3.5 Requisitos do Servidor de administração DRA, Console da Web e Extensões REST

Os componentes do DRA exigem os seguintes softwares e contas:

3.5.1 Requisitos de software

Componente	Pré-requisitos
Destino de Instalação Sistema Operacional	Sistema operacional do Servidor de Administração da NetIQ: Microsoft Windows Server 2012 R2, 2016, 2019 NOTA:O servidor também deve ser membro de um domínio suportado do Active Directory local da Microsoft. Interfaces do DRA: Microsoft Windows Server 2012 R2, 2016, 2019 Microsoft Windows 8.1 (x86 e x64), 10 (x86 e x64)
Instalador	Microsoft .NET Framework 4.6.2 e superior
Servidor de Administração	Directory and Resource Administrator: Microsoft .NET Framework 4.6.2 e superior Pacotes Redistribuíveis do Microsoft Visual C++ 2013 (x64) e Pacotes Redistribuíveis do Microsoft Visual C++ 2017 (Atualização 3) (x64 e x86) Enfileiramento de Mensagens da Microsoft Funções do Microsoft Active Directory Lightweight Directory Services Serviço de Registro Remoto iniciado Módulo de Regravação de URL dos Serviços de Informações da Internet da Microsoft Roteamento de solicitação de aplicativo dos Serviços de Informações da Internet da Microsoft Administração do Microsoft Office 365/Exchange Online: Módulo do Microsoft Azure Active Directory para o Windows PowerShell Skype for Business Online, módulo do Windows PowerShell Para obter mais informações, veja Plataformas suportadas.
Interface do Usuário	Interfaces do DRA: Microsoft .NET Framework 4.6.2 Pacotes Redistribuíveis (x64 e x86) do Microsoft Visual C++ 2017 (Atualização 3)
Serviço de Host do DRA	Microsoft .NET Framework 4.6.2 Servidor de administração DRA
Serviço e endpoint REST do DRA	Microsoft .NET Framework 4.6.2
Extensões do PowerShell	Microsoft .NET Framework 4.6.2 PowerShell 5.1 ou posterior
Console da Web do DRA	Servidor Web: Microsoft .NET Framework 4.x > Serviços WCF > Ativação HTTP Microsoft Internet Information Server 8.0, 8.5, 10 Módulo de Regravação de URL dos Serviços de Informações da Internet da Microsoft Roteamento de solicitação de aplicativo dos Serviços de Informações da Internet da Microsoft Componentes do Microsoft IIS: Servidor Web Recursos HTTP comuns Conteúdo estático Documento padrão Browser do diretório Erros HTTP Desenvolvimento de Aplicativo ASP Saúde e diagnóstico Registro HTTP Monitor de solicitações Segurança Autenticação básica Desempenho Compressão de conteúdo estático Ferramentas de gerenciamento de servidor Web

3.5.2 Domínio do servidor

Componente	Sistemas Operacionais
Servidor do DRA	Microsoft Windows Server 2019 Microsoft Windows Server 2016 Microsoft Windows Server 2012 R2

3.5.3 Requisitos da conta

Conta	Descrição	Permissões
Grupo AD LDS	A conta do serviço DRA precisa ser adicionada a este grupo para acesso ao AD LDS	Grupo de segurança local do domínio
Conta de serviço do DRA	As permissões necessárias para executar o Serviço de Administração da NetIQ	Para Permissões de “Usuários de COM Distribuído” Membro do Grupo de Admin do AD LDS Grupo de operadores de conta Grupos de arquivos de registro (OnePointOp ConfgAdms e OnePointOp) Uma das seguintes opções na guia Conta > Opções da conta deve ser selecionada para o usuário da conta de serviço do DRA caso o DRA esteja sendo instalado em um servidor com a metodologia STIG: Criptografia Kerberos AES de 128 bits Criptografia Kerberos AES de 256 bits NOTA: Para obter mais informações sobre como configurar contas de acesso ao domínio com privilégios mínimos, veja: Contas de acesso do DRA com privilégios mínimos. Para obter mais informações sobre como configurar uma Conta de Serviço Gerenciada por Grupo para o DRA, veja: “Configurando Serviços do DRA para uma Conta de Serviço Gerenciada por Grupo”
Administrador do DRA	Conta do usuário ou grupo provisionado na função incorporada de administrador do DRA	Grupo de segurança local do domínio ou conta do usuário do domínio Membro do domínio gerenciado ou um domínio confiável Se você especificar uma conta de um domínio confiável, verifique se o computador do servidor de Administração pode autenticá-la.
Contas de Admin Assistente do DRA	Contas às quais serão delegados poderes por meio do DRA	Adicione todas as contas de Admin Assistente do DRA ao grupo “Usuários de COM Distribuído” para que elas possam se conectar com o Servidor do DRA por meio de clientes remotos. Isso é necessário somente quando você está usando o thick client ou o console de Delegação e Configuração. NOTA:O DRA pode ser configurado para gerenciar isso para você durante a instalação.

3.5.4 Contas de acesso do DRA com privilégios mínimos

Abaixo estão as permissões e privilégios necessários para as contas especificadas e os comandos de configuração que você precisa executar.

Conta de acesso a domínio: Ao utilizar o Editor ADSI, conceda à conta de Acesso ao Domínio as seguintes Permissões do Active Directory no nível superior do domínio para os seguintes tipos de objetos descendentes:

Controle TOTAL sobre objetos builtInDomain
Controle TOTAL sobre objetos Computador
Controle TOTAL sobre objetos Ponto de Conexão
Controle TOTAL sobre objetos de Contato
Controle TOTAL sobre objetos de Container
Controle TOTAL sobre objetos Grupo
Controle TOTAL sobre objetos InetOrgPerson
Controle TOTAL sobre objetos MsExchDynamicDistributionList
Controle TOTAL sobre objetos MsExchSystemObjectsContainer
Controle TOTAL sobre objetos Unidade Organizacional
Controle TOTAL sobre objetos Impressora
Controle TOTAL sobre objetos publicFolder
Controle TOTAL sobre objetos Pasta Compartilhada
Controle TOTAL sobre objetos Usuário

Conceda à conta de Acesso ao Domínio as seguintes Permissões do Active Directory no nível superior do domínio para este objeto e todos os objetos descendentes:

Permitir a criação de objetos Computador
Permitir a criação de objetos Contato
Permitir a criação de objetos Container
Permitir a criação de objetos Grupo
Permitir a criação de objetos MsExchDynamicDistributionList
Permitir a criação de objetos Unidade Organizacional
Permitir a criação de objetos publicFolders
Permitir a criação de objetos Pasta Compartilhada
Permitir a criação de objetos Usuário
Permitir o apagamento de objetos Computador
Permitir o apagamento de objetos Contato
Permitir o apagamento de Container
Permitir o apagamento de objetos Grupo
Permitir o apagamento de objetos InetOrgPerson
Permitir o apagamento de objetos MsExchDynamicDistributionList
Permitir o apagamento de objetos Unidade Organizacional
Permitir o apagamento de objetos publicFolders
Permitir o apagamento de objetos Pasta Compartilhada
Permitir o apagamento de objetos Usuário

NOTA:

Por padrão, alguns objetos container Incorporados do Active Directory não herdam permissões do nível superior do domínio. Por esse motivo, esses objetos exigirão que a herança seja habilitada ou que permissões explícitas sejam definidas.
Se o Servidor REST não estiver instalado no mesmo servidor que o Servidor de administração DRA, a conta de Serviço REST em execução deverá ter controle total sobre o Servidor REST no Active Directory. Por exemplo, defina o controle TOTAL sobre CN=DRARestServer,CN=System,DC=myDomain,DC=com

Conta de Acesso do Exchange: Para gerenciar objetos locais do Microsoft Exchange, designe a função de Gerenciamento Organizacional à Conta de Acesso do Exchange e a Conta de Acesso do Exchange ao grupo Operadores de Contas.

Conta de Acesso ao Skype: Verifique se essa conta é um usuário habilitado para o Skype e que é um membro de pelo menos uma das seguintes opções:

Função CSAdministrator
Ambas as funções CSUserAdministrator e CSArchiving

Conta de Acesso à Pasta Pública: Atribua as permissões do Active Directory a seguir à conta de acesso à pasta pública:

Gerenciamento de Pasta Pública
Pastas Públicas Habilitadas para E-mail

Conta de Acesso do Locatário do Azure: Designe as permissões do Azure Active Directory a seguir à Conta de Acesso do Locatário do Azure:

Grupos de Distribuição
Destinatários de Correio
Criação de Destinatário de Correio
Criação e Participação em Grupos de Segurança
(Opcional) Administrador do Skype for Business

Se deseja gerenciar o Skype for Business Online, designe o poder de Administrador do Skype for Business à conta de acesso do locatário do Azure.
Administrador de Usuários

Permissões da Conta de Serviço de Administração da NetIQ:

Administradores Locais
Conceda à conta de anulação com o mínimo de privilégios “Permissão Total” em pastas de compartilhamento ou em pastas DFS em que os Diretórios pessoais são provisionados.
Gerenciamento de Recursos: Para gerenciar recursos publicados em um domínio gerenciado do Active Directory, a conta de Acesso ao Domínio deve receber permissões de administração local nesses recursos.

Após a instalação do DRA: Depois que os domínios necessários forem adicionados ou estiverem sendo gerenciados pelo DRA, execute os seguintes comandos:

Para delegar a permissão para o “Container de Objetos Apagados” da pasta de Instalação do DRA (Nota: o comando deve ser executado por um administrador do domínio):

DraDelObjsUtil.exe /domain:<NomeDeDomínioNetbios> /delegate:<Nome da Conta>
Para delegar permissão para a “NetIQRecycleBin OU” da pasta de Instalação do DRA:

DraRecycleBinUtil.exe /domain:<NomeDeDomínioNetbios> /delegate:<NomeDaConta>

Acesso Remoto ao SAM: Designe a Controladores de Domínio ou servidores membros gerenciados pelo DRA a habilitação das contas listadas na configuração de GPO abaixo, para que possam fazer consultas remotas ao banco de dados do SAM (Security Account Manager – Gerenciador de Conta de Segurança). A configuração precisa incluir a conta de serviço do DRA.

Acesso à rede: Restrinja os clientes com permissão para fazer chamadas remotas para o SAM

Para acessar essa configuração, faça o seguinte:

Abra o console de Gerenciamento de Políticas de Grupo no controlador de domínio.
Expanda Domínios > [controlador de domínio] > Objetos Política de Grupo na árvore do nó.
Clique o botão direito do mouse em Política Padrão de Controladores de Domínio e selecione Editar para abrir o editor de GPO para esta política.
Expanda Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Políticas Locais na árvore do nó do editor de GPO.
Clique duas vezes em Acesso à rede: Restrinja os clientes com permissão para fazer chamadas remotas para o SAM no painel de políticas e selecione Definir esta configuração de política.
Clique em Editar Segurança e habilite Permitir para o Acesso Remoto. Adicione a conta de serviço do DRA se ainda não estiver incluída como usuário ou parte do grupo de administradores.
Aplique as mudanças. Isso adicionará o descritor de segurança, O:BAG:BAD:(A;;RC;;;BA) às configurações da política.

Para obter mais informações, veja o artigo 7023292 da Base de Conhecimento.