Cette section décrit les étapes de configuration requises si vous installez Directory and Resource Administrator pour la première fois.
Utilisez la liste de contrôle suivante pour vous aider à configurer DRA dans le cadre d'une première utilisation.
|
Étapes |
Détails |
|---|---|
|
Installation d'une licence DRA |
Employez l'utilitaire de contrôle de l'état de santé pour appliquer une licence DRA. Pour plus d'informations sur les licences DRA, reportez-vous à la section Exigences de licence. |
|
Configuration des fonctions et des serveurs DRA |
Configurez le MMS, les exceptions de clonage, la réplication des fichiers, l'horodatage des événements, le caching, AD LDS, les groupes dynamiques, la corbeille, la création de rapports, l'historique des modifications unifiées et le serveur de workflow. |
|
Configuration du client de délégation et de configuration |
Configurez la manière dont les éléments sont accessibles et affichés dans le client de délégation et de configuration. |
|
Configuration du client Web |
Configurez la déconnexion automatique, les certificats, les connexions serveur et les composants d'authentification. |
DRA nécessite un fichier de clé de licence. Ce fichier contient vos informations de licence et est installé sur le serveur d'administration. Après avoir installé le serveur d'administration, employez l'utilitaire de contrôle de l'état de santé pour installer le fichier de clé de licence d'évaluation (TrialLicense.lic) fourni par NetIQ Corporation.
Pour mettre à niveau une licence d'évaluation ou une licence existante, ouvrez la Console de délégation et de configuration et accédez à Configuration·Management (Gestion de la configuration) > Update License (Mettre à jour la licence). Lorsque vous mettez à niveau votre licence, mettez à niveau le fichier de licence sur chaque serveur d'administration.
Vous pouvez afficher votre licence de produit via la console de délégation et de configuration ou la console de gestion des comptes et des ressources. Pour afficher votre licence de produit, accédez au menu File (Fichier) > DRA Properties (Propriétés DRA) > License (Licence).
Afin de gérer l'accès à privilège minimal pour les tâches Active Directory à l'aide de DRA, de nombreux composants et processus doivent être configurés. Il s'agit notamment de configurations de composants généraux et clients. Cette section fournit des informations concernant les composants et processus généraux nécessitant une configuration pour DRA.
Un environnement MMS utilise plusieurs serveurs d'administration pour gérer le même ensemble de domaines et de serveurs membres. Un MMS comprend un serveur d'administration primaire et plusieurs serveurs d'administration secondaires.
Le mode par défaut pour le serveur d'administration est Primaire. Lorsque vous ajoutez des serveurs secondaires à votre environnement MMS, n'oubliez pas qu'un serveur d'administration secondaire ne peut appartenir qu'à un seul ensemble de serveurs.
Pour vous assurer que tous les serveurs de l'ensemble gèrent les mêmes données, synchronisez régulièrement les serveurs secondaires avec le serveur d'administration primaire. Pour simplifier la maintenance, utilisez le même compte de service pour tous les serveurs d'administration de la forêt du domaine.
IMPORTANT :
Lorsque vous installez le serveur secondaire, sélectionnez Secondary Administration Server (Serveur d'administration secondaire) dans le programme d'installation.
La version DRA du nouveau serveur secondaire doit être identique à celle du serveur DRA primaire, de sorte que toutes les fonctionnalités qui sont disponibles sur le serveur primaire le soient également sur le serveur secondaire.
Vous pouvez ajouter un serveur d'administration secondaire à un MMS existant dans le client de délégation et de configuration. Pour ajouter un serveur secondaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
REMARQUE :pour que l'ajout d'un serveur secondaire réussisse, vous devez d'abord installer le produit Directory and Resource Administrator sur l'ordinateur du serveur d'administration. Pour plus d'informations, reportez-vous à la section Installation du serveur d'administration DRA.
Pour ajouter un serveur d'administration secondaire, cliquez avec le bouton droit sur Administration Server (Serveur d'administration) sur le noeud Configuration Management, puis sélectionnez Add Secondary Server (Ajouter un serveur secondaire).
Vous pouvez promouvoir un serveur d'administration secondaire au rang de serveur d'administration primaire. Lorsque vous promouvez un serveur d'administration secondaire au rang de serveur d'administration primaire, le serveur d'administration primaire existant devient un serveur d'administration secondaire au sein de l'ensemble de serveurs. Pour promouvoir un serveur d'administration secondaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines. Avant de promouvoir un serveur d'administration secondaire, synchronisez le MMS de sorte qu'il présente la configuration la plus récente.
Pour plus d'informations sur la synchronisation du MMS, reportez-vous à la section Planification de la synchronisation.
REMARQUE :un serveur primaire qui vient d'être promu peut se connecter uniquement aux serveurs secondaires qui étaient disponibles lors du processus de promotion. Si un serveur secondaire est devenu indisponible au cours du processus de promotion, contactez le support technique.
Pour promouvoir un serveur d'administration secondaire :
Accédez au noeud Configuration Management >Administration Servers (Serveurs d'administration).
Dans le volet de droite, sélectionnez le serveur d'administration secondaire à promouvoir.
Dans le menu Tâches, cliquez sur Advanced (Avancé) > Promote Server (Promouvoir un serveur).
IMPORTANT :lorsque le compte de service du serveur secondaire est différent de celui du serveur primaire ou lorsque le serveur secondaire est installé dans un domaine différent de celui du serveur primaire (domaines approuvés/non approuvés) et que vous promouvez le serveur secondaire, veillez à déléguer les rôles suivants avant de promouvoir le serveur secondaire : Audit All Objects (Auditer tous les objets), Configure Servers and Domains (Configurer les serveurs et les domaines) et Generate UI Reports (Générer les rapports de l'interface utilisateur). Vérifiez ensuite que les synchronisations MMS ont réussi.
Vous pouvez rétrograder un serveur d'administration primaire au rang de serveur d'administration secondaire. Pour rétrograder un serveur d'administration primaire, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Pour rétrograder un serveur d'administration primaire :
Accédez au noeud Configuration Management > Serveurs d'administration.
Dans le volet de droite, sélectionnez le serveur d'administration primaire à rétrograder.
Dans le menu Tâches, cliquez sur Advanced (Avancé) > Demote Server (Rétrograder un serveur).
Spécifiez l'ordinateur à désigner comme nouveau serveur d'administration primaire, puis cliquez sur OK.
La synchronisation permet de garantir que tous les serveurs d'administration du MMS utilisent les mêmes données de configuration. Bien que vous puissiez synchroniser manuellement les serveurs à tout moment, la planification par défaut est définie pour synchroniser le MMS toutes les 4 heures. Vous pouvez modifier cette planification afin de l'adapter aux besoins de votre entreprise.
Pour modifier la planification de la synchronisation ou pour synchroniser manuellement les serveurs MMS, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Pour accéder à la planification de la synchronisation ou pour effectuer des synchronisations manuelles, accédez à Configuration Management > Serveurs d'administration et utilisez le menu Tâches ou cliquez avec le bouton droit sur un serveur sélectionné. La planification de la synchronisation figure dans les propriétés du serveur sélectionné.
Présentation des options de synchronisation
La synchronisation des serveurs MMS peut s'effectuer essentiellement selon quatre options différentes :
Sélectionnez le serveur primaire et synchronisez tous les serveurs secondaires avec l'option Synchronize All Servers (Synchroniser tous les serveurs).
Sélectionnez un serveur secondaire et synchronisez uniquement ce serveur.
Configurez la planification de la synchronisation pour les serveurs primaires et secondaires indépendamment.
Configurez la planification de la synchronisation de tous les serveurs. Cette option est activée lorsque le paramètre suivant est sélectionné dans la planification de la synchronisation du serveur primaire :
Configure secondary Administration servers when refreshing the primary Administration server (Configurer les serveurs d'administration secondaires lors du rafraîchissement du serveur d'administration primaire)
REMARQUE :si vous désélectionnez cette option, les fichiers de configuration sont copiés sur les serveurs secondaires selon la planification primaire, mais ils ne sont pas chargés par le serveur secondaire à ce moment-là ; ils sont chargés en fonction de la planification configurée sur le serveur secondaire. Cela est utile si les serveurs se trouvent dans des fuseaux horaires différents. Par exemple, vous pouvez configurer tous les serveurs pour qu'ils rafraîchissent leur configuration en pleine nuit, même si cela implique des heures différentes en raison des fuseaux horaires.
Les exceptions de clonage permettent de définir des propriétés d'utilisateurs, de groupes, de contacts et d'ordinateurs qui ne sont pas copiées en cas de clonage de l'un de ces objets.
Vous pouvez gérer les exceptions de clonage pour autant que vous disposiez des pouvoirs appropriés. Le rôle Gérer les exceptions de clonage octroie des pouvoirs pour afficher, créer et supprimer des exceptions de clonage.
Pour afficher ou supprimer une exception de clonage existante ou pour en créer une, accédez à Configuration Management > Clone Exceptions (Exceptions de clonage) > Tasks (Tâches) ou cliquez avec le bouton droit.
Lorsque vous créez des outils personnalisés, il se peut qu'avant d'exécuter ces derniers, vous deviez installer, sur l'ordinateur client DRA, des fichiers d'accompagnement utilisés par ces outils. Vous pouvez utiliser les fonctions de réplication de fichiers DRA pour répliquer rapidement et facilement les fichiers d'accompagnement des outils personnalisés à partir du serveur d'administration primaire vers les serveurs d'administration secondaires dans le MMS ainsi que vers les ordinateurs client DRA. La réplication des fichiers vous permet également de répliquer les scripts de déclenchement du serveur primaire vers les serveurs secondaires.
Vous pouvez utiliser des outils personnalisés et la réplication des fichiers ensemble pour vous assurer que les ordinateurs client DRA peuvent bien accéder aux fichiers des outils personnalisés. DRA réplique les fichiers des outils personnalisés sur les serveurs d'administration secondaires pour que les ordinateurs client DRA se connectant aux serveurs d'administration secondaires puissent accéder à ces outils.
DRA réplique les fichiers des outils personnalisés présents sur le serveur d'administration primaire vers les serveurs d'administration secondaires au cours du processus de synchronisation MMS. DRA télécharge les fichiers des outils personnalisés sur les ordinateurs client DRA lorsque ces derniers se connectent aux serveurs d'administration.
REMARQUE :DRA télécharge les fichiers des outils personnalisés à l'emplacement suivant sur les ordinateurs client DRA :
{répertoire_installation_DRA} \{ID_MMS}\Download
La valeur MMSID correspond à l'identification du MMS à partir duquel DRA télécharge les fichiers des outils personnalisés.
Lorsque vous téléchargez des fichiers sur le serveur d'administration primaire, vous spécifiez les fichiers que vous souhaitez télécharger et répliquer entre le serveur d'administration primaire et tous les serveurs d'administration secondaires dans l'ensemble MMS. DRA permet de télécharger des fichiers de bibliothèque, des fichiers de script et des fichiers exécutables.
Le rôle Répliquer les fichiers permet de répliquer les fichiers à partir du serveur d'administration primaire vers les serveurs d'administration secondaires dans le MMS ainsi que vers les ordinateurs client DRA. Le rôle Répliquer les fichiers comporte les pouvoirs suivants :
Supprimer les fichiers du serveur : ce pouvoir permet à DRA de supprimer les fichiers qui n'existent plus sur le serveur d'administration primaire, sur les serveurs d'administration secondaires et sur les ordinateurs client DRA.
Définir les informations de fichier : ce pouvoir permet à DRA de mettre à jour les informations des fichiers sur les serveurs d'administration secondaires.
Télécharger les fichiers sur le serveur : ce pouvoir permet à DRA de télécharger les fichiers de l'ordinateur client DRA vers le serveur d'administration primaire.
REMARQUE :vous ne pouvez télécharger qu'un seul fichier à la fois pour la réplication à l'aide de l'interface utilisateur Réplication des fichiers au niveau de la console de délégation et de configuration.
Pour télécharger un fichier d'outil personnalisé sur le serveur d'administration primaire :
Accédez à Configuration Management > File Replication (Réplication des fichiers).
Dans le menu Tâches, cliquez sur Upload File (Télécharger le fichier).
Pour rechercher et sélectionner le fichier à télécharger, cliquez sur Browse (Parcourir).
Si vous souhaitez télécharger le fichier sélectionné sur tous les ordinateurs client DRA, cochez la case Download to all client computer (Télécharger sur tous les ordinateurs client).
Si vous souhaitez enregistrer une bibliothèque COM, cochez la case Register COM library (Enregistrer une bibliothèque COM).
Cliquez sur OK.
REMARQUE :
DRA télécharge les fichiers de script ou d'accompagnement qui doivent être répliqués sur d'autres serveurs d'administration secondaires dans le répertoire {répertoire_installation_DRA}\FileTransfer\Replicate sur le serveur d'administration primaire. Le dossier {répertoire_installation_DRA}\FileTransfer\Replicate est également référencé sous la forme {chemin_fichiers_répliqués_DRA}.
DRA télécharge les fichiers de script ou d'accompagnement qui doivent être répliqués sur des ordinateurs client DRA dans le répertoire {répertoire_installation_DRA}\FileTransfer\Download sur le serveur d'administration primaire.
Le fichier d'outil personnalisé téléchargé sur le serveur d'administration primaire est distribué vers les serveurs d'administration secondaires lors de la synchronisation planifiée suivante ou lors de la synchronisation manuelle.
Si vous disposez de plusieurs fichiers à télécharger et à répliquer entre le serveur d'administration primaire et des serveurs d'administration secondaires dans votre MMS, vous pouvez télécharger manuellement ces fichiers pour la réplication en les copiant dans le répertoire de réplication du serveur d'administration primaire, qui se trouve à l'emplacement suivant :
{DRAInstallDir}\FileTransfer\Replicate
Le répertoire de réplication est créé lors de l'installation de DRA.
Le serveur d'administration identifie automatiquement les fichiers dans le répertoire de réplication et les réplique entre les serveurs d'administration au cours de la synchronisation planifiée suivante. Après la synchronisation, DRA affiche les fichiers téléchargés dans la fenêtre File Replication (Réplication des fichiers) de la console de délégation et de configuration.
REMARQUE :si vous souhaitez répliquer les fichiers qui contiennent les bibliothèques COM devant être enregistrées, vous ne pouvez pas copier manuellement les fichiers dans le répertoire de réplication du serveur d'administration. Vous devez utiliser la console de délégation et de configuration pour télécharger chaque fichier et enregistrer la bibliothèque COM.
Si vous avez plusieurs fichiers à répliquer entre le serveur d'administration primaire et les ordinateurs client DRA, vous pouvez copier ces fichiers dans le répertoire de réplication du client sur le serveur d'administration primaire, qui se trouve à l'emplacement suivant :
{DRAInstallDir}\FileTransfer\Download
Le répertoire de réplication du client est créé lors de l'installation de DRA.
Le serveur d'administration identifie automatiquement les fichiers dans le dossier Download et les réplique sur les serveurs d'administration secondaires au cours de la synchronisation planifiée suivante. Après la synchronisation, DRA affiche les fichiers téléchargés dans la fenêtre de réplication des fichiers de la console de délégation et de configuration. DRA télécharge les fichiers répliqués sur les ordinateurs client DRA la première fois que ceux-ci se connectent aux serveurs d'administration après la réplication.
REMARQUE :si vous souhaitez répliquer les fichiers qui contiennent les bibliothèques COM devant être enregistrées, vous ne pouvez pas copier les fichiers dans le répertoire de téléchargement du serveur d'administration. Vous devez utiliser la console de délégation et de configuration pour télécharger chaque fichier et enregistrer la bibliothèque COM.
Lorsque l'audit AD Domain Services est activé, les événements DRA sont consignés comme ayant été générés par le compte de service DRA ou le compte d'accès au domaine s'il est configuré. L'horodatage des événements améliore encore cette fonction en générant un événement AD DS supplémentaire qui identifie l'assistant administrateur ayant effectué l'opération.
Pour que ces événements soient générés, vous devez configurer l'audit AD DS et activer l'horodatage des événements sur le serveur d'administration DRA. Lorsque l'horodatage des événements est activé, vous pouvez consulter les modifications apportées dans les rapports d'événements Change Guardian par les assistants administrateur.
Pour configurer l'audit AD DS, reportez-vous au document AD DS auditing (Audit AD DS).
Pour configurer l'intégration de Change Guardian, reportez-vous à la section Configuration des serveurs de l'historique des modifications unifiées (UCH).
Pour activer l'horodatage des événements, ouvrez la console de délégation et de configuration en tant qu'administrateur DRA et procédez comme suit :
Accédez à Configuration Management >Update Administration Server Options (Mettre à jour les options de serveur d'administration) > Event Stamping (Horodatage des événements).
Sélectionnez un type d'objet, puis cliquez sur Update (Mettre à jour).
Sélectionnez un attribut à utiliser pour l'horodatage des événements de ce type d'objet.
DRA prend actuellement en charge l'horodatage des événements pour les utilisateurs, les groupes, les contacts, les ordinateurs et les unités organisationnelles.
DRA requiert également que les attributs existent dans le schéma AD pour chacun de vos domaines gérés. C'est un point important à prendre en compte si vous ajoutez des domaines gérés après la configuration de l'horodatage des événements. Si vous devez ajouter un domaine géré qui ne contient pas un attribut sélectionné, les opérations à partir de ce domaine ne seront pas auditées avec les données d'horodatage des événements.
Étant donné que DRA va modifier ces attributs, vous devez sélectionner des attributs qui ne sont pas utilisés par DRA ni par une quelconque autre application dans votre environnement.
Pour plus d'informations sur l'horodatage des événements, reportez-vous à la section Fonctionnement de l'horodatage des événements.
Lorsque vous activez la prise en charge de plusieurs gestionnaires pour gérer un groupe, un des deux attributs par défaut est utilisé pour enregistrer les gestionnaires du groupe. En cas d'exécution de Microsoft Exchange, l'attribut est msExchCoManagedByLink. Si le système n'exécute pas Microsoft Exchange, l'attribut par défaut est nonSecurityMember. Cette dernière option peut être modifiée. Toutefois, il est recommandé de contacter le support technique afin de déterminer un attribut approprié si vous avez besoin de modifier ce paramètre.
Pour activer la prise en charge de plusieurs gestionnaire pour les groupes :
Dans le panneau de gauche, cliquez sur Configuration Management.
Sous Common Tasks (Tâches courantes) dans le volet de droite, cliquez sur Update Administration Server Options (Mettre à jour les options de serveur d'administration).
Sous l'onglet Enable Support for Group Multiple Managers (Activer la prise en charge de plusieurs gestionnaires pour les groupes), cochez la case Enable support for group’s multiple managers (Activer la prise en charge de plusieurs gestionnaires pour le groupe).
Cette fonction vous permet d'activer ou de désactiver l'utilisation de communications chiffrées entre, d'une part, les clients de délégation et de configuration et ARM et, d'autre part, le serveur d'administration. Par défaut, DRA chiffre les mots de passe des comptes. Cette fonctionnalité ne chiffre pas les communications PowerShell ou des clients Web, lesquelles sont traitées séparément par des certificats de serveur.
L'utilisation de communications chiffrées peut affecter les performances. Par défaut, la communication chiffrée est désactivée. Si vous activez cette option, les données sont chiffrées pendant la communication entre les interfaces utilisateur et le serveur d'administration. DRA utilise le chiffrement standard Microsoft pour les appels de procédure distante (Remote Procedure Call, RPC).
Pour activer les communications chiffrées, accédez à Configuration Management > Update Administration Server Options (Mettre à jour les options de serveur d'administration) > onglet General (Général), puis cochez la case Encrypted Communications (Communications chiffrées).
REMARQUE :pour chiffrer toutes les communications entre les interfaces utilisateur et le serveur d'administration, vous devez disposer des pouvoirs appropriés, tels que ceux du rôle Configurer les serveurs et les domaines.
L'utilisation d'attributs virtuels permet de créer des propriétés et de les associer à des utilisateurs, des groupes, des groupes de distribution dynamique, des contacts, des ordinateurs et des unités organisationnelles. Grâce aux attributs virtuels, vous pouvez créer des propriétés sans avoir à étendre le schéma Active Directory.
Les attributs virtuels vous permettent d'ajouter des propriétés aux objets dans Active Directory (AD). Vous pouvez créer, activer, désactiver, associer ou dissocier des attributs virtuels uniquement sur le serveur d'administration primaire. DRA stocke les attributs virtuels que vous créez dans AD LDS. DRA réplique les attributs virtuels présents sur le serveur d'administration primaire vers les serveurs d'administration secondaires au cours du processus de synchronisation MMS.
Vous pouvez gérer les attributs virtuels pour autant que vous disposiez des pouvoirs appropriés. Le rôle Manage Virtual Attributes (Gérer les attributs virtuels) octroie des pouvoirs pour créer, activer, associer, dissocier, désactiver et afficher des attributs virtuels.
Vous devez disposer du pouvoir Create Virtual Attributes (Créer des attributs virtuels) pour créer des attributs virtuels et du pouvoir View Virtual Attributes (Afficher les attributs virtuels) pour consulter ces derniers.
Pour créer un attribut virtuel, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Attributes (Attributs gérés), puis cliquez sur New Virtual Attribute (Nouvel attribut virtuel) dans le menu Tasks (Tâches).
Vous pouvez associer uniquement des attributs virtuels activés à des objets Active Directory. Une fois l'attribut virtuel associé à un objet, cet attribut est disponible en tant que partie intégrante des propriétés de l'objet.
Pour exposer les attributs virtuels via les interfaces utilisateur DRA, vous devez créer une page de propriétés personnalisée.
Pour associer un attribut virtuel à un objet, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Attributes (Attributs gérés), cliquez avec le bouton droit sur l'attribut virtuel à utiliser et sélectionnez Associate (Associer) > (type d'objet).
REMARQUE :
Vous ne pouvez associer les attributs virtuels qu'avec des utilisateurs, des groupes, des groupes de distribution dynamique, des ordinateurs, des contacts et des unités organisationnelles.
Lorsque vous associez un attribut virtuel à un objet, DRA crée automatiquement les deux pouvoirs personnalisés par défaut. Les assistants administrateur doivent disposer de ces pouvoirs personnalisés pour gérer l'attribut virtuel.
Vous pouvez dissocier des attributs virtuels des objets Active Directory. Tout nouvel objet que vous créez n'affiche pas l'attribut virtuel dissocié parmi les propriétés de l'objet.
Pour dissocier un attribut virtuel d'un objet Active Directory, accédez au noeud Configuration Management > Virtual Attributes (Attributs virtuels) > Managed Classes (Classes gérées) > (type d'objet). Cliquez avec le bouton droit sur l'attribut virtuel et sélectionnez Disassociate (Dissocier).
Vous pouvez désactiver des attributs virtuels s'ils ne sont associés à aucun objet Active Directory. Lorsque vous désactivez un attribut virtuel, les administrateurs ne peuvent pas l'afficher ni l'associer à un objet.
Pour désactiver un attribut virtuel, accédez à Configuration Management > Attributs gérés. Cliquez avec le bouton droit sur l'attribut souhaité dans le volet de la liste, puis sélectionnez Disable (Désactiver).
Le serveur d'administration crée et gère un cache des comptes qui contient des parties de l'annuaire Active Directory pour les domaines gérés. DRA utilise le cache des comptes pour améliorer les performances lors de la gestion des comptes utilisateur, des groupes, des contacts et des comptes d'ordinateur.
Pour planifier une heure de rafraîchissement du cache ou pour afficher l'état du cache, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
REMARQUE :pour effectuer des rafraîchissements incrémentiels du cache des comptes dans les domaines qui contiennent des sous-arborescences gérées, vérifiez que le compte de service bénéficie d'un accès en lecture au conteneur Objets supprimés, ainsi qu'à tous les objets dans le domaine de la sous-arborescence. Vous pouvez employer l'utilitaire des objets supprimés pour vérifier et déléguer les autorisations appropriées.
Un rafraîchissement incrémentiel du cache des comptes met à jour uniquement les données qui ont changé depuis le dernier rafraîchissement. Le rafraîchissement incrémentiel offre une méthode rationalisée pour suivre les changements au sein de votre annuaire Active Directory. Le rafraîchissement incrémentiel permet de mettre à jour rapidement le cache des comptes en perturbant le moins possible l'activité de l'entreprise.
IMPORTANT :Microsoft Server limite le nombre d'utilisateurs simultanés connectés à la session WinRM/WinRS à cinq et le nombre de shells par utilisateur à cinq également. Veillez donc à ce que le compte utilisateur en question soit limité à cinq shells pour les serveurs DRA secondaires.
Un rafraîchissement incrémentiel met à jour les données suivantes :
Les objets nouveaux et clonés
Les objets supprimés et déplacés
Les adhésions aux groupes
Toutes les propriétés d'objet mises en cache pour les objets modifiés
Un rafraîchissement complet du cache des comptes reconstruit le cache des comptes de DRA pour le domaine spécifié.
REMARQUE :pendant l'exécution d'un rafraîchissement complet du cache des comptes, le domaine n'est pas disponible pour les utilisateurs DRA.
Pour rafraîchir le cache des comptes, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines
.
Pour effectuer un rafraîchissement complet immédiat du cache des comptes :
Accédez à Configuration Management > Managed Domains (Domaines gérés).
Cliquez avec le bouton droit sur le domaine souhaité, puis sélectionnez Properties (Propriétés).
Cliquez sur Refresh Now (Rafraîchir maintenant) sous l'onglet Full refresh (Rafraîchissement complet).
La fréquence à laquelle vous devez rafraîchir le cache des comptes dépend de la fréquence des changements au sein de votre entreprise. Le rafraîchissement incrémentiel permet de mettre à jour le cache des comptes souvent, pour vous assurer que DRA dispose des dernières informations concernant Active Directory.
Par défaut, le serveur d'administration effectue un rafraîchissement incrémentiel du cache des comptes selon les fréquences suivantes :
|
Type de domaine |
Fréquence de rafraîchissement planifiée par défaut |
|---|---|
|
Domaines gérés |
Toutes les 5 minutes |
|
Domaines approuvés |
Toutes les heures |
Vous ne pouvez pas planifier un rafraîchissement complet du cache des comptes (Full Accounts Cache Refresh, FACR). Toutefois, DRA exécute automatiquement un FACR dans les circonstances suivantes :
après avoir configuré un domaine géré pour la première fois ;
après avoir mis à niveau DRA vers une nouvelle version complète à partir d'une version précédente ;
après avoir installé un Service Pack DRA.
L'exécution d'un rafraîchissement complet du cache des comptes peut nécessiter plusieurs minutes.
Vous devez régulièrement rafraîchir le cache des comptes pour que DRA dispose bien des informations les plus récentes. Avant d'effectuer ou de planifier un rafraîchissement du cache des comptes, passez en revue les points suivants :
Pour effectuer un rafraîchissement incrémentiel du cache des comptes, le compte d'accès ou de service du serveur d'administration doit être autorisé à accéder aux objets supprimés dans l'annuaire Active Directory du domaine approuvé ou géré.
Lorsque DRA effectue un rafraîchissement du cache des comptes, le serveur d'administration n'inclut pas les groupes de sécurité locaux des domaines approuvés. Par conséquent, DRA ne vous permet pas d'ajouter un groupe de sécurité local du domaine approuvé à un groupe local sur le serveur membre géré.
Si vous omettez un domaine approuvé dans le cadre d'un rafraîchissement du cache des comptes, le serveur d'administration ignore également ce domaine lors du rafraîchissement de la configuration des domaines.
Si vous incluez un domaine approuvé précédemment ignoré dans le rafraîchissement du cache des comptes, effectuez un rafraîchissement complet du cache des comptes pour le domaine géré. Ainsi, le cache des comptes sur le serveur d'administration du domaine géré reflète correctement les données d'adhésion des groupes de vos domaines gérés et approuvés.
Si vous définissez l'intervalle de rafraîchissement incrémentiel du cache des comptes sur Jamais, le serveur d'administration exécute uniquement des rafraîchissements complets du cache des comptes. Un rafraîchissement complet du cache des comptes peut prendre un certain temps au cours duquel vous ne pouvez pas gérer les objets de ce domaine.
DRA ne peut pas déterminer automatiquement lorsque des modifications sont effectuées via d'autres outils, tels que Microsoft Directory Services. Les opérations réalisées en dehors de DRA peuvent nuire à la précision des informations mises en cache. Par exemple, si vous utilisez un autre outil pour ajouter une boîte aux lettres à un compte utilisateur, vous ne pouvez pas utiliser Exchange pour gérer cette boîte aux lettres tant que vous n'avez pas mis à jour le cache des comptes.
L'exécution d'un rafraîchissement complet du cache des comptes supprime les statistiques de dernière connexion tenues à jour dans le cache. Le serveur d'administration collecte alors les dernières informations de connexion auprès de tous les contrôleurs de domaine.
La collecte des imprimantes AD est désactivée par défaut. Pour l'activer, accédez à Configuration Management > Update Administration Server Options (Mettre à jour les options de serveur d'administration) > onglet General (Général), puis cochez la case Collect Printers (Collecter les imprimantes).
Vous pouvez configurer le rafraîchissement de nettoyage AD LDS afin qu'il s'exécute selon une planification pour des domaines spécifiques. Le paramètre par défaut est « Jamais ». Vous pouvez également afficher l'état de nettoyage et consulter des informations spécifiques relatives à la configuration AD LDS (ADAM).
Pour configurer la planification ou afficher l'état du nettoyage d'AD LDS, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Gestion des comptes et des ressources > Tous mes objets gérés, puis sélectionnez respectivement Properties (Propriétés) > Adlds Cleanup Refresh Schedule (Planification du rafraîchissement de nettoyage d'AD LDS) ou Adlds Cleanup status (État du nettoyage d'AD LDS).
Pour afficher les informations de configuration d'AD LDS (ADAM), accédez à Configuration Management > Update Server Options (Mettre à jour les options de serveur) > ADAM Configuration (Configuration ADAM).
Un groupe dynamique est un groupe dont l'adhésion change en fonction d'un ensemble défini de critères que vous configurez dans les propriétés du groupe. Dans les propriétés du domaine, vous pouvez configurer le rafraîchissement de groupe dynamique à exécuter selon une planification pour des domaines spécifiques. Le paramètre par défaut est « Jamais ». Vous pouvez également afficher l'état de rafraîchissement.
Pour configurer la planification ou afficher l'état de rafraîchissement de groupe dynamique, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Gestion des comptes et des ressources > Tous mes objets gérés, puis sélectionnez respectivement Properties (Propriétés) > Dynamic group refresh (Rafraîchissement de groupe dynamique) ou Dynamic group status (État du groupe dynamique).
Pour plus d'informations sur les groupes dynamiques, reportez-vous à la section Groupes dynamiques DRA.
Vous pouvez activer ou désactiver la corbeille pour chaque domaine Microsoft Windows ou pour des objets au sein de chaque domaine, et configurer quand et comment vous voulez que le nettoyage de la corbeille se produise.
Pour plus d'informations sur l'utilisation de la corbeille, reportez-vous à la section Corbeille.
Vous pouvez activer la corbeille pour des domaines spécifiques de Microsoft Windows et pour des objets au sein de ces domaines. Par défaut, DRA active la corbeille pour chaque domaine qu'il gère et pour tous les objets du domaine. Pour activer la corbeille, vous devez être un membre du groupe Administrateurs DRA ou Administrateurs de configuration DRA.
Si votre environnement comprend la configuration suivante, employez l'utilitaire de la corbeille pour activer cette fonction :
DRA gère une sous-arborescence de ce domaine.
Le compte d'accès ou de service du serveur d'administration n'est pas autorisé à créer le conteneur Corbeille, à déplacer des comptes vers ce conteneur ni à modifier les comptes qu'il contient.
Vous pouvez également employer l'utilitaire de la corbeille afin de vérifier les autorisations du compte d'accès ou de service du serveur d'administration sur le conteneur Corbeille.
Pour activer la corbeille, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Corbeille, puis sélectionnez Enable Recycle Bin (Activer la corbeille).
Vous pouvez désactiver la corbeille pour des domaines spécifiques de Microsoft Windows et pour des objets au sein de ces domaines. Si une corbeille désactivée contient des comptes, vous ne pouvez pas afficher, supprimer définitivement ni restaurer ces comptes.
Pour désactiver la corbeille, vous devez être un membre du groupe Administrateurs DRA ou Administrateurs de configuration DRA.
Pour désactiver la corbeille, cliquez avec le bouton droit sur le domaine souhaité sur le noeud Corbeille, puis sélectionnez Disable Recycle Bin (Désactiver la corbeille).
Par défaut, la corbeille est nettoyée tous les jours. Vous pouvez modifier cette configuration afin de nettoyer la corbeille du domaine tous les x jours. Lors du nettoyage planifié, la corbeille supprime les objets qui ont une ancienneté supérieure au nombre de jours que vous avez configuré pour chaque type d'objet. Le paramètre par défaut pour chaque type consiste à supprimer les objets ayant plus d'un jour. Pour personnaliser le comportement de nettoyage de la corbeille, désactivez-le, réactivez-le, puis définissez l'ancienneté des objets à supprimer pour chaque type d'objet.
Pour configurer le nettoyage de la corbeille, sélectionnez le domaine souhaité au niveau de la console de délégation et de configuration, puis accédez à Tâches > Propriétés > onglet Corbeille.
Les sections suivantes fournissent des informations conceptuelles à propos des rapports de gestion DRA et des collecteurs de rapports que vous pouvez activer. Pour atteindre l'assistant dans lequel vous pouvez configurer les collecteurs, accédez à Configuration Management > Update Reporting Service Configuration (Mettre à jour la configuration du service de création de rapports).
Le collecteur Active Directory recueille un ensemble défini d'attributs à partir d'Active Directory pour chaque utilisateur, groupe, contact, ordinateur, unité organisationnelle et groupe de distribution dynamique gérés dans DRA. Ces attributs sont stockés dans la base de données de création de rapports et sont utilisés pour générer des rapports au niveau de la console de création de rapports.
Vous pouvez configurer le collecteur Active Directory pour spécifier les attributs qui sont collectés et stockés dans la base de données de création de rapports. Vous pouvez également configurer le serveur d'administration DRA sur lequel le collecteur s'exécutera.
Le collecteur DRA recueille des informations sur votre configuration DRA et enregistre ces informations dans la base de données de création de rapports, laquelle permet de générer des rapports au niveau de la console de création de rapports.
Pour activer le collecteur DRA, vous devez spécifier sur quel serveur d'administration DRA il s'exécutera. Il est recommandé de planifier le collecteur DRA pour qu'il s'exécute après une exécution réussie du collecteur Active Directory et pendant les heures auxquelles le serveur est moins chargé ou en dehors des heures de travail normales.
Le collecteur de locataire Office 365 recueille des informations sur les utilisateurs gérés qui sont synchronisés dans Office 365 et enregistre ces informations dans la base de données de création de rapports, laquelle permet de générer des rapports au niveau de la console de création de rapports.
Pour activer le collecteur Office 365, vous devez spécifier sur quel serveur d'administration DRA il s'exécutera.
REMARQUE :le locataire Office 365 ne peut réussir une collecte qu'une fois que le collecteur Active Directory du domaine correspondant a lui-même exécuté une collecte avec succès.
Le collecteur de rapports de gestion collecte des informations d'audit DRA et les enregistre dans la base de données de création de rapports, laquelle permet de générer des rapports au niveau de la console de création de rapports. Lorsque vous activez le collecteur, vous pouvez configurer la fréquence à laquelle les données sont mises à jour dans la base de données pour les requêtes exécutées dans l'outil DRA Reporting.
Cette configuration implique que le compte de service DRA dispose de l'autorisation sysadmin dans SQL Server sur le serveur de création de rapports. Les options configurables sont définies ci-après :
Audit Export Data Interval (Intervalle d'exportation des données d'audit) : il s'agit de l'intervalle selon lequel les données d'audit du journal de trace de DRA (LAS) sont exportées vers la base de données « SMCubeDepot » dans SQL Server.
Management Report Summarization Interval (Intervalle de résumé de rapport de gestion) : il s'agit de l'intervalle selon lequel les données d'audit de la base de données SMCubeDepot sont injectées dans la base de données DRA Reporting où elles peuvent être interrogées par l'outil DRA Reporting.
Vous pouvez configurer DRA pour qu'il collecte les statistiques de dernière connexion auprès de tous les contrôleurs de domaine dans le domaine géré. Pour activer et planifier la collecte des statistiques de dernière connexion, vous devez disposer des pouvoirs appropriés, tels que ceux inclus dans le rôle intégré Configurer les serveurs et les domaines.
Par défaut, la fonction de collecte des statistiques de dernière connexion est désactivée. Si vous souhaitez collecter les données des statistiques de dernière connexion, vous devez activer cette fonction. Une fois que vous avez activé la collecte des statistiques de dernière connexion, vous pouvez afficher ces informations pour un utilisateur particulier ou consulter l'état de collecte de ces dernières.
Pour recueillir les statistiques de dernière connexion :
Accédez à Configuration Management > Domaines gérés.
Cliquez avec le bouton droit sur le domaine souhaité, puis sélectionnez Propriétés.
Cliquez sur l'onglet Last logon schedule (Planification dernière connexion) pour configurer la collecte des statistiques de dernière connexion.
Par défaut, la fonction Historique des modifications unifiées (Unified Change History, UCH) permet de générer des rapports concernant les modifications apportées par DRA.
Pour gérer l'historique des modifications unifiées, assignez le rôle Administration du serveur d'historique des modifications unifiées ou les pouvoirs applicables ci-dessous aux assistants administrateur :
Supprimer la configuration du serveur d'historique des modifications unifiées
Définir les informations de configuration de l'historique des modifications unifiées
Afficher les informations de configuration de l'historique des modifications unifiées
Pour déléguer des pouvoir UCH :
Cliquez sur Pouvoirs sur le noeud Gestion de la délégation, puis utilisez la fonction de recherche d'objets pour rechercher et sélectionner les objets UCH souhaités.
Cliquez avec le bouton droit sur l'un des pouvoirs UCH sélectionnés et choisissez Delegate Roles and Powers (Déléguer des rôles et des pouvoirs).
Recherchez l'utilisateur, le groupe ou le groupe AA spécifique auquel vous souhaitez déléguer des pouvoirs.
Utilisez le sélecteur d'objet pour rechercher et ajouter les objets souhaités, puis cliquez sur Roles and Powers (Rôles et pouvoirs) dans l'assistant.
Cliquez sur Active Views et utilisez le sélecteur d'objet pour rechercher et ajouter les objets souhaités.
Cliquez sur Next (Suivant), puis sur Finish (Terminer) pour finaliser le processus de délégation.
Pour configurer des serveurs UCH :
Lancez la console Web et connectez-vous avec des informations d'identification d'assistant administrateur.
Accédez à Administration > Intégrations > Historique des modifications unifiées, puis cliquez sur l'icône Ajouter.
Indiquez le nom du serveur UCH ou l'adresse IP, le numéro de port, le type de serveur et l'accès aux détails du compte dans la configuration Historique des modifications unifiée.
Testez la connexion serveur, puis cliquez sur OK pour enregistrer la configuration.
Ajoutez des serveurs supplémentaires selon vos besoins.
Pour utiliser l'automatisation de workflow dans DRA, vous devez installer le moteur de workflow sur un serveur Windows, puis configurer le serveur d'automatisation de workflow via la console Web.
Pour configurer le serveur d'automatisation de workflow, connectez-vous à la console Web et accédez à Administration > Intégrations > Automatisation de workflow.
Pour plus d'informations sur l'installation du moteur de workflow, reportez-vous au Workflow Automation Administrator Guide (Guide de l'administrateur d'automatisation de workflow).
Le client de délégation et de configuration permet d'accéder aux tâches de configuration et de délégation, afin de répondre aux besoins de gestion d'entreprise allant de l'administration distribuée à l'application des stratégies. Via la console de délégation et de configuration, vous pouvez définir les configurations de serveur et de modèle de sécurité dont vous avez besoin pour gérer efficacement votre entreprise.
Pour configurer le client de délégation et de configuration :
Lancez le client de délégation et de configuration et accédez à Configuration Management > Mettre à jour les options de serveur d'administration.
Cliquez sur l'onglet Client Options (Options du client) et définissez vos paramètres préférés parmi les options de configuration affichées :
Autoriser les utilisateurs à effectuer des recherches par Active View
Masquer les objets source uniquement dans les listes de la console
Afficher les objets Active Directory avancés
Afficher la commande de sécurité
Afficher la ressource et les boîtes aux lettres partagées lors de la recherche d'utilisateurs
Suffixe UPN d'utilisateur par défaut pour le domaine en cours
Nombre maximal d'éléments pouvant être modifiés simultanément (sélection multiple)
Options de recherche
Option de retour chariot
Unités des limites de capacité de stockage de la boîte aux lettres Exchange
Vous pouvez configurer la console Web pour permettre l'authentification à l'aide de cartes à puce ou l'authentification multicritère, et personnaliser la marque avec votre propre logo et votre propre titre d'application.
Vous pouvez lancer la console Web depuis n'importe quel ordinateur, périphérique iOS ou périphérique Android équipé d'un navigateur Web. Pour démarrer la console, entrez l'URL appropriée dans le champ d'adresse du navigateur Web. Par exemple, si vous avez installé le composant Web sur l'ordinateur HOUserver, tapez https://HOUserver/draclient dans le champ d'adresse de votre navigateur Web.
REMARQUE :pour afficher les informations de compte et Microsoft Exchange les plus à jour au niveau de la console Web, définissez votre navigateur Web pour qu'il recherche les versions les plus récentes des pages mises en cache à chaque visite.
Vous pouvez définir un délai d'inactivité à l'issue duquel la console Web se déconnecte automatiquement, ou indiquer qu'elle ne se déconnecte jamais automatiquement.
Pour configurer la déconnexion automatique au niveau de la console Web, accédez à Administration > Configuration > Déconnexion automatique.
Vous pouvez configurer une des trois options au niveau de la console Web pour définir les options de connexion au serveur DRA. Une fois la configuration de la connexion définie, elle est la même pour les administrateurs et les assistants administrateur dans le panneau de liste déroulante Options lors de la connexion à la console Web.
Toujours utiliser l'emplacement par défaut du serveur DRA (Toujours)
Ne jamais utiliser l'emplacement par défaut du serveur DRA (Jamais)
Utiliser l'emplacement par défaut du serveur DRA uniquement s'il est sélectionné (Uniquement si sélectionné)
Le comportement pour chaque option lors de la connexion est décrit ci-dessous :
|
Configuration de la connexion |
Écran de connexion - Options |
Description des options de connexion |
|---|---|---|
|
Toujours |
Aucune |
Les configurations d'option sont désactivées. |
|
Jamais |
Utiliser la découverte automatique |
Recherche un serveur DRA automatiquement ; aucune option de configuration n'est disponible. |
|
Connecter à un serveur DRA spécifique |
L'utilisateur configure le serveur et le port. |
|
Connecter à un serveur DRA qui gère un domaine spécifique |
L'utilisateur spécifie un domaine géré et choisit une option de connexion :
|
|
Uniquement si sélectionné |
Utiliser la découverte automatique |
Recherche un serveur DRA automatiquement ; aucune option de configuration n'est disponible. |
|
Connecter au serveur DRA par défaut |
Le serveur par défaut est sélectionné et la configuration du serveur DRA est désactivée. |
|
Connecter à un serveur DRA spécifique |
L'utilisateur configure le serveur et le port. |
|
Connecter à un serveur DRA qui gère un domaine spécifique |
L'utilisateur spécifie un domaine géré et choisit une option de connexion :
|
Pour configurer la connexion au serveur DRA au niveau de la console Web, accédez à Administration > Configuration > Connexion au serveur DRA.
Pour configurer la connexion au service REST, vous devez définir un emplacement de serveur par défaut et un timeout de connexion (en secondes). Vous pouvez configurer une des trois options au niveau de la console Web pour définir les options de connexion au service REST lors de la connexion. Une fois la configuration de la connexion définie, elle est la même pour les administrateurs et les assistants administrateur dans le panneau de liste déroulante Options lors de la connexion à la console Web.
Toujours utiliser l'emplacement par défaut du service REST (Toujours)
Ne jamais utiliser l'emplacement par défaut du service REST (Jamais)
Utiliser l'emplacement par défaut du service REST uniquement s'il est sélectionné (Uniquement si sélectionné)
Le comportement pour chaque option lors de la connexion est décrit ci-dessous :
|
Configuration de la connexion |
Écran de connexion - Options |
Description des options de connexion |
|---|---|---|
|
Toujours |
Aucune |
Les configurations d'option sont désactivées. |
|
Jamais |
Utiliser la découverte automatique |
Recherche un serveur REST automatiquement ; aucune option de configuration n'est disponible. |
|
Connecter à un serveur REST spécifique |
L'utilisateur configure le serveur et le port. |
|
Connecter à un serveur REST dans un domaine spécifique |
L'utilisateur spécifie un domaine géré et choisit une option de connexion :
|
|
Uniquement si sélectionné |
Utiliser la découverte automatique |
Recherche un serveur REST automatiquement ; aucune option de configuration n'est disponible. |
|
Connecter au serveur REST par défaut |
Le serveur REST par défaut est sélectionné et la configuration du serveur REST est désactivée. |
|
Connecter à un serveur REST spécifique |
L'utilisateur configure le serveur et le port. |
|
Connecter à un serveur REST dans un domaine spécifique |
L'utilisateur spécifie un domaine géré et choisit une option de connexion :
|
Pour configurer la connexion au service REST au niveau de la console Web, accédez à Administration > Configuration > Connexion au service REST.
Cette section contient des informations pour la configuration de l'authentification par carte à puce, de l'authentification Windows et de l'authentification multicritère grâce à l'intégration d'Advanced Authentication.
Si vous souhaitez configurer la console Web afin qu'elle accepte un utilisateur sur la base des informations d'identification client présentes sur sa carte à puce, vous devez configurer IIS (Internet Information Services) et le fichier de configuration des services REST.
IMPORTANT :vérifiez que les certificats sur la carte à puce sont également installés dans la banque de certificats racine sur le serveur Web, car IIS doit pouvoir trouver les certificats correspondant à ceux sur la carte.
Installez les composants de l'authentification sur le serveur Web.
Démarrez le gestionnaire de serveur.
Cliquez sur Serveur Web (IIS).
Accédez à la section Services de rôle et cliquez sur Ajouter des services de rôle.
Accédez au noeud des services de rôle de sécurité et sélectionnez Authentification Windows et Authentification par mappage de certificat client.
Activez l'authentification sur le serveur Web.
Démarrez le gestionnaire IIS.
Sélectionnez votre serveur Web.
Recherchez l'icône Authentification sous la section IIS et double-cliquez dessus.
Activez les options Authentification du certificat client Active Directory et Authentification Windows.
Configurez le client DRA.
Sélectionnez votre client DRA.
Recherchez l'icône Authentification sous la section IIS et double-cliquez dessus.
Activez l'option Authentification Windows et désactivez l'option Authentification anonyme.
Activez les certificats SSL et client sur le client DRA.
Recherchez l'icône Services SSL sous la section IIS et double-cliquez dessus.
Sélectionnez Exiger SSL et sélectionnez Exiger sous les certificats client.
INDICATION :si l'option est disponible, sélectionnez Exiger SSL 128 bits.
Configurez l'application Web de services REST.
Sélectionnez votre application Web de services REST.
Recherchez l'icône Authentification sous la section IIS et double-cliquez dessus.
Activez l'option Authentification Windows et désactivez l'option Authentification anonyme.
Activez les certificats SSL et client dans l'application Web de services REST.
Recherchez l'icône Services SSL sous la section IIS et double-cliquez dessus.
Sélectionnez Exiger SSL et sélectionnez Exiger sous les certificats client.
INDICATION :si l'option est disponible, sélectionnez Exiger SSL 128 bits.
Configurez le fichier de service Web WCF.
Sélectionnez votre application Web de services REST et basculez vers l'affichage du contenu.
Localisez le fichier .svc et cliquez dessus avec le bouton droit.
Sélectionnez Basculer vers l'affichage des fonctions.
Recherchez l'icône Authentification sous la section IIS et double-cliquez dessus.
Activez l'option Authentification anonyme et désactivez toutes les autres méthodes d'authentification.
Modifiez le fichier de configuration des services REST.
Utilisez un éditeur de texte pour ouvrir le fichier C:\inetpub\wwwroot\DRAClient\rest\web.config.
Localisez la ligne <authentication mode="None" /> et supprimez-la.
Ajoutez les lignes suivantes sous la ligne <system.serviceModel> :
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Ajoutez les lignes suivantes sous la ligne <serviceDebug includeExceptionDetailInFaults="false"/> :
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Ajoutez les lignes suivantes au-dessus de la ligne <serviceHostingEnvironment multipleSiteBindingsEnabled="true" /> :
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Enregistrez le fichier et redémarrez le serveur IIS.
Pour activer l'authentification Windows sur la console Web, vous devez configurer IIS et le fichier de configuration des services REST.
Ouvrez le gestionnaire IIS.
Dans le volet Connexions, recherchez l'application Web des services REST et sélectionnez-la.
Dans le volet de droite, accédez à la section IIS et double-cliquez sur Authentification.
Activez l'option Authentification Windows et désactivez toutes les autres méthodes d'authentification.
Utilisez un éditeur de texte pour ouvrir le fichier C:\inetpub\wwwroot\DRAClient\rest\web.config et localiser la ligne <authentication mode="None" />.
Remplacez "None" par "Windows" et enregistrez le fichier.
Redémarrez le serveur IIS.
Advanced Authentication Framework (AAF) est notre premier paquetage qui vous permet d'aller au-delà d'une simple combinaison nom d'utilisateur-mot de passe pour protéger plus efficacement vos informations sensibles grâce à une authentification multicritère.
Pour assurer la sécurité, Advanced Authentication prend en charge les protocoles de communication suivants :
TLS 1.2 (valeur par défaut), TLS 1.1, TLS 1.0
SSL 3.0
L'authentification multicritère est une méthode de contrôle d'accès à un ordinateur qui exige plusieurs modes d'authentification impliquant des catégories distinctes d'informations d'identification pour vérifier l'identité d'un utilisateur.
Il existe trois types de catégories d'authentification (ou « critères ») :
Connaissance : cette catégorie exige que vous connaissiez une information spécifique, par exemple un mot de passe ou un code d'activation.
Possession : cette catégorie exige que vous disposiez d'un périphérique d'authentification tel qu'une carte à puce ou un smartphone.
Caractéristique corporelle : cette catégorie exige d'utiliser une partie de votre anatomie, telle que vos empreintes digitales, comme méthode de vérification.
Chaque critère d'authentification comporte au moins une méthode d'authentification. Une méthode d'authentification est une technique spécifique que vous pouvez utiliser pour établir l'identité d'un utilisateur, par exemple en employant une empreinte digitale ou un mot de passe.
Vous pouvez considérer qu'un processus d'authentification est fort s'il utilise plusieurs types de méthode d'authentification, par exemple s'il combine un mot de passe et une empreinte digitale.
Advanced Authentication prend en charge les méthodes d'authentification suivantes :
Mot de passe LDAP
RADIUS (Remote Authentication Dial-In User Service)
Smartphone
INDICATION :la méthode Smartphone requiert que l'utilisateur télécharge une application iOS ou Android. Pour plus d'informations, reportez-vous au Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication - Guide de l'utilisateur d'applications pour smartphone), qui est disponible sur le site Web de documentation de NetIQ.
Utilisez les informations des sections suivantes afin de configurer la console Web pour utiliser l'authentification multicritère.
IMPORTANT :bien que certaines des étapes des sections suivantes interviennent au niveau de la console Web, la majeure partie du processus de configuration de l'authentification multicritère requiert un accès à AAF. Ces procédures supposent que vous avez déjà installé AAF et avez accès à la documentation de l'Aide d'AAF.
La première étape de la configuration de la console Web pour pouvoir utiliser l'authentification multicritère consiste à ajouter à AAF tous les domaines Active Directory qui contiennent les administrateurs DRA et les assistants administrateur gérés par DRA. Ces domaines sont appelés des espaces de stockage ; ils contiennent les attributs d'identité des utilisateurs et des groupes à authentifier.
Connectez-vous au portail d'administration d'AAF avec un nom d'utilisateur et un mot de passe de niveau administrateur.
Accédez au panneau de gauche, puis cliquez sur Espaces de stockage.
Cliquez sur Ajouter.
Complétez le formulaire.
INDICATION :le type LDAP est AD.
INDICATION :entrez un nom d'utilisateur et un mot de passe de niveau administrateur dans les champs correspondants.
Cliquez sur Ajouter un serveur .
Saisissez l'adresse IP du serveur LDAP dans le champ Adresse.
Cliquez sur Enregistrer.
Répétez les étapes 3 à 7 pour tous les autres espaces de stockage AD gérés par DRA.
Pour chaque espace de stockage répertorié sur la page Espaces de stockage, cliquez sur Synchroniser maintenant afin de le synchroniser avec le serveur AAF.
Une chaîne d'authentification comporte au moins une méthode d'authentification. Les méthodes dans la chaîne seront appelées dans l'ordre selon lequel elles ont été ajoutées à la chaîne. Pour qu'un utilisateur soit authentifié, il doit réussir toutes les méthodes de la chaîne. Par exemple, vous pouvez créer une chaîne qui contient la méthode Mot de passe LDAP et la méthode SMS. Lorsqu'un utilisateur tente de s'authentifier à l'aide de cette chaîne, il doit d'abord s'authentifier avec son mot de passe LDAP, puis il reçoit, sur son téléphone portable, un SMS contenant un mot de passe à usage unique. Une fois le mot de passe saisi, cela signifie que l'utilisateur a accompli toutes les méthodes de la chaîne. L'authentification réussit. Une chaîne d'authentification peut être assignée à un utilisateur ou à un groupe spécifique.
Pour créer une chaîne d'authentification :
Connectez-vous au portail d'administration d'AAF avec un nom d'utilisateur et un mot de passe de niveau administrateur.
Accédez au panneau de gauche, puis cliquez sur Chaînes. Le panneau de droite affiche la liste des chaînes actuellement disponibles.
Cliquez sur Ajouter.
Complétez le formulaire. Tous les champs sont obligatoires.
IMPORTANT :ajoutez les méthodes dans l'ordre selon lequel elles doivent être appelées, autrement dit, si vous souhaitez que l'utilisateur commence par entrer un mot de passe LDAP, ajoutez d'abord le mot de passe LDAP à la chaîne.
IMPORTANT :assurez-vous que le paramètre Appliquer si utilisé par le propriétaire du noeud d'extrémité est défini sur DÉSACTIVÉ.
Définissez le paramètre Est activé sur ACTIVÉ.
Entrez le nom des rôles ou des groupes qui doivent être soumis à la demande d'authentification dans le champ Rôles et groupes.
INDICATION :si vous souhaitez que la chaîne s'applique à tous les utilisateurs, tapez tous les utilisateurs dans le champ Rôles et groupes et sélectionnez Tous les utilisateurs dans la liste déroulante résultante.
Tout utilisateur ou groupe que vous sélectionnez sera ajouté sous le champ Rôles et groupes.
Cliquez sur Enregistrer.
Un événement d'authentification est déclenché par l'application (dans ce cas, la console Web) qui souhaite authentifier un utilisateur. Au moins une chaîne d'authentification doit être assignée à l'événement afin que lorsque celui-ci est déclenché, les méthodes dans la chaîne qui lui est associée soient appelées pour authentifier l'utilisateur.
Un noeud d'extrémité correspond au périphérique réel, par exemple un ordinateur ou un smartphone, qui exécute le logiciel déclenchant l'événement d'authentification. DRA enregistre le noeud d'extrémité auprès d'AAF une fois l'événement créé.
Vous pouvez utiliser la zone Liste blanche des noeuds d'extrémité pour limiter l'accès à un événement à des noeuds d'extrémité spécifiques, ou vous pouvez autoriser tous les noeuds d'extrémité à accéder à l'événement.
Pour créer un événement d'authentification :
Connectez-vous au portail d'administration d'AAF avec un nom d'utilisateur et un mot de passe de niveau administrateur.
Accédez au panneau de gauche, puis cliquez sur Événements. Le panneau de droite affiche la liste des événements actuellement disponibles.
Cliquez sur Ajouter.
Complétez le formulaire. Tous les champs sont obligatoires.
IMPORTANT :assurez-vous que le paramètre Est activé est défini sur ACTIVÉ.
Si vous souhaitez limiter l'accès à des noeuds d'extrémité spécifiques, accédez à la section Liste blanche des noeuds d'extrémité et déplacez les noeuds d'extrémité ciblés de la liste Disponible vers la liste Utilisé.
INDICATION :Si la liste Utilisé ne contient aucun noeud d'extrémité, l'événement sera disponible pour tous les noeuds d'extrémité.
Une fois que vous avez configuré des chaînes et des événements, vous pouvez vous connecter à la console Web en tant qu'administrateur et activer Advanced Authentication.
Une fois l'authentification activée, tous les utilisateurs devront s'authentifier via AAF avant de se voir accorder l'accès à la console Web.
IMPORTANT :avant d'activer la console Web, vous devez déjà être inscrit dans les méthodes d'authentification que la console Web utilisera pour authentifier les utilisateurs. Reportez-vous au Advanced Authentication Framework User Guide (Guide de l'utilisateur d'Advanced Authentication Framework) pour savoir comment vous inscrire dans des méthodes d'authentification.
Pour activer Advanced Authentication, connectez-vous à la console Web et accédez à Administration > Configuration > Advanced Authentication. Cochez la case Activé et configurez le formulaire conformément aux instructions fournies pour chaque champ.
INDICATION :une fois la configuration enregistrée, le noeud d'extrémité est créé dans AAF. Pour l'afficher ou le modifier, connectez-vous au portail d'administration d'AAF avec un nom d'utilisateur et un mot de passe de niveau administrateur, puis cliquez sur Noeuds d'extrémité dans le volet gauche.
Connectez-vous au portail d'administration d'AAF avec un nom d'utilisateur et un mot de passe de niveau administrateur, puis cliquez sur Événements dans le volet gauche.
Modifiez chacun des événements de la console Web :
Ouvrez l'événement pour modification.
Accédez à la section Liste blanche des noeuds d'extrémité et déplacez le noeud d'extrémité que vous avez créé lors de la configuration de la console Web de la liste Disponible vers la liste Utilisé. Vous avez ainsi la garantie que seule la console Web peut utiliser ces événements.
Cliquez sur Enregistrer.