3.5 Requisitos de extensões REST, Servidor de administração DRA e console da Web

Os componentes do DRA têm os seguintes requisitos de contas e software:

3.5.1 Requisitos de software

Componente	Pré-requisitos
Destino de Instalação Sistema Operacional	Sistema operacional do Servidor de Administração da NetIQ: Microsoft Windows Server 2012 R2, 2016, 2019 NOTA:O servidor também deve ser um membro de um domínio local suportado do Microsoft Active Directory. Interfaces do DRA: Microsoft Windows Server 2012 R2, 2016, 2019 Microsoft Windows 8.1 (x86 e x64), 10 (x86 e x64)
Instalador	Microsoft .NET Framework 4.6.2 e superior
Servidor de Administração	Directory and Resource Administrator: Microsoft .NET Framework 4.6.2 e superior Pacotes Redistribuíveis do Microsoft Visual C++ 2013 (x64) e Pacotes Redistribuíveis do Microsoft Visual C++ 2017 (Atualização 3) (x64 e x86) Enfileiramento de Mensagens da Microsoft Funções do Microsoft Active Directory Lightweight Directory Services Serviço de Registro Remoto iniciado Módulo de regravação de URL dos Serviços de Informações da Internet da Microsoft Roteamento de solicitações de aplicativo dos Serviços de Informações da Internet da Microsoft Administração do Microsoft Office 365/Exchange Online: Módulo do Microsoft Azure Active Directory para o Windows PowerShell Skype for Business Online, módulo do Windows PowerShell Para obter mais informações, veja Plataformas suportadas.
Interface do Usuário	Interfaces do DRA: Microsoft .NET Framework 4.6.2 Pacotes redistribuíveis (x64 e x86) do Microsoft Visual C++ 2017 (Atualização 3)
Serviço de host do DRA	Microsoft .NET Framework 4.6.2 Servidor de administração DRA
Serviço e endpoint REST do DRA	Microsoft .NET Framework 4.6.2
Extensões do PowerShell	Microsoft .NET Framework 4.6.2 PowerShell 5.1 ou posterior
Console da Web do DRA	Servidor Web: Microsoft .NET Framework 4.x > Serviços WCF > Ativação HTTP Microsoft Internet Information Server 8.0, 8.5, 10 Módulo de regravação de URL dos Serviços de Informações da Internet da Microsoft Roteamento de solicitações de aplicativo dos Serviços de Informações da Internet da Microsoft Componentes do Microsoft IIS: Servidor Web Recursos HTTP comuns Conteúdo estático Documento padrão Browser do diretório Erros HTTP Desenvolvimento de Aplicativo ASP Saúde e diagnóstico Registro HTTP Monitor de solicitações Segurança Autenticação básica Desempenho Compressão de conteúdo estático Ferramentas de gerenciamento de servidor Web

3.5.2 Domínio do servidor

Componente	Sistemas operacionais
Servidor do DRA	Microsoft Windows Server 2019 Microsoft Windows Server 2016 Microsoft Windows Server 2012 R2

3.5.3 Requisitos da conta

Conta	Descrição	Permissões
Grupo AD LDS	A conta do serviço DRA precisa ser adicionada a este grupo para acesso ao AD LDS	Grupo de segurança local do domínio
Conta de serviço do DRA	As permissões necessárias para executar o Serviço de Administração da NetIQ	Para permissões para “Usuários de COM Distribuído” Membro do Grupo de Admin do AD LDS Grupo de operadores de conta Grupos de arquivos de registro (OnePointOp ConfgAdms e OnePointOp) Uma das seguintes opções, encontradas na guia Conta > Opções de conta, deverá ser selecionada para o usuário da conta do serviço DRA se a instalação do DRA em um servidor for feita usando a metodologia STIG: Criptografia Kerberos AES de 128 bits Criptografia Kerberos AES de 256 bits NOTA: Para obter mais informações sobre como configurar contas de acesso a domínio com privilégios mínimos, veja: Contas de acesso do DRA com privilégios mínimos. Para obter mais informações sobre como configurar uma Conta de Serviço Gerenciado de Grupo para DRA, veja: “Configurando Serviços do DRA para uma conta de Serviço Gerenciado de Grupo”
Administrador do DRA	Conta do usuário ou grupo provisionado na função incorporada de administrador do DRA	Grupo de segurança local do domínio ou conta do usuário do domínio Membro do domínio gerenciado ou um domínio confiável Se você especificar uma conta de um domínio confiável, verifique se o computador do servidor de Administração pode autenticá-la.
Contas de Admin Assistente do DRA	Contas às quais serão delegados poderes via DRA	Adicione todas as contas de Admin Assistente do DRA ao grupo “Usuários de COM Distribuído” de modo que elas possam se conectar ao Servidor do DRA por meio de clientes remotos. Isso é necessário somente quando você está usando o thick client ou o Console de Delegação e Configuração. NOTA:O DRA pode ser configurado para gerenciar isso para você durante a instalação.

3.5.4 Contas de acesso do DRA com privilégios mínimos

Abaixo estão as permissões e privilégios necessários para as contas especificadas e os comandos de configuração que você precisa executar.

Conta de acesso a domínio: Ao utilizar o Editor ADSI, conceda à conta de Acesso ao Domínio as seguintes Permissões do Active Directory no nível de domínio superior para os seguintes tipos de objeto descendentes:

Controle TOTAL sobre objetos builtInDomain
Controle TOTAL sobre objetos Computador
Controle TOTAL sobre objetos Ponto de Conexão
Controle TOTAL sobre objetos de Contato
Controle TOTAL sobre objetos de Container
Controle TOTAL sobre objetos Grupo
Controle TOTAL sobre objetos InetOrgPerson
Controle TOTAL sobre objetos MsExchDynamicDistributionList
Controle TOTAL sobre objetos MsExchSystemObjectsContainer
Controle TOTAL sobre objetos Unidade Organizacional
Controle TOTAL sobre objetos Impressora
Controle TOTAL sobre objetos publicFolder
Controle TOTAL sobre objetos Pasta Compartilhada
Controle TOTAL sobre objetos Usuário

Conceda à conta de Acesso ao Domínio as seguintes permissões do Active Directory no nível de domínio superior para este objeto e todos os objetos descendentes:

Permitir a criação de objetos Computador
Permitir a criação de objetos Contato
Permitir a criação de objetos Container
Permitir a criação de objetos Grupo
Permitir a criação de objetos MsExchDynamicDistributionList
Permitir a criação de objetos Unidade Organizacional
Permitir a criação de objetos publicFolders
Permitir a criação de objetos Pasta Compartilhada
Permitir a criação de objetos Usuário
Permitir o apagamento de objetos Computador
Permitir o apagamento de objetos Contato
Permitir o apagamento de Container
Permitir o apagamento de objetos Grupo
Permitir o apagamento de objetos InetOrgPerson
Permitir o apagamento de objetos MsExchDynamicDistributionList
Permitir o apagamento de objetos Unidade Organizacional
Permitir o apagamento de objetos publicFolders
Permitir o apagamento de objetos Pasta Compartilhada
Permitir o apagamento de objetos Usuário

NOTA:

Por padrão, alguns objetos container Incorporados do Active Directory não herdam permissões do nível superior do domínio. Por esse motivo, tais objetos exigirão que a herança esteja habilitada ou que permissões explícitas sejam definidas.
Se o Servidor REST não estiver instalado no mesmo servidor que o Servidor de administração DRA, a conta de Serviço REST em execução deverá ter controle total sobre o Servidor REST no Active Directory. Por exemplo, definir controle TOTAL sobre CN=DRARestServer,CN=System,DC=myDomain,DC=com

Conta de Acesso ao Exchange: Para gerenciar objetos locais do Microsoft Exchange, designe a função de Gerenciamento Organizacional à Conta de Acesso ao Exchange e a Conta de Acesso ao Exchange ao grupo de Operadores de Conta.

Conta de Acesso ao Skype: Verifique se essa conta é um usuário habilitado para o Skype e que é um membro de pelo menos uma das seguintes opções:

Função CSAdministrator
Ambas as funções CSUserAdministrator e CSArchiving

Conta de Acesso à Pasta Pública: Atribua as permissões do Active Directory a seguir à conta de acesso à pasta pública:

Gerenciamento de Pasta Pública
Pastas Públicas Habilitadas para E-mail

Conta de Acesso de Locatário do Azure: Designe as permissões do Azure Active Directory a seguir à Conta de Acesso de Locatário do Azure:

Grupos de Distribuição
Destinatários de Correio
Criação de Destinatário de Correio
Criação e Participação em Grupo de Segurança
(Opcional) Administrador do Skype for Business

Se você quiser gerenciar o Skype for Business Online, designe poderes de administrador do Skype for Business à conta de acesso de locatário do Azure.
Administrador de Usuários

Permissões de Conta de Serviço de Administração da NetIQ:

Administradores Locais
Conceda à conta de anulação com o mínimo de privilégios “Permissão Total” em pastas de compartilhamento ou pastas DFS em que Diretórios pessoais são provisionados.
Gerenciamento de Recursos: Para gerenciar recursos publicados em um domínio gerenciado do Active Directory, é necessário conceder permissões de administração local desses recursos à conta de Acesso do Domínio.

Após a instalação do DRA: Após os domínios necessários terem sido adicionados ou estarem sendo gerenciados pelo DRA, execute os seguintes comandos:

Para delegar a permissão para o “Container de Objetos Apagados” da pasta Instalação do DRA (observação: o comando deve ser executado por um administrador do domínio):

DraDelObjsUtil.exe /domain:<nome_do_domínio_netbios> /delegate:<nome_da_conta>
Para delegar permissão para a “OU NetIQReceyleBin” da pasta de Instalação do DRA:

DraRecycleBinUtil.exe /domain:<nome_do_domínio_netbios> /delegate:<nome_da_conta>

Acesso remoto ao SAM: Designe os Controladores de Domínio ou servidores membros gerenciados pelo DRA para habilitar as contas listadas na configuração de GPO abaixo, de modo que elas possam fazer consultas remotas ao banco de dados do SAM (Security Account Manager – Gerenciador de Contas de Segurança). A configuração precisa incluir a conta do serviço DRA.

Acesso à rede: Restringir os clientes com permissão de fazer chamadas remotas ao SAM

Para acessar essa configuração, faça o seguinte:

Abra o console de Gerenciamento de Políticas de Grupo no controlador de domínio.
Expanda Domínios > [controlador de domínio] > Objetos Política de Grupo na árvore de nós.
Clique o botão direito do mouse em Política de Controladores de Domínio Padrão e selecione Editar para abrir o editor de GPO para essa política.
Expanda Configuração do Computador > Políticas > Configurações do Windows > Configurações de Segurança > Políticas Locais na árvore de nós do editor de GPO.
Clique duas vezes em Acesso à rede: Restringir os clientes com permissão de fazer chamadas remotas ao SAM no painel de políticas e selecione Definir esta configuração de política.
Clique em Editar Segurança e habilite Permitir para o Acesso Remoto. Adicione uma conta do serviço DRA se ela ainda não estiver incluída como um usuário ou como parte do grupo de administradores.
Aplique as mudanças. Isso adicionará o descritor de segurança, O:BAG:BAD:(A;;RC;;;BA) , às configurações da política.

Para obter mais informações, consulte o artigo 7023292 da Base de Conhecimento.