O gerenciamento de acesso com menos privilégios para tarefas do Active Directory usando o DRA tem muitos componentes e processos que precisam ser configurados. Isso inclui configurações gerais e de componentes do cliente. Esta seção fornece informações sobre os componentes e processos gerais que precisam ser configurados para o DRA.
Um ambiente MMS usa vários servidores de administração para gerenciar o mesmo conjunto de domínios e servidores membros. Um MMS consiste em um servidor de administração principal e vários servidores de administração secundários.
O modo padrão para o servidor de Administração é Principal. Ao adicionar servidores secundários ao seu ambiente MMS, lembre-se de que um servidor de Administração secundário pode pertencer a apenas um conjunto de servidores.
Para verificar se cada servidor no conjunto está gerenciando os mesmos dados, sincronize periodicamente os servidores secundários com o servidor de Administração principal. Para reduzir a manutenção, use a mesma conta de serviço para todos os servidores de Administração na floresta de domínio.
IMPORTANTE:
Ao instalar o servidor secundário, selecione Servidor de Administração Secundário no instalador.
A versão do DRA do novo servidor secundário deve ser a mesma do servidor principal do DRA de modo que todos os recursos que estão disponíveis no servidor principal também estejam disponíveis no servidor secundário.
Você pode adicionar um servidor de Administração secundário a um MMS existente no Cliente de Delegação e Configuração. Para adicionar um servidor secundário, você precisa ter os poderes apropriados, como aqueles incluídos na função interna Configurar Servidores e Domínios.
NOTA:Para adicionar com sucesso um novo servidor secundário, você precisa primeiro instalar o produto Directory and Resource Administrator no computador do servidor de Administração. Para obter mais informações, veja Instalar o Servidor de administração DRA.
Para adicionar um servidor de Administração secundário, clique o botão direito do mouse em Servidores de Administração no nó do Gerenciamento de Configurações e selecione Adicionar Servidor Secundário.
Você pode promover um servidor de Administração secundário para um servidor de Administração principal. Quando você promove um servidor de Administração secundário para um servidor de Administração principal, o servidor de Administração principal existente se torna um servidor de Administração secundário no conjunto de servidores. Para promover um servidor de Administração secundário, você precisa ter os poderes apropriados, como aqueles incluídos na função Configurar Servidores e Domínios incorporados. Antes de promover um servidor de Administração secundário, sincronize o MMS para que ele tenha a configuração mais recente.
Para obter informações sobre como sincronizar o MMS, consulte Programando a sincronização.
NOTA:Um servidor principal recém-promovido só pode se conectar a servidores secundários que estavam disponíveis durante o processo de promoção. Se um servidor secundário ficar não disponível durante o processo de promoção, entre em contato com o Suporte técnico.
Para promover um servidor de Administração secundário:
Navegue até o nó Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração).
No painel direito, selecione o servidor de Administração secundário que você deseja promover.
No menu Tarefas, clique em Advanced (Avançado) > Promote Server (Promover Servidor).
IMPORTANTE:Quando a conta de Serviço do Servidor secundário é diferente do Servidor principal ou o Servidor secundário está instalado em um domínio diferente do Servidor principal (Domínios confiáveis/domínios não confiáveis) e você promove o Servidor secundário, delegue as seguintes funções antes de promover o Servidor secundário: Audit All Objects (Auditar Todos os Objetos), Configure Servers and Domains (Configurar Servidores e Domínios) e Generate UI Reports (Gerar Relatórios de Interface do Usuário). Em seguida, verifique se as sincronizações do MMS foram bem-sucedidas.
Você pode retroceder um servidor de Administração principal para um servidor de Administração secundário. Para retroceder um servidor de Administração principal, você deve ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Para retroceder um servidor de Administração principal:
Navegue até o nó Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração).
No painel direito, selecione o servidor de Administração principal que você deseja retroceder.
No menu Tarefas, clique em Advanced (Avançado) > Demote Server (Retroceder Servidor).
Especifique o computador que você deseja designar como o novo servidor de Administração principal e clique em OK.
A sincronização garante que todos os servidores de Administração no MMS usem os mesmos dados de configuração. Embora você possa sincronizar manualmente os servidores a qualquer momento, a programação padrão é definida para sincronizar o MMS a cada 4 horas. Você modifica essa programação para adaptá-la às necessidades de sua empresa.
Para modificar a programação de sincronização ou para sincronizar manualmente os servidores do MMS, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Para acessar a programação de sincronização ou para sincronizações manuais, acesse Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração) e use o menu Tarefas ou clique o botão direito do mouse nas opções em um servidor selecionado. A programação de sincronização está nas Propriedades de um servidor selecionado.
Entendendo as opções de sincronização
Existem basicamente quatro opções diferentes para sincronizar servidores do MMS:
Selecionar o servidor principal e sincronizar todos os servidores secundários “Synchronize All Servers” (Sincronizar Todos os Servidores)
Selecionar um servidor secundário e sincronizar apenas esse servidor
Configurar a programação de sincronização para servidores principais e secundários de modo independente
Configure a programação de sincronização para todos os servidores. Essa opção é habilitada quando você tem a seguinte configuração selecionada na programação de sincronização do servidor principal:
Configure secondary Administration servers when refreshing the primary Administration server (Configurar servidores de Administração secundários ao atualizar o servidor de Administração principal)
NOTA:Se você desmarcar essa opção, os arquivos de configuração serão copiados para os servidores secundários na programação principal, mas não serão carregados pelo secundário naquele momento; eles serão carregados com base na programação configurada no servidor secundário. Isso é útil se os servidores estão em fusos horários diferentes. Por exemplo, você pode configurar todos os servidores para atualizar suas configurações no meio da noite, mesmo que esse seja um horário diferente por causa dos fusos horários.
As exceções de clonagem permitem que você defina propriedades para usuários, grupos, contatos e computadores que não serão copiados quando um desses objetos for clonado.
Com os poderes apropriados, você pode gerenciar as exceções de clonagem. A função Manage Clone Exceptions (Gerenciar Exceções de Clonagem) concede poderes para ver, criar e apagar exceções de clonagem.
Para exibir ou apagar uma exceção de clonagem existente ou para criar uma nova exceção de clonagem, navegue até Configuration Management (Gerenciamento de Configurações) > Clone Exceptions (Exceções de Clonagem) > Tarefas ou clique o botão direito do mouse no menu.
Quando você cria ferramentas personalizadas, pode ser necessário instalar arquivos de suporte usados pela ferramenta personalizada no computador do Console de Delegação e Configuração do DRA antes que ela possa ser executada. Você pode usar os recursos de replicação de arquivos DRA para replicar rápida e facilmente os arquivos de suporte de ferramentas personalizadas do servidor de Administração principal para os servidores de Administração secundários no MMS, bem como para os computadores cliente do DRA. A replicação de arquivos também pode ser usada para replicar scripts acionadores de servidores principais para secundários.
Você pode usar ferramentas personalizadas e replicação de arquivos para verificar se os computadores cliente do DRA podem acessar arquivos de ferramentas personalizadas. O DRA replica arquivos de ferramentas personalizadas para servidores de Administração secundários para garantir que os computadores cliente do DRA conectando-se a servidores de Administração secundários possam acessar ferramentas personalizadas.
O DRA replica os arquivos da ferramenta personalizada no servidor de Administração principal para servidores de Administração secundários durante o processo de sincronização do MMS. O DRA faz o download dos arquivos de ferramentas personalizadas para computadores cliente do DRA quando eles se conectam aos servidores de Administração.
NOTA:O DRA faz o download dos arquivos da ferramenta personalizada para o seguinte local nos computadores cliente do DRA:
{DRAInstallDir} \{MMS ID}\Download
MMSID é a identificação do conjunto multimaster do qual o DRA faz o download dos arquivos da ferramenta personalizada.
Ao fazer o upload de arquivos para o servidor de Administração principal, você especifica os arquivos dos quais deseja fazer upload e replicar entre o servidor de Administração principal e todos os servidores de Administração secundários no conjunto do MMS. O DRA permite fazer o upload de arquivos de biblioteca, arquivos de script e arquivos executáveis.
A função Replicar Arquivos permite replicar arquivos do servidor de Administração principal para os servidores de Administração secundários nos computadores cliente do DRA e também do MMS. A função Replicar Arquivo contém os seguintes poderes:
Apagar Arquivos do Servidor: Esse poder permite que o DRA apague arquivos que não existem mais no servidor de Administração principal, em servidores de Administração secundários e em computadores cliente do DRA.
Definir Informações do Arquivo: Esse poder permite que o DRA atualize as informações do arquivo para arquivos nos servidores de Administração secundários.
Fazer Upload dos Arquivos para o Servidor: Esse poder permite que o DRA faça upload de arquivos do computador cliente do DRA para o servidor de Administração principal.
NOTA:Você pode fazer upload de apenas um arquivo para replicação por vez usando a interface do usuário de Replicação de Arquivos no console de Delegação e Configuração.
Para fazer upload de um arquivo de ferramentas personalizadas para o servidor de Administração principal:
Navegue até Configuration Management (Gerenciamento de Configurações) > File Replication (Replicação de Arquivo).
No menu Tarefas, clique em Upload File (Fazer Upload do Arquivo).
Para pesquisar pelo arquivo cujo upload você deseja realizar e selecioná-lo, clique em Browse (Procurar).
Se você deseja fazer download do arquivo selecionado para todos os computadores cliente do DRA, marque a caixa de seleção Download to all client computers (Fazer download para todos os computadores cliente).
Se você deseja registrar uma biblioteca COM, marque a caixa de seleção Register COM library (Registrar biblioteca COM).
Clique em OK.
NOTA:
O DRA faz upload do arquivo de script ou dos arquivos de suporte que precisam ser replicados para outros servidores de Administração secundários para a pasta {DRAInstallDir}\FileTransfer\Replicate no servidor de Administração principal. A pasta {DRAInstallDir}\FileTransfer\Replicate também é chamada de {DRA_Replicated_Files_Path}.
O DRA carrega o arquivo de script ou os arquivos de suporte que precisam ser replicados para os computadores cliente do DRA para a pasta {DRAInstallDir} FileTransfer\Download no servidor de Administração principal.
O arquivo de ferramenta personalizado carregado no servidor de Administração principal é distribuído aos servidores de Administração secundários durante a próxima sincronização programada ou por sincronização manual.
Se tiver vários arquivos dos quais deseja fazer upload e que deseja replicar entre o servidor de Administração principal e os servidores de Administração secundários no MMS, você poderá fazer manualmente o upload desses arquivos para replicação copiando-os para o diretório de replicação do servidor de administração principal, que está no seguinte local:
{DRAInstallDir}\FileTransfer\Replicate
O diretório de replicação é criado quando o DRA é instalado.
O servidor de Administração identifica automaticamente os arquivos no diretório de replicação e os replica entre os servidores de Administração durante a próxima sincronização programada. Após a sincronização, o DRA exibe os arquivos carregados na janela File Replication (Replicação de Arquivos) no console de Delegação e Configuração.
NOTA:Se você quiser replicar arquivos que contenham bibliotecas COM que devem ser registradas, não será possível copiar manualmente os arquivos para o diretório de replicação do servidor de Administração. Você precisa usar o console de Delegação e Configuração para fazer o upload de cada arquivo e registrar a biblioteca COM.
Se você tiver vários arquivos que deseja replicar entre o servidor de Administração principal e os computadores cliente do DRA, poderá copiá-los para o diretório de replicação do cliente no servidor de Administração principal, que está no seguinte local:
{DRAInstallDir}\FileTransfer\Download
O diretório de replicação do cliente é criado quando o DRA é instalado.
O servidor de Administração identifica automaticamente os arquivos na pasta Download e os replica para os servidores de Administração secundários durante a próxima sincronização programada. Após a sincronização, o DRA exibe os arquivos carregados na janela File Replication (Replicação de Arquivos) no console de Delegação e Configuração. O DRA faz o download dos arquivos replicados para os computadores cliente do DRA na primeira vez que esses computadores se conectam aos servidores de Administração após a replicação.
NOTA:Se você quiser replicar arquivos que contenham bibliotecas COM que devem ser registradas, não será possível copiar os arquivos para o diretório de download do servidor de Administração. Você precisa usar o console de Delegação e Configuração para fazer o upload de cada arquivo e registrar a biblioteca COM.
Quando a auditoria dos Serviços de Domínio do AD está habilitada, os eventos do DRA são registrados como tendo sido gerados pela conta do Serviço DRA ou pela conta de Acesso ao Domínio, se houver uma configurada. A Marcação de Eventos leva esse recurso um passo adiante gerando um evento AD DS adicional que identifica o administrador assistente que executou a operação.
Para que esses eventos sejam gerados, você precisa configurar a auditoria do AD DS e habilitar a Marcação de Eventos no Servidor de administração DRA. Quando a opção Event Stamping (Marcação de Eventos) estiver habilitada, você poderá exibir as mudanças que os administradores assistentes fazem nos relatórios do Evento do Guardião de Mudanças.
Para configurar a auditoria do AD DS, veja a referência da Microsoft AD DS Auditing Step-by-Step Guide (Guia passo a passo de Auditoria do AD DS)
Para configurar a integração do Guardião de Mudanças, consulte Configurando servidores do Histórico de Mudanças Unificado.
Para habilitar a Marcação de Eventos, abra o console de Delegação e Configuração como administrador do DRA e faça o seguinte:
Acesse Configuration Management (Gerenciamento de Configurações ) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > Event Stamping (Marcação de Eventos).
Selecione um tipo de objeto e clique em Update (Atualizar).
Selecione um atributo para usar para a Marcação de Eventos para esse tipo de objeto.
Atualmente, o DRA oferece suporte à Marcação de Eventos para usuários, grupos, contatos, computadores e unidades organizacionais.
O DRA também exige que os atributos existam no esquema do AD para cada um dos seus domínios gerenciados. Você deverá estar ciente disso se adicionar domínios gerenciados após configurar a Marcação de Eventos. Se você adicionasse um domínio gerenciado que não contivessem um atributo selecionado, as operações desse domínio não seriam auditadas com os dados da Marcação de Eventos.
O DRA modifica esses atributos, portanto, você precisa selecionar os atributos que não são usados pelo DRA ou por qualquer outro aplicativo em seu ambiente.
Para obter mais informações sobre a Marcação de Eventos, consulte Como funciona a marcação de eventos.
A Sincronização do Azure permite assegurar o uso obrigatório de caracteres inválidos e de políticas de comprimento de caracteres para evitar falhas na sincronização de diretórios. A seleção desta opção garantirá que todas as propriedades sincronizadas com o Azure Active Directory restrinjam caracteres inválidos e assegurem o uso obrigatório de limites de comprimento de caracteres.
Para habilitar a Sincronização do Azure:
No painel esquerdo, clique em Configuration Management (Gerenciamento de Configurações).
Em Common Tasks (Tarefas Comuns) no painel direito, clique em Update Administration Server Options (Atualizar Opções do Servidor de Administração).
Na guia Sincronização do Azure, selecione Assegurar o uso obrigatório de políticas de caixa de correio online para caracteres inválidos e comprimento de caracteres.
Quando você habilita o suporte de vários gerentes para gerenciar um grupo, um dos dois atributos padrão é usado para armazenar os gerentes do grupo. O atributo ao executar o Microsoft Exchange é o atributo msExchCoManagedByLink. O atributo padrão quando não está executando o Microsoft Exchange é o atributo nonSecurityMember. A última opção pode ser modificada. No entanto, recomendamos que você contate o suporte técnico para determinar um atributo apropriado se precisar mudar essa configuração.
Para habilitar o suporte a vários gerentes para grupos:
No painel esquerdo, clique em Configuration Management (Gerenciamento de Configurações).
Em Common Tasks (Tarefas Comuns) no painel direito, clique em Update Administration Server Options (Atualizar Opções do Servidor de Administração).
Na guia Enable Support for Group Multiple Managers (Habilitar Suporte para Gerentes de Vários Grupos), marque a caixa de seleção Enable support for group’s multiple managers (Habilitar suporte para gerentes de vários grupos).
Esta função permite habilitar ou desabilitar o uso de comunicação criptografada entre o cliente de Delegação e Configuração e o servidor de Administração. Por padrão, o DRA criptografa senhas de contas. Esse recurso não criptografa as comunicações do Cliente da Web nem do PowerShell, que são tratadas separadamente por certificados do servidor.
Usar comunicações criptografadas pode afetar o desempenho. A comunicação criptografada está desativada por padrão. Se você habilitar essa opção, os dados serão criptografados durante a comunicação entre as interfaces do usuário e o servidor de Administração. O DRA usa a criptografia padrão da Microsoft para a Chamada de Procedimento Remoto (RPC).
Para habilitar as comunicações criptografadas, acesse Configuration Management (Gerenciamento de Configurações) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > guia General (Geral) e marque a caixa de seleção Encrypted Communications (Comunicações Criptografadas).
NOTA:Para criptografar todas as comunicações entre o servidor de Administração e as interfaces do usuário, você precisa ter os poderes apropriados, como aqueles na função integrada Configurar Servidores e Domínios.
Usando atributos virtuais, você pode criar novas propriedades e associá-las a usuários, grupos, grupos de distribuição dinâmica, contatos, computadores e unidades organizacionais. Os atributos virtuais permitem que você crie novas propriedades sem precisar estender o esquema do Active Directory.
Usando atributos virtuais, você pode adicionar novas propriedades a objetos no Active Directory. Você só pode criar, habilitar, desabilitar, associar e desassociar atributos virtuais no servidor de Administração principal. O DRA armazena os atributos virtuais criados no AD LDS. O DRA replica atributos virtuais no servidor de Administração principal para servidores de administração secundários durante o processo de sincronização do MMS.
Com os poderes apropriados, você pode gerenciar atributos virtuais. A função Gerenciar Atributos Virtuais confere poderes para criar, habilitar, associar, desassociar, desabilitar e exibir atributos virtuais.
Você precisa do poder Criar Atributos Virtuais para criar atributos virtuais e do poder Exibir Atributos Virtuais para exibir atributos virtuais.
Para criar um atributo virtual, acesse Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > nó Managed Attributes (Atributos Gerenciados) e clique em New Virtual Attribute (Novo Atributo Virtual) no menu Tarefas.
Você pode associar somente atributos virtuais habilitados a objetos do Active Directory. Depois de associar um atributo virtual a um objeto, o atributo virtual fica disponível como parte das propriedades do objeto.
Para expor atributos virtuais por meio das interfaces do usuário do DRA, você precisa criar uma página de propriedades personalizada.
Para associar um atributo virtual a um objeto, acesse o nó Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > Managed Attributes (Atributos Gerenciados), clique o botão direito do mouse no atributo virtual que você deseja usar e selecione Associate (Associar) > (tipo de objeto).
NOTA:
Você só pode associar atributos virtuais a usuários, grupos, grupos dinâmicos de distribuição, computadores, contatos e unidades organizacionais.
Quando você associa um atributo virtual a um objeto, o DRA cria automaticamente dois poderes personalizados padrão. Administradores assistentes exigem esses poderes personalizados para gerenciar o atributo virtual.
Você pode desassociar os atributos virtuais dos objetos do Active Directory. Nenhum novo objeto criado exibe o atributo virtual desassociado como parte das propriedades do objeto.
Para desassociar um atributo virtual de um objeto do Active Directory, acesse Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > Managed Classes (Classes Gerenciadas) > nó (tipo de objeto). Clique o botão direito do mouse no atributo virtual e selecione Disassociate (Desassociar).
Você pode desabilitar atributos virtuais se eles não estiverem associados a um objeto do Active Directory. Quando você desabilita um atributo virtual, os administradores não podem exibir ou associar o atributo virtual a um objeto.
Para desabilitar um atributo virtual, acesse Configuration Management (Gerenciamento de Configurações) > Managed Attributes (Atributos Gerenciados). Clique o botão direito do mouse no atributo desejado no painel de lista e selecione Disable (Desabilitar).
O servidor de Administração cria e mantém um cache de contas que contém partes do Active Directory para os domínios gerenciados. O DRA usa o cache de contas para melhorar o desempenho ao gerenciar contas de usuários, grupos, contatos e contas de computador.
Para programar um horário de atualização do cache ou exibir o status do cache, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
NOTA:Para executar atualizações de cache de contas incrementais em domínios que contenham subárvores gerenciadas, verifique se a conta de serviço tem acesso de leitura ao container Objetos Apagados, bem como a todos os objetos no domínio da subárvore. Você pode usar o utilitário de Objetos Apagados para verificar e delegar as permissões apropriadas.
Uma atualização de cache de contas incrementais atualiza apenas os dados que foram mudados desde a última atualização. A atualização incremental fornece uma maneira simplificada de acompanhar suas mudanças no Active Directory. Use a atualização incremental para atualizar rapidamente o cache de contas e, ao mesmo tempo, gerar o menor impacto em sua empresa.
IMPORTANTE:O Servidor da Microsoft limita o número de usuários simultâneos conectados à sessão do WinRM/WinRS a cinco e o número de shells por usuário a cinco de modo a garantir que a mesma conta do usuário seja limitada a cinco shells para servidores secundários do DRA.
Uma atualização incremental atualiza os seguintes dados:
Objetos novos e clonados
Objetos apagados e movidos
Membros do grupo
Todas as propriedades do objeto em cache para objetos modificados
Uma atualização completa do cache de contas recria o cache de contas do DRA para o domínio especificado.
NOTA:Enquanto uma Atualização do Cache de Contas Completas estiver em execução, o domínio ficará não disponível para os usuários do DRA.
Para atualizar o cache de contas, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configure Servers and Domains
(Configurar Servidores e Domínios).
Para executar uma atualização imediata do cache de contas completas:
Acesse Configuration Management (Gerenciamento de Configurações) > Managed Domains (Domínios Gerenciados).
Clique o botão direito do mouse no domínio desejado e selecione Propriedades.
Clique em Atualizar Agora na guia Full refresh (Atualização completa).
A frequência com que você deve atualizar o cache de contas depende da frequência com que sua empresa muda. Use a atualização incremental para atualizar o cache de contas com frequência, garantindo que o DRA tenha as informações mais atualizadas sobre o Active Directory.
Por padrão, o servidor de Administração executa uma atualização de cache de contas incrementais nos seguintes horários:
|
Tipo do domínio |
Horário de Atualização Programado Padrão |
|---|---|
|
Domínios Gerenciados |
A cada 5 minutos |
|
Domínios de confiança |
Todas as horas |
Não é possível programar um FACR; no entanto, o DRA executa um FACR automático nas seguintes circunstâncias:
Após configurar um domínio gerenciado pela primeira vez.
Após fazer upgrade do DRA para uma nova versão completa de uma versão anterior.
Após instalar um pacote de serviço do DRA.
A execução de uma atualização completa do cache de contas pode levar vários minutos.
Você precisa atualizar periodicamente o cache de contas para garantir que o DRA tenha as informações mais recentes. Antes de executar ou programar uma atualização do cache de contas, revise as seguintes considerações:
Para executar uma atualização de cache de contas incrementais, a conta de serviço ou conta de acesso do servidor de Administração deve ter permissão para acessar objetos apagados no Active Directory do domínio gerenciado ou de confiança.
Quando o DRA realiza uma atualização do cache de contas, o servidor de Administração não inclui grupos de segurança locais de domínio de domínios confiáveis. Como o cache não contém esses grupos, o DRA não permite adicionar um grupo de segurança local de domínio do domínio de confiança a um grupo local no servidor do membro gerenciado.
Se você omitir um domínio de confiança de uma atualização do cache de contas, o servidor de Administração também omitirá esse domínio da atualização da configuração do domínio.
Se você incluir um domínio de confiança anteriormente omitido na atualização do cache de contas, execute uma atualização completa do cache de contas para o domínio gerenciado. Isso garante que o cache de contas no servidor de Administração para o domínio gerenciado reflita corretamente os dados da participação do grupo em seus domínios gerenciados e confiáveis.
Se você definir o intervalo de atualização do cache de contas incrementais como Nunca, o servidor de Administração executará somente atualizações de cache de contas completas. Uma atualização completa do cache da conta pode levar algum tempo, durante o qual não é possível gerenciar objetos nesse domínio.
O DRA não pode determinar automaticamente quando as mudanças são feitas por meio de outras ferramentas, como o Microsoft Directory Services. Operações executadas fora do DRA podem afetar a precisão das informações em cache. Por exemplo, se você usar outra ferramenta para adicionar uma caixa de correio a uma conta do usuário, não será possível usar o Exchange para gerenciar essa caixa de correio até atualizar o cache de contas.
A execução de uma atualização completa do cache de contas apaga as últimas estatísticas de logon mantidas no cache. O servidor de Administração então coleta as informações de logon mais recentes de todos os controladores de domínio.
A coleta de Impressoras do AD está desabilitada por padrão. Para habilitá-la, acesse Configuration Management (Gerenciamento de Configurações) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > guia General (Geral) e marque a caixa de seleção Collect Printers (Coletar Impressoras).
Você pode configurar a atualização de limpeza do AD LDS para ser executada em uma programação para domínios específicos. A configuração padrão é “Nunca” atualizar. Você também pode exibir o status de limpeza e exibir informações específicas relacionadas à configuração do AD LDS (ADAM).
Para configurar a programação ou exibir o status da Limpeza do AD LDS, clique o botão direito do mouse no domínio desejado em Account and Resource Management (Gerenciamento de Conta e Recurso) > nó Todos os Meus Objetos Gerenciados e selecione Propriedades > Adlds Cleanup Refresh Schedule (Programação de Atualização de Limpeza do Adlds) ou Adlds Cleanup status (Status de limpeza do Adlds), respectivamente.
Para exibir as informações de configuração do AD LDS (ADAM), acesse Configuration Management (Gerenciamento de Configurações) > Update Server Options (Atualizar Opções do Servidor) > ADAM Configuration (Configuração do ADAM).
Um grupo dinâmico é aquele cuja participação muda com base em um conjunto definido de critérios que você configura nas propriedades do grupo. Em Propriedades do Domínio, você pode configurar a atualização do Grupo Dinâmico para ser executada em uma programação para domínios específicos. A configuração padrão é “Nunca” atualizar. Você também pode ver o status de atualização.
Para configurar a programação ou exibir o status da atualização do grupo dinâmico, clique o botão direito do mouse no domínio desejado em Account and Resource Management (Gerenciamento de Conta e Recurso) > nó Todos os Meus Objetos gerenciados e selecione Propriedades > Dynamic group refresh (Atualizar grupo dinâmico) ou Dynamic group status (Status do grupo dinâmico), respectivamente.
Para mais informações sobre grupos dinâmicos, consulte Grupos dinâmicos do DRA.
Você pode habilitar ou desabilitar a Lixeira para cada domínio ou objetos do Microsoft Windows em cada domínio e configurar quando e como deseja que a limpeza da Lixeira ocorra.
Para obter informações detalhadas sobre o uso da Lixeira, consulte Lixeira.
Você pode habilitar a Lixeira para domínios específicos do Microsoft Windows e para objetos dentro desses domínios. Por padrão, o DRA ativa a Lixeira para cada domínio gerenciado e todos os objetos do domínio. Você deve ser um membro do grupo Administradores do DRA ou Administradores de Configuração do DRA para habilitar a Lixeira.
Se o seu ambiente incluir a configuração a seguir, use o utilitário Recycle Bin para habilitar esse recurso:
O DRA está gerenciando uma subárvore desse domínio.
O serviço do servidor de Administração ou a conta de acesso não tem permissão para criar o container da Lixeira, mover contas para esse container e modificar contas nesse container.
Você também pode usar o utilitário Recycle Bin para verificar o serviço do servidor de Administração ou acessar as permissões da conta no container da Lixeira.
Para habilitar a Lixeira, clique o botão direito do mouse no domínio desejado no nó Lixeira e selecione Enable Recycle Bin (Habilitar Lixeira).
Você pode desabilitar a Lixeira para domínios específicos do Microsoft Windows e para objetos dentro desses domínios. Se uma Lixeira desabilitada tiver contas, não será possível exibir, apagar permanentemente nem restaurar essas contas.
Você precisa ser um membro do grupo de Administradores do DRA ou Administradores assistentes de Configuração do DRA para desabilitar a Lixeira.
Para desabilitar a Lixeira, clique o botão direito do mouse no domínio desejado no nó Lixeira e selecione Disable Recycle Bin (Desabilitar Lixeira).
A configuração padrão para a limpeza da Lixeira é diária. Você pode mudar essa configuração para limpar a Lixeira do domínio a cada x dias. Durante a limpeza programada, a Lixeira apaga objetos mais antigos do que o número de dias que você configurou para cada tipo de objeto. A configuração padrão para cada tipo é apagar objetos com mais de um dia. Você pode personalizar o comportamento da limpeza da Lixeira desabilitando, reabilitando e definindo a idade dos objetos a serem apagados para cada tipo de objeto.
Para configurar a limpeza da Lixeira, selecione o domínio desejado no console de Delegação e Configuração e acesse Tarefas > Propriedades > guia Lixeira.
As seções a seguir fornecem informações conceituais sobre os relatórios de Gerenciamento do DRA e os coletores de relatório que você pode habilitar. Para acessar o assistente em que você pode configurar os coletores, acesse Configuration Management (Gerenciamento de Configurações) > Update Reporting Service Configuration (Atualizar Configuração do Serviço Gerador de Relatórios).
O Active Directory Collector coleta um conjunto especificado de atributos do Active Directory para cada usuário gerenciado, grupo, contato, computador, OU e grupo de Distribuição Dinâmica no DRA. Esses atributos são armazenados no banco de dados do gerador de relatórios e são usados para gerar relatórios no Console Reporting (Gerador de Relatórios).
Você pode configurar o Active Directory Collector para especificar quais atributos são coletados e armazenados no banco de dados do gerador de relatórios. Você também pode configurar em qual servidor de Administração DRA o coletor será executado.
O DRA Collector coleta informações sobre sua configuração de DRA e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no console Reporting (Gerador de Relatórios).
Para habilitar o DRA Collector, você precisa especificar em qual servidor de Administração DRA o coletor será executado. Como prática recomendada, você deve programar o DRA Collector para ser executado após o Active Directory Collector ser executado com êxito e durante os períodos em que o servidor estiver menos carregado ou fora do horário normal de trabalho.
O Azure Tenant Collector coleta informações sobre usuários e grupos do Azure que estão sincronizados com o Azure Active Directory e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no Console do Gerador de Relatórios.
Para habilitar o Azure Tenant Coletor, você deve especificar em qual Servidor de administração DRA o coletor será executado.
NOTA:O locatário do Azure só poderá executar uma coleta bem-sucedida após o Active Directory Collector do domínio correspondente ter executado uma coleta bem-sucedida.
O Coletor de relatórios de gerenciamento coleta informações de auditoria de DRA e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no console Reporting (Gerador de Relatórios). Quando você habilita o coletor, é possível configurar com que frequência os dados são atualizados no banco de dados para que as consultas sejam executadas na ferramenta DRA Reporting.
Esta configuração exige que a conta de Serviço do DRA tenha a permissão sysadmin no SQL Server no servidor Gerador de Relatórios. As opções configuráveis são definidas abaixo:
Audit Export Data Interval: (Intervalo de Dados de Exportação de Auditoria) Esse é o intervalo em que os dados de auditoria do registro de rastreamento do DRA (LAS) são exportados para o banco de dados "SMCubeDepot" no SQL Server.
Management Report Summarization Interva: (lIntervalo de Resumo do Relatório de Gerenciamento) Esse é o intervalo em que os dados de auditoria do banco de dados do SMCubeDepot são enviados para o banco de dados do DRA Reporting, no qual podem ser consultados pela ferramenta DRA Reporting.
Você pode configurar o DRA para coletar as estatísticas do último logon de todos os controladores de domínio no domínio gerenciado. Para habilitar e programar a coleta de estatísticas do último logon, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Por padrão, o recurso de coleta de estatísticas do último logon está desabilitado. Se você deseja reunir dados estatísticos do último logon, deve habilitar esse recurso. Depois de habilitar a coleta de estatísticas do último logon, você pode exibir as estatísticas do último logon de um determinado usuário ou ver o status da última coleta de estatísticas de logon.
Para coletar as estatísticas do último logon:
Acesse Configuration Management (Gerenciamento de Configurações) > Managed Domains (Domínios Gerenciados).
Clique o botão direito do mouse no domínio desejado e selecione Propriedades.
Clique na guia Last logon schedule (Programação do último logon) para configurar a coleta de estatísticas do último logon.
O recurso Servidor do Histórico de Mudanças Unificado permite gerar relatórios para mudanças feitas fora do DRA.
Para gerenciar o Servidor do Histórico de Mudanças Unificado, designe a função Administração do Servidor do Histórico de Mudanças Unificado ou os poderes aplicáveis abaixo aos administradores assistentes:
Apagar configuração do servidor do histórico de mudanças unificado
Definir informações de configuração do Histórico de Mudanças Unificado
Exibir informações de configuração do Histórico de Mudanças Unificado
Para delegar poderes do Servidor de Histórico de Mudanças Unificado:
Clique em Poderes no nó de Gerenciamento de Delegação e use o recurso de objetos de pesquisa para encontrar e selecionar os poderes do UCH (Histórico de Mudanças Unificado) que você deseja.
Clique o botão direito do mouse em um dos poderes do UCH selecionados e selecione Delegar Funções e Poderes.
Pesquise o usuário, o grupo ou o grupo de administradores assistentes específico ao qual você deseja delegar poderes.
Use o Seletor de Objetos para localizar e adicionar os objetos desejados e clique em Roles and Powers (Funções e Poderes) no Assistente.
Clique em Telas Ativas e use o Seletor de Objetos para encontrar e adicionar as Telas Ativas que você deseja.
Clique em Next (Próximo) e em Finish (Terminar) para concluir o processo de delegação.
Para configurar Servidores do Histórico de Mudanças Unificado:
Efetue login no Console de Delegação e Configuração.
Expanda Gerenciamento de Configurações > Servidores de Integração.
Clique o botão direito do mouse em Histórico de Mudanças Unificado e selecione Novo Servidor do Histórico de Mudanças Unificado.
Especifique o nome do servidor do UCH ou o endereço IP, o número da porta, o tipo de servidor e os detalhes da conta de acesso na configuração do Histórico de Mudanças Unificado.
Teste a conexão do servidor e clique em Terminar para gravar a configuração.
Adicione outros servidores, se necessário.
Para gerenciar o Workflow, designe a função de Administração do Servidor de Automação de Workflow ou os poderes aplicáveis abaixo aos administradores assistentes:
Criar um Evento de Workflow e Modificar Todas as Propriedades
Apagar a Configuração do Servidor de Automação de Workflow
Definir Informações de Configuração do Servidor de Automação de Workflow
Iniciar o Workflow
Ver Todas as Propriedades de Eventos de Workflow
Ver Todas as Propriedades de Workflow
Ver Informações de Configuração do Servidor de Automação de Workflow
Para delegar poderes de configuração do servidor de Automação de Workflow:
Clique em Poderes no nó de Gerenciamento de Delegação e use o recurso de objetos de pesquisa para encontrar e selecionar os poderes de Workflow que você deseja.
Clique o botão direito do mouse em um dos poderes de Workflow selecionados e selecione Delegar Funções e Poderes.
Pesquise o usuário, o grupo ou o grupo de administradores assistentes específico ao qual você deseja delegar poderes.
Use o Seletor de Objetos para localizar e adicionar os objetos desejados e clique em Roles and Powers (Funções e Poderes) no Assistente.
Clique em Telas Ativas e use o Seletor de Objetos para encontrar e adicionar as Telas Ativas que você deseja.
Clique em Next (Próximo) e em Finish (Terminar) para concluir o processo de delegação.
Para usar a Automação de Workflow no DRA, você precisa instalar o Mecanismo de Workflow em um Servidor Windows e, em seguida, configurar o servidor de Automação de Workflow por meio do console de Delegação e Configuração.
Para configurar o servidor de Automação de Workflow:
Efetue login no Console de Delegação e Configuração.
Para saber mais sobre os poderes da Automação de Workflow, veja Delegando Poderes de Configuração do Servidor de Automação de Workflow.
Expanda Gerenciamento de Configurações > Servidores de Integração.
Clique o botão direito do mouse em Automação de Workflow e selecione Novo Servidor de Automação de Workflow.
No assistente Adicionar Servidor de Automação de Workflow, especifique os detalhes como nome do servidor, porta, protocolo e conta de acesso.
Teste a conexão do servidor e clique em Terminar para gravar a configuração.
Para obter informações sobre a instalação do Mecanismo de Workflow, consulte o Guia do Administrador de Automação de Workflow.
O DRA permite pesquisar objetos LDAP em domínios locais do Active Directory, como usuários, contatos, computadores, grupos e OUs do servidor LDAP. O servidor do DRA ainda lida com a operação e é o controlador de domínio em que a pesquisa é executada. Use os filtros de pesquisa para realizar pesquisas mais eficientes e eficazes. Além disso, você pode gravar a consulta de pesquisa para uso futuro e compartilhá-la com o público ou usá-la por sua conta, marcando-a como particular. Você pode editar as consultas gravadas. A função Consultas Avançadas do LDAP concede aos administradores assistentes poderes para criar e gerenciar consultas da Pesquisa do LDAP. Use os seguintes poderes para delegar a criação e o gerenciamento de consultas de Pesquisa do LDAP:
Criar Consulta Avançada Particular
Criar Consulta Avançada Pública
Apagar a Consulta Avançada Pública
Executar a Consulta Avançada
Executar e Gravar a Consulta Avançada
Modificar a Consulta Pública
Ver a Consulta Avançada
Para delegar poderes de Consulta LDAP:
Clique em Poderes no nó de Gerenciamento de Delegação e use o recurso de objetos de pesquisa para encontrar e selecionar os poderes das Consultas LDAP Avançadas que você deseja.
Clique o botão direito do mouse em um dos poderes LDAP selecionados e selecione Delegar Funções e Poderes.
Pesquise o usuário, o grupo ou o grupo de administradores assistentes específico ao qual você deseja delegar poderes.
Use o Seletor de Objetos para localizar e adicionar os objetos desejados e clique em Roles and Powers (Funções e Poderes) no Assistente.
Clique em Telas Ativas e use o Seletor de Objetos para encontrar e adicionar as Telas Ativas que você deseja.
Clique em Next (Próximo) e em Finish (Terminar) para concluir o processo de delegação.
Para acessar o recurso de pesquisa no Console da Web, navegue até Gerenciamento > Pesquisa do LDAP.