter ces derniers, vous deviez installer, sur l'ordinateur de la console de délégation et de configuration DRA, des fichiers d'accompagnement utilisés par ces outils. Vous pouvez utiliser les fonctions de réplication de fichiers DRA pour répliquer rapidement et facilement les fichiers d'accompagnement des outils personnalisés à partir du serveur d'administration primaire vers les serveurs d'administration secondaires dans le MMS ainsi que vers les ordinateurs client DRA. La réplication des fichiers vous permet également de répliquer les scripts de déclenchement du serveur primaire vers les serveurs secondaires.
Vous pouvez utiliser des outils personnalisés et la réplication des fichiers ensemble pour vous assurer que les ordinateurs client DRA peuvent bien accéder aux fichiers des outils personnalisés. DRA réplique les fichiers des outils personnalisés sur les serveurs d'administration secondaires pour que les ordinateurs client DRA se connectant aux serveurs d'administration secondaires puissent accéder à ces outils.
DRA réplique les fichiers des outils personnalisés présents sur le serveur d'administration primaire vers les serveurs d'administration secondaires au cours du processus de synchronisation MMS. DRA télécharge les fichiers des outils personnalisés sur les ordinateurs client DRA lorsque ces derniers se connectent aux serveurs d'administration.
REMARQUE :DRA télécharge les fichiers des outils personnalisés à l'emplacement suivant sur les ordinateurs client DRA :
{répertoire_installation_DRA} \{ID_MMS}\Download
La valeur MMSID correspond à l'identification du MMS à partir duquel DRA télécharge les fichiers des outils personnalisés.
Lorsque vous téléchargez des fichiers sur le serveur d'administration primaire, vous spécifiez les fichiers que vous souhaitez télécharger et répliquer entre le serveur d'administration primaire et tous les serveurs d'administration secondaires dans l'ensemble MMS. DRA permet de télécharger des fichiers de bibliothèque, des fichiers de script et des fichiers exécutables.
Le rôle Répliquer les fichiers permet de répliquer les fichiers à partir du serveur d'administration primaire vers les serveurs d'administration secondaires dans le MMS ainsi que vers les ordinateurs client DRA. Le rôle Répliquer les fichiers comporte les pouvoirs suivants :
Supprimer les fichiers du serveur : ce pouvoir permet à DRA de supprimer les fichiers qui n'existent plus sur le serveur d'administration primaire, sur les serveurs d'administration secondaires et sur les ordinateurs client DRA.
Définir les informations de fichier : ce pouvoir permet à DRA de mettre à jour les informations des fichiers sur les serveurs d'administration secondaires.
Télécharger les fichiers sur le serveur : ce pouvoir permet à DRA de télécharger les fichiers de l'ordinateur client DRA vers le serveur d'administration primaire.
REMARQUE :vous ne pouvez télécharger qu'un seul fichier à la fois pour la réplication à l'aide de l'interface utilisateur Réplication des fichiers au niveau de la console de délégation et de configuration.
Pour télécharger un fichier d'outil personnalisé sur le serveur d'administration primaire :
Accédez à Configuration Management > File Replication (Réplication des fichiers).
Dans le menu Tâches, cliquez sur Upload File (Télécharger le fichier).
Pour rechercher et sélectionner le fichier à télécharger, cliquez sur Browse (Parcourir).
Si vous souhaitez télécharger le fichier sélectionné sur tous les ordinateurs client DRA, cochez la case Download to all client computer (Télécharger sur tous les ordinateurs client).
Si vous souhaitez enregistrer une bibliothèque COM, cochez la case Register COM library (Enregistrer une bibliothèque COM).
Cliquez sur OK.
REMARQUE :
DRA télécharge les fichiers de script ou d'accompagnement qui doivent être répliqués sur d'autres serveurs d'administration secondaires dans le répertoire {répertoire_installation_DRA}\FileTransfer\Replicate sur le serveur d'administration primaire. Le dossier {répertoire_installation_DRA}\FileTransfer\Replicate est également référencé sous la forme {chemin_fichiers_répliqués_DRA}.
DRA télécharge les fichiers de script ou d'accompagnement qui doivent être répliqués sur des ordinateurs client DRA dans le répertoire {répertoire_installation_DRA}\FileTransfer\Download sur le serveur d'administration primaire.
Le fichier d'outil personnalisé téléchargé sur le serveur d'administration primaire est distribué vers les serveurs d'administration secondaires lors de la synchronisation planifiée suivante ou lors de la synchronisation manuelle.
Si vous disposez de plusieurs fichiers à télécharger et à répliquer entre le serveur d'administration primaire et des serveurs d'administration secondaires dans votre MMS, vous pouvez télécharger manuellement ces fichiers pour la réplication en les copiant dans le répertoire de réplication du serveur d'administration primaire, qui se trouve à l'emplacement suivant :
{DRAInstallDir}\FileTransfer\Replicate
Le répertoire de réplication est créé lors de l'installation de DRA.
Le serveur d'administration identifie automatiquement les fichiers dans le répertoire de réplication et les réplique entre les serveurs d'administration au cours de la synchronisation planifiée suivante. Après la synchronisation, DRA affiche les fichiers téléchargés dans la fenêtre File Replication (Réplication des fichiers) de la console de délégation et de configuration.
REMARQUE :si vous souhaitez répliquer les fichiers qui contiennent les bibliothèques COM devant être enregistrées, vous ne pouvez pas copier manuellement les fichiers dans le répertoire de réplication du serveur d'administration. Vous devez utiliser la console de délégation et de configuration pour télécharger chaque fichier et enregistrer la bibliothèque COM.
Si vous avez plusieurs fichiers à répliquer entre le serveur d'administration primaire et les ordinateurs client DRA, vous pouvez copier ces fichiers dans le répertoire de réplication du client sur le serveur d'administration primaire, qui se trouve à l'emplacement suivant :
{DRAInstallDir}\FileTransfer\Download
Le répertoire de réplication du client est créé lors de l'installation de DRA.
Le serveur d'administration identifie automatiquement les fichiers dans le dossier Download et les réplique sur les serveurs d'administration secondaires au cours de la synchronisation planifiée suivante. Après la synchronisation, DRA affiche les fichiers téléchargés dans la fenêtre de réplication des fichiers de la console de délégation et de configuration. DRA télécharge les fichiers répliqués sur les ordinateurs client DRA la première fois que ceux-ci se connectent aux serveurs d'administration après la réplication.
REMARQUE :si vous souhaitez répliquer les fichiers qui contiennent les bibliothèques COM devant être enregistrées, vous ne pouvez pas copier les fichiers dans le répertoire de téléchargement du serveur d'administration. Vous devez utiliser la console de délégation et de configuration pour télécharger chaque fichier et enregistrer la bibliothèque COM.
Lorsque l'audit AD Domain Services est activé, les événements DRA sont consignés comme ayant été générés par le compte de service DRA ou le compte d'accès au domaine s'il est configuré. L'horodatage des événements améliore encore cette fonction en générant un événement AD DS supplémentaire qui identifie l'assistant administrateur ayant effectué l'opération.
Pour que ces événements soient générés, vous devez configurer l'audit AD DS et activer l'horodatage des événements sur le serveur d'administration DRA. Lorsque l'horodatage des événements est activé, vous pouvez consulter les modifications apportées dans les rapports d'événements Change Guardian par les assistants administrateur.
Pour configurer l'audit AD DS, reportez-vous à l'article Microsoft AD DS Auditing Step-by-Step Guide (Guide détaillé de l'audit AD DS).
Pour configurer l'intégration de Change Guardian, reportez-vous à la section Configuration des serveurs de l'historique des modifications unifiées (UCH).
Pour activer l'horodatage des événements, ouvrez la console de délégation et de configuration en tant qu'administrateur DRA et procédez comme suit :
Accédez à Configuration Management >Update Administration Server Options (Mettre à jour les options de serveur d'administration) > Event Stamping (Horodatage des événements).
Sélectionnez un type d'objet, puis cliquez sur Update (Mettre à jour).
Sélectionnez un attribut à utiliser pour l'horodatage des événements de ce type d'objet.
DRA prend actuellement en charge l'horodatage des événements pour les utilisateurs, les groupes, les contacts, les ordinateurs et les unités organisationnelles.
DRA requiert également que les attributs existent dans le schéma AD pour chacun de vos domaines gérés. C'est un point important à prendre en compte si vous ajoutez des domaines gérés après la configuration de l'horodatage des événements. Si vous devez ajouter un domaine géré qui ne contient pas un attribut sélectionné, les opérations à partir de ce domaine ne seront pas auditées avec les données d'horodatage des événements.
Étant donné que DRA va modifier ces attributs, vous devez sélectionner des attributs qui ne sont pas utilisés par DRA ni par une quelconque autre application dans votre environnement.
Pour plus d'informations sur l'horodatage des événements, reportez-vous à la section Fonctionnement de l'horodatage des événements.
Grâce à Azure Sync, vous pouvez appliquer des stratégies concernant les caractères qui ne sont pas valides et le nombre de caractères autorisés pour éviter les échecs de synchronisation d'annuaires. Cette option garantit que les propriétés synchronisées avec Azure Active Directory restreignent les caractères non valides et appliquent des limites de longueur de caractères.
Pour activer Azure Sync, procédez comme suit :
Dans le panneau de gauche, cliquez sur Configuration Management.
Sous Common Tasks (Tâches courantes) dans le volet de droite, cliquez sur Update Administration Server Options (Mettre à jour les options de serveur d'administration).
Sous l'onglet Azure Sync, sélectionnez Enforce online mailbox policies for invalid characters and character length (Appliquer les stratégies de boîte aux lettres en ligne pour les caractères non valides et la longueur de caractères).
Lorsque vous activez la prise en charge de plusieurs gestionnaires pour gérer un groupe, un des deux attributs par défaut est utilisé pour enregistrer les gestionnaires du groupe. En cas d'exécution de Microsoft Exchange, l'attribut est msExchCoManagedByLink. Si le système n'exécute pas Microsoft Exchange, l'attribut par défaut est nonSecurityMember. Cette dernière option peut être modifiée. Toutefois, il est recommandé de contacter le support technique afin de déterminer un attribut approprié si vous avez besoin de modifier ce paramètre.
Pour activer la prise en charge de plusieurs gestionnaire pour les groupes :
Dans le panneau de gauche, cliquez sur Configuration Management.
Sous Common Tasks (Tâches courantes) dans le volet de droite, cliquez sur Update Administration Server Options (Mettre à jour les options de serveur d'administration).
Sous l'onglet Enable Support for Group Multiple Managers (Activer la prise en charge de plusieurs gestionnaires pour les groupes), cochez la case Enable support for group’s multiple managers (Activer la prise en charge de plusieurs gestionnaires pour le groupe).
Cette fonction vous permet d'activer ou de désactiver l'utilisation de communications chiffrées entre le client de délégation et de configuration et le serveur d'administration. Par défaut, DRA chiffre les mots de passe des comptes. Cette fonctionnalité ne chiffre pas les communications PowerShell ou des clients Web, lesquelles sont traitées séparément par des certificats de serveur.
L'utilisation de communications chiffrées peut affecter les performances. Par défaut, la communication chiffrée est désactivée. Si vous activez cette option, les données sont chiffrées pendant la communication entre les interfaces utilisateur et le serveur d'administration. DRA utilise le chiffrement standard Microsoft pour les appels de procédure distante (Remote Procedure Call, RPC).
Pour activer les communications chiffrées, accédez à Configuration Management > Update Administration Server Options (Mettre à jour les options de serveur d'administration) > onglet General (Général), puis cochez la case Encrypted Communications (Communications chiffrées).
REMARQUE :pour chiffrer toutes les communications entre les interfaces utilisateur et le serveur d'administration, vous devez disposer des pouvoirs appropriés, tels que ceux du rôle Configurer les serveurs et les domaines.
L'utilisation d'attributs virtuels permet de créer des propriétés et de les associer à des utilisateurs, des groupes, des groupes de distribution dynamique, des contacts, des ordinateurs et des unités organisationnelles. Grâce aux attributs virtuels, vous pouvez créer des propriétés sans avoir à étendre le schéma Active Directory.
Les attributs virtuels vous permettent d'ajouter des propriétés aux objets dans Active Directory (AD). Vous pouvez créer, activer, désactiver, associer ou dissocier des attributs virtuels uniquement sur le serveur d'administration primaire. DRA stocke les attributs virtuels que vous créez dans AD LDS. DRA réplique les attributs virtuels présents sur le serveur d'administration primaire vers les serveurs d'administration secondaires au cours du processus de synchronisation MMS.
Vous pouvez gérer les attributs virtuels pour autant que vous disposiez des pouvoirs appropriés. Le rôle Manage Virtual Attributes (Gérer les attributs virtuels) octroie des pouvoirs pour créer, activer, associer, dissocier, désactiver et afficher des attributs virtuels.
Vous devez disposer du pouvoir Create Virtual Attributes (Créer des attributs virtuels) pour créer des attributs virtuels et du pouvoir View Virtual Attributes (Afficher les attributs virtuels) pour consulter ces derniers.
Pour créer un attribut virtuel, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Attributes (Attributs gérés), puis cliquez sur New Virtual Attribute (Nouvel attribut virtuel) dans le menu Tasks (Tâches).
Vous pouvez associer uniquement des attributs virtuels activés à des objets Active Directory. Une fois l'attribut virtuel associé à un objet, cet attribut est disponible en tant que partie intégrante des propriétés de l'objet.
Pour exposer les attributs virtuels via les interfaces utilisateur DRA, vous devez créer une page de propriétés personnalisée.
Pour associer un attribut virtuel à un objet, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Attributes (Attributs gérés), cliquez avec le bouton droit sur l'attribut virtuel à utiliser et sélectionnez Associate (Associer) > (type d'objet).
REMARQUE :
Vous ne pouvez associer les attributs virtuels qu'avec des utilisateurs, des groupes, des groupes de distribution dynamique, des ordinateurs, des contacts et des unités organisationnelles.
Lorsque vous associez un attribut virtuel à un objet, DRA crée automatiquement les deux pouvoirs personnalisés par défaut. Les assistants administrateur doivent disposer de ces pouvoirs personnalisés pour gérer l'attribut virtuel.
Vous pouvez dissocier des attributs virtuels des objets Active Directory. Tout nouvel objet que vous créez n'affiche pas l'attribut virtuel dissocié parmi les propriétés de l'objet.
Pour dissocier un attribut virtuel d'un objet Active Directory, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Classes (Classes gérées) > (type d'objet). Cliquez avec le bouton droit sur l'attribut virtuel et sélectionnez Disassociate (Dissocier).
Vous pouvez désactiver des attributs virtuels s'ils ne sont associés à aucun objet Active Directory. Lorsque vous désactivez un attribut virtuel, les administrateurs ne peuvent pas l'afficher ni l'associer à un objet.
Pour désactiver un attribut virtuel, accédez à Configuration Management > Attributs gérés. Cliquez avec le bouton droit sur l'attribut souhaité dans le volet de la liste, puis sélectionnez Disable (Désactiver).
Le serveur d'administration crée et gère un cache des comptes qui contient des parties de l'annuaire Active Directory pour les domaines gérés. DRA utilise le cache des comptes pour améliorer les performances lors de la gestion des comptes utilisateur, des groupes, des contacts et des comptes d'ordinateur.
Pour planifier une heure de rafraîchissement du cache ou pour afficher l'état du cache, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
REMARQUE :pour effectuer des rafraîchissements incrémentiels du cache des comptes dans les domaines qui contiennent des sous-arborescences gérées, vérifiez que le compte de service bénéficie d'un accès en lecture au conteneur Objets supprimés, ainsi qu'à tous les objets dans le domaine de la sous-arborescence. Vous pouvez employer l'utilitaire des objets supprimés pour vérifier et déléguer les autorisations appropriées.
Un rafraîchissement incrémentiel du cache des comptes met à jour uniquement les données qui ont changé depuis le dernier rafraîchissement. Le rafraîchissement incrémentiel offre une méthode rationalisée pour suivre les changements au sein de votre annuaire Active Directory. Le rafraîchissement incrémentiel permet de mettre à jour rapidement le cache des comptes en perturbant le moins possible l'activité de l'entreprise.
IMPORTANT :Microsoft Server limite le nombre d'utilisateurs simultanés connectés à la session WinRM/WinRS à cinq et le nombre de shells par utilisateur à cinq également. Veillez donc à ce que le compte utilisateur en question soit limité à cinq shells pour les serveurs DRA secondaires.
Un rafraîchissement incrémentiel met à jour les données suivantes :
Les objets nouveaux et clonés
Les objets supprimés et déplacés
Les adhésions aux groupes
Toutes les propriétés d'objet mises en cache pour les objets modifiés
Un rafraîchissement complet du cache des comptes reconstruit le cache des comptes de DRA pour le domaine spécifié.
REMARQUE :pendant l'exécution d'un rafraîchissement complet du cache des comptes, le domaine n'est pas disponible pour les utilisateurs DRA.
Pour rafraîchir le cache des comptes, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines
.
Pour effectuer un rafraîchissement complet immédiat du cache des comptes :
Accédez à Configuration Management > Managed Domains (Domaines gérés).
Cliquez avec le bouton droit sur le domaine souhaité, puis sélectionnez Properties (Propriétés).
Cliquez sur Refresh Now (Rafraîchir maintenant) sous l'onglet Full refresh (Rafraîchissement complet).
La fréquence à laquelle vous devez rafraîchir le cache des comptes dépend de la fréquence des changements au sein de votre entreprise. Le rafraîchissement incrémentiel permet de mettre à jour le cache des comptes souvent, pour vous assurer que DRA dispose des dernières informations concernant Active Directory.
Par défaut, le serveur d'administration effectue un rafraîchissement incrémentiel du cache des comptes selon les fréquences suivantes :
|
Type de domaine |
Fréquence de rafraîchissement planifiée par défaut |
|---|---|
|
Domaines gérés |
Toutes les 5 minutes |
|
Domaines approuvés |
Toutes les heures |
Vous ne pouvez pas planifier un rafraîchissement complet du cache des comptes (Full Accounts Cache Refresh, FACR). Toutefois, DRA exécute automatiquement un FACR dans les circonstances suivantes :
après avoir configuré un domaine géré pour la première fois ;
après avoir mis à niveau DRA vers une nouvelle version complète à partir d'une version précédente ;
après avoir installé un Service Pack DRA.
L'exécution d'un rafraîchissement complet du cache des comptes peut nécessiter plusieurs minutes.
Vous devez régulièrement rafraîchir le cache des comptes pour que DRA dispose bien des informations les plus récentes. Avant d'effectuer ou de planifier un rafraîchissement du cache des comptes, passez en revue les points suivants :
Pour effectuer un rafraîchissement incrémentiel du cache des comptes, le compte d'accès ou de service du serveur d'administration doit être autorisé à accéder aux objets supprimés dans l'annuaire Active Directory du domaine approuvé ou géré.
Lorsque DRA effectue un rafraîchissement du cache des comptes, le serveur d'administration n'inclut pas les groupes de sécurité locaux des domaines approuvés. Par conséquent, DRA ne vous permet pas d'ajouter un groupe de sécurité local du domaine approuvé à un groupe local sur le serveur membre géré.
Si vous omettez un domaine approuvé dans le cadre d'un rafraîchissement du cache des comptes, le serveur d'administration ignore également ce domaine lors du rafraîchissement de la configuration des domaines.
Si vous incluez un domaine approuvé précédemment ignoré dans le rafraîchissement du cache des comptes, effectuez un rafraîchissement complet du cache des comptes pour le domaine géré. Ainsi, le cache des comptes sur le serveur d'administration du domaine géré reflète correctement les données d'adhésion des groupes de vos domaines gérés et approuvés.
Si vous définissez l'intervalle de rafraîchissement incrémentiel du cache des comptes sur Jamais, le serveur d'administration exécute uniquement des rafraîchissements complets du cache des comptes. Un rafraîchissement complet du cache des comptes peut prendre un certain temps au cours duquel vous ne pouvez pas gérer les objets de ce domaine.
DRA ne peut pas déterminer automatiquement lorsque des modifications sont effectuées via d'autres outils, tels que Microsoft Directory Services. Les opérations réalisées en dehors de DRA peuvent nuire à la précision des informations mises en cache. Par exemple, si vous utilisez un autre outil pour ajouter une boîte aux lettres à un compte utilisateur, vous ne pouvez pas utiliser Exchange pour gérer cette boîte aux lettres tant que vous n'avez pas mis à jour le cache des comptes.
L'exécution d'un rafraîchissement complet du cache des comptes supprime les statistiques de dernière connexion tenues à jour dans le cache. Le serveur d'administration collecte alors les dernières informations de connexion auprès de tous les contrôleurs de domaine.
La collecte des imprimantes AD est désactivée par défaut. Pour l'activer, accédez à Configuration Management > Update Administration Server Options (Mettre à jour les options de serveur d'administration) > onglet General (Général), puis cochez la case Collect Printers (Collecter les imprimantes).
Vous pouvez configurer le rafraîchissement de nettoyage AD LDS afin qu'il s'exécute selon une planification pour des domaines spécifiques. Le paramètre par défaut est « Jamais ». Vous pouvez également afficher l'état de nettoyage et consulter des informations spécifiques relatives à la configuration AD LDS (ADAM).
Pour configurer la planification ou afficher l'état du nettoyage d'AD LDS, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Gestion des comptes et des ressources > Tous mes objets gérés, puis sélectionnez respectivement Properties (Propriétés) > Adlds Cleanup Refresh Schedule (Planification du rafraîchissement de nettoyage d'AD LDS) ou Adlds Cleanup status (État du nettoyage d'AD LDS).
Pour afficher les informations de configuration d'AD LDS (ADAM), accédez à Configuration Management > Update Server Options (Mettre à jour les options de serveur) > ADAM Configuration (Configuration ADAM).
Un groupe dynamique est un groupe dont l'adhésion change en fonction d'un ensemble défini de critères que vous configurez dans les propriétés du groupe. Dans les propriétés du domaine, vous pouvez configurer le rafraîchissement de groupe dynamique à exécuter selon une planification pour des domaines spécifiques. Le paramètre par défaut est « Jamais ». Vous pouvez également afficher l'état de rafraîchissement.
Pour configurer la planification ou afficher l'état de rafraîchissement de groupe dynamique, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Gestion des comptes et des ressources > Tous mes objets gérés, puis sélectionnez respectivement Properties (Propriétés) > Dynamic group refresh (Rafraîchissement de groupe dynamique) ou Dynamic group status (État du groupe dynamique).
Pour plus d'informations sur les groupes dynamiques, reportez-vous à la section Groupes dynamiques DRA.
Vous pouvez activer ou désactiver la corbeille pour chaque domaine Microsoft Windows ou pour des objets au sein de chaque domaine, et configurer quand et comment vous voulez que le nettoyage de la corbeille se produise.
Pour plus d'informations sur l'utilisation de la corbeille, reportez-vous à la section Corbeille.
Vous pouvez activer la corbeille pour des domaines spécifiques de Microsoft Windows et pour des objets au sein de ces domaines. Par défaut, DRA active la corbeille pour chaque domaine qu'il gère et pour tous les objets du domaine. Pour activer la corbeille, vous devez être un membre du groupe Administrateurs DRA ou Administrateurs de configuration DRA.
Si votre environnement comprend la configuration suivante, employez l'utilitaire de la corbeille pour activer cette fonction :
DRA gère une sous-arborescence de ce domaine.
Le compte d'accès ou de service du serveur d'administration n'est pas autorisé à créer le conteneur Corbeille, à déplacer des comptes vers ce conteneur ni à modifier les comptes qu'il contient.
Vous pouvez également employer l'utilitaire de la corbeille afin de vérifier les autorisations du compte d'accès ou de service du serveur d'administration sur le conteneur Corbeille.
Pour activer la corbeille, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Corbeille, puis sélectionnez Enable Recycle Bin (Activer la corbeille).
Vous pouvez désactiver la corbeille pour des domaines spécifiques de Microsoft Windows et pour des objets au sein de ces domaines. Si une corbeille désactivée contient des comptes, vous ne pouvez pas afficher, supprimer définitivement ni restaurer ces comptes.
Pour désactiver la corbeille, vous devez être un membre du groupe Administrateurs DRA ou Administrateurs de configuration DRA.
Pour désactiver la corbeille, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Corbeille, puis sélectionnez Disable Recycle Bin (Désactiver la corbeille).
Par défaut, la corbeille est nettoyée tous les jours. Vous pouvez modifier cette configuration afin de nettoyer la corbeille du domaine tous les x jours. Lors du nettoyage planifié, la corbeille supprime les objets qui ont une ancienneté supérieure au nombre de jours que vous avez configuré pour chaque type d'objet. Le paramètre par défaut pour chaque type consiste à supprimer les objets ayant plus d'un jour. Pour personnaliser le comportement de nettoyage de la corbeille, désactivez-le, réactivez-le, puis définissez l'ancienneté des objets à supprimer pour chaque type d'objet.
Pour configurer le nettoyage de la corbeille, sélectionnez le domaine souhaité au niveau de la console de délégation et de configuration, puis accédez à Tâches > Propriétés > onglet Corbeille.
Les sections suivantes fournissent des informations conceptuelles à propos des rapports de gestion DRA et des collecteurs de rapports que vous pouvez activer. Pour atteindre l'assistant dans lequel vous pouvez configurer les collecteurs, accédez à Configuration Management > Update Reporting Service Configuration (Mettre à jour la configuration du service de création de rapports).
Le collecteur Active Directory recueille un ensemble défini d'attributs à partir d'Active Directory pour chaque utilisateur, groupe, contact, ordinateur, unité organisationnelle et groupe de distribution dynamique gérés dans DRA. Ces attributs sont stockés dans la base de données de création de rapports et sont utilisés pour générer des rapports au niveau de la console de création de rapports.
Vous pouvez configurer le collecteur Active Directory pour spécifier les attributs qui sont collectés et stockés dans la base de données de création de rapports. Vous pouvez également configurer le serveur d'administration DRA sur lequel le collecteur s'exécutera.
Le collecteur DRA recueille des informations sur votre configuration DRA et enregistre ces informations dans la base de données de création de rapports, laquelle permet de générer des rapports au niveau de la console de création de rapports.
Pour activer le collecteur DRA, vous devez spécifier sur quel serveur d'administration DRA il s'exécutera. Il est recommandé de planifier le collecteur DRA pour qu'il s'exécute après une exécution réussie du collecteur Active Directory et pendant les heures auxquelles le serveur est moins chargé ou en dehors des heures de travail normales.
Le collecteur de locataires Azure recueille des informations sur les utilisateurs et les groupes Azure qui sont synchronisés dans Azure Active Directory et enregistre ces informations dans la base de données de création de rapports, qui sert à générer des rapports au niveau de la console de création de rapports.
Pour activer le collecteur de locataires Azure, vous devez spécifier sur quel serveur d'administration DRA il s'exécutera.
REMARQUE :le locataire Azure ne peut réussir une collecte qu'une fois que le collecteur Active Directory du domaine correspondant a lui-même exécuté une collecte avec succès.
Le collecteur de rapports de gestion collecte des informations d'audit DRA et les enregistre dans la base de données de création de rapports, laquelle permet de générer des rapports au niveau de la console de création de rapports. Lorsque vous activez le collecteur, vous pouvez configurer la fréquence à laquelle les données sont mises à jour dans la base de données pour les requêtes exécutées dans l'outil DRA Reporting.
Cette configuration implique que le compte de service DRA dispose de l'autorisation sysadmin dans SQL Server sur le serveur de création de rapports. Les options configurables sont définies ci-après :
Audit Export Data Interval (Intervalle d'exportation des données d'audit) : il s'agit de l'intervalle selon lequel les données d'audit du journal de trace de DRA (LAS) sont exportées vers la base de données « SMCubeDepot » dans SQL Server.
Management Report Summarization Interval (Intervalle de résumé de rapport de gestion) : il s'agit de l'intervalle selon lequel les données d'audit de la base de données SMCubeDepot sont injectées dans la base de données DRA Reporting où elles peuvent être interrogées par l'outil DRA Reporting.
Vous pouvez configurer DRA pour qu'il collecte les statistiques de dernière connexion auprès de tous les contrôleurs de domaine dans le domaine géré. Pour activer et planifier la collecte des statistiques de dernière connexion, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Par défaut, la fonction de collecte des statistiques de dernière connexion est désactivée. Si vous souhaitez collecter les données des statistiques de dernière connexion, vous devez activer cette fonction. Une fois que vous avez activé la collecte des statistiques de dernière connexion, vous pouvez afficher ces informations pour un utilisateur particulier ou consulter l'état de collecte de ces dernières.
Pour recueillir les statistiques de dernière connexion :
Accédez à Configuration Management > Domaines gérés.
Cliquez avec le bouton droit sur le domaine souhaité, puis sélectionnez Propriétés.
Cliquez sur l'onglet Last logon schedule (Planification dernière connexion) pour configurer la collecte des statistiques de dernière connexion.
La fonctionnalité Unified Change History Server (Serveur d'historique des modifications unifiées) permet de générer des rapports sur les modifications effectuées en dehors de DRA.
Pour gérer le serveur d'historique des modifications unifiées, assignez le rôle Unified Change History Server Administration (Administration du serveur d'historique des modifications unifiées) ou les pouvoirs applicables ci-dessous aux assistants administrateur :
Supprimer la configuration du serveur d'historique des modifications unifiées
Définir les informations de configuration de l'historique des modifications unifiées
Afficher les informations de configuration de l'historique des modifications unifiées
Pour déléguer les pouvoirs du serveur d'historique des modifications unifiées, procédez comme suit :
Cliquez sur Powers (Pouvoirs) dans le nœud Delegation Management (Gestion de la délégation), puis utilisez la fonction de recherche d'objets pour rechercher et sélectionner les pouvoirs UCH souhaités.
Cliquez avec le bouton droit sur l'un des pouvoirs UCH sélectionnés, puis sélectionnez Delegate Roles and Powers (Déléguer des rôles et des pouvoirs).
Recherchez l'utilisateur, le groupe ou le groupe d'assistants administrateur spécifique auquel vous souhaitez déléguer des pouvoirs.
Utilisez le sélecteur d'objet pour rechercher et ajouter les objets souhaités, puis cliquez sur Roles and Powers (Rôles et pouvoirs) dans l'assistant.
Cliquez sur ActiveViews et utilisez le sélecteur d'objet pour rechercher et ajouter les instances ActiveView souhaitées.
Cliquez sur Next (Suivant), puis sur Finish (Terminer) pour finaliser le processus de délégation.
Pour configurer des serveurs d'historique des modifications unifiées, procédez comme suit :
Connectez-vous à la console de délégation et de configuration.
Développez Configuration Management (Gestion de la configuration) > Integration Servers (Serveurs d'intégration).
Cliquez avec le bouton droit sur Unified Change History (Historique des modifications unifiées), puis sélectionnez New Unified Change History Server (Nouveau serveur d'historique des modifications unifiées).
Indiquez le nom du serveur UCH ou l'adresse IP, le numéro de port, le type de serveur et les détails du compte d'accès dans la configuration de l'historique des modifications unifiées.
Testez la connexion au serveur, puis cliquez sur Finish (Terminer) pour enregistrer la configuration.
Ajoutez des serveurs supplémentaires selon vos besoins.
Pour gérer le workflow, assignez le rôle Workflow Automation Server Administration (Administration du serveur d'automatisation du workflow) ou les pouvoirs applicables ci-dessous aux assistants administrateur :
Create Workflow Event and Modify All Properties (Créer un événement de workflow et modifier toutes les propriétés)
Delete Workflow Automation Server Configuration (Supprimer la configuration du serveur d'automatisation du workflow)
Set Workflow Automation Server Configuration Information (Définir les informations de configuration du serveur d'automatisation du workflow)
Start Workflow (Démarrer le workflow)
View All Workflow Event Properties (Afficher toutes les propriétés d'événement du workflow)
View All Workflow Properties (Afficher toutes les propriétés du workflow)
View Workflow Automation Server Configuration Information (Afficher les informations de configuration du serveur d'automatisation du workflow)
Pour déléguer les pouvoirs de configuration du serveur d'automatisation du workflow, procédez comme suit :
Cliquez sur Powers (Pouvoirs) dans le nœud Delegation Management (Gestion de la délégation), puis utilisez la fonction de recherche d'objets pour rechercher et sélectionner les pouvoirs de workflow souhaités.
Cliquez avec le bouton droit sur l'un des pouvoirs de workflow sélectionnés, puis sélectionnez Delegate Roles and Powers (Déléguer des rôles et des pouvoirs).
Recherchez l'utilisateur, le groupe ou le groupe d'assistants administrateur spécifique auquel vous souhaitez déléguer des pouvoirs.
Utilisez le sélecteur d'objet pour rechercher et ajouter les objets souhaités, puis cliquez sur Roles and Powers (Rôles et pouvoirs) dans l'assistant.
Cliquez sur ActiveViews et utilisez le sélecteur d'objet pour rechercher et ajouter les instances ActiveView souhaitées.
Cliquez sur Next (Suivant), puis sur Finish (Terminer) pour finaliser le processus de délégation.
Pour utiliser l'automatisation du workflow dans DRA, vous devez installer le moteur de workflow sur un serveur Windows, puis configurer le serveur d'automatisation du workflow via la console de délégation et de configuration.
Pour configurer le serveur d'automatisation du workflow, procédez comme suit :
Connectez-vous à la console de délégation et de configuration.
Pour connaître les pouvoirs d'automatisation du workflow, reportez-vous à la section Délégation des pouvoirs de configuration du serveur d'automatisation du workflow.
Développez Configuration Management (Gestion de la configuration) > Integration Servers (Serveurs d'intégration).
Cliquez avec le bouton droit sur Workflow Automation (Automatisation du workflow), puis sélectionnez New Workflow Automation Server (Nouveau serveur d'automatisation du workflow).
Dans l'assistant Add Workflow Automation Server (Ajouter un serveur d'automatisation du workflow), indiquez les détails tels que le nom du serveur, le port, le protocole et le compte d'accès.
Testez la connexion au serveur, puis cliquez sur Finish (Terminer) pour enregistrer la configuration.
Pour plus d'informations sur l'installation du moteur de workflow, reportez-vous au document Workflow Automation Administrator Guide (Guide de l'administrateur de l'automatisation du workflow).
DRA vous permet de rechercher des objets LDAP dans les domaines Active Directory locaux, tels les utilisateurs, les contacts, les ordinateurs, les groupes et les unités organisationnelles provenant du serveur LDAP. Le serveur DRA continue à gérer l'opération et correspond au contrôleur de domaine sur lequel la recherche est exécutée. Utilisez les filtres de recherche pour effectuer des recherches plus efficaces. Vous pouvez également enregistrer une requête de recherche afin de pouvoir l'utiliser ultérieurement et de la partager en la rendant publique ou en la limitant à votre propre usage en la configurant comme privée. Vous pouvez éditer les requêtes enregistrées. Le rôle LDAP Advanced Queries (Requêtes LDAP avancées) accorde aux assistants administrateur les pouvoirs de créer et de gérer les requêtes de recherche LDAP. Pour déléguer la création et la gestion des requêtes de recherche LDAP, utilisez les pouvoirs suivants :
Créer une requête avancée privée
Créer une requête avancée publique
Supprimer une requête avancée publique
Exécuter une requête avancée
Exécuter une requête avancée d'enregistrement
Modifier une requête publique
Afficher une requête avancée
Pour déléguer les pouvoirs des requêtes LDAP, procédez comme suit :
Cliquez sur Powers (Pouvoirs) dans le nœud Delegation Management (Gestion de la délégation), puis utilisez la fonction de recherche d'objets pour rechercher et sélectionner les pouvoirs de requêtes LDAP avancées souhaités.
Cliquez avec le bouton droit sur l'un des pouvoirs LDAP sélectionnés, puis sélectionnez Delegate Roles and Powers (Déléguer des rôles et des pouvoirs).
Recherchez l'utilisateur, le groupe ou le groupe d'assistants administrateur spécifique auquel vous souhaitez déléguer des pouvoirs.
Utilisez le sélecteur d'objet pour rechercher et ajouter les objets souhaités, puis cliquez sur Roles and Powers (Rôles et pouvoirs) dans l'assistant.
Cliquez sur ActiveViews et utilisez le sélecteur d'objet pour rechercher et ajouter les instances ActiveView souhaitées.
Cliquez sur Next (Suivant), puis sur Finish (Terminer) pour finaliser le processus de délégation.
Pour accéder à la fonction de recherche dans la console Web, accédez à Management (Gestion) > LDAP Search (Recherche LDAP).