Lorsque vous planifiez le déploiement de Directory and Resource Administrator, utilisez cette section pour évaluer la compatibilité de votre environnement matériel et logiciel et noter les ports et protocoles requis que vous devrez configurer pour le déploiement.
Cette section fournit des informations au sujet du dimensionnement recommandé pour notre ressource de base. Vos résultats peuvent varier en fonction du matériel disponible, de l'environnement spécifique, du type spécifique de données traitées, mais aussi d'autres facteurs. Des configurations matérielles plus puissantes et étendues pourront probablement gérer des charges plus importantes. Pour toute question, veuillez consulter les services NetIQ Consulting.
Exécution dans un environnement avec environ un million d'objets Active Directory :
|
Composant |
UC |
Mémoire |
Stockage |
|---|---|---|---|
|
Serveur d'administration DRA |
4 UC (x64)/cœurs 2 GHz |
16 Go |
100 Go |
|
Console Web DRA |
2 UC (x64)/cœurs 2 GHz |
8 Go |
100 Go |
|
DRA Reporting |
4 UC (x64)/cœurs 2 GHz |
16 Go |
100 Go |
|
Serveur de workflow DRA |
4 UC (x64)/cœurs 2 GHz |
16 Go |
100 Go |
DRA conserve les segments de mémoire importants actifs pendant de longues périodes. Prenez en compte les recommandations suivantes lors du provisioning de ressources pour un environnement virtuel :
Allouez l'espace de stockage en tant que « Thick Provisioned » (Provisioning lourd).
Définissez la réservation de mémoire sur Reserve All Guest Memory(All Locked) [Réserver toute la mémoire invité(entièrement verrouillée)]
Assurez-vous que le fichier de pagination est suffisamment volumineux pour permettre une éventuelle réallocation de la mémoire en ballon sur la couche virtuelle.
Les ports et protocoles pour la communication DRA sont mentionnés dans cette section.
Les ports configurables sont indiqués par un astérisque *
Les ports nécessitant un certificat sont indiqués par deux astérisques **
|
Protocole et port |
Sens |
Destination |
Utilisation |
|---|---|---|---|
|
TCP 135 |
Bidirectionnel |
Serveurs d'administration DRA |
Mappeur de nœud d'extrémité, exigence de base pour la communication DRA ; permet aux serveurs d'administration de se localiser l'un l'autre dans MMS |
|
TCP 445 |
Bidirectionnel |
Serveurs d'administration DRA |
Réplication du modèle de délégation ; réplication de fichiers lors de la synchronisation MMS (SMB) |
|
Plage de ports TCP dynamique * |
Bidirectionnel |
Contrôleurs de domaine Microsoft Active Directory, clients DRA |
Par défaut, DRA assigne des ports dynamiquement à partir de la plage de ports TCP comprise entre 1 024 et 65 535. Vous pouvez, toutefois, configurer cette plage à l'aide des services de composants. Pour plus d'informations, reportez-vous à l'article Using Distributed COM with Firewalls (DCOM) (Utilisation du modèle COM distribué avec des pare-feu (DCOM)) |
|
TCP 50000 * |
Bidirectionnel |
Serveurs d'administration DRA |
Réplication d'attributs et communication ADAM avec le serveur DRA. (LDAP) |
|
TCP 50001 * |
Bidirectionnel |
Serveurs d'administration DRA |
Réplication d'attributs SSL (ADAM) |
|
TCP/UDP 389 |
Sortant |
Contrôleurs de domaine Microsoft Active Directory |
Gestion des objets Active Directory (LDAP) |
|
Sortant |
Serveur Microsoft Exchange |
Gestion des boîtes aux lettres (LDAP) |
|
|
TCP/UDP 53 |
Sortant |
Contrôleurs de domaine Microsoft Active Directory |
Résolution de noms |
|
TCP/UDP 88 |
Sortant |
Contrôleurs de domaine Microsoft Active Directory |
Permet l'authentification du serveur DRA auprès des contrôleurs de domaine (Kerberos) |
|
TCP 80 |
Sortant |
Serveur Microsoft Exchange |
Requis pour tous les serveurs Exchange locaux 2010 à 2013 (HTTP) |
|
Sortant |
Microsoft Office 365 |
Accès PowerShell à distance (HTTP) |
|
|
TCP 443 |
Sortant |
Microsoft Office 365, Change Guardian |
Accès à l'API graphique et intégration à Change Guardian (HTTPS) |
|
TCP 443, 5986, 5985 |
Sortant |
Microsoft PowerShell |
Applets de commande natives PowerShell (HTTPS) et communication à distance PowerShell |
|
TCP 8092 * ** |
Sortant |
Serveur de workflow |
État du workflow et déclenchement (HTTPS) |
|
TCP 50101 * |
Entrant |
Client DRA |
Cliquez avec le bouton droit sur le rapport Historique des modifications dans le rapport d'audit de l'interface utilisateur. Peut être configuré lors de l'installation. |
|
TCP 8989 |
Localhost |
Service d'archivage des journaux |
Communication avec l'archivage des journaux (ouverture via le pare-feu non requise) |
|
TCP 50102 |
Bidirectionnel |
Service core DRA |
Service d'archivage des journaux |
|
TCP 50103 |
Localhost |
Service de cache DRA |
Communication avec le service de cache sur le serveur DRA (ouverture via le pare-feu non requise) |
|
TCP 1433 |
Sortant |
Microsoft SQL Server |
Collecte des données de création de rapports |
|
UDP 1434 |
Sortant |
Microsoft SQL Server |
Le service de navigateur SQL Server utilise ce port pour identifier le port de l'instance nommée. |
|
TCP 8443 |
Bidirectionnel |
Serveur Change Guardian |
Historique des modifications unifiées |
|
Protocole et port |
Sens |
Destination |
Utilisation |
|---|---|---|---|
|
TCP 8755 * ** |
Entrant |
Serveur IIS, applets de commande PowerShell DRA |
Exécution des activités de workflow basées sur REST DRA (ActivityBroker) |
|
TCP 11192 * ** |
Sortant |
Service hôte DRA |
Pour la communication entre le service REST DRA et le service d'administration DRA |
|
TCP 135 |
Sortant |
Contrôleurs de domaine Microsoft Active Directory |
Découverte automatique à l'aide de SCP (Service Connection Point) |
|
TCP 443 |
Sortant |
Contrôleurs de domaine Microsoft AD |
Découverte automatique à l'aide de SCP (Service Connection Point) |
|
Protocole et port |
Sens |
Destination |
Utilisation |
|---|---|---|---|
|
TCP 8755 * ** |
Sortant |
Service REST DRA |
Pour la communication entre la console Web DRA, le PowerShell DRA et le service hôte DRA |
|
TCP 443 |
Entrant |
Navigateur client |
Ouverture d'un site Web DRA |
|
TCP 443 ** |
Sortant |
Serveur d'authentification avancée |
Authentification avancée |
|
Protocole et port |
Sens |
Destination |
Utilisation |
|---|---|---|---|
|
TCP 135 |
Sortant |
Contrôleurs de domaine Microsoft Active Directory |
Détection automatique à l'aide de SCP |
|
Plage de ports TCP dynamique * |
Sortant |
Serveurs d'administration DRA |
Activités de workflow de l'adaptateur DRA. Par défaut, DCOM assigne dynamiquement des ports à partir de la plage de ports TCP 1 024 à 65 535. Vous pouvez, toutefois, configurer cette plage à l'aide des services de composants. Pour plus d'informations, reportez-vous à l'article Using Distributed COM with Firewalls (DCOM) (Utilisation du modèle COM distribué avec des pare-feu (DCOM)) |
|
TCP 50102 |
Sortant |
Service core DRA |
Génération du rapport de l'historique des modifications |
|
Protocole et port |
Sens |
Destination |
Utilisation |
|---|---|---|---|
|
TCP 8755 |
Sortant |
Serveurs d'administration DRA |
Exécution des activités de workflow basées sur REST DRA (ActivityBroker) |
|
Plage de ports TCP dynamique * |
Sortant |
Serveurs d'administration DRA |
Activités de workflow de l'adaptateur DRA. Par défaut, DCOM assigne dynamiquement des ports à partir de la plage de ports TCP 1 024 à 65 535. Vous pouvez, toutefois, configurer cette plage à l'aide des services de composants. Pour plus d'informations, reportez-vous à l'article Using Distributed COM with Firewalls (DCOM) (Utilisation du modèle COM distribué avec des pare-feu (DCOM)) |
|
TCP 1433 |
Sortant |
Microsoft SQL Server |
Stockage des données de workflow |
|
TCP 8091 |
Entrant |
Console des opérations et console de configuration |
API de workflow BSL (TCP) |
|
TCP 8092 ** |
Entrant |
Serveurs d'administration DRA |
API de workflow BSL (HTTP) |
|
TCP 2219 |
Localhost |
Fournisseur d'espace de noms |
Utilisé par le fournisseur d'espaces de noms pour exécuter des adaptateurs |
|
TCP 9900 |
Localhost |
Correlation Engine |
Utilisé par l'instance Correlation Engine pour communiquer avec le moteur de workflow et le fournisseur d'espaces de noms |
|
TCP 10117 |
Localhost |
Fournisseur d'espace de noms de gestion des ressources |
Utilisé par le fournisseur d'espace de noms de gestion des ressources |
Pour obtenir les informations les plus récentes sur les plates-formes logicielles prises en charge, reportez-vous à la page Directory and Resource Administrator sur le site Web de NetIQ :
|
Système géré |
Conditions préalables |
|---|---|
|
Active Directory |
|
|
Microsoft Exchange |
|
|
Microsoft Office 365 |
|
|
Skype Entreprise |
|
|
Historique des modifications |
|
|
Navigateurs Web |
|
DRA requiert la configuration de serveur suivante pour les logiciels et les comptes :
|
Composant |
Conditions préalables |
|---|---|
|
Cible d'installation Système d'exploitation |
Système d'exploitation du serveur d'administration de NetIQ :
Interfaces Windows DRA :
|
|
Programme d'installation |
|
|
Serveur d'administration |
Directory and Resource Administrator :
Microsoft Office 365/Exchange Online Administration :
Pour plus d'informations, reportez-vous à la section Plates-formes prises en charge. |
|
Composants Web hérités |
Serveur Web :
Composants Microsoft IIS :
Interfaces Windows DRA :
|
|
Compte |
Description |
Autorisations |
|---|---|---|
|
Groupe AD LDS |
Le compte de service DRA doit être ajouté à ce groupe pour l'accès à AD LDS. |
|
|
Compte de service DRA |
Autorisations requises pour exécuter le service d'administration NetIQ |
REMARQUE :pour plus d'informations sur la configuration de comptes d'accès aux domaines à privilège minimal, reportez-vous à la section : Comptes d'accès DRA à privilège minimal. |
|
Administrateur DRA |
Compte utilisateur ou groupe provisionné pour le rôle intégré d'administrateur DRA |
|
|
Comptes d'assistant administrateur DRA |
Comptes qui recevront des pouvoirs par le biais de DRA. |
|
Vous trouverez ci-dessous les autorisations et privilèges requis pour les comptes spécifiés et les commandes de configuration à exécuter.
Compte d'accès au domaine : Assignez les autorisations Active Directory suivantes au compte d'accès au domaine :
Contrôle TOTAL sur les objets Utilisateur
Contrôle TOTAL sur les objets Ordinateur
Contrôle TOTAL sur les objets Groupe
Contrôle TOTAL sur les objets Contact
Contrôle TOTAL sur les objets Unité organisationnelle
Contrôle TOTAL sur les objets Inetorgperson
Contrôle TOTAL sur les objets Imprimante
Contrôle TOTAL sur les objets Domaine intégré
Contrôle TOTAL sur les objets Conteneur
Contrôle TOTAL sur les objets MsExchSystemObjectContainer
Contrôle TOTAL sur les groupes de distribution dynamique
Contrôle TOTAL sur les dossiers publics
Indiquez les privilèges suivants avec une étendue de type « Cet objet et tous les objets enfants » dans le compte de service du domaine :
Autoriser la création d'objets Ordinateur
Autoriser la suppression d'objets Ordinateur
Autoriser la création d'objets Contact
Autoriser la suppression d'objets Contact
Autoriser la création d'objets Groupe
Autoriser la suppression d'objets Groupe
Autoriser la suppression d'objets InetOrgPerson
Autoriser la création d'objets Unité organisationnelle
Autoriser la suppression d'objets Unité organisationnelle
Autoriser la création d'objets Utilisateur
Autoriser la suppression d'objets Utilisateur
Autoriser la création de groupes de distribution dynamique
Autoriser la suppression de groupes de distribution dynamique
Autoriser la création d'un point de service de connexion
Autoriser la suppression d'un point de service de connexion
Autoriser la création d'un conteneur
Autoriser la suppression d'un conteneur
Autoriser la création de dossiers publics
Autoriser la suppression de dossiers publics
Compte d'accès au locataire Office 365 : assignez les autorisations Active Directory suivantes au compte d'accès au locataire Office 365 :
Administrateur de la gestion des utilisateurs dans Office 365
Gestion des destinataires dans Exchange Online
Compte d'accès à Exchange : assignez le rôle Gestion de l'organisation au compte d'accès à Exchange pour gérer Exchange 2010.
Compte d'accès à Skype : assurez-vous que ce compte est employé par un utilisateur Skype et qu'il est membre d'au moins un des éléments suivants :
Rôle CSAdministrator
Rôles CSUserAdministrator et CSArchiving
Compte d'accès aux dossiers publics : assignez les autorisations Active Directory suivantes au compte d'accès aux dossiers publics :
Gestion des dossiers publics
Dossiers publics de messagerie
Opérations postérieures à l'installation de DRA :
Exécutez la commande suivante pour déléguer l'autorisation sur le « Conteneur d'objets supprimés » à partir du dossier d'installation DRA (Remarque : la commande doit être exécutée par un administrateur de domaine) :
DraDelObjsUtil.exe /domain:<NomDomaineNetBIOS> /delegate:<Nom Compte>
Exécutez la commande suivante pour déléguer l'autorisation sur le « NetIQReceyleBin OU » à partir du dossier d'installation DRA (Remarque : cette opération ne peut être effectuée qu'après avoir ajouté les domaines respectifs à gérer par DRA) :
DraRecycleBinUtil.exe /domain:<NomDomaineNetBIOS> /delegate:<Nom Compte>
Ajoutez le compte de remplacement de privilège minimal au groupe « Administrateurs locaux » sur chaque ordinateur sur lequel DRA gère des ressources telles que des imprimantes, des services, un journal des événements, des périphériques, etc.
Accordez au compte de remplacement de privilège minimal une « Autorisation complète » sur les dossiers de partage ou les dossiers DFS pour lesquels les répertoires privés sont provisionnés.
Ajoutez le compte de remplacement de privilège minimal au rôle « Gestion de l'organisation » pour gérer des objets Exchange.
La configuration requise pour la console Web et les extensions REST est la suivante :
|
Composant |
Conditions préalables |
|---|---|
|
Cible d'installation |
Système d'exploitation :
|
|
Service hôte DRA |
|
|
Service et nœud d'extrémité REST DRA |
|
|
Extensions PowerShell |
|
|
Console Web DRA |
Serveur Web :
Composants Microsoft IIS :
|
La configuration requise pour DRA Reporting est la suivante :
|
Composant |
Conditions préalables |
|---|---|
|
Cible d'installation |
Système d'exploitation :
|
|
NetIQ Reporting Center (v3.2) |
Base de données :
Serveur Web :
Microsoft .NET Framework 3.5: Tout serveur d'administration DRA qui se connecte à DRA Reporting nécessite également .NET Framework 3.5. REMARQUE :Lorsque vous installez NetIQ Reporting Center (NRC) sur un ordinateur SQL Server, vous devrez peut-être installer .NET Framework 3.5 manuellement avant d'installer NRC. |
|
DRA Reporting |
Base de données :
|
Votre licence détermine les produits et les fonctions que vous pouvez utiliser. DRA exige qu'une clé de licence soit installée avec le serveur d'administration.
Après avoir installé le serveur d'administration, vous pouvez faire appel à l'utilitaire de contrôle de l'état de santé pour installer une clé de licence d'évaluation (License1.lic) qui permet de gérer un nombre illimité de comptes utilisateur et de boîtes aux lettres pendant 30 jours.
Reportez-vous au contrat de licence utilisateur final (CLUF) pour plus d'informations concernant la définition de la licence et les restrictions qui y sont associées.