Per pianificare l'installazione di Directory and Resource Administrator, utilizzare questa sezione per valutare la compatibilità dell'ambiente hardware e software e prendere nota delle porte e i protocolli necessari che dovranno essere configurati per l'installazione.
In questa sezione si forniscono informazioni sulle dimensioni delle risorse di base consigliate. I risultati potrebbero variare a seconda dell'hardware disponibile, dell'ambiente in uso, del tipo specifico di dati elaborati e di altri fattori. È possibile che esistano configurazioni hardware più grandi e potenti, capaci di gestire un carico superiore. Per eventuali domande, rivolgersi a Servizi NetIQ Consulting.
Esecuzione in un ambiente con circa un milione di oggetti Active Directory:
|
Componente |
CPU |
Memoria |
Spazio |
|---|---|---|---|
|
Server di amministrazione DRA |
4 CPU (x64)/core 2.0 GHz |
16 GB |
100 GB |
|
Console Web di DRA |
2 CPU (x64)/core 2.0 GHz |
8 GB |
100 GB |
|
Funzione di generazione rapporti di DRA |
4 CPU (x64)/core 2.0 GHz |
16 GB |
100 GB |
|
Server di workflow DRA |
4 CPU (x64)/core 2.0 GHz |
16 GB |
100 GB |
DRA mantiene attivi segmenti di memoria di grandi dimensioni per lunghi periodo di tempo. Quando si esegue il provisioning delle risorse per un ambiente virtuale, considerare i suggerimenti seguenti:
Allocare lo spazio come "Thick Provisioned"
Impostare la memoria su Reserve All Guest Memory(All Locked)
Verificare che il file di paginazione sia di dimensioni sufficienti per l'eventuale riallocazione del ballooning della memoria a livello virtuale
In questa sezione sono indicati i protocolli e le porte per la comunicazione di DRA.
Le porte configurabili sono indicate con un asterisco (*)
Le porte che necessitano di un certificato sono indicate con due asterischi (**)
|
Protocollo e porta |
Direzione |
Destinazione |
Utilizzo |
|---|---|---|---|
|
TCP 135 |
Bidirezionale |
Server di amministrazione DRA |
Mapper di endpoint, ovvero un requisito di base per la comunicazione di DRA. Consente ai server di amministrazione d'individuarsi reciprocamente in un MMS |
|
TCP 445 |
Bidirezionale |
Server di amministrazione DRA |
Replica del modello di delega; replica dei file durante la sincronizzazione di un MMS (SMB) |
|
Intervallo di porte TCP dinamiche* |
Bidirezionale |
Controller di dominio Microsoft Active Directory, client DRA |
Per default, DRA assegna dinamicamente le porte nell'intervallo di porte TCP da 1024 a 65535. Tuttavia, è possibile configurare l'intervallo utilizzando Servizi componenti. Per ulteriori informazioni, vedere Using Distributed COM with Firewalls (Utilizzo di Distributed COM con firewall) (DCOM) |
|
TCP 50000 * |
Bidirezionale |
Server di amministrazione DRA |
Replica degli attributi e comunicazione fra server DRA e ADAM (LDAP) |
|
TCP 50001 * |
Bidirezionale |
Server di amministrazione DRA |
Replica degli attributi SSL (ADAM) |
|
TCP/UDP 389 |
In uscita |
Controller di dominio Microsoft Active Directory |
Gestione degli oggetti Active Directory (LDAP) |
|
In uscita |
Microsoft Exchange Server |
Gestione delle caselle postali (LDAP) |
|
|
TCP/UDP 53 |
In uscita |
Controller di dominio Microsoft Active Directory |
Risoluzione dei nomi |
|
TCP/UDP 88 |
In uscita |
Controller di dominio Microsoft Active Directory |
Consente l'autenticazione dal server DRA ai controller di dominio (Kerberos) |
|
TCP 80 |
In uscita |
Microsoft Exchange Server |
Necessari per tutti i server Exchange locali da 2010 a 2013 (HTTP) |
|
In uscita |
Microsoft Office 365 |
Accesso remoto a PowerShell (HTTP) |
|
|
TCP 443 |
In uscita |
Microsoft Office 365, Change Guardian |
Accesso ad API Graph e integrazione con Change Guardian (HTTPS) |
|
TCP 443, 5986, 5985 |
In uscita |
Microsoft PowerShell |
Cmdlet PowerShell nativi (HTTPS) e comunicazione remota di PowerShell |
|
TCP 8092 * ** |
In uscita |
Server di workflow |
Stato e attivazione dei workflow (HTTPS) |
|
TCP 50101 * |
In entrata |
Client DRA |
Fare clic con il pulsante destro del mouse su Cronologia delle modifiche per il rapporto di revisione delle interfacce utente. Configurabili durante l'installazione. |
|
TCP 8989 |
Localhost |
Servizio di archivio log |
Comunicazione con l'archivio log (non è necessaria l'apertura tramite il firewall) |
|
TCP 50102 |
Bidirezionale |
Servizio DRA Core |
Servizio di archivio log |
|
TCP 50103 |
Localhost |
Servizio cache di DRA |
Comunicazione con il servizio cache nel server DRA (non è necessaria l'apertura tramite il firewall) |
|
TCP 1433 |
In uscita |
Microsoft SQL Server |
Raccolta dati per la generazione di rapporti |
|
UDP 1434 |
In uscita |
Microsoft SQL Server |
Il servizio browser di SQL Server utilizza questa porta per identificare la porta per l'istanza denominata. |
|
TCP 8443 |
Bidirezionale |
Server Change Guardian |
Cronologia modifiche unificata |
|
Protocollo e porta |
Direzione |
Destinazione |
Utilizzo |
|---|---|---|---|
|
TCP 8755 * ** |
In entrata |
Server IIS, cmdlet PowerShell di DRA |
Esecuzione delle attività di workflow basate su REST di DRA (ActivityBroker) |
|
TCP 11192 * ** |
In uscita |
Servizio Host di DRA |
Per la comunicazione tra il servizio REST di DRA e il servizio di amministrazione di DRA |
|
TCP 135 |
In uscita |
Controller di dominio Microsoft Active Directory |
Rilevamento automatico mediante punto di connessione del servizio (SCP) |
|
TCP 443 |
In uscita |
Controller di dominio Microsoft AD |
Rilevamento automatico mediante punto di connessione del servizio (SCP) |
|
Protocollo e porta |
Direzione |
Destinazione |
Utilizzo |
|---|---|---|---|
|
TCP 8755 * ** |
In uscita |
Servizio REST di DRA |
Per la comunicazione tra la Console Web di DRA, PowerShell di DRA e il servizio Host di DRA |
|
TCP 443 |
In entrata |
Browser client |
Apertura di un sito Web di DRA |
|
TCP 443 ** |
In uscita |
Server di Advanced Authentication |
Advanced Authentication |
|
Protocollo e porta |
Direzione |
Destinazione |
Utilizzo |
|---|---|---|---|
|
TCP 135 |
In uscita |
Controller di dominio Microsoft Active Directory |
Rilevamento automatico mediante SCP |
|
Intervallo di porte TCP dinamiche* |
In uscita |
Server di amministrazione DRA |
Attività di workflow dell'adattatore di DRA. Per default, DCOM assegna dinamicamente le porte nell'intervallo di porte TCP da 1024 a 65535. Tuttavia, è possibile configurare l'intervallo utilizzando Servizi componenti. Per ulteriori informazioni, vedere Using Distributed COM with Firewalls (Utilizzo di Distributed COM con firewall) (DCOM) |
|
TCP 50102 |
In uscita |
Servizio DRA Core |
Generazione di rapporti sulla cronologia delle modifiche |
|
Protocollo e porta |
Direzione |
Destinazione |
Utilizzo |
|---|---|---|---|
|
TCP 8755 |
In uscita |
Server di amministrazione DRA |
Esecuzione delle attività di workflow basate su REST di DRA (ActivityBroker) |
|
Intervallo di porte TCP dinamiche* |
In uscita |
Server di amministrazione DRA |
Attività di workflow dell'adattatore di DRA. Per default, DCOM assegna dinamicamente le porte nell'intervallo di porte TCP da 1024 a 65535. Tuttavia, è possibile configurare l'intervallo utilizzando Servizi componenti. Per ulteriori informazioni, vedere Using Distributed COM with Firewalls (Utilizzo di Distributed COM con firewall) (DCOM) |
|
TCP 1433 |
In uscita |
Microsoft SQL Server |
Archiviazione dei dati di workflow |
|
TCP 8091 |
In entrata |
Console delle operazioni e console di configurazione |
Workflow API BSL (TCP) |
|
TCP 8092 ** |
In entrata |
Server di amministrazione DRA |
Workflow API BSL (HTTP) |
|
TCP 2219 |
Localhost |
Provider dello spazio dei nomi |
Utilizzati dal provider dello spazio dei nomi per eseguire gli adattatori |
|
TCP 9900 |
Localhost |
Correlation Engine |
Utilizzati da Correlation Engine per comunicare con il motore di workflow e il provider dello spazio dei nomi |
|
TCP 10117 |
Localhost |
Provider dello spazio dei nomi per la gestione delle risorse |
Utilizzati dal provider dello spazio dei nomi per la gestione delle risorse |
Per informazioni aggiornate sulle piattaforme software supportate, vedere la pagina di Directory and Resource Administrator sul sito Web di NetIQ:
|
Sistema gestito |
Prerequisiti |
|---|---|
|
Active Directory |
|
|
Microsoft Exchange |
|
|
Microsoft Office 365 |
|
|
Skype for Business |
|
|
Cronologia modifiche |
|
|
Browser Web |
|
I requisiti del server DRA per account e software sono riportati di seguito.
|
Componente |
Prerequisiti |
|---|---|
|
Destinazione di installazione Sistema operativo |
Sistema operativo del server di amministrazione NetIQ:
Interfacce DRA per Windows:
|
|
Programma di installazione |
|
|
Server di amministrazione |
Directory and Resource Administrator:
Amministrazione di Microsoft Office 365/Exchange Online:
Per ulteriori informazioni, vedere Piattaforme supportate. |
|
Componenti Web legacy |
Server Web:
Componenti di Microsoft IIS:
Interfacce DRA per Windows:
|
|
Account |
Descrizione |
Autorizzazioni |
|---|---|---|
|
Gruppo AD LDS |
Per accedere ad AD LDS è necessario aggiungere a questo gruppo l'account del servizio DRA |
|
|
Account del servizio DRA |
Autorizzazioni necessarie per eseguire il servizio di amministrazione NetIQ |
NOTA:per ulteriori informazioni sull'impostazione di account di accesso ai domini di minimo privilegio, vedere Account di accesso DRA con minimo privilegio. |
|
Amministratore di DRA |
Account utente o gruppo di cui viene eseguito il provisioning nel ruolo integrato degli amministratori di DRA |
|
|
Account amministratori dell'assistente di DRA |
Account a cui vengono delegati poteri attraverso DRA |
|
Di seguito sono indicati privilegi e autorizzazioni necessari per gli account specificati e i comandi di configurazione che è necessario eseguire.
Account di accesso ai domini: assegnare le seguenti autorizzazioni Active Directory all'account di accesso ai domini:
Controllo COMPLETO sugli oggetti Utente
Controllo COMPLETO sugli oggetti Computer
Controllo COMPLETO sugli oggetti Gruppo
Controllo COMPLETO sugli oggetti Contatto
Controllo COMPLETO sugli oggetti Unità organizzativa
Controllo COMPLETO sugli oggetti InetOrgPerson
Controllo COMPLETO sugli oggetti Stampante
Controllo COMPLETO sugli oggetti Dominio Integrato
Controllo COMPLETO sugli oggetti Container
Controllo COMPLETO sugli oggetti MsExchSystemObjectContainer
Controllo COMPLETO sui gruppi di distribuzione dinamici
Controllo COMPLETO sulle cartelle pubbliche
Specificare i seguenti privilegi con l'ambito "Questo oggetto e tutti gli oggetti figlio" per l'account del servizio del dominio:
Consenti di creare oggetti Computer
Consenti di eliminare oggetti Computer
Consenti di creare oggetti Contatto
Consenti di eliminare oggetti Contatto
Consenti di creare oggetti Gruppo
Consenti di eliminare oggetti Gruppo
Consenti di eliminare oggetti InetOrgPerson
Consenti di creare oggetti Unità organizzativa
Consenti di eliminare oggetti Unità organizzativa
Consenti di creare oggetti Utente
Consenti di eliminare oggetti Utente
Consenti di creare gruppi di distribuzione dinamici
Consenti di eliminare gruppi di distribuzione dinamici
Consenti di creare punto di connessione del servizio
Consenti di eliminare punto di connessione del servizio
Consenti di creare container
Consenti di eliminare container
Consenti di creare cartelle pubbliche
Consenti di eliminare cartelle pubbliche
Account di accesso tentant di Office 365: assegnare le seguenti autorizzazioni di Active Directory all'account di accesso tenant di Office 365:
Amministratore Gestione utenti in Office 365
Gestione destinatari in Exchange Online
Account di accesso a Exchange: assegnare il ruolo Gestione organizzazione all'account di accesso a Exchange per gestire Exchange 2010.
Account di accesso a Skype: verificare che l'account sia un utente abilitato a Skype e che sia un membro di almeno uno dei seguenti ruoli:
Ruolo CSAdministrator
Ruoli CSUserAdministrator e CSArchiving
Account di accesso alle cartelle pubbliche: assegnare le seguenti autorizzazioni di Active Directory all'account di accesso alle cartelle pubbliche:
Gestione cartelle pubbliche
Cartelle pubbliche abilitate per la posta
Dopo l'installazione di DRA:
Eseguire il comando seguente per delegare l'autorizzazione al container "Oggetti eliminati" dalla cartella di installazione di DRA (si noti che il comando deve essere eseguito da un amministratore di dominio):
DraDelObjsUtil.exe /domain:<NomeDominioNetbios> /delegate:<Nome account>
Eseguire il comando seguente per delegare l'autorizzazione a "NetIQReceyleBin OU" dalla cartella di installazione di DRA (si noti che questa operazione può essere eseguita solo dopo aver aggiunto i rispettivi domini che devono essere gestiti tramite DRA):
DraRecycleBinUtil.exe /domain:<NomeDominioNetbios> /delegate:<NomeAccount>
Aggiungere l'account prioritario di minimo privilegio al gruppo "Local Administrators" in ciascun computer di cui DRA gestirà le risorse, quali stampanti, servizi, log degli eventi, dispositivi e così via.
Concedere all'account prioritario di minimo privilegio le "Autorizzazioni complete" sulle cartelle condivise o DFS in cui viene eseguito il provisioning delle directory Home.
Aggiungere l'account prioritario di minimo privilegio al ruolo "Gestione organizzazione" per gestire gli oggetti di Exchange.
Di seguito sono riportati i requisiti per la Console Web e le estensioni REST.
|
Componente |
Prerequisiti |
|---|---|
|
Destinazione di installazione |
Sistema operativo:
|
|
Servizio Host di DRA |
|
|
Endpoint e servizio REST di DRA |
|
|
Estensioni PowerShell |
|
|
Console Web di DRA |
Server Web:
Componenti di Microsoft IIS:
|
Di seguito sono riportati i requisiti per la funzione di generazione rapporti di DRA.
|
Componente |
Prerequisiti |
|---|---|
|
Destinazione di installazione |
Sistema operativo:
|
|
NetIQ Reporting Center (ver. 3.2) |
Database:
Server Web:
Microsoft .NET Framework 3.5: Anche per tutti i server di amministrazione di DRA che eseguono la connessione alla funzione di generazione rapporti di DRA è necessario .NET Framework 3.5. NOTA:Quando si installa NetIQ Reporting Center (NRC) in un computer con SQL Server, potrebbe essere necessario eseguire l'installazione manuale di .NET Framework 3.5 prima di installare NRC. |
|
Funzione di generazione rapporti di DRA |
Database:
|
La licenza determina quali prodotti e funzionalità è possibile utilizzare. Per DRA è necessario installare una chiave di licenza insieme al server di amministrazione.
Dopo aver installato il server di amministrazione, è possibile utilizzare l'utility Health Check per installare la chiave di una licenza di valutazione (License1.lic) che consente di gestire un numero illimitato di account utente e caselle postali per 30 giorni.
Per ulteriori informazioni sulla definizione della licenza e le restrizioni, fare riferimento al contratto di licenza con l'utente finale (EULA) del prodotto.