In questa sezione si descrivono i passaggi di configurazione da eseguire se si installa Directory and Resource Administrator per la prima volta.
Per la configurazione di DRA per il primo utilizzo, utilizzare come guida l'elenco di controllo seguente.
|
Passaggi |
Dettagli |
|---|---|
|
Installazione di una licenza di DRA |
Utilizzare l'utility Health Check per applicare una licenza di DRA. Per ulteriori informazioni sulle licenze di DRA, vedere Requisiti relativi alle licenze. |
|
Configurazione dei server DRA e delle funzioni |
Configurare l'MMS, le eccezioni di clonazione, la replica dei file, la registrazione degli eventi, la memorizzazione nella cache, AD LDS, i gruppi dinamici, il Cestino, la generazione di rapporti, Cronologia modifiche unificata e il server di workflow. |
|
Configurazione del client di delega e configurazione |
Configurare le modalità di accesso e visualizzazione degli elementi nel client di configurazione e delega. |
|
Configurazione del client Web |
Configurare il logout automatico, i certificati, le connessioni al server e i componenti di autenticazione. |
Per DRA è necessario un file della chiave di licenza. Questo file contiene le informazioni sulla licenza dell'utente e viene installato nel server di amministrazione. Dopo aver installato il server di amministrazione, utilizzare l'utility Health Check per installare il file della chiave di licenza di valutazione (TrialLicense.lic) fornito da NetIQ Corporation.
Per eseguire l'upgrade di una licenza esistente o di valutazione, aprire la console di delega e configurazione e passare a Configuration Management (Gestione configurazione) > Update License (Aggiorna licenza). Quando si esegue l'upgrade della licenza, eseguire l'upgrade del file di licenza in ciascun server di amministrazione.
È possibile visualizzare la licenza del prodotto tramite la console di delega e configurazione o la console di gestione account e risorse. Per visualizzare la licenza del prodotto, passare a File > DRA Properties (Proprietà di DRA) > License (Licenza).
La gestione dell'accesso con il minimo privilegio per i task di Active Directory mediante DRA richiede la configurazione di numerosi componenti e processi, fra i quali le configurazioni generali e dei componenti client. In questa sezione vengono fornite informazioni relative ai componenti e ai processi generali che devono essere configurati per DRA.
In un ambiente MMS si utilizzano più server di amministrazione per gestire lo stesso set di domini e server membri. Un MMS è costituito da un server di amministrazione primario e più server di amministrazione secondari.
La modalità di default per il server di amministrazione è quella primaria. Man mano che si aggiungono server secondari all'ambiente MMS, va ricordato che un server di amministrazione secondario può appartenere a un solo set di server.
Affinché ciascun server del set gestisca gli stessi dati, sincronizzare periodicamente i server secondari con il server di amministrazione primario. Per ridurre le attività di manutenzione, utilizzare lo stesso account del servizio per tutti i server di amministrazione della foresta di domini.
IMPORTANTE:
Quando si installa il server secondario, selezionare Secondary Administration Server (Server di amministrazione secondario) nel programma di installazione.
La versione di DRA del nuovo server secondario deve essere uguale a quella del server primario di DRA affinché tutte le funzioni disponibili nel server primario lo siano anche in quello secondario.
È possibile aggiungere un server di amministrazione secondario a un MMS esistente mediante il client di delega e configurazione. Per aggiungere un server secondario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
NOTA:per aggiungere un nuovo server secondario, è necessario prima di tutto installare Directory and Resource Administrator nel computer del server di amministrazione. Per ulteriori informazioni, vedere Installazione del server di amministrazione DRA.
Per aggiungere un server di amministrazione secondario, fare clic con il pulsante destro del mouse su Administration Server (Server di amministrazione) nel nodo Configuration Management (Gestione configurazione), quindi selezionare Add Secondary Server (Aggiungi server secondario).
È possibile alzare il livello di un server di amministrazione secondario facendolo diventare un server di amministrazione primario. Quando si alza di livello un server di amministrazione secondario trasformandolo in un server di amministrazione primario, il server di amministrazione primario esistente diventa un server di amministrazione secondario nel set di server. Per alzare di livello un server di amministrazione secondario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini). Prima di alzare di livello un server di amministrazione secondario, sincronizzare l'MMS affinché utilizzi la configurazione più recente.
Per informazioni sulla sincronizzazione dell'MMS, vedere Pianificazione della sincronizzazione.
NOTA:un server appena trasformato in primario può eseguire la connessione solo ai server secondari che erano disponibili durante il processo di innalzamento del livello. Se durante tale processo un server secondario è diventato non disponibile, contattare il Supporto tecnico.
Per alzare di livello un server di amministrazione secondario:
Passare al nodo Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione).
Nel riquadro a destra, selezionare il server di amministrazione secondario che si desidera alzare di livello.
Nel menu Task, fare clic su Advanced (Avanzate) > Promote Server (Alza livello server).
IMPORTANTE:quando l'account del servizio del server secondario è diverso da quello del server primario o il server secondario viene installato in un dominio diverso da quello del server primario (domini attendibili/domini non attendibili) e si alza il livello del server secondario, prima di eseguire l'operazione assicurarsi di delegare i ruoli seguenti: Audit All Objects(Revisiona tutti gli oggetti), Configure Servers and Domains (Configura server e domini) e Generate UI Reports (Genera rapporti UI). Verificare quindi che le sincronizzazioni dell'MMS abbiano esito positivo.
È possibile abbassare il livello di un server di amministrazione primario facendolo diventare un server di amministrazione secondario. Per abbassare il livello di un server di amministrazione primario, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per abbassare il livello di un server di amministrazione primario:
Passare al nodo Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione).
Nel riquadro a destra, selezionare il server di amministrazione primario che si desidera abbassare di livello.
Nel menu Task, fare clic su Advanced (Avanzate) > Demote Server (Abbassa livello server).
Specificare il computer che si desidera designare come nuovo server di amministrazione primario e fare clic su OK.
La sincronizzazione assicura che tutti i server di amministrazione dell'MMS utilizzino gli stessi dati di configurazione. Sebbene sia possibile sincronizzare manualmente i server in qualsiasi momento, la pianificazione di default è impostata per sincronizzare l'MMS ogni 4 ore. Tale pianificazione può essere modificata per adattarla alle esigenze aziendali specifiche.
Per modificare la pianificazione della sincronizzazione o sincronizzare manualmente i server dell'MMS, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per accedere alla pianificazione della sincronizzazione o eseguire la sincronizzazione manuale, passare a Configuration Management (Gestione configurazione) > Administration Servers (Server di amministrazione) e utilizzare il menu Task oppure le opzioni visualizzate facendo clic con il pulsante destro del mouse su un server selezionato. La pianificazione della sincronizzazione è disponibile nelle proprietà del server selezionato.
Caratteristiche delle opzioni di sincronizzazione
Le opzioni per la sincronizzazione dei server dell'MMS sono essenzialmente quattro:
Selezione del server primario e sincronizzazione di tutti i server secondari mediante "Synchronize All Servers" (Sincronizza tutti i server)
Selezione di un server secondario e sincronizzazione solo di tale server.
Configurazione della pianificazione della sincronizzazione dei server primario e secondari in modo indipendente
Configurazione della pianificazione della sincronizzazione di tutti i server. Questa opzione è abilitata quando nella pianificazione della sincronizzazione del server primario è selezionata l'impostazione seguente:
Configure secondary Administration servers when refreshing the primary Administration server (Configura i server di amministrazione secondari durante l'aggiornamento del server di amministrazione primario)
NOTA:se si deseleziona questa opzione, i file di configurazione vengono copiati nei server secondari in base alla pianificazione del primario, ma vengono caricati in base alla pianificazione configurata nel server secondario e non nello stesso momento. Questa impostazione è utile se i server risiedono in fusi orari diversi. Ad esempio, è possibile configurare tutti i server per aggiornarne la configurazione durante la notte, anche se gli orari potrebbero essere diversi a causa dei fusi orari.
Le eccezioni di clonazione consentono di definire proprietà per utenti, gruppi, contatti e computer che non verranno copiate in caso di clonazione di uno di questi oggetti.
Disponendo dei poteri appropriati, è possibile gestire le eccezioni di clonazione. Il ruolo Manage Clone Exceptions (Gestisci eccezioni di clonazione) concede poteri di visualizzazione, creazione ed eliminazione delle eccezioni di clonazione.
Per visualizzare o eliminare un'eccezione di clonazione esistente oppure per creare una nuova eccezione di clonazione, passare a Configuration Management (Gestione configurazione) > Clone Exceptions (Eccezioni di clonazione) > Task o fare clic con il pulsante destro del mouse per visualizzare le opzioni.
Quando si creano strumenti personalizzati, potrebbe essere necessario installare i file di supporto utilizzati da tali strumenti nel computer client DRA per poter eseguire lo strumento stesso. È possibile utilizzare le funzionalità di replica dei file di DRA per replicare in modo rapido e semplice i file di supporto degli strumenti personalizzati dal server di amministrazione primario ai server di amministrazione secondari nell'MMS, come anche ai computer client DRA. La replica dei file può essere utile anche per replicare script di attivazione dal server primario a quelli secondari.
Per garantire che i computer client DRA possano accedere ai file degli strumenti personalizzati, è possibile utilizzare contemporaneamente sia strumenti personalizzati che la replica dei file. I file degli strumenti personalizzati vengono replicati nei server di amministrazione secondari affinché i computer client DRA che eseguono la connessione a server di amministrazione secondari possano accedere a tali strumenti personalizzati.
I file degli strumenti personalizzati vengono replicati dal server di amministrazione primario ai server di amministrazione secondari durante il processo di sincronizzazione dell'MMS. Quando i computer client DRA eseguono la connessione ai server di amministrazione, viene effettuato il download dei file degli strumenti personalizzati nei computer client DRA.
NOTA:l'ubicazione in cui viene effettuato il download dei file degli strumenti personalizzati nei computer client DRA è:
{DirInstallazioneDRA} \{ID MMS}\Download
L'ID MMS è l'identificazione del set multimaster da cui DRA effettua il download dei file degli strumenti personalizzati.
Quando si effettua l'upload di file nel server di amministrazione primario, è necessario specificare i file di cui si desidera effettuare l'upload e la replica dal server di amministrazione primario a tutti i server di amministrazione secondari che appartengono all'MMS. In DRA è possibile effettuare l'upload di file di libreria, file script e file eseguibili.
Il ruolo Replicate Files (Replica file) consente di replicare i file dal server di amministrazione primario ai server di amministrazione secondari dell'MMS come anche ai computer client DRA. Il ruolo include i poteri seguenti:
Delete Files from Server (Elimina file dal server): questo potere consente a DRA di eliminare i file che non sono più presenti nel server di amministrazione primario, nei server di amministrazione secondari e nei computer client DRA.
Set File Information (Imposta informazioni file): questo potere consente a DRA di aggiornare le informazioni sui file nei server di amministrazione secondari.
Upload Files to Server (Effettua upload dei file nel server): questo potere consente a DRA di effettuare l'upload di file dal computer client DRA al server di amministrazione primario.
NOTA:mediante l'interfaccia utente di replica dei file nella console di delega e configurazione è possibile effettuare l'upload per la replica di un solo file per volta.
Per effettuare l'upload di un file di uno strumento personalizzato nel server di amministrazione primario:
Passare a Configuration Management (Gestione configurazione) > File Replication (Replica file).
Fare clic su Upload File (Effettua upload del file) nel menu Task.
Per cercare e selezionare il file di cui si desidera effettuare l'upload, fare clic su Browse (Sfoglia).
Se si desidera effettuare il download del file selezionato in tutti i computer client DRA, selezionare la casella di controllo Download to all client computers (Effettua download in tutti i computer client).
Se si desidera registrare una libreria COM, selezionare la casella di controllo Register COM library (Registra libreria COM).
Fare clic su OK.
NOTA:
L'upload del file script o dei file di supporto che devono essere replicati in altri server di amministrazione secondari viene effettuato all'interno della cartella {DirInstallazioneDRA}\FileTransfer\Replicate del server di amministrazione primario. La cartella {DirInstallazioneDRA}\FileTransfer\Replicate è denominata anche {Percorso_File_Replicati_DRA}.
L'upload del file script o dei file di supporto che devono essere replicati nei computer client DRA viene effettuato nella cartella {DirInstallazioneDRA}\FileTransfer\Download del server di amministrazione primario.
Il file dello strumento personalizzato di cui è stato effettuato l'upload nel server di amministrazione primario viene distribuito ai server di amministrazione secondari nel corso della sincronizzazione pianificata o della sincronizzazione manuale successiva.
Se si desidera effettuare l'upload di più file e replicarli tra server di amministrazione primario e server di amministrazione secondari dell'MMS, è possibile effettuare manualmente l'upload per la replica copiando i file nella directory di replica del server di amministrazione primario, che si trova nell'ubicazione seguente:
{DRAInstallDir}\FileTransfer\Replicate
La directory di replica viene creata al momento dell'installazione di DRA.
Il server di amministrazione identifica automaticamente i file nella directory di replica e li replica tra i server di amministrazione durante la sincronizzazione pianificata successiva. Al termine della sincronizzazione, i file di cui è stato effettuato l'upload vengono visualizzati nella finestra File Replication (Replica di file) della console di delega e configurazione.
NOTA:se si desidera replicare file che contengono librerie COM che devono essere registrate, non è possibile copiarli manualmente nella directory di replica del server di amministrazione. Per effettuare l'upload di ciascun file e registrare la libreria COM, è necessario utilizzare la console di delega e configurazione.
Se si desidera replicare più file dal server di amministrazione primario ai computer client DRA, è possibile copiarli nella directory di replica del client nel server di amministrazione primario, che si trova nell'ubicazione seguente:
{DRAInstallDir}\FileTransfer\Download
La directory di replica del client viene creata al momento dell'installazione di DRA.
Il server di amministrazione individua automaticamente i file nella cartella Download ed esegue la replica nei server di amministrazione secondari durante la sincronizzazione pianificata successiva. Al termine della sincronizzazione, i file di cui è stato effettuato l'upload vengono visualizzati nella finestra File Replication (Replica di file) della console di delega e configurazione. Il download dei file replicati nei computer client DRA viene effettuato non appena essi eseguono la connessione ai server di amministrazione dopo la replica.
NOTA:se si desidera replicare file che contengono librerie COM che devono essere registrate, non è possibile copiarli nella directory di download del server di amministrazione. Per effettuare l'upload di ciascun file e registrare la libreria COM, è necessario utilizzare la console di delega e configurazione.
Quando è abilitata la revisione di AD Domain Services, gli eventi di DRA vengono registrati come se fossero generati dall'account del servizio DRA o dall'account di accesso ai domini, se uno di questi account è configurato. La registrazione degli eventi costituisce un'ulteriore evoluzione di questa funzione, poiché genera un ulteriore evento AD DS che identifica l'amministratore aggiunto che ha eseguito l'operazione.
Affinché tali eventi vengano generati, è necessario configurare la revisione di AD DS e abilitare la registrazione degli eventi nel server di amministrazione DRA. Quando la registrazione degli eventi è abilitata, è possibile visualizzare le modifiche apportate dagli amministratori aggiunti nei rapporti sugli eventi di Change Guardian.
Per configurare la revisione di AD DS, vedere AD DS auditing (Revisione di AD DS).
Per configurare l'integrazione con Change Guardian, vedere Configurazione dei server di Cronologia modifiche unificata.
Per abilitare la registrazione degli eventi, aprire la console di delega e configurazione come amministratore di DRA ed effettuare le operazioni seguenti:
Passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > Event Stamping (Registrazione eventi).
Selezionare un tipo di oggetto e fare clic su Update (Aggiorna).
Selezionare un attributo da utilizzare per la registrazione degli eventi relativi a quel tipo di oggetto.
DRA supporta attualmente la registrazione degli eventi per utenti, gruppi, contatti, computer e unità organizzative.
È inoltre necessario che gli attributi siano presenti nello schema di Active Directory per ciascun dominio gestito. Questo fattore va tenuto in considerazione quando si aggiungono domini gestiti dopo la configurazione della registrazione degli eventi. Se si aggiungesse un dominio gestito che non contiene un attributo selezionato, le operazioni da tale dominio non verrebbero sottoposte a revisione con i dati di registrazione degli eventi.
Poiché DRA modifica tali attributi, si dovranno selezionare attributi non utilizzati da DRA o da qualsiasi altra applicazione dell'ambiente in uso.
Per ulteriori informazioni sulla registrazione degli eventi, vedere Caratteristiche della registrazione eventi.
Quando si abilita il supporto per più gestori per la gestione di un gruppo, uno dei due attributi di default viene utilizzato per memorizzare i gestori del gruppo. Nel caso in cui si utilizzi Microsoft Exchange, l'attributo è msExchCoManagedByLink. Nel caso in cui non si utilizzi Microsoft Exchange, l'attributo di default è nonSecurityMember. Quest'ultima opzione è modificabile. Tuttavia, se è necessario modificare l'impostazione, si consiglia di contattare il Supporto tecnico per stabilire un attributo appropriato.
Per abilitare il supporto di più gestori per i gruppi:
Nel riquadro a sinistra fare clic su Configuration Management (Gestione configurazione).
In Common Tasks (Task comuni) nel riquadro a destra, fare clic su Update Administration Server Options (Aggiorna opzioni server di amministrazione).
Nella scheda Enable Support for Group Multiple Managers (Abilita supporto di più gestori per i gruppi), selezionare la casella di controllo Enable support for group’s multiple managers (Abilita supporto di più gestori per i gruppi).
Questa funzione consente di abilitare o disabilitare l'utilizzo della comunicazione cifrata tra il client di delega e configurazione, il client di gestione account e risorse e il server di amministrazione. Per default, le password degli account sono cifrate in DRA. Questa funzione non esegue la cifratura delle comunicazioni del client Web o di PowerShell, che viene gestita separatamente mediante certificati server.
L'utilizzo delle comunicazioni cifrate può incidere negativamente sulle prestazioni. Per default, le comunicazioni cifrate sono disabilitate. Se si abilita l'opzione, i dati vengono cifrati durante la comunicazione tra le interfacce utente e il server di amministrazione. In DRA si utilizza la cifratura standard Microsoft per Remote Procedure Call (RPC).
Per abilitare le comunicazioni cifrate, passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > General (Generale) e selezionare la casella di controllo Encrypted Communications (Comunicazioni cifrate) nella scheda.
NOTA:per cifrare tutte le comunicazioni tra le interfacce utente e il server di amministrazione, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Mediante gli attributi virtuali è possibile creare nuove proprietà e associarle a utenti, gruppi, gruppi di distribuzione dinamici, contatti, computer e unità organizzative. Gli attributi virtuali consentono di creare nuove proprietà senza che sia necessario estendere lo schema di Active Directory.
Grazie agli attributi virtuali è possibile aggiungere nuove proprietà agli oggetti di Active Directory. Per creare, abilitare, disabilitare, associare e annullare l'associazione degli attributi virtuali è necessario utilizzare il server di amministrazione primario. Gli attributi virtuali creati in AD LDS vengono memorizzati in DRA. Gli attributi virtuali vengono replicati dal server di amministrazione primario ai server di amministrazione secondari durante il processo di sincronizzazione dell'MMS.
Disponendo dei poteri appropriati, è possibile gestire gli attributi virtuali. Il ruolo Manage Virtual Attributes (Gestisci attributi virtuali) assegna i poteri necessari per creare, abilitare, associare, annullare l'associazione, disabilitare e visualizzare gli attributi virtuali.
Per creare attributi virtuali è necessario il ruolo Create Virtual Attributes (Crea attributi virtuali), mentre per visualizzarli si utilizza il ruolo View Virtual Attributes (Visualizza attributi virtuali).
Per creare un attributo virtuale, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Attributes (Attributi gestiti) e fare clic su New Virtual Attribute (Nuovo attributo virtuale) nel menu Task.
È possibile associare agli oggetti Active Directory solo attributi virtuali abilitati. Dopo aver associato un attributo virtuale a un oggetto, l'attributo virtuale è disponibile fra le proprietà dell'oggetto stesso.
Per esporre gli attributi virtuali mediante le interfacce utente di DRA, è necessario creare una pagina personalizzata delle proprietà.
Per associare un attributo virtuale a un oggetto, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Attributes (Attributi gestiti), fare clic con il pulsante destro del mouse sull'attributo virtuale che si desidera utilizzare e selezionare Associate (Associa) > (tipo di oggetto).
NOTA:
È possibile associare gli attributi virtuali soltanto a utenti, gruppi, gruppi di distribuzione dinamici, computer, contatti e unità organizzative.
Quando si associa un attributo virtuale a un oggetto, in DRA vengono creati automaticamente due poteri personalizzati di default, necessari agli amministratori aggiunti per gestire l'attributo virtuale.
L'associazione degli attributi virtuali agli oggetti Active Directory può essere annullata. Per i nuovi oggetti creati, nelle proprietà non viene più visualizzato l'attributo virtuale per cui è stata annullata l'associazione.
Per annullare l'associazione di un attributo virtuale a un oggetto Active Directory, passare al nodo Configuration Management (Gestione configurazione) > Virtual Attributes (Attributi virtuali) > Managed Classes (Classi gestite) > (tipo di oggetto). Fare clic con il pulsante destro del mouse sull'attributo virtuale e selezionare Disassociate (Annulla associazione).
È possibile disabilitare gli attributi virtuali a condizione che non siano associati a un oggetto Active Directory. Quando si disabilita un attributo virtuale, gli amministratori non possono visualizzarlo né associarlo a un oggetto.
Per disabilitare un attributo virtuale, passare a Configuration Management (Gestione configurazione) > Managed Attributes (Attributi gestiti). Fare clic con il pulsante destro del mouse sull'attributo desiderato nel riquadro dell'elenco e selezionare Disable (Disabilita).
Il server di amministrazione crea e gestisce una cache degli account in cui sono memorizzate parti di Active Directory per i domini gestiti. La cache degli account viene utilizzata in DRA per migliorare le prestazioni di gestione degli account utente, dei gruppi, dei contatti e degli account computer.
Per pianificare gli orari di aggiornamento della cache o visualizzarne lo stato, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
NOTA:per eseguire aggiornamenti incrementali della cache degli account in domini che contengono sottoalberi gestiti, verificare che l'account del servizio disponga dell'accesso in lettura per il container Oggetti eliminati, nonché per tutti gli oggetti nel dominio del sottoalbero. Per verificare e delegare le autorizzazioni appropriate, è possibile utilizzare l'utility Deleted Objects.
Quando si esegue un aggiornamento incrementale della cache degli account, vengono aggiornati solo i dati modificati dopo l'ultimo aggiornamento. L'aggiornamento incrementale è un metodo semplificato per stare al passo con i continui cambiamenti di Active Directory. Si utilizza per aggiornare rapidamente la cache degli account generando però un impatto minimo sulle attività aziendali.
IMPORTANTE:Microsoft Server limita a cinque il numero di utenti che possono essere connessi contemporaneamente alla sessione WinRM/WinRS e anche il numero di shell per utente è limitato a cinque. Accertarsi quindi che l'account utente corrispondente sia limitato a cinque shell per i server secondari di DRA.
Un aggiornamento incrementale aggiorna i dati seguenti:
Oggetti nuovi e clonati
Oggetti eliminati e spostati
Appartenenze a gruppi
Tutte le proprietà memorizzate nella cache per gli oggetti modificati
Con l'aggiornamento completo, invece, viene ricreata la cache degli account di DRA per il dominio specificato.
NOTA:quando è in corso un aggiornamento completo della cache degli account, il dominio non è disponibile per gli utenti di DRA.
Per aggiornare la cache degli account, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo Configure Servers and Domains
(Configura server e domini).
Per eseguire immediatamente un aggiornamento completo della cache degli account:
Passare a Configuration Management (Gestione configurazione) > Managed Domains (Domini gestiti).
Fare clic con il pulsante destro del mouse sul dominio desiderato e selezionare Properties (Proprietà).
Fare clic su Refresh Now (Aggiorna ora) nella scheda Full refresh (Aggiornamento completo).
La frequenza di aggiornamento della cache degli account varia a seconda della frequenza dei cambiamenti aziendali. Utilizzare l'aggiornamento incrementale per aggiornare frequentemente la cache degli account, garantendo così che le informazioni su Active Directory in DRA siano le più recenti.
Per default, il server di amministrazione esegue un aggiornamento incrementale della cache degli account agli intervalli seguenti:
|
Tipo di dominio |
Intervallo di aggiornamento pianificato di default |
|---|---|
|
Domini gestiti |
Ogni 5 minuti |
|
Domini attendibili |
Ogni ora |
Sebbene non sia possibile pianificare un aggiornamento completo della cache degli account, tale aggiornamento viene eseguito automaticamente in DRA nelle seguenti circostanze:
Dopo la configurazione iniziale di un dominio gestito.
Dopo l'upgrade di DRA a una nuova versione completa da una versione precedente.
Dopo l'installazione di un service pack di DRA.
L'esecuzione di un aggiornamento completo della cache degli account può richiedere alcuni minuti.
Affinché DRA disponga delle informazioni più recenti, è necessario aggiornare periodicamente la cache degli account. Prima di eseguire o pianificare un aggiornamento della cache degli account, valutare i fattori seguenti:
Per eseguire un aggiornamento incrementale della cache degli account, l'account del servizio del server di amministrazione o l'account di accesso deve disporre dell'autorizzazione per accedere agli oggetti eliminati nell'istanza di Active Directory del dominio gestito o attendibile.
Quando DRA esegue un aggiornamento della cache degli account, il server di amministrazione non include i gruppi di sicurezza locali di dominio dai domini attendibili. Poiché la cache non contiene tali gruppi, in DRA non è possibile aggiungere un gruppo di sicurezza locale di dominio dal dominio attendibile a un gruppo locale nel server membro gestito.
Se si omette un dominio attendibile dall'aggiornamento della cache degli account, il server di amministrazione omette tale dominio anche dall'aggiornamento della configurazione dei domini.
Se nell'aggiornamento della cache degli account si include un dominio attendibile precedentemente omesso, eseguire un aggiornamento completo della cache degli account per il dominio gestito. Ciò garantisce che la cache degli account nel server di amministrazione del dominio gestito rifletta correttamente i dati di appartenenza ai gruppi nei domini attendibili e gestiti.
Se si imposta l'intervallo di aggiornamento incrementale della cache degli account su Mai, il server di amministrazione esegue solo l'aggiornamento completo della cache degli account. L'aggiornamento completo della cache degli account potrebbe richiedere un po' di tempo, durante il quale non è possibile gestire gli oggetti del dominio.
DRA non è in grado di determinare automaticamente quando si apportano modifiche mediante altri strumenti, come ad esempio Servizi directory di Microsoft. Le operazioni non eseguite all'interno di DRA possono compromettere l'accuratezza delle informazioni memorizzate nella cache. Ad esempio, se si utilizza un altro strumento per aggiungere una casella postale a un account utente, non è possibile utilizzare Exchange per gestire la casella postale fino a quando la cache degli account non viene aggiornata.
L'esecuzione di un aggiornamento completo della cache degli account elimina le statistiche degli ultimi login conservate nella cache. Successivamente, il server di amministrazione raccoglie le informazioni sugli ultimi login da tutti i controller di dominio.
La raccolta stampanti di AD è disabilitata per default. Per abilitarla, passare a Configuration Management (Gestione configurazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione) > General (Generale) e selezionare la casella di controllo Collect Printers (Raccogli stampanti) nella scheda.
È possibile configurare l'aggiornamento di pulizia di AD LDS affinché venga eseguito in base a una pianificazione per i domini specifici. L'impostazione di default è "Mai". È inoltre possibile visualizzare lo stato di pulizia e informazioni specifiche relative alla configurazione di AD LDS (ADAM).
Per configurare la pianificazione o visualizzare lo stato di pulizia di AD LDS, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Account and Resource Management (Gestione account e risorse) > All My Managed Objects (Tutti i miei oggetti gestiti) e selezionare rispettivamente Properties (Proprietà) > Adlds Cleanup Refresh Schedule (Pianificazione aggiornamento pulizia AD LDS) o Adlds Cleanup status (Stato pulizia AD LDS).
Per visualizzare le informazioni sulla configurazione di AD LDS (ADAM), passare a Configuration Management (Gestione configurazione) > Update Server Options (Aggiorna opzioni server) > ADAM Configuration (Configurazione ADAM).
Un gruppo dinamico è costituito da membri che variano in base a un set prestabilito di criteri che si configurano nelle proprietà del gruppo. Nelle proprietà del dominio è possibile configurare l'aggiornamento dei gruppi dinamici in base a una pianificazione per i domini specifici. L'impostazione di default è "Mai". È inoltre possibile visualizzare lo stato di aggiornamento.
Per configurare la pianificazione o visualizzare lo stato di aggiornamento dei gruppi dinamici, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Account and Resource Management (Gestione account e risorse) > All My Managed Objects (Tutti i miei oggetti gestiti) e selezionare rispettivamente Properties (Proprietà) > Dynamic group refresh (Aggiornamento gruppi dinamici) o Dynamic group status (Stato gruppi dinamici).
Per ulteriori informazioni sui gruppi dinamici, vedere Gruppi dinamici di DRA.
È possibile abilitare o disabilitare il Cestino per ciascun dominio Microsoft Windows o per gli oggetti all'interno di tali domini e configurare i tempi e le modalità di pulizia del Cestino.
Per informazioni dettagliate sull'uso del Cestino, vedere Cestino.
È possibile abilitare il Cestino per domini Microsoft Windows specifici e per gli oggetti all'interno di tali domini. Per default, il Cestino è abilitato per ciascun dominio gestito da DRA e per tutti gli oggetti del dominio stesso. Per abilitare il Cestino è necessario essere membri del gruppo di amministratori o amministratori della configurazione di DRA.
Se nell'ambiente è presente la configurazione riportata di seguito, utilizzare l'utility Recycle Bin per abilitare la funzione:
DRA gestisce un sottoalbero del dominio.
L'account del servizio del server di amministrazione o di accesso non dispone dell'autorizzazione per creare il container Cestino, per spostare gli account in questo container e per modificare gli account nel container.
È inoltre possibile utilizzare l'utility Recycle Bin per verificare le autorizzazioni dell'account del servizio del server di amministrazione o di accesso per il container Cestino.
Per abilitare il Cestino, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Recycle Bin (Cestino) e selezionare Enable Recycle Bin (Abilita cestino).
È possibile disabilitare il Cestino per domini Microsoft Windows specifici e per gli oggetti all'interno di tali domini. Se un Cestino disabilitato contiene account, non è possibile visualizzare, eliminare definitivamente né ripristinare tali account.
Per disabilitare il Cestino è necessario essere membri del gruppo di amministratori di DRA o di amministratori di configurazione di DRA.
Per disabilitare il Cestino, fare clic con il pulsante destro del mouse sul dominio desiderato nel nodo Recycle Bin (Cestino) e selezionare Disable Recycle Bin (Disabilita cestino).
Per default, la pulizia del Cestino viene eseguita quotidianamente. È possibile modificare la configurazione per pulire il Cestino del dominio ogni x giorni. Durante la pulizia pianificata, vengono eliminati dal Cestino gli oggetti con data antecedente al numero di giorni configurato per ciascun tipo di oggetto. L'impostazione di default per ciascun tipo prevede l'eliminazione degli oggetti con data antecedente a 1 giorno. È possibile personalizzare il comportamento del processo di pulizia del Cestino disabilitando, abilitando nuovamente e impostando il tempo di permanenza degli oggetti di ciascun tipo.
Per configurare la pulizia del Cestino, selezionare il dominio desiderato nella console di delega e configurazione e passare alla scheda Recycle Bin (Cestino) in Task > Properties (Proprietà).
Nelle sezioni seguenti sono riportate informazioni concettuali sui rapporti di gestione di DRA e i relativi servizi di raccolta che è possibile abilitare. Per accedere alla procedura guidata di configurazione dei servizi di raccolta, passare a Configuration Management (Gestione configurazione) > Update Reporting Service Configuration (Aggiorna configurazione servizio di generazione rapporti).
Il servizio di raccolta di Active Directory raccoglie un set di attributi specificato da Active Directory per ciascun utente, gruppo, contatto, computer, unità organizzativa e gruppo di distribuzione dinamico gestito in DRA. Tali attributi vengono memorizzati nel database generazione di rapporti e utilizzati per generare rapporti nell'apposita console.
È possibile configurare il servizio di raccolta di Active Directory specificando gli attributi da raccogliere e memorizzare nel database generazione di rapporti. È anche possibile configurare il server di amministrazione DRA in cui eseguire il servizio di raccolta.
Il servizio di raccolta di DRA raccoglie informazioni sulla configurazione di DRA e le memorizza nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console.
Per abilitare il servizio di raccolta di DRA, è necessario specificare in quale server di amministrazione DRA deve essere eseguito. Come best practice, il servizio di raccolta di DRA deve essere pianificato affinché venga eseguito successivamente al servizio di raccolta di Active Directory, negli orari in cui il carico del server è minore o al di fuori del normale orario di lavoro.
Il servizio di raccolta del tenant di Office 365 raccoglie informazioni relative a utenti gestiti che vengono sincronizzati con Office 365 e memorizza tali informazioni nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console.
Per abilitare il servizio di raccolta di Office 365, è necessario specificare in quale server di amministrazione DRA verrà eseguito.
NOTA:il tenant di Office 365 può eseguire la raccolta solo dopo che il servizio di raccolta di Active Directory del dominio corrispondente ha completato la propria raccolta.
Il servizio di raccolta dei rapporti di gestione raccoglie informazioni sulla revisione di DRA e le memorizza nel database generazione di rapporti, utilizzato per generare rapporti nell'apposita console. Quando si abilita il servizio di raccolta, è possibile configurare la frequenza di upload dei dati nel database per le query eseguite con lo strumento di generazione dei rapporti di DRA.
Questa configurazione richiede che l'account del servizio DRA disponga dell'autorizzazione sysadmin in SQL Server per il server di generazione dei rapporti. Le opzioni configurabili sono illustrate di seguito:
Audit Export Data Interval (Intervallo di esportazione dei dati di revisione): intervallo di tempo per l'esportazione dei dati di revisione dal log di traccia DRA (LAS) al database "SMCubeDepot" in SQL Server.
Management Report Summarization Interval (Intervallo di riepilogo per i rapporti di gestione): intervallo di tempo per il trasferimento dei dati di revisione dal database SMCubeDepot al database generazione di rapporti di DRA, dove possono essere oggetto di query eseguite con lo strumento di generazione dei rapporti di DRA.
È possibile configurare DRA per raccogliere le statistiche degli ultimi login da tutti i controller del dominio gestito. Per abilitare e pianificare la raccolta delle statistiche degli ultimi login, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo integrato Configure Servers and Domains (Configura server e domini).
Per default, la funzione di raccolta delle statistiche degli ultimi login è disabilitata. Se si desidera raccogliere i dati statistici degli ultimi login, è necessario abilitare la funzione. Dopo aver abilitato la raccolta delle statistiche degli ultimi login, è possibile visualizzare quelle di un utente specifico o lo stato della raccolta delle statistiche degli ultimi login.
Per raccogliere le statistiche degli ultimi login:
Passare a Configuration Management (Gestione configurazione) > Managed Domains (Domini gestiti).
Fare clic con il pulsante destro del mouse sul dominio desiderato e selezionare Properties (Proprietà).
Fare clic sulla scheda Last logon schedule (Pianificazione ultimi login) per configurare la raccolta delle statistiche degli ultimi login.
Per default, la funzione Cronologia modifiche unificata (UCH) consente di generare rapporti sulle modifiche apportate da DRA.
Per la gestione di Cronologia modifiche unificata, assegnare agli amministratori aggiunti il ruolo di amministrazione del server di Cronologia modifiche unificata o i poteri applicabili seguenti:
Delete Unified Change History Server Configuration (Elimina configurazione del server Cronologia modifiche unificata)
Set Unified Change History Configuration Information (Imposta informazioni di configurazione di Cronologia modifiche unificata)
View Unified Change History Configuration Information (Visualizza informazioni di configurazione di Cronologia modifiche unificata)
Per delegare i poteri relativi a UCH:
Fare clic su Powers (Poteri) nel nodo Delegation Management (Gestione delega) e utilizzare la funzione di ricerca degli oggetti per individuare e selezionare gli oggetti UCH desiderati.
Fare clic con il pulsante destro del mouse su uno dei poteri UHC e selezionare Delegate Roles and Powers (Delega ruoli e poteri).
Cercare l'utente, il gruppo o il gruppo di AA specifico a cui si desidera delegare i poteri.
Utilizzare il selettore oggetti per trovare e aggiungere gli oggetti desiderati, quindi fare clic su Roles and Powers (Ruoli e poteri) nella procedura guidata.
Fare clic su ActiveViews (Viste ActiveView) e usare il selettore oggetti per individuare gli oggetti che si desidera aggiungere.
Fare clic su Next (Avanti) e successivamente su Finish (Fine) per completare il processo di delega.
Per configurare i server di UCH:
Avviare la Console Web ed eseguire il login con le credenziali di AA.
Passare ad Amministrazione > Integrazioni > Cronologia modifiche unificata e fare clic sull'icona Aggiungi.
Specificare il nome o l'indirizzo IP del server di UCH, il numero di porta, il tipo di server e i dettagli dell'account di accesso nella configurazione di Cronologia modifiche unificata.
Provare la connessione al server e fare clic su OK per salvare la configurazione.
Aggiungere altri server secondo necessità.
Per utilizzare l'automazione dei workflow in DRA, è necessario installare il motore di workflow in un server Windows e configurare il server di automazione dei workflow tramite la Console Web.
Per configurare il server di automazione dei workflow, eseguire il login alla Console Web e passare ad Amministrazione > Integrazioni > Automazione workflow.
Per informazioni su come installare il motore di workflow, vedere la Workflow Automation Administrator Guide (Guida all'amministrazione dell'automazione dei workflow).
Il client di delega e configurazione fornisce l'accesso a task di configurazione e delega per soddisfare esigenze aziendali di gestione che vanno dall'amministrazione distribuita all'applicazione delle policy. Mediante la console di delega e configurazione è possibile impostare il modello di sicurezza e le configurazioni dei server per gestire in modo efficace le attività aziendali.
Per configurare il client di delega e configurazione:
Avviare il client di delega e configurazione e passare a Configuration Management (Gestione amministrazione) > Update Administration Server Options (Aggiorna opzioni server di amministrazione).
Fare clic sulla scheda Client Options (Opzioni client) e definire le impostazioni desiderate utilizzando le opzioni di configurazione visualizzate:
Consentire agli utenti di effettuare ricerche in base alla vista ActiveView
Nascondere oggetti di sola origine dagli elenchi della console
Mostrare oggetti Active Directory avanzati
Mostrare il comando di sicurezza
Mostrare le caselle postali condivise e delle risorse quando si effettuano ricerche di utenti
Impostare per default il suffisso UPN dell'utente sul dominio corrente
Numero massimo di elementi modificabili per volta (selezione multipla)
Opzioni di ricerca
Opzione di ritorno a capo
Unità dei limiti dello spazio delle caselle postali di Exchange
È possibile configurare la Console Web per l'autenticazione tramite smart card o l'autenticazione multifattore, come anche personalizzare il branding con il logo e il titolo dell'applicazione desiderati.
È possibile avviare la Console Web da qualsiasi computer, dispositivo iOS o Android dotato di un browser Web. Per avviare la Console, specificare l'URL appropriato nel campo dell'indirizzo del browser Web. Ad esempio, se il componente Web è installato nel computer HOUserver, digitare https://HOUserver/draclient nel campo dell'indirizzo del browser Web.
NOTA:per visualizzare nella Console Web l'account corrente e le informazioni più recenti di Microsoft Exchange, impostare il browser Web affinché verifichi se sono presenti versioni più recenti delle pagine memorizzate nella cache a ogni apertura.
È possibile definire un intervallo d'inattività per il logout automatico della Console Web oppure scegliere di non eseguire mai il logout automatico.
Per configurare il logout automatico nella Console Web, passare ad Amministrazione > Configurazione > Logout automatico.
È possibile configurare una delle tre opzioni disponibili nella Console Web per definire le opzioni di connessione al server DRA quando si esegue il login. Dopo aver effettuato la configurazione, la connessione è la medesima sia per gli amministratori che per gli amministratori aggiunti nel pannello a discesa Opzioni quando si esegue il login alla Console Web.
Utilizzare sempre l'ubicazione di default del server DRA (Sempre)
Non utilizzare mai l'ubicazione di default del server DRA (Mai)
Utilizzare l'ubicazione di default del server DRA solo se selezionata (Solo se selezionata)
Di seguito si descrive il comportamento di ciascuna opzione quando si esegue il login:
|
Configurazione della connessione |
Schermata di login - Opzioni |
Descrizioni delle opzioni di connessione |
|---|---|---|
|
Sempre |
Nessuno |
La configurazione delle opzioni è disabilitata |
|
Mai |
Usa rilevazione automatica |
Il server DRA viene individuato automaticamente; non è disponibile alcuna opzione di configurazione |
|
Connetti a un server DRA specifico |
L'utente configura il server e la porta |
|
Connetti a un server DRA che gestisce un dominio specifico |
L'utente fornisce un dominio gestito e sceglie un'opzione di connessione:
|
|
Solo se selezionata |
Usa rilevazione automatica |
Il server DRA viene individuato automaticamente; non è disponibile alcuna opzione di configurazione |
|
Connetti al server DRA di default |
Viene selezionato il server di default e la configurazione del server DRA è disabilitata |
|
Connetti a un server DRA specifico |
L'utente configura il server e la porta |
|
Connetti a un server DRA che gestisce un dominio specifico |
L'utente fornisce un dominio gestito e sceglie un'opzione di connessione:
|
Per configurare la connessione al server DRA nella Console Web, passare ad Amministrazione > Configurazione > Connessione server DRA.
La configurazione della connessione al servizio REST include l'impostazione dell'ubicazione di un server di default e un timeout di connessione in secondi. È possibile configurare una delle tre opzioni disponibili nella Console Web per definire le opzioni di connessione al servizio REST quando si esegue il login. Dopo aver effettuato la configurazione, la connessione è la medesima sia per gli amministratori che per gli amministratori aggiunti nel pannello a discesa Opzioni quando si esegue il login alla Console Web.
Utilizzare sempre l'ubicazione di default del servizio REST (Sempre)
Non utilizzare mai l'ubicazione di default del servizio REST (Mai)
Utilizzare l'ubicazione di default del servizio REST solo se selezionata (Solo se selezionata)
Di seguito si descrive il comportamento di ciascuna opzione quando si esegue il login:
|
Configurazione della connessione |
Schermata di login - Opzioni |
Descrizioni delle opzioni di connessione |
|---|---|---|
|
Sempre |
Nessuno |
La configurazione delle opzioni è disabilitata |
|
Mai |
Usa rilevazione automatica |
Il server REST viene individuato automaticamente; non è disponibile alcuna opzione di configurazione |
|
Connetti a un server REST specifico |
L'utente configura il server e la porta |
|
Connetti a un server REST in un dominio specifico |
L'utente fornisce un dominio gestito e sceglie un'opzione di connessione:
|
|
Solo se selezionata |
Usa rilevazione automatica |
Il server REST viene individuato automaticamente; non è disponibile alcuna opzione di configurazione |
|
Connetti al server REST di default |
Viene selezionato il server REST di default e la configurazione del server REST è disabilitata |
|
Connetti a un server REST specifico |
L'utente configura il server e la porta |
|
Connetti a un server REST in un dominio specifico |
L'utente fornisce un dominio gestito e sceglie un'opzione di connessione:
|
Per configurare la connessione al servizio REST nella Console Web, passare ad Amministrazione > configurazione > Connessione servizio REST.
In questa sezione sono riportate informazioni per la configurazione dell'autenticazione con smart card, l'autenticazione di Windows e l'autenticazione multifattori tramite l'integrazione con Advanced Authentication.
Per configurare la Console Web affinché accetti un utente in base alle credenziali client provenienti dalla sua smart card, è necessario configurare Internet Information Services (IIS) e il file di configurazione dei servizi REST.
IMPORTANTE:assicurarsi che i certificati nella smart card siano stati installati anche nell'archivio radice dei certificati nel server Web, in quanto IIS deve essere in grado di trovare i certificati corrispondenti a quelli della card.
Installare i componenti di autenticazione nel server Web.
Avviare Server Manager.
Fare clic su Server Web (IIS).
Spostarsi nella sezione Servizi ruolo e fare clic su Aggiungi servizi ruolo.
Passare al nodo dei servizi Ruolo di sicurezza, selezionare Autenticazione di Windows e successivamente Autenticazione mapping certificati client.
Abilitare l'autenticazione nel server Web.
Avviare Gestione IIS.
Selezionare il server Web.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione certificati client Active Directory" e "Autenticazione di Windows".
Configurare il client DRA.
Selezionare il client DRA.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione di Windows" e disabilitare "Autenticazione anonima".
Abilitare i certificati SSL e client nel client DRA.
Individuare l'icona Servizi SSL nella sezione IIS e fare doppio clic su di essa.
Selezionare Richiedi SSL e successivamente Richiedi in Certificati client.
SUGGERIMENTO:se l'opzione è disponibile, selezionare Richiedi SSL a 128 bit.
Configurare l'applicazione Web dei servizi REST.
Selezionare l'applicazione Web dei servizi REST.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione di Windows" e disabilitare "Autenticazione anonima".
Abilitare SSL e i certificati client nell'applicazione Web dei servizi REST.
Individuare l'icona Servizi SSL nella sezione IIS e fare doppio clic su di essa.
Selezionare Richiedi SSL e successivamente Richiedi in Certificati client.
SUGGERIMENTO:se l'opzione è disponibile, selezionare Richiedi SSL a 128 bit.
Configurare il file del servizio Web WCF.
Selezionare l'applicazione Web dei servizi REST e passare a Visualizzazione contenuto.
Individuare il file .svc e fare clic su di esso con il pulsante destro del mouse.
Selezionare Passa a visualizzazione funzionalità.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione anonima" e disabilitare tutti gli altri metodi di autenticazione.
Modificare il file di configurazione dei servizi REST.
Aprire il file C:\inetpub\wwwroot\DRAClient\rest\web.config utilizzando un editor di testo.
Individuare la riga <authentication mode="None" /> ed eliminarla.
Sotto la riga <system.serviceModel>, aggiungere le righe seguenti:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Sotto la riga <serviceDebug includeExceptionDetailInFaults="false"/>, aggiungere le righe seguenti:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Sopra la riga <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />, aggiungere le righe seguenti:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Salvare il file e riavviare il server IIS.
Per abilitare l'autenticazione di Windows nella Console Web, è necessario configurare Internet Information Services (IIS) e il file di configurazione dei servizi REST.
Aprire Gestione IIS.
Nel pannello Connessioni, individuare l'applicazione Web dei servizi REST e selezionarla.
Nel riquadro a destra, passare alla sezione IIS e fare doppio clic su Autenticazione.
Abilitare Autenticazione di Windows e disabilitare tutti gli altri metodi di autenticazione.
Utilizzare un editor di testo per aprire il file C:\inetpub\wwwroot\DRAClient\rest\web.config e individuare la riga <authentication mode="None" />.
Modificare "None" impostando "Windows" e salvare il file.
Riavviare il server IIS.
Advanced Authentication Framework (AAF) è il nostro pacchetto software di punta che permette di andare oltre i semplici nome utente e password per adottare un metodo più sicuro di protezione delle informazioni sensibili mediante l'autenticazione multifattori.
Advanced Authentication supporta i protocolli di comunicazione seguenti per la sicurezza:
TLS 1.2 (impostazione di default), TLS 1.1, TLS 1.0
SSL 3.0
L'autenticazione multifattori è un sistema di controllo dell'accesso ai computer che verifica l'identità dell'utente mediante più metodi di autenticazione che utilizzano categorie differenti di credenziali.
I tipi di categorie o fattori di autenticazione sono tre:
Conoscenza. Questa categoria impone la conoscenza di un'informazione specifica, ad esempio una password o un codice di attivazione.
Possesso. Questa categoria impone il possesso di un dispositivo di autenticazione, ad esempio una smart card o uno smartphone.
Corpo. Questa categoria impone l'utilizzo di una parte del corpo, ad esempio l'impronta digitale, come metodo di verifica.
Ogni fattore di autenticazione contiene almeno un metodo di autenticazione. Un metodo di autenticazione è una tecnica specifica che si utilizza per stabilire l'identità dell'utente, ad esempio mediante un'impronta digitale o una password.
Un processo di autenticazione può essere considerato avanzato se utilizza più tipi di metodi di autenticazione, ad esempio se richiede una password e un'impronta digitale.
Advanced Authentication supporta i metodi di autenticazione seguenti:
Password LDAP
Remote Authentication Dial-In User Service (RADIUS)
Smartphone
SUGGERIMENTO:per utilizzare il metodo Smartphone l'utente deve effettuare il download di un'app iOS o Android. Per ulteriori informazioni, vedere la Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication - Guida dell'utente delle applicazioni per smartphone), disponibile sul sito Web della documentazione di NetIQ.
Le informazioni riportate nelle sezioni seguenti consentono di configurare la Console Web per l'utilizzo dell'autenticazione multifattori.
IMPORTANTE:sebbene alcuni dei passaggi descritti nelle sezioni seguenti si eseguano all'interno della Console Web, la maggior parte del processo di configurazione dell'autenticazione multifattori si effettua mediante AAF. Queste procedure presuppongono che AFF sia già stato installato e che la documentazione della guida in linea di AAF sia accessibile.
Il primo passaggio per configurare la Console Web affinché utilizzi l'autenticazione multifattori consiste nell'aggiungere ad AFF tutti i domini Active Directory che contengono gli amministratori di DRA e gli amministratori aggiunti gestiti da DRA. Questi domini sono denominati archivi e contengono gli attributi di identità degli utenti e dei gruppi che si desidera autenticare.
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Spostarsi nel pannello a sinistra e fare clic su Archivi.
Fare clic su Aggiungi.
Compilare il modulo.
SUGGERIMENTO:Tipo LDAP è AD.
SUGGERIMENTO:digitare nome utente e password di un livello amministrativo nei campi corrispondenti.
Fare clic su Add server (Aggiungi server).
Digitare l'indirizzo IP del server LDAP nel campo Indirizzo.
Fare clic su Salva.
Ripetere i passaggi da 3 a 7 per tutti gli altri archivi AD gestiti da DRA.
Per ogni archivio elencato nella pagina Archivi, fare clic su Sincronizza ora per eseguire la sincronizzazione con il server AAF.
Una catena di autenticazione è costituita da almeno un metodo di autenticazione. I metodi della catena vengono richiamati nell'ordine in cui sono stati aggiunti alla catena stessa. Affinché un utente possa eseguire l'autenticazione, deve superare tutti i metodi della catena. Ad esempio, è possibile creare una catena contenente i metodi Password LDAP ed SMS. Quando un utente tenta di eseguire l'autenticazione mediante questa catena, deve innanzitutto eseguire l'autenticazione utilizzando la password LDAP e, successivamente, riceverà un SMS sul proprio cellulare con una password OTP. Immettendo la password, avrà soddisfatto i requisiti di tutti i metodi della catena e l'autenticazione avrà esito positivo. Le catene di autenticazione possono essere assegnate a un utente specifico o a un gruppo.
Per creare una catena di autenticazione:
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Aprire il pannello a sinistra e fare clic su Catene. Nel pannello a destra viene visualizzato l'elenco delle catene attualmente disponibili.
Fare clic su Aggiungi.
Compilare il modulo. Tutti i campi sono obbligatori.
IMPORTANTE:aggiungere i metodi nell'ordine in cui devono essere richiamati, vale a dire che se si desidera che l'utente immetta prima di tutto una password LDAP, aggiungere Password LDAP come primo elemento della catena.
IMPORTANTE:verificare che lo switch Applica se utilizzata da proprietario endpoint sia impostato su OFF.
Impostare È abilitato su ON.
Digitare i nomi dei ruoli o dei gruppi oggetto della richiesta di autenticazione nel campo Ruoli e gruppi.
SUGGERIMENTO:se si desidera che la catena venga applicata a tutti gli utenti, digitare tutti gli utenti nel campo Ruoli e gruppi e selezionare All Users (Tutti gli utenti) nell'elenco a discesa risultante.
Tutti gli eventuali utenti o gruppi selezionati vengono aggiunti sotto il campo Ruoli e gruppi.
Fare clic su Salva.
Gli eventi di autenticazione vengono attivati da un'applicazione, in questo caso la Console Web, che intende autenticare un utente. È necessario assegnare all'evento almeno una catena di autenticazione, affinché quando l'evento viene attivato, i metodi della catena associata all'evento vengano richiamati per autenticare l'utente.
Un endpoint è un dispositivo reale, ad esempio un computer o uno smartphone, in cui viene eseguito il software che attiva l'evento di autenticazione. Dopo aver creato l'evento, DRA registra l'endpoint in AAF.
È possibile utilizzare la casella della white list Endpoint per limitare l'accesso a un evento a endpoint specifici, oppure è possibile consentire a tutti gli endpoint di accedere all'evento.
Per creare un evento di autenticazione:
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Aprire il pannello a sinistra e fare clic su Eventi. Nel pannello a destra viene visualizzato l'elenco degli eventi attualmente disponibili.
Fare clic su Aggiungi.
Compilare il modulo. Tutti i campi sono obbligatori.
IMPORTANTE:verificare che lo switch È abilitato sia impostato su ON.
Se si desidera limitare l'accesso a endpoint specifici, aprire la sezione della white list Endpoint e spostare gli endpoint desiderati dall'elenco Disponibili all'elenco Utilizzati.
SUGGERIMENTO:se non sono presenti endpoint nell'elenco Utilizzati, l'evento sarà disponibile per tutti gli endpoint.
Dopo aver configurato le catene e gli eventi è possibile eseguire il login alla Console Web come amministratore e abilitare Advanced Authentication.
Dopo aver eseguito l'abilitazione, tutti gli utenti dovranno effettuare l'autenticazione tramite AAF per poter accedere alla Console Web.
IMPORTANTE:prima di abilitare la Console Web è necessario aver eseguito la registrazione nei metodi di autenticazione che la Console Web utilizzerà per autenticare gli utenti. Per indicazioni su come eseguire la registrazione dei metodi di autenticazione, vedere la Advanced Authentication - Tenant Administration Guide (Advanced Authentication - Guida all'amministrazione dei tenant).
Per abilitare Advanced Authentication, eseguire il login alla Console Web e passare ad Amministrazione > Configurazione > Advanced Authentication. Selezionare la casella di controllo Abilitato e configurare il modulo in base alle istruzioni fornite per ciascun campo.
SUGGERIMENTO:dopo aver salvato la configurazione, l'endpoint viene creato in AAF. Per visualizzarlo o modificarlo, eseguire il login al portale di amministrazione di AAF con un nome utente e una password di livello amministrativo e fare clic su Endpoint nel riquadro a sinistra.
Eseguire il login al portale di amministrazione di AAF con un nome utente e una password di livello amministrativo e fare clic su Eventi nel riquadro a sinistra.
Per modificare gli eventi della Console Web:
Aprire l'evento per la modifica.
Passare alla sezione della white list Endpoint e spostare l'endpoint creato durante la configurazione della Console Web dall'elenco Disponibili all'elenco Utilizzati. In questo modo solo la Console Web potrà utilizzare tali eventi.
Fare clic su Salva.