I poteri sono le fondamenta dell'amministrazione basata sul "minimo privilegio". Assegnando poteri agli utenti si implementa e si gestisce il modello di sicurezza dinamico. Queste procedure si eseguono nella console di delega e configurazione.
Sono disponibili oltre 390 poteri integrati per la gestione di oggetti e l'esecuzione di task amministrativi comuni ed è possibile utilizzarli per definire ruoli e assegnare deleghe. I poteri integrati non possono essere eliminati, ma è possibile clonarli per creare poteri personalizzati. Di seguito sono riportati alcuni esempi di poteri integrati:
Concede il potere di creare gruppi e specificare tutte le proprietà durante la creazione.
Se il Cestino è abilitato, concede il potere di spostare gli account utente nel Cestino. Se il Cestino è disabilitato, concede il potere di eliminare definitivamente gli account utente.
Concede il potere di modificare tutte le proprietà degli account computer.
Per creare un potere personalizzato, è necessario creare un nuovo potere o clonarne uno esistente. È possibile utilizzare un potere esistente come modello per delegare nuovi poteri. Un potere definisce le proprietà di un oggetto che un amministratore aggiunto può visualizzare, modificare o creare nel dominio o sottoalbero gestito. I poteri personalizzati possono includere l'accesso a più proprietà, come ad esempio il potere View All User Properties (Visualizza tutte le proprietà utente).
NOTA:non è possibile clonare tutti i poteri integrati.
Per implementare poteri personalizzati si utilizza il nodo Delegation Management (Gestione delega) > Powers (Poteri) nella console di delega e configurazione. In questo nodo è possibile eseguire le operazioni seguenti:
Visualizzare tutte le proprietà del potere
Creare nuovi poteri
Clonare poteri esistenti
Modificare poteri personalizzati
Generare rapporti sulle modifiche dei poteri
Per eseguire queste azioni, è necessario disporre dei poteri appropriati, ad esempio quelli inclusi nel ruolo Manage Security Model (Gestisci modello di sicurezza).
Prima di creare un nuovo potere, valutare il processo seguente.
Esaminare i poteri disponibili in DRA.
Decidere se è necessario un potere personalizzato. Se applicabile, è possibile clonare un potere personalizzato esistente.
Eseguire le procedure guidate appropriate, ad esempio la procedura guidata New Power (Nuovo potere).
Visualizzare il nuovo potere.
Modificare il nuovo potere, se necessario.
Il workflow generale per eseguire una qualsiasi delle azioni menzionate in questa sezione inizia con la selezione del nodo Powers (Poteri) e continua con una delle operazioni seguenti:
Apertura della finestra di dialogo della procedura guidata mediante il menu Task o il menu di scelta rapida per eseguire l'azione necessaria.
Individuazione dell'oggetto Potere nel riquadro List items that match my criteria (Elenca elementi corrispondenti ai miei criterii) e utilizzo del menu Task o del menu di scelta rapida per selezionare e aprire la procedura guidata o la finestra di dialogo corrispondente per eseguire l'azione necessaria.
È possibile aggiungere autorizzazioni o funzionalità a un potere estendendolo.
Ad esempio, per consentire a un AA di creare un account utente, è possibile assegnare il potere Create User and Modify All Properties (Crea utente e modifica tutte le proprietà) o il potere Create User and Modify Limited Properties (Crea utente e modifica proprietà limitate). Se si assegna anche il potere Add New User to Group (Aggiungi nuovo utente a gruppo), l'AA potrà aggiungere il nuovo account utente a un gruppo quando utilizza la procedura guidata Crea utente. In questo caso, il potere Add New User to Group (Aggiungi nuovo utente a gruppo) offre una funzione aggiuntiva nella procedura guidata. Il potere Add New User to Group (Aggiungi nuovo utente a gruppo) è il potere esteso.
I poteri estesi non consentono di per sé di aggiungere autorizzazioni o funzionalità. Per poter delegare un task che include un potere esteso, è necessario assegnare il potere esteso insieme al potere che si desidera estendere.
NOTA:
Per creare un gruppo e includerlo in una vista ActiveView, è necessario disporre del potere Add New Group to ActiveView (Aggiungi nuovo gruppo a vista ActiveView) per la vista ActiveView specificata. La vista ActiveView specificata deve includere anche il container OU o integrato che conterrà il nuovo gruppo.
Per clonare un gruppo e includerlo in una vista ActiveView, è necessario disporre del potere Add Cloned Group to ActiveView (Aggiungi gruppo clonato a vista ActiveView) per la vista ActiveView specificata. Nella vista ActiveView specificata deve essere incluso anche il gruppo di origine e il container OU o integrato che contiene tale nuovo gruppo.
Nella tabella seguente sono elencati alcuni esempi di azioni che è possibile configurare quando si crea un nuovo potere o si modificano le proprietà di un potere esistente:
|
Per delegare questo task |
Assegnare questo potere |
E questo potere esteso |
|---|---|---|
|
Clonare un gruppo e includere·il nuovo gruppo in una vista ActiveView specificata |
Clone Group and Modify All Properties (Clona gruppo e modifica tutte le proprietà) |
Add Cloned Group to ActiveView (Aggiungi gruppo clonato a vista ActiveView) |
|
Creare un gruppo e includerlo in una vista ActiveView specificata |
Create Group and Modify All Properties (Crea gruppo e modifica tutte le proprietà) |
Add New Group to ActiveView (Aggiungi nuovo gruppo a vista ActiveView) |
|
Creare un contatto abilitato per la posta |
Create Contact and Modify All Properties (Crea contatto e modifica tutte le proprietà) Create Contact and Modify Limited Properties (Crea contatto e modifica proprietà limitate) |
Enable Email for New Contact (Abilita e-mail per nuovo contatto) |
|
Creare un gruppo abilitato per la posta |
Create Group and Modify All Properties (Crea gruppo e modifica tutte le proprietà) |
Enable Email for New Group (Abilita e-mail per nuovo gruppo) |
|
Creare un account utente abilitato per la posta |
Create User and Modify All Properties (Crea utente e modifica tutte le proprietà) Create User and Modify Limited Properties (Crea utente e modifica proprietà limitate) |
Enable Email for New User (Abilita e-mail per nuovo utente) |
|
Creare un account utente e aggiungerlo a gruppi specifici |
Create User and Modify All Properties (Crea utente e modifica tutte le proprietà) Create User and Modify Limited Properties (Crea utente e modifica proprietà limitate) |
Add New User to Group (Aggiungi nuovo utente a gruppo) |