La gestione dell'accesso con il minimo privilegio per i task di Active Directory mediante DRA richiede la configurazione di numerosi componenti e processi, fra i quali le configurazioni generali e dei componenti client. In questa sezione vengono fornite informazioni relative ai componenti e ai processi generali che devono essere configurati per DRA.
In un ambiente MMS si utilizzano più server di amministrazione per gestire lo stesso set di domini e server membri. Un MMS è costituito da un server di amministrazione primario e più server di amministrazione secondari.
La modalità di default per il server di amministrazione è quella primaria. Man mano che si aggiungono server secondari all'ambiente MMS, va ricordato che un server di amministrazione secondario può appartenere a un solo set di server.
Affinché ciascun server del set gestisca gli stessi dati, sincronizzare periodicamente i server secondari con il server di amministrazione primario. Per ridurre le attività di manutenzione, utilizzare lo stesso account del servizio per tutti i server di amministrazione della foresta di domini.
IMPORTANTE:
Quando si installa il server secondario, selezionare Secondary Administration Server (Server di amministrazione secondario) nel programma di installazione.
La versione di DRA del nuovo server secondario deve essere uguale a quella del server primario di DRA affinché tutte le funzioni disponibili nel server primario lo siano anche in quello secondario.
È possibile aggiungere un server di amministrazione secondario a un MMS esistente mediante il client di delega e configurazione. Per aggiungere un server secondario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
NOTA:per aggiungere un nuovo server secondario, è necessario prima di tutto installare Directory and Resource Administrator nel computer del server di amministrazione. Per ulteriori informazioni, vedere Installazione del server di amministrazione DRA.
Per aggiungere un server di amministrazione secondario, fare clic con il pulsante destro del mouse su Administration Servers (Server di amministrazione) nel nodo Configuration Management (Gestione configurazione), quindi selezionare Add Secondary Server (Aggiungi server secondario).
È possibile alzare il livello di un server di amministrazione secondario facendolo diventare un server di amministrazione primario. Quando si alza di livello un server di amministrazione secondario trasformandolo in un server di amministrazione primario, il server di amministrazione primario esistente diventa un server di amministrazione secondario nel set di server. Per alzare di livello un server di amministrazione secondario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini). Prima di alzare di livello un server di amministrazione secondario, sincronizzare l'MMS affinché utilizzi la configurazione più recente.
Per informazioni sulla sincronizzazione dell'MMS, vedere Pianificazione della sincronizzazione.
NOTA:un server appena trasformato in primario può eseguire la connessione solo ai server secondari che erano disponibili durante il processo di innalzamento del livello. Se durante tale processo un server secondario è diventato non disponibile, contattare il Supporto tecnico.
Per alzare di livello un server di amministrazione secondario:
Passare al nodo Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione).
Nel riquadro a destra, selezionare il server di amministrazione secondario che si desidera alzare di livello.
Nel menu Task, fare clic su Advanced (Avanzate) > Promote Server (Alza livello server).
IMPORTANTE:quando l'account del servizio del server secondario è diverso da quello del server primario o il server secondario viene installato in un dominio diverso da quello del server primario (domini attendibili/domini non attendibili) e si alza il livello del server secondario, prima di eseguire l'operazione assicurarsi di delegare i ruoli seguenti: Audit All Objects(Revisiona tutti gli oggetti), Configure Servers and Domains (Configura server e domini) e Generate UI Reports (Genera rapporti UI). Verificare quindi che le sincronizzazioni dell'MMS abbiano esito positivo.
È possibile abbassare il livello di un server di amministrazione primario facendolo diventare un server di amministrazione secondario. Per abbassare il livello di un server di amministrazione primario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per abbassare il livello di un server di amministrazione primario:
Passare al nodo Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione).
Nel riquadro a destra, selezionare il server di amministrazione primario che si desidera abbassare di livello.
Nel menu Task, fare clic su Advanced (Avanzate) > Demote Server (Abbassa livello server).
Specificare il computer che si desidera designare come nuovo server di amministrazione primario e fare clic su OK.
La sincronizzazione assicura che tutti i server di amministrazione dell'MMS utilizzino gli stessi dati di configurazione. Sebbene sia possibile sincronizzare manualmente i server in qualsiasi momento, la pianificazione di default è impostata per sincronizzare l'MMS ogni 4 ore. Tale pianificazione può essere modificata per adattarla alle esigenze aziendali specifiche.
Per modificare la pianificazione della sincronizzazione o sincronizzare manualmente i server dell'MMS, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per accedere alla pianificazione della sincronizzazione o eseguire la sincronizzazione manuale, passare a Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione) e utilizzare il menu Task oppure le opzioni visualizzate facendo clic con il pulsante destro del mouse su un server selezionato. La pianificazione della sincronizzazione è disponibile nelle proprietà del server selezionato.
Caratteristiche delle opzioni di sincronizzazione
Le opzioni per la sincronizzazione dei server dell'MMS sono essenzialmente quattro:
Selezione del server primario e sincronizzazione di tutti i server secondari mediante "Synchronize All Servers" (Sincronizza tutti i server)
Selezione di un server secondario e sincronizzazione solo di tale server.
Configurazione della pianificazione della sincronizzazione dei server primario e secondari in modo indipendente
Configurazione della pianificazione della sincronizzazione di tutti i server. Questa opzione è abilitata quando nella pianificazione della sincronizzazione del server primario è selezionata l'impostazione seguente:
Configure secondary Administration servers when refreshing the primary Administration server (Configura i server di amministrazione secondari durante l'aggiornamento del server di amministrazione primario)
NOTA:se si deseleziona questa opzione, i file di configurazione vengono copiati nei server secondari in base alla pianificazione del primario, ma vengono caricati in base alla pianificazione configurata nel server secondario e non nello stesso momento. Questa impostazione è utile se i server risiedono in fusi orari diversi. Ad esempio, è possibile configurare tutti i server per aggiornarne la configurazione durante la notte, anche se gli orari potrebbero essere diversi a causa dei fusi orari.
Le eccezioni di clonazione consentono di definire proprietà per utenti, gruppi, contatti e computer che non verranno copiate in caso di clonazione di uno di questi oggetti.
Disponendo dei poteri appropriati, è possibile gestire le eccezioni di clonazione. Il ruolo Manage Clone Exceptions (Gestisci eccezioni di clonazione) concede poteri di visualizzazione, creazione ed eliminazione delle eccezioni di clonazione.
Per visualizzare o eliminare un'eccezione di clonazione esistente oppure per creare una nuova eccezione di clonazione, passare a Configuration Management (Gestione configurazione) > Clone Exceptions (Eccezioni di clonazione) > Task o fare clic con il pulsante destro del mouse per visualizzare le opzioni.
Quando si creano strumenti personalizzati, potrebbe essere necessario installare i file di supporto utilizzati da tali strumenti nel computer della console Delegation and Configuration (Delega e configurazione) di DRA per poter eseguire lo strumento stesso. È possibile utilizzare le funzionalità di replica dei file di DRA per replicare in modo rapido e semplice i file di supporto degli strumenti personalizzati dal server di amministrazione primario ai server di amministrazione secondari nell'MMS, come anche ai computer client DRA. La replica dei file può essere utile anche per replicare script di attivazione dal server primario a quelli secondari.
Per garantire che i computer client DRA possano accedere ai file degli strumenti personalizzati, è possibile utilizzare contemporaneamente sia strumenti personalizzati che la replica dei file. I file degli strumenti personalizzati vengono replicati nei server di amministrazione secondari affinché i computer client DRA che eseguono la connessione a server di amministrazione secondari possano accedere a tali strumenti personalizzati.
I file degli strumenti personalizzati vengono replicati dal server di amministrazione primario ai server di amministrazione secondari durante il processo di sincronizzazione dell'MMS. Quando i computer client DRA eseguono la connessione ai server di amministrazione, viene effettuato il download dei file degli strumenti personalizzati nei computer client DRA.
NOTA:l'ubicazione in cui viene effettuato il download dei file degli strumenti personalizzati nei computer client DRA è:
{DirInstallazioneDRA} \{ID MMS}\Download
L'ID MMS è l'identificazione del set multimaster da cui DRA effettua il download dei file degli strumenti personalizzati.
Quando si effettua l'upload di file nel server di amministrazione primario, è necessario specificare i file di cui si desidera effettuare l'upload e la replica dal server di amministrazione primario a tutti i server di amministrazione secondari che appartengono all'MMS. In DRA è possibile effettuare l'upload di file di libreria, file script e file eseguibili.
Il ruolo Replicate Files (Replica file) consente di replicare i file dal server di amministrazione primario ai server di amministrazione secondari dell'MMS come anche ai computer client DRA. Il ruolo include i poteri seguenti:
Delete Files from Server (Elimina file dal server): questo potere consente a DRA di eliminare i file che non sono più presenti nel server di amministrazione primario, nei server di amministrazione secondari e nei computer client DRA.
Set File Information (Imposta informazioni file): questo potere consente a DRA di aggiornare le informazioni sui file nei server di amministrazione secondari.
Upload Files to Server (Effettua upload dei file nel server): questo potere consente a DRA di effettuare l'upload di file dal computer client DRA al server di amministrazione primario.
NOTA:mediante l'interfaccia utente di replica dei file nella console Delegation and Configuration (Delega e configurazione) è possibile effettuare l'upload per la replica di un solo file per volta.
Per effettuare l'upload di un file di uno strumento personalizzato nel server di amministrazione primario:
Passare a Configuration Management (Gestione configurazione) > File Replication (Replica file).
Fare clic su Upload File (Effettua upload del file) nel menu Task.
Per cercare e selezionare il file di cui si desidera effettuare l'upload, fare clic su Browse (Sfoglia).
Se si desidera effettuare il download del file selezionato in tutti i computer client DRA, selezionare la casella di controllo Download to all client computers (Effettua download in tutti i computer client).
Se si desidera registrare una libreria COM, selezionare la casella di controllo Register COM library (Registra libreria COM).
Fare clic su OK.
NOTA:
L'upload del file script o dei file di supporto che devono essere replicati in altri server di amministrazione secondari viene effettuato all'interno della cartella {DirInstallazioneDRA}\FileTransfer\Replicate del server di amministrazione primario. La cartella {DirInstallazioneDRA}\FileTransfer\Replicate è denominata anche {Percorso_File_Replicati_DRA}.
L'upload del file script o dei file di supporto che devono essere replicati nei computer client DRA viene effettuato nella cartella {DirInstallazioneDRA}\FileTransfer\Download del server di amministrazione primario.
Il file dello strumento personalizzato di cui è stato effettuato l'upload nel server di amministrazione primario viene distribuito ai server di amministrazione secondari nel corso della sincronizzazione pianificata o della sincronizzazione manuale successiva.
Se si desidera effettuare l'upload di più file e replicarli tra server di amministrazione primario e server di amministrazione secondari dell'MMS, è possibile effettuare manualmente l'upload per la replica copiando i file nella directory di replica del server di amministrazione primario, che si trova nell'ubicazione seguente:
{DRAInstallDir}\FileTransfer\Replicate
La directory di replica viene creata al momento dell'installazione di DRA.
Il server di amministrazione identifica automaticamente i file nella directory di replica e li replica tra i server di amministrazione durante la sincronizzazione pianificata successiva. Al termine della sincronizzazione, i file di cui è stato effettuato l'upload vengono visualizzati nella finestra File Replication (Replica di file) della console Delegation and Configuration (Delega e configurazione).
NOTA:se si desidera replicare file che contengono librerie COM che devono essere registrate, non è possibile copiarli manualmente nella directory di replica del server di amministrazione. Per effettuare l'upload di ciascun file e registrare la libreria COM, è necessario utilizzare la console Delegation and Configuration (Delega e configurazione).
Se si desidera replicare più file dal server di amministrazione primario ai computer client DRA, è possibile copiarli nella directory di replica del client nel server di amministrazione primario, che si trova nell'ubicazione seguente:
{DRAInstallDir}\FileTransfer\Download
La directory di replica del client viene creata al momento dell'installazione di DRA.
Il server di amministrazione individua automaticamente i file nella cartella Download ed esegue la replica nei server di amministrazione secondari durante la sincronizzazione pianificata successiva. Al termine della sincronizzazione, i file di cui è stato effettuato l'upload vengono visualizzati nella finestra File Replication (Replica di file) della console Delegation and Configuration (Delega e configurazione). Il download dei file replicati nei computer client DRA viene effettuato non appena essi eseguono la connessione ai server di amministrazione dopo la replica.
NOTA:se si desidera replicare file che contengono librerie COM che devono essere registrate, non è possibile copiarli nella directory di download del server di amministrazione. Per effettuare l'upload di ciascun file e registrare la libreria COM, è necessario utilizzare la console Delegation and Configuration (Delega e configurazione).
Quando è abilitata la revisione di AD Domain Services, gli eventi di DRA vengono registrati come se fossero generati dall'account del servizio DRA o dall'account di accesso ai domini, se uno di questi account è configurato. La registrazione degli eventi costituisce un'ulteriore evoluzione di questa funzione, poiché genera un ulteriore evento AD DS che identifica l'amministratore aggiunto che ha eseguito l'operazione.
Affinché tali eventi vengano generati, è necessario configurare la revisione di AD DS e abilitare la registrazione degli eventi nel server di amministrazione DRA. Quando la registrazione degli eventi è abilitata, è possibile visualizzare le modifiche apportate dagli amministratori aggiunti nei rapporti sugli eventi di Change Guardian.
Per configurare la revisione di AD DS, consultare il riferimento Microsoft AD DS Auditing Step-by-Step Guide (Guida dettagliata al controllo di servizi di dominio Active Directory)
Per configurare l'integrazione con Change Guardian, vedere Configurazione dei server di Cronologia modifiche unificata.
Per abilitare la registrazione degli eventi, aprire la console Delegation and Configuration (Delega e configurazione) come amministratore di DRA ed effettuare le operazioni seguenti:
Passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > Event Stamping (Registrazione eventi).
Selezionare un tipo di oggetto e fare clic su Update (Aggiorna).
Selezionare un attributo da utilizzare per la registrazione degli eventi relativi a quel tipo di oggetto.
DRA supporta attualmente la registrazione degli eventi per utenti, gruppi, contatti, computer e unità organizzative.
È inoltre necessario che gli attributi siano presenti nello schema di Active Directory per ciascun dominio gestito. Questo fattore va tenuto in considerazione quando si aggiungono domini gestiti dopo la configurazione della registrazione degli eventi. Se si aggiungesse un dominio gestito che non contiene un attributo selezionato, le operazioni da tale dominio non verrebbero sottoposte a revisione con i dati di registrazione degli eventi.
Poiché DRA modifica tali attributi, si dovranno selezionare attributi non utilizzati da DRA o da qualsiasi altra applicazione dell'ambiente in uso.
Per ulteriori informazioni sulla registrazione degli eventi, vedere Caratteristiche della registrazione eventi.
Azure Sync (Sincronizzazione Azure) consente di applicare policy relative a caratteri non validi e lunghezze in caratteri per evitare errori di sincronizzazione delle directory. Selezionando questa opzione si avrà la certezza che per tutte le proprietà sincronizzate con Azure Active Directory i caratteri non validi non saranno ammessi e verranno applicati limiti al numero di caratteri.
Per abilitare Azure Sync (Sincronizzazione Azure):
Nel riquadro a sinistra fare clic su Configuration Management (Gestione configurazione).
In Common Tasks (Task comuni) nel riquadro a destra, fare clic su Update Administration Server Options (Aggiorna opzioni server di amministrazione).
Nella scheda Azure Sync (Sincronizzazione Azure) selezionare Enforce online mailbox policies for invalid characters and character length (Applica policy di casella postale online per caratteri non validi e lunghezza dei caratteri).
Quando si abilita il supporto per più gestori per la gestione di un gruppo, uno dei due attributi di default viene utilizzato per memorizzare i gestori del gruppo. Nel caso in cui si utilizzi Microsoft Exchange, l'attributo è msExchCoManagedByLink. Nel caso in cui non si utilizzi Microsoft Exchange, l'attributo di default è nonSecurityMember. Quest'ultima opzione è modificabile. Tuttavia, se è necessario modificare l'impostazione, si consiglia di contattare il Supporto tecnico per stabilire un attributo appropriato.
Per abilitare il supporto di più gestori per i gruppi:
Nel riquadro a sinistra fare clic su Configuration Management (Gestione configurazione).
In Common Tasks (Task comuni) nel riquadro a destra, fare clic su Update Administration Server Options (Aggiorna opzioni server di amministrazione).
Nella scheda Enable Support for Group Multiple Managers (Abilita supporto di più gestori per i gruppi), selezionare la casella di controllo Enable support for group’s multiple managers (Abilita supporto di più gestori per i gruppi).
Questa funzione consente di abilitare o disabilitare l'utilizzo della comunicazione cifrata tra il client di delega e configurazione e il server di amministrazione. Per default, le password degli account sono cifrate in DRA. Questa funzione non esegue la cifratura delle comunicazioni del client Web o di PowerShell, che viene gestita separatamente mediante certificati server.
L'utilizzo delle comunicazioni cifrate può incidere negativamente sulle prestazioni. Per default, le comunicazioni cifrate sono disabilitate. Se si abilita l'opzione, i dati vengono cifrati durante la comunicazione tra le interfacce utente e il server di amministrazione. In DRA si utilizza la cifratura standard Microsoft per Remote Procedure Call (RPC).
Per abilitare le comunicazioni cifrate, passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > General (Generale) e selezionare la casella di controllo Encrypted Communications (Comunicazioni cifrate) nella scheda.
NOTA:per cifrare tutte le comunicazioni tra le interfacce utente e il server di amministrazione, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Mediante gli attributi virtuali è possibile creare nuove proprietà e associarle a utenti, gruppi, gruppi di distribuzione dinamici, contatti, computer e unità organizzative. Gli attributi virtuali consentono di creare nuove proprietà senza che sia necessario estendere lo schema di Active Directory.
Grazie agli attributi virtuali è possibile aggiungere nuove proprietà agli oggetti di Active Directory. Per creare, abilitare, disabilitare, associare e annullare l'associazione degli attributi virtuali è necessario utilizzare il server di amministrazione primario. Gli attributi virtuali creati in AD LDS vengono memorizzati in DRA. Gli attributi virtuali vengono replicati dal server di amministrazione primario ai server di amministrazione secondari durante il processo di sincronizzazione dell'MMS.
Disponendo dei poteri appropriati, è possibile gestire gli attributi virtuali. Il ruolo Manage Virtual Attributes (Gestisci attributi virtuali) assegna i poteri necessari per creare, abilitare, associare, annullare l'associazione, disabilitare e visualizzare gli attributi virtuali.
Per creare attributi virtuali è necessario il ruolo Create Virtual Attributes (Crea attributi virtuali), mentre per visualizzarli si utilizza il ruolo View Virtual Attributes (Visualizza attributi virtuali).
Per creare un attributo virtuale, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Attributes (Attributi gestiti) e fare clic su New Virtual Attribute (Nuovo attributo virtuale) nel menu Task.
È possibile associare agli oggetti Active Directory solo attributi virtuali abilitati. Dopo aver associato un attributo virtuale a un oggetto, l'attributo virtuale è disponibile fra le proprietà dell'oggetto stesso.
Per esporre gli attributi virtuali mediante le interfacce utente di DRA, è necessario creare una pagina personalizzata delle proprietà.
Per associare un attributo virtuale a un oggetto, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Attributes (Attributi gestiti), fare clic con il pulsante destro del mouse sull'attributo virtuale che si desidera utilizzare e selezionare Associate (Associa) > (tipo di oggetto).
NOTA:
È possibile associare gli attributi virtuali soltanto a utenti, gruppi, gruppi di distribuzione dinamici, computer, contatti e unità organizzative.
Quando si associa un attributo virtuale a un oggetto, in DRA vengono creati automaticamente due poteri personalizzati di default, necessari agli amministratori aggiunti per gestire l'attributo virtuale.
L'associazione degli attributi virtuali agli oggetti Active Directory può essere annullata. Per i nuovi oggetti creati, nelle proprietà non viene più visualizzato l'attributo virtuale per cui è stata annullata l'associazione.
Per annullare l'associazione di un attributo virtuale a un oggetto Active Directory, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Classes (Classi gestite) > (tipo di oggetto). Fare clic con il pulsante destro del mouse sull'attributo virtuale e selezionare Disassociate (Annulla associazione).
È possibile disabilitare gli attributi virtuali a condizione che non siano associati a un oggetto Active Directory. Quando si disabilita un attributo virtuale, gli amministratori non possono visualizzarlo né associarlo a un oggetto.
Per disabilitare un attributo virtuale, passare a Configuration Management (Gestione configurazione) > Managed Attributes (Attributi gestiti). Fare clic con il pulsante destro del mouse sull'attributo desiderato nel riquadro dell'elenco e selezionare Disable (Disabilita).
Il server di amministrazione crea e gestisce una cache degli account in cui sono memorizzate parti di Active Directory per i domini gestiti. La cache degli account viene utilizzata in DRA per migliorare le prestazioni di gestione degli account utente, dei gruppi, dei contatti e degli account computer.
Per pianificare gli orari di aggiornamento della cache o visualizzarne lo stato, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
NOTA:per eseguire aggiornamenti incrementali della cache degli account in domini che contengono sottoalberi gestiti, verificare che l'account del servizio disponga dell'accesso in lettura per il container Oggetti eliminati, nonché per tutti gli oggetti nel dominio del sottoalbero. Per verificare e delegare le autorizzazioni appropriate, è possibile utilizzare l'utility Deleted Objects.
Quando si esegue un aggiornamento incrementale della cache degli account, vengono aggiornati solo i dati modificati dopo l'ultimo aggiornamento. L'aggiornamento incrementale è un metodo semplificato per stare al passo con i continui cambiamenti di Active Directory. Si utilizza per aggiornare rapidamente la cache degli account generando però un impatto minimo sulle attività aziendali.
IMPORTANTE:Microsoft Server limita a cinque il numero di utenti che possono essere connessi contemporaneamente alla sessione WinRM/WinRS e anche il numero di shell per utente è limitato a cinque. Accertarsi quindi che l'account utente corrispondente sia limitato a cinque shell per i server secondari di DRA.
Un aggiornamento incrementale aggiorna i dati seguenti:
Oggetti nuovi e clonati
Oggetti eliminati e spostati
Appartenenze a gruppi
Tutte le proprietà memorizzate nella cache per gli oggetti modificati
Con l'aggiornamento completo, invece, viene ricreata la cache degli account di DRA per il dominio specificato.
NOTA:quando è in corso un aggiornamento completo della cache degli account, il dominio non è disponibile per gli utenti di DRA.
Per aggiornare la cache degli account, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo Configure Servers and Domains
(Configura server e domini).
Per eseguire immediatamente un aggiornamento completo della cache degli account:
Passare a Configuration Management (Gestione configurazione) > Managed Domains (Domini gestiti).
Fare clic con il pulsante destro del mouse sul dominio desiderato e selezionare Properties (Proprietà).
Fare clic su Refresh Now (Aggiorna ora) nella scheda Full refresh (Aggiornamento completo).
La frequenza di aggiornamento della cache degli account varia a seconda della frequenza dei cambiamenti aziendali. Utilizzare l'aggiornamento incrementale per aggiornare frequentemente la cache degli account, garantendo così che le informazioni su Active Directory in DRA siano le più recenti.
Per default, il server di amministrazione esegue un aggiornamento incrementale della cache degli account agli intervalli seguenti:
|
Tipo di dominio |
Intervallo di aggiornamento pianificato di default |
|---|---|
|
Domini gestiti |
Ogni 5 minuti |
|
Domini attendibili |
Ogni ora |
Sebbene non sia possibile pianificare un aggiornamento completo della cache degli account, tale aggiornamento viene eseguito automaticamente in DRA nelle seguenti circostanze:
Dopo la configurazione iniziale di un dominio gestito.
Dopo l'upgrade di DRA a una nuova versione completa da una versione precedente.
Dopo l'installazione di un service pack di DRA.
L'esecuzione di un aggiornamento completo della cache degli account può richiedere alcuni minuti.
Affinché DRA disponga delle informazioni più recenti, è necessario aggiornare periodicamente la cache degli account. Prima di eseguire o pianificare un aggiornamento della cache degli account, valutare i fattori seguenti:
Per eseguire un aggiornamento incrementale della cache degli account, l'account del servizio del server di amministrazione o l'account di accesso deve disporre dell'autorizzazione per accedere agli oggetti eliminati nell'istanza di Active Directory del dominio gestito o attendibile.
Quando DRA esegue un aggiornamento della cache degli account, il server di amministrazione non include i gruppi di sicurezza locali di dominio dai domini attendibili. Poiché la cache non contiene tali gruppi, in DRA non è possibile aggiungere un gruppo di sicurezza locale di dominio dal dominio attendibile a un gruppo locale nel server membro gestito.
Se si omette un dominio attendibile dall'aggiornamento della cache degli account, il server di amministrazione omette tale dominio anche dall'aggiornamento della configurazione dei domini.
Se nell'aggiornamento della cache degli account si include un dominio attendibile precedentemente omesso, eseguire un aggiornamento completo della cache degli account per il dominio gestito. Ciò garantisce che la cache degli account nel server di amministrazione del dominio gestito rifletta correttamente i dati di appartenenza ai gruppi nei domini attendibili e gestiti.
Se si imposta l'intervallo di aggiornamento incrementale della cache degli account su Mai, il server di amministrazione esegue solo l'aggiornamento completo della cache degli account. L'aggiornamento completo della cache degli account potrebbe richiedere un po' di tempo, durante il quale non è possibile gestire gli oggetti del dominio.
DRA non è in grado di determinare automaticamente quando si apportano modifiche mediante altri strumenti, come ad esempio Servizi directory di Microsoft. Le operazioni non eseguite all'interno di DRA possono compromettere l'accuratezza delle informazioni memorizzate nella cache. Ad esempio, se si utilizza un altro strumento per aggiungere una casella postale a un account utente, non è possibile utilizzare Exchange per gestire la casella postale fino a quando la cache degli account non viene aggiornata.
L'esecuzione di un aggiornamento completo della cache degli account elimina le statistiche degli ultimi login conservate nella cache. Successivamente, il server di amministrazione raccoglie le informazioni sugli ultimi login da tutti i controller di dominio.
La raccolta stampanti di AD è disabilitata per default. Per abilitarla, passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > General (Generale) e selezionare la casella di controllo Collect Printers (Raccogli stampanti) nella scheda.
È possibile configurare l'aggiornamento di pulizia di AD LDS affinché venga eseguito in base a una pianificazione per i domini specifici. L'impostazione di default è "Mai". È inoltre possibile visualizzare lo stato di pulizia e informazioni specifiche relative alla configurazione di AD LDS (ADAM).
Per configurare la pianificazione o visualizzare lo stato di pulizia di AD LDS, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Account and Resource Management (Gestione account e risorse) > All My Managed Objects (Tutti i miei oggetti gestiti) e selezionare rispettivamente Properties (Proprietà) > Adlds Cleanup Refresh Schedule (Pianificazione aggiornamento pulizia AD LDS) o Adlds Cleanup status (Stato pulizia AD LDS).
Per visualizzare le informazioni sulla configurazione di AD LDS (ADAM), passare a Configuration Management (Gestione configurazione) > Update Server Options (Aggiorna opzioni server) > ADAM Configuration (Configurazione ADAM).
Un gruppo dinamico è costituito da membri che variano in base a un set prestabilito di criteri che si configurano nelle proprietà del gruppo. Nelle proprietà del dominio è possibile configurare l'aggiornamento dei gruppi dinamici in base a una pianificazione per i domini specifici. L'impostazione di default è "Mai". È inoltre possibile visualizzare lo stato di aggiornamento.
Per configurare la pianificazione o visualizzare lo stato di aggiornamento dei gruppi dinamici, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Account and Resource Management (Gestione account e risorse) > All My Managed Objects (Tutti i miei oggetti gestiti) e selezionare rispettivamente Properties (Proprietà) > Dynamic group refresh (Aggiornamento gruppi dinamici) o Dynamic group status (Stato gruppi dinamici).
Per ulteriori informazioni sui gruppi dinamici, vedere Gruppi dinamici di DRA.
È possibile abilitare o disabilitare il Cestino per ciascun dominio Microsoft Windows o per gli oggetti all'interno di tali domini e configurare i tempi e le modalità di pulizia del Cestino.
Per informazioni dettagliate sull'uso del Cestino, vedere Cestino.
È possibile abilitare il Cestino per domini Microsoft Windows specifici e per gli oggetti all'interno di tali domini. Per default, il Cestino è abilitato per ciascun dominio gestito da DRA e per tutti gli oggetti del dominio stesso. Per abilitare il Cestino è necessario essere membri del gruppo di amministratori o amministratori della configurazione di DRA.
Se nell'ambiente è presente la configurazione riportata di seguito, utilizzare l'utility Recycle Bin per abilitare la funzione:
DRA gestisce un sottoalbero del dominio.
L'account del servizio del server di amministrazione o di accesso non dispone dell'autorizzazione per creare il container Cestino, per spostare gli account in questo container e per modificare gli account nel container.
È inoltre possibile utilizzare l'utility Recycle Bin per verificare le autorizzazioni dell'account del servizio del server di amministrazione o di accesso per il container Cestino.
Per abilitare il Cestino, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Recycle Bin (Cestino) e selezionare Enable Recycle Bin (Abilita cestino).
È possibile disabilitare il Cestino per domini Microsoft Windows specifici e per gli oggetti all'interno di tali domini. Se un Cestino disabilitato contiene account, non è possibile visualizzare, eliminare definitivamente né ripristinare tali account.
Per disabilitare il Cestino è necessario essere membri del gruppo di amministratori di DRA o del gruppo di amministratori aggiunti di configurazione di DRA.
Per disabilitare il Cestino, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Recycle Bin (Cestino) e selezionare Disable Recycle Bin (Disabilita cestino).
Per default, la pulizia del Cestino viene eseguita quotidianamente. È possibile modificare la configurazione per pulire il Cestino del dominio ogni x giorni. Durante la pulizia pianificata, vengono eliminati dal Cestino gli oggetti con data antecedente al numero di giorni configurato per ciascun tipo di oggetto. L'impostazione di default per ciascun tipo prevede l'eliminazione degli oggetti con data antecedente a 1 giorno. È possibile personalizzare il comportamento del processo di pulizia del Cestino disabilitando, abilitando nuovamente e impostando il tempo di permanenza degli oggetti di ciascun tipo.
Per configurare la pulizia del Cestino, selezionare il dominio desiderato nella console Delegation and Configuration (Delega e configurazione) e passare alla scheda Recycle Bin (Cestino) in Task > Properties (Proprietà).
Nelle sezioni seguenti sono riportate informazioni concettuali sui rapporti di gestione di DRA e i relativi servizi di raccolta che è possibile abilitare. Per accedere alla procedura guidata di configurazione dei servizi di raccolta, passare a Configuration Management (Gestione configurazione) > Update Reporting Service Configuration (Aggiorna configurazione servizio di generazione rapporti).
Il servizio di raccolta di Active Directory raccoglie un set di attributi specificato da Active Directory per ciascun utente, gruppo, contatto, computer, unità organizzativa e gruppo di distribuzione dinamico gestito in DRA. Tali attributi vengono memorizzati nel database generazione di rapporti e utilizzati per generare rapporti nell'apposita console.
È possibile configurare il servizio di raccolta di Active Directory specificando gli attributi da raccogliere e memorizzare nel database generazione di rapporti. È anche possibile configurare il server di amministrazione DRA in cui eseguire il servizio di raccolta.
Il servizio di raccolta di DRA raccoglie informazioni sulla configurazione di DRA e le memorizza nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console.
Per abilitare il servizio di raccolta di DRA, è necessario specificare in quale server di amministrazione DRA deve essere eseguito. Come best practice, il servizio di raccolta di DRA deve essere pianificato affinché venga eseguito successivamente al servizio di raccolta di Active Directory, negli orari in cui il carico del server è minore o al di fuori del normale orario di lavoro.
Il servizio di raccolta del tenant di Azure raccoglie informazioni relative a utenti e gruppi Azure che vengono sincronizzati con il tenant di Azure Active Directory e memorizza tali informazioni nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console.
Per abilitare il servizio di raccolta del tenant di Azure, è necessario specificare in quale server di amministrazione DRA tale servizio verrà eseguito.
NOTA:il tenant di Azure può eseguire la raccolta solo dopo che il servizio di raccolta di Active Directory del dominio corrispondente ha completato la propria raccolta.
Il servizio di raccolta dei rapporti di gestione raccoglie informazioni sulla revisione di DRA e le memorizza nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console. Quando si abilita il servizio di raccolta, è possibile configurare la frequenza di upload dei dati nel database per le query eseguite con lo strumento DRA Reporting.
Questa configurazione richiede che l'account del servizio DRA disponga dell'autorizzazione sysadmin in SQL Server per il server di generazione dei rapporti. Le opzioni configurabili sono illustrate di seguito:
Audit Export Data Interval (Intervallo di esportazione dei dati di revisione): intervallo di tempo per l'esportazione dei dati di revisione dal log di traccia DRA (LAS) al database "SMCubeDepot" in SQL Server.
Management Report Summarization Interval (Intervallo di riepilogo per i rapporti di gestione): intervallo di tempo per il trasferimento dei dati di revisione dal database SMCubeDepot al database di DRA Reporting, dove possono essere oggetto di query eseguite con lo strumento DRA Reporting.
È possibile configurare DRA per raccogliere le statistiche degli ultimi login da tutti i controller del dominio gestito. Per abilitare e pianificare la raccolta delle statistiche degli ultimi login, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per default, la funzione di raccolta delle statistiche degli ultimi login è disabilitata. Se si desidera raccogliere i dati statistici degli ultimi login, è necessario abilitare la funzione. Dopo aver abilitato la raccolta delle statistiche degli ultimi login, è possibile visualizzare quelle di un utente specifico o lo stato della raccolta delle statistiche degli ultimi login.
Per raccogliere le statistiche degli ultimi login:
Passare a Configuration Management (Gestione configurazione) > Managed Domains (Domini gestiti).
Fare clic con il pulsante destro del mouse sul dominio desiderato e selezionare Properties (Proprietà).
Fare clic sulla scheda Last logon schedule (Pianificazione ultimi login) per configurare la raccolta delle statistiche degli ultimi login.
La funzione del server di Cronologia modifiche unificata consente di generare rapporti relativi alle modifiche apportate esternamente a DRA.
Per la gestione del server di Cronologia modifiche unificata, assegnare agli amministratori aggiunti il ruolo di amministrazione del server di Cronologia modifiche unificata o i poteri applicabili seguenti:
Delete Unified Change History Server Configuration (Elimina configurazione del server Cronologia modifiche unificata)
Set Unified Change History Configuration Information (Imposta informazioni di configurazione di Cronologia modifiche unificata)
View Unified Change History Configuration Information (Visualizza informazioni di configurazione di Cronologia modifiche unificata)
Per delegare i poteri del server di Cronologia modifiche unificata:
Fare clic su Poteri nel nodo Delegation Management (Gestione delega) e utilizzare la funzione di ricerca degli oggetti per individuare e selezionare i poteri UCH desiderati.
Fare clic con il pulsante destro del mouse su uno dei poteri UHC e selezionare Delegate Roles and Powers (Delega ruoli e poteri).
Cercare l'utente, il gruppo o il gruppo di amministratori aggiunti specifico a cui si desidera delegare i poteri.
Utilizzare il selettore oggetti per trovare e aggiungere gli oggetti desiderati, quindi fare clic su Roles and Powers (Ruoli e poteri) nella procedura guidata.
Fare clic su ActiveViews (Viste ActiveView) e usare il selettore oggetti per individuare le viste ActiveView che si desidera aggiungere.
Fare clic su Next (Avanti) e successivamente su Finish (Fine) per completare il processo di delega.
Per configurare i server di Cronologia modifiche unificata:
Eseguire il login alla console Delegation and Configuration (Delega e configurazione).
Espandere Configuration Management (Gestione configurazione) > Integration Servers (Server di integrazione).
Fare clic con il pulsante destro del mouse su Unified Change History (Cronologia modifiche unificata) e selezionare New Unified Change History Server (Nuovo server di Cronologia modifiche unificata).
Specificare il nome o l'indirizzo IP del server di Cronologia modifiche unificata, il numero di porta, il tipo di server e i dettagli dell'account di accesso nella configurazione di Cronologia modifiche unificata.
Verificare la connessione al server e fare clic su Finish (Fine) per salvare la configurazione.
Aggiungere altri server in base alle esigenze.
Per gestire il workflow, assegnare il ruolo di amministrazione del server di Automazione workflow o i seguenti poteri applicabili agli amministratori aggiunti:
Create Workflow Event and Modify All Properties (Crea evento workflow e modifica tutte le proprietà)
Delete Workflow Automation Server Configuration (Elimina configurazione del server di Automazione workflow)
Set Workflow Automation Server Configuration Information (Imposta informazioni di configurazione del server di Automazione workflow)
Start Workflow (Avvia workflow)
View All Workflow Event Properties (Visualizza tutte le proprietà degli eventi del workflow)
View All Workflow Properties (Visualizza tutte le proprietà del workflow)
View Workflow Automation Server Configuration Information (Visualizza informazioni di configurazione del server di Automazione workflow)
Per delegare i poteri di configurazione del server di Automazione workflow:
Fare clic su Poteri nel nodo Delegation Management (Gestione delega) e utilizzare la funzione di ricerca degli oggetti per individuare e selezionare i poteri del workflow desiderati.
Fare clic con il pulsante destro del mouse su uno dei poteri del workflow e selezionare Delegate Roles and Powers (Delega ruoli e poteri).
Cercare l'utente, il gruppo o il gruppo di amministratori aggiunti specifico a cui si desidera delegare i poteri.
Utilizzare il selettore oggetti per trovare e aggiungere gli oggetti desiderati, quindi fare clic su Roles and Powers (Ruoli e poteri) nella procedura guidata.
Fare clic su ActiveViews (Viste ActiveView) e usare il selettore oggetti per individuare le viste ActiveView che si desidera aggiungere.
Fare clic su Next (Avanti) e successivamente su Finish (Fine) per completare il processo di delega.
Per utilizzare l'automazione dei workflow in DRA, è necessario installare il motore di workflow in un server Windows Server e configurare il server di Automazione workflow tramite la console Delegation and Configuration (Delega e configurazione).
Per configurare il server di Automazione workflow:
Eseguire il login alla console Delegation and Configuration (Delega e configurazione).
Per i poteri di Automazione workflow, vedere Delega dei poteri di configurazione del server di Automazione workflow.
Espandere Configuration Management (Gestione configurazione) > Integration Servers (Server di integrazione).
Fare clic con il pulsante destro del mouse su Workflow Automation (Automazione workflow) e selezionare New Workflow Automation Server (Nuovo server di Automazione workflow).
Nella procedura guidata Add Workflow Automation Server (Aggiungi server di Automazione workflow), specificare i dettagli, ad esempio il nome del server, la porta, il protocollo e l'account di accesso.
Verificare la connessione al server e fare clic su Finish (Fine) per salvare la configurazione.
Per informazioni su come installare il motore di workflow, vedere la Workflow Automation Administrator Guide (Guida all'amministrazione dell'automazione dei workflow).
DRA consente di ricercare gli oggetti LDAP nei domini Active Directory locali, ad esempio utenti, contatti, computer, gruppi e unità organizzative dal server LDAP. Il server DRA continua a gestire l'operazione ed è il controller di dominio in cui viene eseguita la ricerca. Utilizzare i filtri di ricerca per eseguire ricerche più efficienti ed efficaci. È inoltre possibile salvare la query di ricerca per un uso futuro ed è possibile condividerla pubblicamente oppure farne un uso personale rendendola privata. È possibile modificare le query salvate. Il ruolo LDAP Advanced Queries (Query avanzate LDAP) fornisce agli amministratori aggiunti i poteri per la creazione e la gestione di query di ricerca LDAP. Per delegare la creazione e la gestione di di query di ricerca LDAP, utilizzare i poteri seguenti:
Create Private Advanced Query (Crea query avanzata privata)
Create Public Advanced Query (Crea query avanzata pubblica)
Delete Public Advanced Query (Elimina query avanzata pubblica)
Execute Advanced Query (Esegui query avanzata)
Execute Save Advanced Query (Esegui salvataggio query avanzata)
Modify Public Query (Modifica query pubblica)
View Advanced Query (Visualizza query avanzata)
Per delegare i poteri delle query LDAP:
Fare clic su Poteri nel nodo Delegation Management (Gestione delega) e utilizzare la funzione di ricerca degli oggetti per individuare e selezionare i poteri delle query LDAP avanzate desiderati.
Fare clic con il pulsante destro del mouse su uno dei poteri LDAP e selezionare Delegate Roles and Powers (Delega ruoli e poteri).
Cercare l'utente, il gruppo o il gruppo di amministratori aggiunti specifico a cui si desidera delegare i poteri.
Utilizzare il selettore oggetti per trovare e aggiungere gli oggetti desiderati, quindi fare clic su Roles and Powers (Ruoli e poteri) nella procedura guidata.
Fare clic su ActiveViews (Viste ActiveView) e usare il selettore oggetti per individuare le viste ActiveView che si desidera aggiungere.
Fare clic su Next (Avanti) e successivamente su Finish (Fine) per completare il processo di delega.
Per accedere alla funzione di ricerca nella Console Web, passare a Gestione > LDAP Search (Ricerca LDAP).