Microsoft Windows si basa sul tipo di account utente per determinare le autorizzazioni di accesso per l'account utente associato. Un account utente può essere globale o locale. DRA supporta anche gli oggetti InetOrgPerson, tuttavia riconosce tali oggetti come normali utenti.
Un account utente che può essere utilizzato in qualsiasi dominio che considera attendibile il dominio in cui l'account utente è stato creato. È possibile concedere autorizzazioni specifiche a un account utente. Infine è possibile rendere un account utente un membro di un gruppo, quindi assegnare autorizzazioni a tale gruppo. L'inserimento degli account utente nei gruppi consente di semplificare il processo di gestione delle autorizzazioni di rete nel caso di un numero di account utente elevato.
Un account utente locale è identico a qualsiasi account utilizzato per eseguire il login al sistema operativo Windows e consente di accedere alle risorse del sistema nel proprio spazio utente.
Per ulteriori informazioni sulla gestione degli account utente, vedere i seguenti argomenti:
Microsoft Windows memorizza le definizioni degli account utente e dei gruppi nella directory del dominio gestito. Pertanto, un server di amministrazione non può modificare le informazioni sulla directory di un dominio attendibile a meno che tale dominio non sia gestito anche da DRA.
Ad esempio, in Account and Resource Management (Gestione account e risorse) è possibile vedere gli account utente e i gruppi che non è possibile modificare. Questi account utente e gruppi sono definiti nei domini attendibili da uno dei domini gestiti. Tuttavia, è possibile aggiungere account e gruppi da un dominio attendibile in altri gruppi del dominio gestito.
In questa sezione vengono fornite informazioni sull'amministrazione degli account utente nel nodo Account and Resource Management (Gestione account e risorse) della console Delegation and Configuration (Delega e configurazione) e nella console Web. Con i poteri appropriati è possibile eseguire diversi task di gestione degli account utente come, ad esempio la creazione e la cancellazione di account. Se si selezionano più account utente, è possibile eseguire i task selezionati in un'unica operazione, ad esempio la cancellazione, lo spostamento o l'aggiunta di utenti a un gruppo. Per ulteriori informazioni sui poteri assegnati, vedere la sezione Visualizzazione dei poteri e dei ruoli assegnati.
È possibile eseguire tutti i task applicabili riportati di seguito dal menu Task o dal menu di scelta rapida. In genere, si seleziona il nodo Tutti i miei oggetti gestiti e si esegue il comando Find Now (Trova ora) per individuare e selezionare l'oggetto utente desiderato. Nel caso della creazione di un nuovo utente, è necessario selezionare il dominio o l'unità organizzativa in cui si desidera creare l'utente. Il menu Task indica quali task è possibile eseguire quando si seleziona un account utente singolo o più account.
È possibile gestire il proprio account personale modificandone le proprietà generali, ad esempio il numero di telefono. Prima di iniziare a gestire l'account, assicurarsi di disporre del potere appropriato.
È possibile copiare un account utente in un'altra vista attiva. Questa azione viene chiamata trasferimento di un account utente. Per copiare un account utente in un'altra vista attiva, è necessario disporre del diritto Copy User to Another ActiveView (Copia utente in un'altra vista attiva) sia nella vista attiva di origine che nella vista attiva di destinazione. Il trasferimento di un account utente in un'altra vista attiva non determina la rimozione dell'account dalla vista attiva di origine.
NOTA:La copia di un account utente in un'altra vista ActiveView può essere eseguita solo dalla console Delegation and Configuration (Delega e configurazione) tramite il nodo Account and Resource Management (Gestione account e risorse).
È possibile rinominare gli account utente nel dominio o nel sottoalbero gestito. La modifica del nome di login dell'utente modifica anche il nome della casella postale associata all' account utente.
È possibile eseguire la maggior parte dei task dalla scheda Gestione > Ricerca della console Web. Per individuare e selezionare l'oggetto utente desiderato, eseguire un'operazione di ricerca. Dopo aver selezionato uno o più oggetti dall'elenco, la barra delle applicazioni diventa attiva con opzioni quali opzioni di creazione, opzioni sugli account e su Exchange. Fare clic sulle opzioni per visualizzarne le funzioni.
È possibile creare account utente nel dominio o nel sottoalbero gestito. È inoltre possibile modificare le proprietà, creare una casella postale, abilitare l'e-mail e specificare appartenenze ai gruppi per il nuovo account.
NOTA:
L'azienda può avere una convenzione di denominazione applicata mediante una policy che determina il nome che è possibile assegnare al nuovo account utente.
Di default, DRA inserisce il nuovo account utente nell'unità organizzativa degli utenti del dominio gestito.
In DRA non è possibile creare oggetti InetOrgPerson.
Quando si clona un account utente, eventuali gruppi di cui l'utente è membro vengono aggiunti automaticamente al nuovo account utente durante la configurazione. È possibile aggiungere o rimuovere gruppi dal nuovo account, abilitare l'e-mail ed eseguire eventuali altre configurazioni delle proprietà come si farebbe con qualsiasi altro nuovo account.
NOTA:Quando si clona un oggetto InetOrgPerson, si crea un account utente.
È possibile gestire le proprietà degli account utente nel dominio o nel sottoalbero gestito. I poteri di cui si dispone determinano le proprietà di un account utente che è possibile modificare. Se si è installato Exchange e si è abilitato il supporto di Microsoft Exchange, è possibile modificare le proprietà delle caselle postali associate mentre si gestiscono gli account utente.
NOTA:Se le policy della home directory sono abilitate, DRA modifica automaticamente la home directory di un account utente quando viene gestito. Ad esempio, se si modifica l'ubicazione della home directory, DRA tenta di creare la home directory specificata e sposta il contenuto della home directory precedente nella nuova ubicazione. DRA applica inoltre gli ACL (elenchi di controllo di accesso) assegnati dalla directory precedente alla nuova directory.
È possibile abilitare un account utente nel dominio o nel sottoalbero gestito. Se si sta gestendo un account Microsoft Windows, è possibile specificare il controller del dominio in cui DRA applicherà questa modifica.
Quando si applica questa modifica a un controller del dominio specifico, DRA la applica anche al controller del dominio di default per il dominio gestito. Per verificare quale controller del dominio di default DRA sta utilizzando, visualizzare le proprietà del dominio.
È possibile disabilitare un account utente nel dominio gestito. Se si sta gestendo un account Microsoft Windows, è possibile specificare il controller del dominio in cui DRA applica la modifica.
Quando si applica questa modifica a un controller del dominio specifico, DRA la applica anche al controller del dominio di default per il dominio gestito. Per verificare quale controller del dominio di default DRA sta utilizzando, visualizzare le proprietà del dominio.
È possibile sbloccare un account utente nel dominio o nel sottoalbero gestito.
Poiché DRA recupera lo stato dell'account utente dalla cache degli account, l'interfaccia utente può indicare che l'account selezionato è sbloccato quando in realtà è bloccato. DRA consente di sbloccare un account utente, anche se lo stato dell'account indica che non è attualmente bloccato. Quando si sblocca un account utente tramite la console DRA è anche possibile specificare un controller del dominio senza la necessità di reimpostare la password dell'account.
È possibile reimpostare la password per un account che si trova nel dominio o nel sottoalbero gestito. I poteri di cui si dispone determinano i campi di tale account utente che è possibile modificare.
Quando si reimposta la password per un account utente, DRA sblocca automaticamente l'account. È possibile specificare se DRA deve generare una nuova password per l'account utente. È anche possibile modificare varie opzioni relative alle password per l'account. Se si sta gestendo un account Microsoft Windows, è possibile specificare il controller del dominio in cui DRA applicherà queste modifiche
NOTA:Quando si applica questa modifica a un controller del dominio specifico, DRA la applica anche al controller del dominio di default per il dominio gestito. Per verificare quale controller del dominio di default DRA sta utilizzando, visualizzare le proprietà del dominio.
È possibile spostare un account utente in un altro container, ad esempio un'unità organizzativa, nel dominio o nel sottoalbero gestito.
È possibile cancellare un account utente dal dominio o dal sottoalbero gestito. Se il Cestino è disabilitato per il dominio, la cancellazione di un account utente ne determina la rimozione definitiva da Active Directory. Se invece il Cestino è abilitato per il dominio, la cancellazione di un account utente ne determina lo spostamento nel Cestino.
AVVERTENZA:Quando si crea un account utente, Microsoft Windows assegna all'account un identificatore di sicurezza (SID). Il SID non viene generato dal nome dell'account. Microsoft Windows utilizza i SID per registrare i privilegi negli ACL (elenchi di controllo di accesso) per ciascuna risorsa. Se si cancella un account utente, non è possibile restituire le funzionalità di accesso per l'account mediante la creazione di un nuovo account utente con lo stesso nome.
È possibile aggiungere o rimuovere gli account utente da un gruppo specifico nel dominio o nel sottoalbero gestito. È inoltre possibile visualizzare o modificare le proprietà di gruppi esistenti a cui l'account appartiene.
DRA offre la possibilità di trasformare gli account utente in modo rapido ed efficiente. Quando l'utente associato all'account utente passa a nuove mansioni lavorative, è possibile utilizzare le funzionalità di gestione delle trasformazioni di DRA. Usufruendo del vantaggio offerto dai modelli del ruolo di lavoro, è possibile aggiungere, rimuovere o aggiornare rapidamente le appartenenze ai gruppi associate a un account. Se un dipendente viene promosso, cambia reparto o lascia l'azienda, la possibilità di trasformare un account utente consentirà di risparmiare tempo, denaro e congetture.
È possibile utilizzare le funzionalità di trasformazione degli account utente per soddisfare le seguenti esigenze:
Rimuovere l'appartenenza a un gruppo da un account utente
Aggiungere l'appartenenza a un gruppo a un account utente
Modificare le proprietà dell'utente
Rimuovere le appartenenze a un gruppo specifico mentre si aggiungono altre appartenenze a un account utente
Prima di provare a trasformare un account utente, esaminare il seguente processo:
Stabilire se si desidera aggiungere o rimuovere le appartenenze ai gruppi o entrambe le cose.
Esaminare gli attuali modelli sottrattivi e additivi per assicurarsi di disporre di account utente con i modelli necessari.
Se necessario, creare eventuali modelli obbligatori.
Completare la procedura guidata Transform User (Trasforma utente).
Man mano che DRA trasforma un utente, le appartenenze ai gruppi designate dal modello sottrattivo vengono rimosse dall'account utente, mentre le appartenenze designate dal modello additivo vengono assegnate all'account. DRA lascia inalterate le appartenenze al di fuori dei modelli sottrattivi o additivi. Ad esempio, un dipendente del reparto vendite esterno viene trasferito dal reparto vendite degli Stati Uniti a quello dell'Europa. L'organizzazione dispone sia di gruppi di distribuzione che di gruppi sicurezza univoci per tali team di vendita sia di un certo numero di gruppi che è stato condiviso tra tutti i team di vendita. Il team di vendita degli Stati Uniti ha i gruppi di distribuzione Elenco di distribuzione hotspot USA ed Elenco di distribuzione Gestione vendite USA, mentre il team di vendita europeo ha i gruppi di distribuzione Hotspot Europa e Gestione vendite Europa. Entrambi i team sono membri del gruppo di sicurezza Sicurezza vendite globali, ma possiedono anche gruppi di sicurezza specifici delle singole sedi.
Il modello sottrattivo, denominato Modello vendite USA, verrà assegnato alle seguenti appartenenze ai gruppi:
Elenco di distribuzione hotspot USA
Elenco di distribuzione Gestione vendite USA
Sicurezza vendite globali
Sicurezza USA
Il modello additivo, denominato Modello vendite Europa, verrà assegnato alle seguenti appartenenze ai gruppi:
Elenco di distribuzione hotspot Europa
Elenco di distribuzione Gestione vendite Europa
Sicurezza vendite globali
Sicurezza Europa
Durante il processo di trasformazione, l'account utente dell'addetto alle vendite trasferito viene prima rimosso da tutte le appartenenze ai gruppi designate da Modello vendite USA, quindi viene aggiunto a tutte le appartenenze ai gruppi designate da Modello vendite Europa. Se questa persona fosse stata anche membro del gruppo di distribuzione Giocatori di Poker, l'appartenenza a questo gruppo sarebbe rimasta inalterata.
I poteri indicati di seguito consentono all'amministratore aggiunto di modificare ulteriormente un account utente durante il processo di trasformazione:
Modify Address Properties while Transforming a User Account (Modifica delle proprietà dell'indirizzo durante la trasformazione di un account utente)
Modify Description while Transforming a User Account (Modifica descrizione durante la trasformazione di un account utente)
Modify Office while Transforming a User Account (Modifica sede durante la trasformazione di un account utente)
Modify Telephone Properties while Transforming a User Account (Modifica proprietà del numero di telefono durante la trasformazione di un account utente)
È inoltre possibile limitare la possibilità di aggiungere o rimuovere le appartenenze ai gruppi assegnando a un amministratore aggiunto uno dei poteri seguenti:
Add a user to groups found in a template (Aggiungi un utente ai gruppi disponibili in un modello)
Add a user to groups found in a template (Rimuovi un utente da gruppi disponibili in un modello)
È possibile utilizzare una di queste opzioni di limitazione basate sui poteri per creare un livello di sicurezza all'interno della propria organizzazione. Concedendo ad alcune persone il potere di rimuovere solo i gruppi disponibili in un modello, è possibile creare account utente provvisori. Questi account provvisori possono essere quindi esaminati prima che un amministratore aggiunto differente utilizzi un account con il modello additivo per concedere le nuove appartenenze ai gruppi.
La trasformazione degli account utente è direttamente associata ai ruoli e alla gerarchia delle mansioni della propria organizzazione. Si consiglia di creare un modello per ciascun ruolo o mansione all'interno dell'azienda. DRA non distingue tra un modello di account utente utilizzato come sottrattivo rispetto a un modello utilizzato come additivo. Creare un singolo account utente modello per ciascun ruolo all'interno dell'organizzazione. Durante la trasformazione, sarà possibile selezionare il modello come sottrattivo o additivo. Se si seleziona un modello come sottrattivo, questo non impedisce allo stesso modello di essere utilizzato come additivo in una trasformazione futura.
Per creare un modello di trasformazione dell'utente, è necessario disporre di poteri per creare un account utente e assegnarlo ai gruppi appropriati. Questi poteri possono essere ottenuti mediante l'associazione del proprio account con i ruoli Create and Delete User Accounts (Crea e cancella account utente) e Group Administration (Amministrazione gruppi) nelle viste attive appropriate o mediante l'assegnazione di poteri individuali.
La trasformazione di un account utente consente di aggiungere o rimuovere le appartenenze ai gruppi di account utente o di eseguire entrambe le cose. Utilizzare il seguente workflow come supporto per la transizione dei dipendenti da un ruolo professionale a un altro all'interno dell'organizzazione. È necessario disporre del ruolo Transform a User (Trasforma un utente) o di un ruolo che contiene i poteri appropriati per trasformare gli account utente. Questa funzione può essere eseguita solo dalla console Delegation and Configuration (Delega e configurazione) tramite il nodo Account and Resource Management (Gestione account e risorse).
Per trasformare un account utente:
Nel riquadro sinistro espandere Tutti i miei oggetti gestiti.
Per specificare l'account utente che si desidera gestire, eseguire il comando Find Now (Trova ora)per individuare e selezionare l'oggetto utente.
Fare clic su Task > Transform (Trasforma).
Controllare la finestra di benvenuto, quindi fare clic su Next (Avanti).
Nella finestra Select User Template (Seleziona modello utente), utilizzare Sfoglia per selezionare l'utente con il modello sottrattivo appropriato.
Se si desidera esaminare le proprietà dell'account utente con il modello sottrattivo, fare clic su Visualizza.
Utilizzare Sfoglia per selezionare l'utente con modello additivo appropriato.
Se si desidera esaminare le proprietà dell'account utente con modello additivo, fare clic su Visualizza.
Se si dispone dei poteri appropriati, è possibile selezionare Change other properties of the user (Modifica altre proprietà dell'utente) e selezionare le proprietà da modificare. Fare clic su Next (Avanti) per scorrere le proprietà disponibili.
Fare clic su Next (Avanti).
Controllare la finestra di riepilogo, quindi fare clic suFinish (Fine).