3.5 Requisiti per il server di amministrazione DRA, la Console Web e le estensioni REST

I componenti DRA richiedono i seguenti software e account:

3.5.1 Requisiti software

Componente

Prerequisiti

Destinazione di installazione

Sistema operativo

Sistema operativo del server di amministrazione NetIQ:

  • Microsoft Windows Server 2012 R2, 2016, 2019

    NOTA:il server deve anche essere un membro di un dominio Active Directory locale di Microsoft supportato.

Interfacce DRA:

  • Microsoft Windows Server 2012 R2, 2016, 2019

  • Microsoft Windows 8.1 (x86 e x64), 10 (x86 e x64)

Programma di installazione

  • Microsoft .NET Framework 4.6.2 e versioni successive

Server di amministrazione

Directory and Resource Administrator:

  • Microsoft .NET Framework 4.6.2 e versioni successive

  • Pacchetti Microsoft Visual C++ 2013 Redistributable (x64) e Microsoft Visual C++ 2017 (Update 3) (x64 e x86)

  • Microsoft Message Queuing

  • Ruoli di Microsoft Active Directory Lightweight Directory Services

  • Servizio Registro di sistema remoto avviato

  • URL Rewrite Module for IIS

  • Estensione Application Request Routing di Microsoft Internet Information Services

Amministrazione di Microsoft Office 365/Exchange Online:

  • Modulo di Windows Azure Active Directory per Windows PowerShell

  • Skype for Business Online, Modulo Windows PowerShell

Per ulteriori informazioni, vedere Piattaforme supportate.

Interfaccia utente

Interfacce DRA:

  • Microsoft .NET Framework 4.6.2

  • Pacchetto Microsoft Visual C++ 2017 (Update 3) Redistributable (x64 e x86)

Servizio Host di DRA

  • Microsoft .NET Framework 4.6.2

  • Server di amministrazione DRA

Endpoint e servizio REST di DRA

  • Microsoft .NET Framework 4.6.2

Estensioni PowerShell

  • Microsoft .NET Framework 4.6.2

  • PowerShell 5.1 o versione successiva

Console Web di DRA

Server Web:

  • Microsoft .Net Framework 4.x > Servizi WCF > Attivazione HTTP

  • Microsoft Internet Information Server 8.0, 8.5, 10

  • URL Rewrite Module for IIS

  • Estensione Application Request Routing di Microsoft Internet Information Services

Componenti di Microsoft IIS:

  • Server Web

    • Funzioni HTTP comuni

      • Contenuto statico

      • Documento di default

      • Browser di directory

      • Errori HTTP

    • Sviluppo di applicazioni

      • ASP

    • Integrità e diagnostica

      • Registrazione HTTP

      • Monitor richieste

    • Sicurezza

      • Autenticazione di base

    • Prestazioni

      • Compressione del contenuto statico

  • Strumenti di gestione del server Web

3.5.2 Dominio server

Componente

Sistemi operativi

Server DRA

  • Microsoft Windows Server 2019

  • Microsoft Windows Server 2016

  • Microsoft Windows Server 2012 R2

3.5.3 Requisiti degli account

Account

Descrizione

Autorizzazioni

Gruppo AD LDS

Per accedere ad AD LDS è necessario aggiungere a questo gruppo l'account del servizio DRA

  • Gruppo di sicurezza locale di dominio

Account del servizio DRA

Autorizzazioni necessarie per eseguire il servizio di amministrazione NetIQ

  • Per autorizzazioni "Distributed COM Users"

  • Membro del gruppo Amministratori di AD LDS

  • Gruppo operatore di account

  • Gruppi log archivio (OnePointOp ConfgAdms e OnePointOp)

  • Nella scheda Account è necessario selezionare una delle seguenti opzioni Account per l'utente account del servizio DRA se si installa DRA su un server mediante la metodologia STIG:

    • Kerberos AES 128 bits encryption (Cifratura Kerberos AES a 128 bit)

    • Kerberos AES 256 bits encryption (Cifratura Kerberos AES a 256 bit)

NOTA:

  • Per ulteriori informazioni sulla configurazione di account con accesso al dominio con privilegi minimi, vedere Account di accesso DRA con minimo privilegio.

  • Per ulteriori informazioni sulla configurazione di un Group Managed Service Account per DRA, vedere "Configurazione dei servizi DRA per un Group Managed Service Account"

Amministratore di DRA

Account utente o gruppo di cui viene eseguito il provisioning nel ruolo integrato degli amministratori di DRA

  • Gruppo di sicurezza locale di dominio o account utente di dominio

  • Membro del dominio gestito o di un dominio attendibile

    • Se si specifica un account da un dominio attendibile, accertarsi che il computer del server di amministrazione possa autenticare tale account.

Account amministratori aggiunti di DRA

Account a cui vengono delegati poteri attraverso DRA

  • Aggiungere tutti gli account amministratore aggiunto di DRA al gruppo "Distributed COM Users" affinché possano eseguire la connessione al server DRA da client remoti. È necessario solo se si utilizza un thick client o la console Delegation and Configuration (Delega e configurazione).

    NOTA:DRA può essere configurato affinché durante l'installazione gestisca questa configurazione.

3.5.4 Account di accesso DRA con minimo privilegio

Di seguito sono indicati privilegi e autorizzazioni necessari per gli account specificati e i comandi di configurazione che è necessario eseguire.

Account di accesso ai domini: l'uso di ADSI Edit concede all'account di accesso al dominio le seguenti autorizzazioni di Active Directory a livello più alto del dominio per i seguenti tipi di oggetto discendenti:

  • Controllo COMPLETO sugli oggetti builtInDomain

  • Controllo COMPLETO sugli oggetti Computer

  • Controllo COMPLETO degli oggetti Punto di connessione

  • Controllo COMPLETO sugli oggetti Contatto

  • Controllo COMPLETO sugli oggetti Container

  • Controllo COMPLETO sugli oggetti Gruppo

  • Controllo COMPLETO sugli oggetti InetOrgPerson

  • Controllo COMPLETO sugli oggetti MsExchDynamicDistributionList

  • Controllo COMPLETO sugli oggetti MsExchSystemObjectsContainer

  • Controllo COMPLETO sugli oggetti Unità organizzativa

  • Controllo COMPLETO sugli oggetti Stampante

  • Controllo COMPLETO sugli oggetti publicFolder

  • Controllo COMPLETO sugli oggetti Cartella condivisa

  • Controllo COMPLETO sugli oggetti Utente

Concedere all'account di accesso al dominio le seguenti autorizzazioni di Active Directory a livello più alto del dominio a questo oggetto e a tutti gli oggetti discendenti:

  • Allow create Computer objects (Consenti di creare oggetti Computer)

  • Allow create Contact objects (Consenti di creare oggetti Contatto)

  • Allow create Container objects (Consenti di creare oggetti Container)

  • Allow create Group objects (Consenti di creare oggetti Gruppo)

  • Allow create MsExchDynamicDistriibutionList objects (Consenti di creare oggetti MsExchDynamicDistriibutionList)

  • Allow create Organizational Unit objects (Consenti di creare oggetti Unità organizzativa)

  • Allow create publicFolders objects (Consenti di creare oggetti publicFolders)

  • Allow create Shared Folder objects (Consenti di creare oggetti Cartella condivisa)

  • Allow create User objects (Consenti di creare oggetti Utente)

  • Allow delete Computer objects (Consenti di eliminare oggetti Computer)

  • Allow delete Contact objects (Consenti di eliminare oggetti Contatto)

  • Allow delete Container (Consenti di eliminare oggetti Container)

  • Allow delete Group objects (Consenti di eliminare oggetti Gruppo)

  • Allow delete InetOrgPerson objects (Consenti di eliminare oggetti InetOrgPerson)

  • Allow delete MsExchDynamicDistriibutionList objects (Consenti di eliminare oggetti MsExchDynamicDistriibutionList)

  • Allow delete Organizational Unit objects (Consenti di eliminare oggetti Unità organizzativa)

  • Allow delete publicFolders objects (Consenti di eliminare oggetti publicFolders)

  • Allow delete Shared Folder objects (Consenti di eliminare oggetti Cartella condivisa)

  • Allow delete User objects (Consenti di eliminare oggetti Utente)

NOTA:

  • Per default, alcuni oggetti Container integrati in Active Directory non ereditano le autorizzazioni dal livello più alto del dominio. Per questo motivo, per tali oggetti sarà necessario abilitare l'ereditarietà oppure impostare autorizzazioni esplicite.

  • Se il server REST non è installato sullo stesso server del server di amministrazione DRA, è necessario che l'account del servizio REST in esecuzione disponga del controllo completo del server REST in Active Directory. Ad esempio, impostare il controllo COMPLETO su CN=DRARestServer,CN=System,DC=myDomain,DC=com

Account di accesso a Exchange: per gestire gli oggetti dell'installazione locale di Microsoft Exchange, assegnare il ruolo di gestione organizzativa all'account di accesso a Exchange e l'account di accesso a Exchange al gruppo Account Operators.

Account di accesso a Skype: verificare che l'account sia un utente abilitato a Skype e che sia un membro di almeno uno dei seguenti ruoli:

  • Ruolo CSAdministrator

  • Ruoli CSUserAdministrator e CSArchiving

Account di accesso alle cartelle pubbliche: assegnare le seguenti autorizzazioni di Active Directory all'account di accesso alle cartelle pubbliche:

  • Gestione cartelle pubbliche

  • Cartelle pubbliche abilitate per la posta

Account di accesso tenant di Azure: assegnare le seguenti autorizzazioni di Azure Active Directory all'account di accesso tenant di Azure:

  • Gruppi di distribuzione

  • Destinatari di posta

  • Creazione destinatari di posta

  • Creazione e appartenenza a gruppi di sicurezza

  • (Facoltativo) Amministratore Skype for Business

    Per gestire Skype for Business Online, assegnare il potere Amministratore Skype for Business all'account di accesso tenant di Azure.

  • Amministratore utente

Autorizzazioni account di NetIQ Administration Service (Servizio di amministrazione NetIQ):

  • Amministratori locali

  • Concedere all'account prioritario di minimo privilegio le "Autorizzazioni complete" sulle cartelle condivise o DFS in cui viene eseguito il provisioning delle directory Home.

  • Gestione delle risorse: per gestire le risorse pubblicate all'interno di un dominio Active Directory gestito, è necessario concedere le autorizzazioni di amministrazione locale per tali risorse all'account con accesso al dominio.

Dopo l'installazione di DRA: Una volta aggiunti i domini richiesti o averne assegnata la gestione a DRA, eseguire i seguenti comandi:

  • Per delegare l'autorizzazione al container "Oggetti eliminati" dalla cartella di installazione di DRA (si noti che il comando deve essere eseguito da un amministratore di dominio):

    DraDelObjsUtil.exe /domain:<NomeDominioNetbios> /delegate:<Nome account>

  • Per delegare l'autorizzazione a "NetIQReceyleBin OU" dalla cartella di installazione di DRA:

    DraRecycleBinUtil.exe /domain:<NomeDominioNetbios> /delegate:<NomeAccount>

Accesso remoto a SAM: Assegnare i controller di dominio o i server membri gestiti da DRA per abilitare gli account elencati nell'impostazione GPO (Group Policy Object, Oggetto Criteri di Gruppo) seguente, in modo da poter effettuare query remote sul database SAM (Security Account Manager). La configurazione deve includere l'account del servizio DRA.

Accesso alla rete: limita i client a cui è consentito effettuare chiamate remote a SAM

Per accedere a questa impostazione, effettuare le seguenti operazioni:

  1. Aprire la console Gestione Criteri di gruppo sul controller di dominio.

  2. Espandere Domains (Domini) > [controller di dominio] > Group Policy Objects (Oggetti Criteri di gruppo) nell'albero dei nodi.

  3. Fare clic con il pulsante destro del mouse su Default Domain Controllers Policy (Criterio controller di dominio predefiniti) e selezionare Edit (Modifica) per aprire l'editor GPO per questa policy.

  4. Espandere Computer Configuration (Configurazione computer) > Policies (Criteri) > Windows Settings (Impostazioni di Windows) > Security Settings (Impostazioni protezione) > Local Policies (Criteri locali) nell'albero dei nodi dell'editor GPO.

  5. Fare doppio clic su Network access: Restrict clients allowed to make remote calls to SAM (Accesso alla rete: limita i client a cui è consentito effettuare chiamate remote a SAM) nel riquadro dei criteri, quindi selezionare Define this policy setting (Definisci le impostazioni relative al criterio).

  6. Fare clic su Edit Security (Modifica protezione) e abilitare Allow (Consenti) per Remote Access (Accesso remoto). Se non è già stato incluso, aggiungere l'account del servizio DRA come utente o membro del gruppo di amministratori.

  7. Applicare le modifiche. In tal modo verrà aggiunto il descrittore di sicurezza O:BAG:BAD:(A;;RC;;;BA) alle impostazioni della policy.

Per ulteriori informazioni, vedere l'articolo 7023292 della knowledgebase.