Le policy integrate vengono implementate quando si installa il server di amministrazione. Per le policy si utilizzano i termini seguenti:
Definisce gli oggetti o le proprietà a cui viene applicata la policy in DRA. Ad esempio, alcune policy possono essere applicate ad amministratori aggiunti specifici in viste ActiveView specifiche. Alcune policy consentono di scegliere tra diverse classi di oggetti, quali gruppi o account utente.
Applicano le regole della policy a tutti gli oggetti della classe o del tipo specificato nei domini gestiti. Le policy globali non consentono di limitare l'ambito degli oggetti a cui la policy viene applicata.
Indica se la policy viene applicata singolarmente o congiuntamente ad altre. Per stabilire la relazione di una policy, definire due o più regole valide per la stessa azione, quindi scegliere l'opzione relativa al membro di un gruppo di policy. Se i parametri dell'operazione o della proprietà soddisfano una delle regole, l'operazione ha esito positivo.
Argomenti delle policy integrate:
Le policy integrate forniscono regole aziendali per gestire problemi comuni di sicurezza e integrità dei dati. Queste policy sono parte integrante del modello di sicurezza di default e consentono di integrare le funzioni di sicurezza di DRA nella configurazione aziendale esistente.
In DRA si possono utilizzare due metodi per applicare una policy. È possibile creare policy personalizzate o scegliere tra le varie policy integrate. Le policy integrate facilitano il processo applicativo perché evitano di dover sviluppare script personalizzati. Se si desidera implementare policy personalizzate, è possibile adattare una policy integrata esistente in base alle proprie esigenze specifiche. La maggior parte delle policy consente di modificare il testo del messaggio di errore, di rinominare la policy, di aggiungere una descrizione e di specificare le modalità di applicazione.
Quando si installa DRA, vengono abilitate varie policy integrate. Le policy seguenti sono implementate di default. Se non si desidera applicarle, è possibile disabilitarle o eliminarle.
|
Nome policy |
Valore di default |
Descrizione |
|---|---|---|
|
$ComputerNameLengthPolicy |
64 15 (pre Windows 2000) |
Limita il numero di caratteri del nome del computer o del nome del computer precedente a Windows 2000 |
|
$GroupNameLengthPolicy |
64 20 (pre Windows 2000) |
Limita il numero di caratteri del nome del gruppo o del nome del gruppo precedente a Windows 2000 |
|
$GroupSizePolicy |
5000 |
Limita il numero di membri di un gruppo |
|
$NameUniquenessPolicy |
Nessuno |
Garantisce che i nomi CN precedenti a Windows 2000 siano univoci in tutti i domini gestiti |
|
$SpecialGroupsPolicy |
Nessuno |
Impedisce l'escalation incontrollata dei poteri nell'ambiente. |
|
$UCPowerConflictPolicy |
Nessuno |
Impedisce l'escalation rendendo i poteri User Clone (Clona utente) e User Create (Crea utente) reciprocamente esclusivi |
|
$UPNUniquenessPolicy |
Nessuno |
Garantisce che i nomi UPN siano univoci in tutti i domini gestiti |
|
$UserNameLengthPolicy |
64 20 (nome di login di livello inferiore) |
Limita il numero di caratteri nel nome utente di login o nel nome di login di livello inferiore |
In DRA sono disponibili svariate policy che è possibile personalizzare in funzione del modello di sicurezza.
NOTA:è possibile creare una policy che richiede una voce per una proprietà che non è attualmente disponibile nelle interfacce utente di DRA. Se la policy richiede una voce e nell'interfaccia utente non è disponibile un campo per immettere il valore, ad esempio un reparto per un nuovo account utente, non sarà possibile creare o gestire l'oggetto. Per evitare questo problema, configurare policy che richiedano solo le proprietà a cui è possibile accedere dalle interfacce utente.
Consente di collegare uno script o un eseguibile a un'operazione di DRA o Exchange. Mediante le policy personalizzate è possibile convalidare qualsiasi operazione desiderata.
Consente di imporre a livello globale una lunghezza massima consentita per i nomi di account utente, gruppi, unità organizzative, contatti o computer.
La policy controlla il nome del container (nome comune o cn) e il nome precedente a Windows 2000 (nome di accesso dell'utente).
Consente di imporre a livello globale limiti relativi al numero di membri di un gruppo.
Consente di verificare che un nome precedente a Windows 2000 sia univoco in tutti i domini gestiti. Nei domini Microsoft Windows, i nomi precedenti a Windows 2000 devono essere univoci all'interno del dominio. Questa policy globale applica la regola in tutti i domini gestiti.
Consente di verificare che il nome dell'entità utente (UPN) sia univoco in tutti i domini gestiti. Nei domini Microsoft Windows, gli UPN devono essere univoci all'interno del dominio. Questa policy applica la regola in tutti i domini gestiti. Poiché si tratta di una policy globale, in DRA è disponibile il nome, la descrizione e la relazione della policy.
Impedisce la gestione dei membri di un gruppo di amministratori a coloro che non sono membri del gruppo stesso. Questa policy globale è abilitata per default.
Quando si limitano le azioni sui membri dei gruppi di amministratori, la procedura guidata Create Policy (Crea policy) non richiede informazioni aggiuntive. È possibile specificare un messaggio di errore personalizzato. Poiché si tratta di una policy globale, in DRA è disponibile il nome, la descrizione e la relazione della policy.
Impedisce la possibile escalation di poteri. Quando la policy è abilitata, è possibile creare o clonare account utente, ma non è possibile disporre di entrambi i poteri. Questa policy globale assicura che l'utente non possa creare e clonare account utente nella stessa vista ActiveView.
La policy non richiede informazioni aggiuntive.
Consente di stabilire convenzioni di denominazione applicabili ad amministratori aggiunti, viste ActiveView e classi di oggetti specifiche, ad esempio account utente o gruppi.
È inoltre possibile specificare i nomi esatti controllati dalla policy.
Consente di creare una policy per convalidare qualsiasi proprietà di un oggetto OU o Account. È possibile specificare un valore di default, una maschera di formato delle proprietà, valori e intervalli validi.
Utilizzare questa policy per imporre l'integrità dei dati attraverso la convalida di particolari campi di immissione quando si creano, si clonano o si modificano proprietà di oggetti specifici. La policy offre una straordinaria flessibilità e il potere di convalidare voci, fornire voci di default e limitare le scelte delle voci disponibili per vari campi delle proprietà. Permette di imporre l'immissione di una voce corretta affinché un task venga eseguito, preservando così l'integrità dei dati in tutti i domini gestiti.
Si supponga ad esempio che esistano tre reparti: produzione, vendite e amministrazione. È possibile limitare le voci accettate in DRA solo a tali tre valori. È possibile utilizzare la policy anche per imporre formati corretti dei numeri telefonici, per fornire un intervallo di dati validi o per richiedere una voce per il campo dell'indirizzo e-mail. Per specificare più maschere di formato per un numero telefonico, ad esempio (123)456 7890 e anche 456 7890, definire la maschera di formato della proprietà immettendo (###)### ####,### ####.
Consente di creare una policy per assegnare le licenze di Office 365 in base all'appartenenza a un gruppo Active Directory. La policy applica anche la rimozione delle licenze di Office 365 quando un membro viene rimosso dal gruppo Active Directory corrispondente.
Se un utente che non è sincronizzato con il cloud viene aggiunto al gruppo Active Directory, la sincronizzazione viene eseguita prima di assegnare all'utente una licenza di Office 365.
Durante la creazione della policy è possibile specificare varie proprietà e impostazioni, come il nome della policy e il testo del messaggio di errore che viene visualizzato quando un amministratore aggiunto tenta di eseguire un'azione che viola la policy.
L'impostazione Ensure only licenses assigned by DRA policies are enabled on accounts. All other licenses will be removed. (Verificare che sugli account siano abilitate solo le licenze assegnate dalle policy DRA. Tutte le altre licenze verranno rimosse) è inclusa nella pagina delle proprietà del tenant, che può essere configurata per ciascun tenant. Questa impostazione viene utilizzata per le policy di licenza Office 365 di DRA per configurare la modalità di applicazione delle assegnazioni delle licenze:
Se questa impostazione è abilitata, l'applicazione delle licenze DRA garantirà che solo le licenze assegnate tramite le policy DRA siano soggette a provisioning per gli account (le licenze assegnate esternamente a DRA verranno rimosse dagli account assegnati alla policy di licenza). Se questa impostazione è disabilitata (impostazione di default), l'applicazione delle licenze DRA garantirà che le licenze specifiche incluse nelle policy di Office 365 siano soggette a provisioning per gli account (se viene rimossa l'assegnazione di un account da una policy di licenza, solo le licenze assegnate da tale policy non saranno più soggette a provisioning).
Poiché le policy integrate fanno parte del modello di sicurezza di default, è possibile utilizzarle per applicare il modello di sicurezza in uso oppure modificarle affinché rispondano al meglio alle proprie esigenze specifiche. È possibile modificare il nome, le impostazioni delle regole, l'ambito, la relazione della policy e il messaggio di errore di svariate policy integrate. Ogni policy integrata può essere abilitata o disabilitata.
È anche possibile creare nuove policy.