3.5 Configuration requise pour le serveur d'administration, la console Web et les extensions REST DRA

Les composants DRA nécessitent les logiciels et comptes suivants :

3.5.1 Configuration logicielle requise

Composant	Conditions préalables
Cible d'installation Système d'exploitation	Système d'exploitation du serveur d'administration de NetIQ : Microsoft Windows Server 2012 R2, 2016, 2019 REMARQUE :le serveur doit également être membre d'un domaine Microsoft Active Directory local pris en charge. Interfaces DRA : Microsoft Windows Server 2012 R2, 2016, 2019 Microsoft Windows 8.1 (x86 et x64), 10 (x86 et x64)
Programme d'installation	Microsoft .NET Framework 4.6.2 et versions ultérieures
Serveur d'administration	Directory and Resource Administrator : Microsoft .NET Framework 4.6.2 et versions ultérieures Packages redistribuables Microsoft Visual C++ 2013 (x64) et packages redistribuables Microsoft Visual C++ 2017 (Update 3) (x64 et x86) Microsoft Message Queuing Rôles Microsoft Active Directory Lightweight Directory Services Service d'accès à distance au registre démarré Module de réécriture d'URL pour Microsoft Internet Information Services Application Request Routing pour Microsoft Internet Information Services Microsoft Office 365/Exchange Online Administration : Module Windows Azure Active Directory pour Windows PowerShell Skype Entreprise Online, module Windows PowerShell Pour plus d'informations, reportez-vous à la section Plates-formes prises en charge.
Interface utilisateur	Interfaces DRA : Microsoft .NET Framework 4.6.2 Packages redistribuables Microsoft Visual C++ 2017 (Update 3) (x64 et x86)
Service hôte DRA	Microsoft .NET Framework 4.6.2 Serveur d'administration DRA
Service et nœud d'extrémité REST DRA	Microsoft .NET Framework 4.6.2
Extensions PowerShell	Microsoft .NET Framework 4.6.2 PowerShell 5.1 ou version ultérieure
Console Web DRA	Serveur Web : Microsoft .NET Framework 4.x > Services WCF > Activation HTTP Microsoft Internet Information Server 8.0, 8.5, 10 Module de réécriture d'URL pour Microsoft Internet Information Services Application Request Routing pour Microsoft Internet Information Services Composants Microsoft IIS : Serveur Web Fonctionnalités HTTP communes Contenu statique Document par défaut Navigateur de répertoires Erreurs HTTP Développement d'applications ASP Santé et diagnostics Consignation HTTP Moniteur de requête Sécurité Authentification de base Performances Compression de contenu statique Outils de gestion du serveur Web

3.5.2 Domaine du serveur

Composant	Systèmes d'exploitation
Serveur DRA	Microsoft Windows Server 2019 Microsoft Windows Server 2016 Microsoft Windows Server 2012 R2

3.5.3 Configuration requise pour les comptes

Compte	Description	Autorisations
Groupe AD LDS	Le compte de service DRA doit être ajouté à ce groupe pour l'accès à AD LDS.	Groupe de sécurité locale de domaine
Compte de service DRA	Autorisations requises pour exécuter le service d'administration NetIQ	Autorisations de type « Utilisateurs du modèle COM distribué » Membre du groupe d'administrateurs AD LDS Groupe d'opérateurs de compte Groupes d'archivage de journaux (OnePointOp ConfgAdms et OnePointOp) Vous devez sélectionner l'une des options de compte suivantes sous l'onglet Compte pour l'utilisateur du compte de service DRA si vous installez DRA sur un serveur à l'aide de la méthode STIG : Chiffrement AES 128 bits via Kerberos Chiffrement AES 256 bits via Kerberos REMARQUE : Pour plus d'informations sur la configuration des comptes d'accès au domaine à privilège minimal, reportez-vous à la section suivante : Comptes d'accès DRA à privilège minimal. Pour plus d'informations sur la configuration d'un compte de service administré de groupe pour DRA, reportez-vous à la section suivante : « Configuration des services DRA pour un compte de service administré de groupe ».
Administrateur DRA	Compte utilisateur ou groupe provisionné pour le rôle intégré d'administrateur DRA	Groupe de sécurité locale du domaine ou compte utilisateur du domaine Membre du domaine géré ou d'un domaine approuvé Si vous indiquez un compte à partir d'un domaine approuvé, vérifiez que l'ordinateur du serveur d'administration peut s'authentifier auprès de ce compte.
Comptes d'assistant administrateur DRA	Comptes qui recevront des pouvoirs par le biais de DRA	Ajoutez tous les comptes d'assistant administrateur de DRA au groupe « Utilisateurs du modèle COM distribué » afin qu'ils puissent se connecter au serveur DRA à partir de clients distants (uniquement si vous utilisez un client lourd ou la console de délégation et de configuration). REMARQUE :DRA peut être configuré pour effectuer cette gestion à votre place pendant l'installation.

3.5.4 Comptes d'accès DRA à privilège minimal

Vous trouverez ci-dessous les autorisations et privilèges requis pour les comptes spécifiés et les commandes de configuration à exécuter.

Compte d'accès au domaine : À l'aide de la fonction Modification ADSI, attribuez au compte d'accès au domaine les autorisations Active Directory suivantes au niveau de domaine supérieur pour les types d'objets descendants suivants :

Contrôle TOTAL sur les objets builtInDomain
Contrôle TOTAL sur les objets Ordinateur
Contrôle TOTAL sur les objets Point de connexion
Contrôle TOTAL sur les objets Contact
Contrôle TOTAL sur les objets Conteneur
Contrôle TOTAL sur les objets Groupe
Contrôle TOTAL sur les objets InetOrgPerson
Contrôle TOTAL sur les objets MsExchDynamicDistributionList
Contrôle TOTAL sur les objets MsExchSystemObjectsContainer
Contrôle TOTAL sur les objets Unité organisationnelle
Contrôle TOTAL sur les objets Imprimante
Contrôle TOTAL sur les objets publicFolder
Contrôle total sur les objets Dossier partagé
Contrôle TOTAL sur les objets Utilisateur

Attribuez au compte d'accès au domaine les autorisations Active Directory suivantes au niveau de domaine supérieur pour cet objet et tous les objets descendants :

Autoriser la création d'objets Ordinateur
Autoriser la création d'objets Contact
Autoriser la création d'objets Conteneur
Autoriser la création d'objets Groupe
Autoriser la création d'objets MsExchDynamicDistributionList
Autoriser la création d'objets Unité organisationnelle
Autoriser la création d'objets publicFolders
Autoriser la création d'objets Dossier partagé
Autoriser la création d'objets Utilisateur
Autoriser la suppression d'objets Ordinateur
Autoriser la suppression d'objets Contact
Autoriser la suppression d'objets Conteneur
Autoriser la suppression d'objets Groupe
Autoriser la suppression d'objets InetOrgPerson
Autoriser la suppression d'objets MsExchDynamicDistributionList
Autoriser la suppression d'objets Unité organisationnelle
Autoriser la suppression d'objets publicFolders
Autoriser la suppression d'objets Dossier partagé
Autoriser la suppression d'objets Utilisateur

REMARQUE :

Par défaut, certains objets Conteneur intégrés dans Active Directory n'héritent pas des autorisations du niveau supérieur du domaine. C'est pourquoi il est nécessaire d'activer l'héritage ou de définir des autorisations explicites pour ces objets.
Si le serveur REST n'est pas installé sur le même serveur que le serveur d'administration DRA, le compte du service REST en cours d'exécution doit disposer d'un contrôle total sur le serveur REST dans Active Directory. Par exemple, définissez le contrôle TOTAL sur CN=DRARestServer,CN=System,DC=myDomain,DC=com.

Compte d'accès Exchange : pour gérer les objets Microsoft Exchange locaux, assignez le rôle Organizational Management (Gestion de l'organisation) au compte d'accès Exchange et le compte d'accès Exchange au groupe Account Operators (Opérateurs de compte).

Compte d'accès à Skype : assurez-vous que ce compte est employé par un utilisateur Skype et qu'il est membre d'au moins un des éléments suivants :

Rôle CSAdministrator
Rôles CSUserAdministrator et CSArchiving

Compte d'accès aux dossiers publics : assignez les autorisations Active Directory suivantes au compte d'accès aux dossiers publics :

Gestion des dossiers publics
Dossiers publics de messagerie

Compte d'accès au locataire Azure : assignez les autorisations Azure Active Directory suivantes au compte d'accès au locataire Azure :

Groupes de distribution
Destinataires du courrier
Création du destinataire de courrier
Création et adhésion au groupe de sécurité
(Facultatif) Administrateur Skype Entreprise

Si vous souhaitez gérer Skype Entreprise Online, assignez à l'administrateur Skype Entreprise l'autorisation au compte d'accès au locataire Azure.
Administrateur d'utilisateurs

Autorisations du compte de service d'administration NetIQ :

Administrateurs locaux
Accordez au compte de remplacement à privilège minimal une « autorisation complète » sur les dossiers de partage ou les dossiers DFS pour lesquels les répertoires privés sont provisionnés.
Gestion des ressources : pour gérer les ressources publiées dans un domaine Active Directory géré, le compte d'accès au domaine doit disposer d'autorisations d'administration locale sur ces ressources.

Opérations postérieures à l'installation de DRA : une fois les domaines nécessaires ajoutés ou gérés par DRA, exécutez les commandes suivantes :

Pour déléguer l'autorisation sur le « conteneur d'objets supprimés » à partir du dossier d'installation DRA (remarque : la commande doit être exécutée par un administrateur de domaine) :

DraDelObjsUtil.exe /domain:<nom_domaine_NetBIOS> /delegate:<nom_compte>
Pour déléguer l'autorisation sur l'« unité organisationnelle NetIQRecycleBin » à partir du dossier d'installation DRA :

DraRecycleBinUtil.exe /domain:<nom_domaine_NetBIOS> /delegate:<nom_compte>

Accès à distance à SAM : assignez des contrôleurs de domaine ou des serveurs membres gérés par DRA pour activer les comptes répertoriés dans le paramètre d'objet de stratégie de groupe (GPO) ci-dessous afin qu'ils puissent effectuer des requêtes à distance auprès de la base de données du Gestionnaire de comptes de sécurité (SAM). La configuration doit inclure le compte de service DRA.

Network access: Restrict clients allowed to make remote calls to SAM (Accès réseau : restreindre les clients autorisés à effectuer des appels distants vers SAM)

Pour accéder à ce paramètre, procédez comme suit :

Ouvrez la console de gestion des stratégies de groupe sur le contrôleur de domaine.
Dans l'arborescence, développez Domains (Domaines) > [contrôleur_domaine] > Group Policy Objects (Objets de stratégie de groupe).
Cliquez avec le bouton droit sur Default Domain Controllers Policy (Stratégie Contrôleurs de domaine par défaut), puis sélectionnez Edit (Modifier) pour ouvrir l'éditeur d'objets de stratégie de groupe pour cette stratégie.
Dans l'arborescence de l'éditeur d'objets de stratégie de groupe, développez Computer Configuration (Configuration ordinateur) > Policies (Stratégies) > Windows Settings (Paramètres Windows) > Security Settings (Paramètres de sécurité) > Local Policies (Stratégies locales).
Double-cliquez sur Network access: Restrict clients allowed to make remote calls to SAM (Accès réseau : restreindre les clients autorisés à effectuer des appels distants vers SAM) dans le volet des stratégies, puis sélectionnez Define this policy setting (Définir ce paramètre de stratégie).
Cliquez sur Edit Security (Modifier la sécurité), puis activez l'option Allow (Autoriser) pour l'autorisation Remote Access (Accès à distance). Ajoutez le compte de service DRA s'il n'est pas déjà inclus en tant qu'utilisateur ou que membre du groupe d'administrateurs.
Appliquez les modifications apportées. Le descripteur de sécurité O:BAG:BAD:(A;;RC;;;BA) est alors ajouté aux paramètres de stratégie.

Pour plus d'informations, reportez-vous à l'article 7023292 de la base de connaissances.