Esta seção descreve as etapas de configuração necessárias se você estiver instalando o Directory and Resource Administrator pela primeira vez.
Use a lista de verificação a seguir para guiá-lo na configuração do DRA para a primeira utilização.
|
Etapas |
Mais informações |
|---|---|
|
Instalar uma licença do DRA |
Use o Utilitário de Verificação de Saúde para aplicar uma licença do DRA. Para obter mais informações sobre licenças do DRA, veja Requisitos para licenciamento. |
|
Configurar os recursos e servidores do DRA |
Configure o MMS, clone exceções, replicação de arquivos, Marcação de Eventos, armazenamento em cache, AD LDS, grupos dinâmicos, a Lixeira, gerador de relatórios, Histórico de Mudanças Unificado e o Servidor de Workflow. |
|
Configurar o Cliente de Delegação e Configuração |
Configure o modo como os itens são acessados e exibidos no Cliente de Delegação e Configuração. |
|
Configurar o Cliente da Web |
Configure o logout automático, certificados, conexões de servidor e componentes de autenticação |
O DRA requer um arquivo de chave de licença. Esse arquivo contém suas informações de licença e está instalado no servidor de Administração. Após instalar o servidor de administração, use o utilitário de verificação de saúde para instalar o arquivo da chave de licença de avaliação (TrialLicense.lic) fornecido a você pela NetIQ Corporation.
Para fazer upgrade de uma licença de avaliação ou de uma licença existente, abra o console de Delegação e Configuração e navegue até Gerenciamento de Configurações > Atualizar Licença. Ao fazer upgrade da sua licença, faça upgrade do arquivo de licença em cada servidor de Administração.
Você pode ver a licença do produto por meio do console de Delegação e Configuração ou do console de Gerenciamento de Conta e Recurso. Para ver a licença do seu produto, acesse o menu File (Arquivo) > DRA Properties (Propriedades do DRA) > License (Licença).
O gerenciamento de acesso com menos privilégios para tarefas do Active Directory usando o DRA tem muitos componentes e processos que precisam ser configurados. Isso inclui configurações gerais e de componentes do cliente. Esta seção fornece informações sobre os componentes e processos gerais que precisam ser configurados para o DRA.
Um ambiente MMS usa vários servidores de administração para gerenciar o mesmo conjunto de domínios e servidores membros. Um MMS consiste em um servidor de administração principal e vários servidores de administração secundários.
O modo padrão para o servidor de Administração é Principal. Ao adicionar servidores secundários ao seu ambiente MMS, lembre-se de que um servidor de Administração secundário pode pertencer a apenas um conjunto de servidores.
Para verificar se cada servidor no conjunto está gerenciando os mesmos dados, sincronize periodicamente os servidores secundários com o servidor de Administração principal. Para reduzir a manutenção, use a mesma conta de serviço para todos os servidores de Administração na floresta de domínio.
IMPORTANTE:
Ao instalar o servidor secundário, selecione Servidor de Administração Secundário no instalador.
A versão do DRA do novo servidor secundário deve ser a mesma do Servidor Principal do DRA de modo que todos os recursos que estão disponíveis no Servidor Principal também estejam disponíveis no Servidor Secundário.
Você pode adicionar um servidor de Administração secundário a um MMS existente no Cliente de Delegação e Configuração. Para adicionar um servidor secundário, você precisa ter os poderes apropriados, como aqueles incluídos na função interna Configurar Servidores e Domínios.
NOTA:Para adicionar com sucesso um novo servidor secundário, você precisa primeiro instalar o produto Directory and Resource Administrator no computador do servidor de Administração. Para obter mais informações, veja Instalar o Servidor de Administração do DRA.
Para adicionar um servidor de Administração secundário, clique o botão direito do mouse em Administration Server (Servidor de Administração) no nó Configuration Management (Gerenciamento de Configurações) e selecione Add Secondary Server (Adicionar Servidor Secundário).
Você pode promover um servidor de Administração secundário para um servidor de Administração principal. Quando você promove um servidor de Administração secundário para um servidor de Administração principal, o servidor de Administração principal existente se torna um servidor de Administração secundário no conjunto de servidores. Para promover um servidor de Administração secundário, você precisa ter os poderes apropriados, como aqueles incluídos na função Configurar Servidores e Domínios incorporados. Antes de promover um servidor de Administração secundário, sincronize o MMS para que ele tenha a configuração mais recente.
Para obter informações sobre como sincronizar o MMS, consulte Programando a sincronização.
NOTA:Um servidor principal recém-promovido só pode se conectar a servidores secundários que estavam disponíveis durante o processo de promoção. Se um servidor secundário ficar não disponível durante o processo de promoção, entre em contato com o Suporte técnico.
Para promover um servidor de Administração secundário:
Navegue até o nó Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração).
No painel direito, selecione o servidor de Administração secundário que você deseja promover.
No menu Tarefas, clique em Advanced (Avançado) > Promote Server (Promover Servidor).
IMPORTANTE:Quando a conta de Serviço do Servidor secundário é diferente do Servidor principal ou o Servidor secundário está instalado em um domínio diferente do Servidor principal (Domínios confiáveis/domínios não confiáveis) e você promove o Servidor secundário, delegue as seguintes funções antes de promover o Servidor secundário: Audit All Objects (Auditar Todos os Objetos), Configure Servers and Domains (Configurar Servidores e Domínios) e Generate UI Reports (Gerar Relatórios de Interface do Usuário). Em seguida, verifique se as sincronizações do MMS foram bem-sucedidas.
Você pode retroceder um servidor de Administração principal para um servidor de Administração secundário. Para retroceder um servidor de Administração principal, você deve ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Para retroceder um servidor de Administração principal:
Navegue até o nó Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração).
No painel direito, selecione o servidor de Administração principal que você deseja retroceder.
No menu Tarefas, clique em Advanced (Avançado) > Demote Server (Retroceder Servidor).
Especifique o computador que você deseja designar como o novo servidor de Administração principal e clique em OK.
A sincronização garante que todos os servidores de Administração no MMS usem os mesmos dados de configuração. Embora você possa sincronizar manualmente os servidores a qualquer momento, a programação padrão é definida para sincronizar o MMS a cada 4 horas. Você modifica essa programação para adaptá-la às necessidades de sua empresa.
Para modificar a programação de sincronização ou para sincronizar manualmente os servidores do MMS, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Para acessar a programação de sincronização ou para sincronizações manuais, acesse Configuration Management (Gerenciamento de Configurações) > Administration Servers (Servidores de Administração) e use o menu Tarefas ou clique o botão direito do mouse nas opções em um servidor selecionado. A programação de sincronização está nas Propriedades de um servidor selecionado.
Entendendo as opções de sincronização
Existem basicamente quatro opções diferentes para sincronizar servidores do MMS:
Selecionar o servidor principal e sincronizar todos os servidores secundários “Synchronize All Servers” (Sincronizar Todos os Servidores)
Selecionar um servidor secundário e sincronizar apenas esse servidor
Configurar a programação de sincronização para servidores principais e secundários de modo independente
Configure a programação de sincronização para todos os servidores. Essa opção é habilitada quando você tem a seguinte configuração selecionada na programação de sincronização do servidor principal:
Configure secondary Administration servers when refreshing the primary Administration server (Configurar servidores de Administração secundários ao atualizar o servidor de Administração principal)
NOTA:Se você desmarcar essa opção, os arquivos de configuração serão copiados para os servidores secundários na programação principal, mas não serão carregados pelo secundário naquele momento; eles serão carregados com base na programação configurada no servidor secundário. Isso é útil se os servidores estão em fusos horários diferentes. Por exemplo, você pode configurar todos os servidores para atualizar suas configurações no meio da noite, mesmo que esse seja um horário diferente por causa dos fusos horários.
As exceções de clonagem permitem que você defina propriedades para usuários, grupos, contatos e computadores que não serão copiados quando um desses objetos for clonado.
Com os poderes apropriados, você pode gerenciar as exceções de clonagem. A função Manage Clone Exceptions (Gerenciar Exceções de Clonagem) concede poderes para ver, criar e apagar exceções de clonagem.
Para exibir ou apagar uma exceção de clonagem existente ou para criar uma nova exceção de clonagem, navegue até Configuration Management (Gerenciamento de Configurações) > Clone Exceptions (Exceções de Clonagem) > Tarefas ou clique o botão direito do mouse no menu.
Quando você cria ferramentas personalizadas, pode ser necessário instalar arquivos de suporte usados pela ferramenta personalizada no computador do cliente DRA antes que ela possa ser executada. Você pode usar os recursos de replicação de arquivos DRA para replicar rápida e facilmente os arquivos de suporte de ferramentas personalizadas do servidor de Administração principal para os servidores de Administração secundários no MMS, bem como para os computadores cliente do DRA. A replicação de arquivos também pode ser usada para replicar scripts acionadores de servidores principais para secundários.
Você pode usar ferramentas personalizadas e replicação de arquivos para verificar se os computadores cliente do DRA podem acessar arquivos de ferramentas personalizadas. O DRA replica arquivos de ferramentas personalizadas para servidores de Administração secundários para garantir que os computadores cliente do DRA conectando-se a servidores de Administração secundários possam acessar ferramentas personalizadas.
O DRA replica os arquivos da ferramenta personalizada no servidor de Administração principal para servidores de Administração secundários durante o processo de sincronização do MMS. O DRA faz o download dos arquivos de ferramentas personalizadas para computadores cliente do DRA quando eles se conectam aos servidores de Administração.
NOTA:O DRA faz o download dos arquivos da ferramenta personalizada para o seguinte local nos computadores cliente do DRA:
{DRAInstallDir} \{MMS ID}\Download
MMSID é a identificação do conjunto multimaster do qual o DRA faz o download dos arquivos da ferramenta personalizada.
Ao fazer o upload de arquivos para o servidor de Administração principal, você especifica os arquivos dos quais deseja fazer upload e replicar entre o servidor de Administração principal e todos os servidores de Administração secundários no conjunto do MMS. O DRA permite fazer o upload de arquivos de biblioteca, arquivos de script e arquivos executáveis.
A função Replicar Arquivos permite replicar arquivos do servidor de Administração principal para os servidores de Administração secundários nos computadores cliente do DRA e também do MMS. A função Replicar Arquivo contém os seguintes poderes:
Apagar Arquivos do Servidor: Esse poder permite que o DRA apague arquivos que não existem mais no servidor de Administração principal, em servidores de Administração secundários e em computadores cliente do DRA.
Definir Informações do Arquivo: Esse poder permite que o DRA atualize as informações do arquivo para arquivos nos servidores de Administração secundários.
Fazer Upload dos Arquivos para o Servidor: Esse poder permite que o DRA faça upload de arquivos do computador cliente do DRA para o servidor de Administração principal.
NOTA:Você pode fazer upload de apenas um arquivo para replicação por vez usando a interface do usuário de File Replication (Replicação de Arquivos) no console de Delegação e Configuração.
Para fazer upload de um arquivo de ferramentas personalizadas para o servidor de Administração principal:
Navegue até Configuration Management (Gerenciamento de Configurações) > File Replication (Replicação de Arquivo).
No menu Tarefas, clique em Upload File (Fazer Upload do Arquivo).
Para pesquisar pelo arquivo cujo upload você deseja realizar e selecioná-lo, clique em Browse (Procurar).
Se você deseja fazer download do arquivo selecionado para todos os computadores cliente do DRA, marque a caixa de seleção Download to all client computers (Fazer download para todos os computadores cliente).
Se você deseja registrar uma biblioteca COM, marque a caixa de seleção Register COM library (Registrar biblioteca COM).
Clique em OK.
NOTA:
O DRA faz upload do arquivo de script ou dos arquivos de suporte que precisam ser replicados para outros servidores de Administração secundários para a pasta {DRAInstallDir}\FileTransfer\Replicate no servidor de Administração principal. A pasta {DRAInstallDir}\FileTransfer\Replicate também é chamada de {DRA_Replicated_Files_Path}.
O DRA carrega o arquivo de script ou os arquivos de suporte que precisam ser replicados para os computadores cliente do DRA para a pasta {DRAInstallDir} FileTransfer\Download no servidor de Administração principal.
O arquivo de ferramenta personalizado carregado no servidor de Administração principal é distribuído aos servidores de Administração secundários durante a próxima sincronização programada ou por sincronização manual.
Se tiver vários arquivos dos quais deseja fazer upload e que deseja replicar entre o servidor de Administração principal e os servidores de Administração secundários no MMS, você poderá fazer manualmente o upload desses arquivos para replicação copiando-os para o diretório de replicação do servidor de administração principal, que está no seguinte local:
{DRAInstallDir}\FileTransfer\Replicate
O diretório de replicação é criado quando o DRA é instalado.
O servidor de Administração identifica automaticamente os arquivos no diretório de replicação e os replica entre os servidores de Administração durante a próxima sincronização programada. Após a sincronização, o DRA exibe os arquivos carregados na janela File Replication (Replicação de Arquivos) no console de Delegação e Configuração.
NOTA:Se você quiser replicar arquivos que contenham bibliotecas COM que devem ser registradas, não será possível copiar manualmente os arquivos para o diretório de replicação do servidor de Administração. Você precisa usar o console de Delegação e Configuração para fazer o upload de cada arquivo e registrar a biblioteca COM.
Se você tiver vários arquivos que deseja replicar entre o servidor de Administração principal e os computadores cliente do DRA, poderá copiá-los para o diretório de replicação do cliente no servidor de Administração principal, que está no seguinte local:
{DRAInstallDir}\FileTransfer\Download
O diretório de replicação do cliente é criado quando o DRA é instalado.
O servidor de Administração identifica automaticamente os arquivos na pasta Download e os replica para os servidores de Administração secundários durante a próxima sincronização programada. Após a sincronização, o DRA exibe os arquivos carregados na janela File Replication (Replicação de Arquivos) no console de Delegação e Configuração. O DRA faz o download dos arquivos replicados para os computadores cliente do DRA na primeira vez que esses computadores se conectam aos servidores de Administração após a replicação.
NOTA:Se você quiser replicar arquivos que contenham bibliotecas COM que devem ser registradas, não será possível copiar os arquivos para o diretório de download do servidor de Administração. Você precisa usar o console de Delegação e Configuração para fazer o upload de cada arquivo e registrar a biblioteca COM.
Quando a auditoria dos Serviços de Domínio do AD está habilitada, os eventos do DRA são registrados como tendo sido gerados pela conta do Serviço DRA ou pela conta de Acesso ao Domínio, se houver uma configurada. A Marcação de Eventos leva esse recurso um passo adiante gerando um evento AD DS adicional que identifica o administrador assistente que executou a operação.
Para que esses eventos sejam gerados, você precisa configurar a auditoria do AD DS e habilitar a Marcação de Eventos no Servidor de Administração do DRA. Quando a opção Event Stamping (Marcação de Eventos) estiver habilitada, você poderá exibir as mudanças que os administradores assistentes fazem nos relatórios do Evento do Guardião de Mudanças.
Para configurar a auditoria do AD DS, consulte Auditoria do AD DS
Para configurar a integração do Guardião de Mudanças, consulte Configurando servidores do Histórico de Mudanças Unificado.
Para habilitar a Marcação de Eventos, abra o console de Delegação e Configuração como administrador do DRA e faça o seguinte:
Acesse Configuration Management (Gerenciamento de Configurações ) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > Event Stamping (Marcação de Eventos).
Selecione um tipo de objeto e clique em Update (Atualizar).
Selecione um atributo para usar para a Marcação de Eventos para esse tipo de objeto.
Atualmente, o DRA oferece suporte à Marcação de Eventos para usuários, grupos, contatos, computadores e unidades organizacionais.
O DRA também exige que os atributos existam no esquema do AD para cada um dos seus domínios gerenciados. Você deverá estar ciente disso se adicionar domínios gerenciados após configurar a Marcação de Eventos. Se você adicionasse um domínio gerenciado que não contivessem um atributo selecionado, as operações desse domínio não seriam auditadas com os dados da Marcação de Eventos.
O DRA modifica esses atributos, portanto, você precisa selecionar os atributos que não são usados pelo DRA ou por qualquer outro aplicativo em seu ambiente.
Para obter mais informações sobre a Marcação de Eventos, consulte Como funciona a marcação de eventos.
Quando você habilita o suporte de vários gerentes para gerenciar um grupo, um dos dois atributos padrão é usado para armazenar os gerentes do grupo. O atributo ao executar o Microsoft Exchange é o atributo msExchCoManagedByLink. O atributo padrão quando não está executando o Microsoft Exchange é o atributo nonSecurityMember. A última opção pode ser modificada. No entanto, recomendamos que você contate o suporte técnico para determinar um atributo apropriado se precisar mudar essa configuração.
Para habilitar o suporte a vários gerentes para grupos:
No painel esquerdo, clique em Configuration Management (Gerenciamento de Configurações).
Em Common Tasks (Tarefas Comuns) no painel direito, clique em Update Administration Server Options (Atualizar Opções do Servidor de Administração).
Na guia Enable Support for Group Multiple Managers (Habilitar Suporte para Gerentes de Vários Grupos), marque a caixa de seleção Enable support for group’s multiple managers (Habilitar suporte para gerentes de vários grupos).
Essa função permite habilitar ou desabilitar o uso de comunicação criptografada entre os clientes de Delegação e Configuração e ARM e o servidor de Administração. Por padrão, o DRA criptografa senhas de contas. Esse recurso não criptografa as comunicações do Cliente da Web nem do PowerShell, que são tratadas separadamente por certificados do servidor.
Usar comunicações criptografadas pode afetar o desempenho. A comunicação criptografada está desativada por padrão. Se você habilitar essa opção, os dados serão criptografados durante a comunicação entre as interfaces do usuário e o servidor de Administração. O DRA usa a criptografia padrão da Microsoft para a Chamada de Procedimento Remoto (RPC).
Para habilitar as comunicações criptografadas, acesse Configuration Management (Gerenciamento de Configurações) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > guia General (Geral) e marque a caixa de seleção Encrypted Communications (Comunicações Criptografadas).
NOTA:Para criptografar todas as comunicações entre o servidor de Administração e as interfaces do usuário, você precisa ter os poderes apropriados, como aqueles na função integrada Configurar Servidores e Domínios.
Usando atributos virtuais, você pode criar novas propriedades e associá-las a usuários, grupos, grupos de distribuição dinâmica, contatos, computadores e unidades organizacionais. Os atributos virtuais permitem que você crie novas propriedades sem precisar estender o esquema do Active Directory.
Usando atributos virtuais, você pode adicionar novas propriedades a objetos no Active Directory. Você só pode criar, habilitar, desabilitar, associar e desassociar atributos virtuais no servidor de Administração principal. O DRA armazena os atributos virtuais criados no AD LDS. O DRA replica atributos virtuais no servidor de Administração principal para servidores de administração secundários durante o processo de sincronização do MMS.
Com os poderes apropriados, você pode gerenciar atributos virtuais. A função Gerenciar Atributos Virtuais confere poderes para criar, habilitar, associar, desassociar, desabilitar e exibir atributos virtuais.
Você precisa do poder Criar Atributos Virtuais para criar atributos virtuais e do poder Exibir Atributos Virtuais para exibir atributos virtuais.
Para criar um atributo virtual, acesse Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > nó Managed Attributes (Atributos Gerenciados) e clique em New Virtual Attribute (Novo Atributo Virtual) no menu Tarefas.
Você pode associar somente atributos virtuais habilitados a objetos do Active Directory. Depois de associar um atributo virtual a um objeto, o atributo virtual fica disponível como parte das propriedades do objeto.
Para expor atributos virtuais por meio das interfaces do usuário do DRA, você precisa criar uma página de propriedades personalizada.
Para associar um atributo virtual a um objeto, acesse o nó Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > Managed Attributes (Atributos Gerenciados), clique o botão direito do mouse no atributo virtual que você deseja usar e selecione Associate (Associar) > (tipo de objeto).
NOTA:
Você só pode associar atributos virtuais a usuários, grupos, grupos dinâmicos de distribuição, computadores, contatos e unidades organizacionais.
Quando você associa um atributo virtual a um objeto, o DRA cria automaticamente dois poderes personalizados padrão. Administradores assistentes exigem esses poderes personalizados para gerenciar o atributo virtual.
Você pode desassociar os atributos virtuais dos objetos do Active Directory. Nenhum novo objeto criado exibe o atributo virtual desassociado como parte das propriedades do objeto.
Para desassociar um atributo virtual de um objeto do Active Directory, acesse Configuration Management (Gerenciamento de Configurações) > Virtual Attributes (Atributos Virtuais) > Managed Classes (Classes Gerenciadas) > nó (tipo de objeto). Clique o botão direito do mouse no atributo virtual e selecione Disassociate (Desassociar).
Você pode desabilitar atributos virtuais se eles não estiverem associados a um objeto do Active Directory. Quando você desabilita um atributo virtual, os administradores não podem exibir ou associar o atributo virtual a um objeto.
Para desabilitar um atributo virtual, acesse Configuration Management (Gerenciamento de Configurações) > Managed Attributes (Atributos Gerenciados). Clique o botão direito do mouse no atributo desejado no painel de lista e selecione Disable (Desabilitar).
O servidor de Administração cria e mantém um cache de contas que contém partes do Active Directory para os domínios gerenciados. O DRA usa o cache de contas para melhorar o desempenho ao gerenciar contas de usuários, grupos, contatos e contas de computador.
Para programar um horário de atualização do cache ou exibir o status do cache, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
NOTA:Para executar atualizações de cache de contas incrementais em domínios que contenham subárvores gerenciadas, verifique se a conta de serviço tem acesso de leitura ao container Objetos Apagados, bem como a todos os objetos no domínio da subárvore. Você pode usar o utilitário de Objetos Apagados para verificar e delegar as permissões apropriadas.
Uma atualização de cache de contas incrementais atualiza apenas os dados que foram mudados desde a última atualização. A atualização incremental fornece uma maneira simplificada de acompanhar suas mudanças no Active Directory. Use a atualização incremental para atualizar rapidamente o cache de contas e, ao mesmo tempo, gerar o menor impacto em sua empresa.
IMPORTANTE:O Servidor da Microsoft limita o número de usuários simultâneos conectados à sessão do WinRM/WinRS a cinco e o número de shells por usuário a cinco de modo a garantir que a mesma conta do usuário seja limitada a cinco shells para servidores secundários do DRA.
Uma atualização incremental atualiza os seguintes dados:
Objetos novos e clonados
Objetos apagados e movidos
Membros do grupo
Todas as propriedades do objeto em cache para objetos modificados
Uma atualização completa do cache de contas recria o cache de contas do DRA para o domínio especificado.
NOTA:Enquanto uma Atualização do Cache de Contas Completas estiver em execução, o domínio ficará não disponível para os usuários do DRA.
Para atualizar o cache de contas, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configure Servers and Domains
(Configurar Servidores e Domínios).
Para executar uma atualização imediata do cache de contas completas:
Acesse Configuration Management (Gerenciamento de Configurações) > Managed Domains (Domínios Gerenciados).
Clique o botão direito do mouse no domínio desejado e selecione Propriedades.
Clique em Atualizar Agora na guia Full refresh (Atualização completa).
A frequência com que você deve atualizar o cache de contas depende da frequência com que sua empresa muda. Use a atualização incremental para atualizar o cache de contas com frequência, garantindo que o DRA tenha as informações mais atualizadas sobre o Active Directory.
Por padrão, o servidor de Administração executa uma atualização de cache de contas incrementais nos seguintes horários:
|
Tipo do domínio |
Horário de Atualização Programado Padrão |
|---|---|
|
Domínios Gerenciados |
A cada 5 minutos |
|
Domínios de confiança |
Todas as horas |
Não é possível programar um FACR; no entanto, o DRA executa um FACR automático nas seguintes circunstâncias:
Após configurar um domínio gerenciado pela primeira vez.
Após fazer upgrade do DRA para uma nova versão completa de uma versão anterior.
Após instalar um pacote de serviço do DRA.
A execução de uma atualização completa do cache de contas pode levar vários minutos.
Você precisa atualizar periodicamente o cache de contas para garantir que o DRA tenha as informações mais recentes. Antes de executar ou programar uma atualização do cache de contas, revise as seguintes considerações:
Para executar uma atualização de cache de contas incrementais, a conta de serviço ou conta de acesso do servidor de Administração deve ter permissão para acessar objetos apagados no Active Directory do domínio gerenciado ou de confiança.
Quando o DRA realiza uma atualização do cache de contas, o servidor de Administração não inclui grupos de segurança locais de domínio de domínios confiáveis. Como o cache não contém esses grupos, o DRA não permite adicionar um grupo de segurança local de domínio do domínio de confiança a um grupo local no servidor do membro gerenciado.
Se você omitir um domínio de confiança de uma atualização do cache de contas, o servidor de Administração também omitirá esse domínio da atualização da configuração do domínio.
Se você incluir um domínio de confiança anteriormente omitido na atualização do cache de contas, execute uma atualização completa do cache de contas para o domínio gerenciado. Isso garante que o cache de contas no servidor de Administração para o domínio gerenciado reflita corretamente os dados da participação do grupo em seus domínios gerenciados e confiáveis.
Se você definir o intervalo de atualização do cache de contas incrementais como Nunca, o servidor de Administração executará somente atualizações de cache de contas completas. Uma atualização completa do cache da conta pode levar algum tempo, durante o qual não é possível gerenciar objetos nesse domínio.
O DRA não pode determinar automaticamente quando as mudanças são feitas por meio de outras ferramentas, como o Microsoft Directory Services. Operações executadas fora do DRA podem afetar a precisão das informações em cache. Por exemplo, se você usar outra ferramenta para adicionar uma caixa de correio a uma conta do usuário, não será possível usar o Exchange para gerenciar essa caixa de correio até atualizar o cache de contas.
A execução de uma atualização completa do cache de contas apaga as últimas estatísticas de logon mantidas no cache. O servidor de Administração então coleta as informações de logon mais recentes de todos os controladores de domínio.
A coleta de Impressoras do AD está desabilitada por padrão. Para habilitá-la, acesse Configuration Management (Gerenciamento de Configurações) > Update Administration Server Options (Atualizar Opções do Servidor de Administração) > guia General (Geral) e marque a caixa de seleção Collect Printers (Coletar Impressoras).
Você pode configurar a atualização de limpeza do AD LDS para ser executada em uma programação para domínios específicos. A configuração padrão é “Nunca” atualizar. Você também pode exibir o status de limpeza e exibir informações específicas relacionadas à configuração do AD LDS (ADAM).
Para configurar a programação ou exibir o status da Limpeza do AD LDS, clique o botão direito do mouse no domínio desejado em Account and Resource Management (Gerenciamento de Conta e Recurso) > nó Todos os Meus Objetos Gerenciados e selecione Propriedades > Adlds Cleanup Refresh Schedule (Programação de Atualização de Limpeza do Adlds) ou Adlds Cleanup status (Status de limpeza do Adlds), respectivamente.
Para exibir as informações de configuração do AD LDS (ADAM), acesse Configuration Management (Gerenciamento de Configurações) > Update Server Options (Atualizar Opções do Servidor) > ADAM Configuration (Configuração do ADAM).
Um grupo dinâmico é aquele cuja participação muda com base em um conjunto definido de critérios que você configura nas propriedades do grupo. Em Propriedades do Domínio, você pode configurar a atualização do Grupo Dinâmico para ser executada em uma programação para domínios específicos. A configuração padrão é “Nunca” atualizar. Você também pode ver o status de atualização.
Para configurar a programação ou exibir o status da atualização do grupo dinâmico, clique o botão direito do mouse no domínio desejado em Account and Resource Management (Gerenciamento de Conta e Recurso) > nó Todos os Meus Objetos gerenciados e selecione Propriedades > Dynamic group refresh (Atualizar grupo dinâmico) ou Dynamic group status (Status do grupo dinâmico), respectivamente.
Para mais informações sobre grupos dinâmicos, consulte Grupos dinâmicos do DRA.
Você pode habilitar ou desabilitar a Lixeira para cada domínio ou objetos do Microsoft Windows em cada domínio e configurar quando e como deseja que a limpeza da Lixeira ocorra.
Para obter informações detalhadas sobre o uso da Lixeira, consulte Lixeira.
Você pode habilitar a Lixeira para domínios específicos do Microsoft Windows e para objetos dentro desses domínios. Por padrão, o DRA ativa a Lixeira para cada domínio gerenciado e todos os objetos do domínio. Você deve ser um membro do grupo Administradores do DRA ou Administradores de Configuração do DRA para habilitar a Lixeira.
Se o seu ambiente incluir a configuração a seguir, use o utilitário Recycle Bin para habilitar esse recurso:
O DRA está gerenciando uma subárvore desse domínio.
O serviço do servidor de Administração ou a conta de acesso não tem permissão para criar o container da Lixeira, mover contas para esse container e modificar contas nesse container.
Você também pode usar o utilitário Recycle Bin para verificar o serviço do servidor de Administração ou acessar as permissões da conta no container da Lixeira.
Para habilitar a Lixeira, clique o botão direito do mouse no domínio desejado no nó Lixeira e selecione Enable Recycle Bin (Habilitar Lixeira).
Você pode desabilitar a Lixeira para domínios específicos do Microsoft Windows e para objetos dentro desses domínios. Se uma Lixeira desabilitada tiver contas, não será possível exibir, apagar permanentemente nem restaurar essas contas.
Você precisa ser um membro do grupo Administradores de DRA ou Administradores de Configuração do DRA para desabilitar a Lixeira.
Para desabilitar a Lixeira, clique o botão direito do mouse no domínio desejado no nó Lixeira e selecione Disable Recycle Bin (Desabilitar Lixeira).
A configuração padrão para a limpeza da Lixeira é diária. Você pode mudar essa configuração para limpar a Lixeira do domínio a cada x dias. Durante a limpeza programada, a Lixeira apaga objetos mais antigos do que o número de dias que você configurou para cada tipo de objeto. A configuração padrão para cada tipo é apagar objetos com mais de um dia. Você pode personalizar o comportamento da limpeza da Lixeira desabilitando, reabilitando e definindo a idade dos objetos a serem apagados para cada tipo de objeto.
Para configurar a limpeza da Lixeira, selecione o domínio desejado no console de Delegação e Configuração e acesse Tarefas > Propriedades > guia Lixeira.
As seções a seguir fornecem informações conceituais sobre os relatórios de Gerenciamento do DRA e os coletores de relatório que você pode habilitar. Para acessar o assistente em que você pode configurar os coletores, acesse Configuration Management (Gerenciamento de Configurações) > Update Reporting Service Configuration (Atualizar Configuração do Serviço Gerador de Relatórios).
O Active Directory Collector coleta um conjunto especificado de atributos do Active Directory para cada usuário gerenciado, grupo, contato, computador, OU e grupo de Distribuição Dinâmica no DRA. Esses atributos são armazenados no banco de dados do gerador de relatórios e são usados para gerar relatórios no Console Reporting (Gerador de Relatórios).
Você pode configurar o Active Directory Collector para especificar quais atributos são coletados e armazenados no banco de dados do gerador de relatórios. Você também pode configurar em qual servidor de Administração DRA o coletor será executado.
O DRA Collector coleta informações sobre sua configuração de DRA e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no console Reporting (Gerador de Relatórios).
Para habilitar o DRA Collector, você precisa especificar em qual servidor de Administração DRA o coletor será executado. Como prática recomendada, você deve programar o DRA Collector para ser executado após o Active Directory Collector ser executado com êxito e durante os períodos em que o servidor estiver menos carregado ou fora do horário normal de trabalho.
O Office 365 Tenant Collector coleta informações sobre usuários gerenciados que são sincronizados com o Office 365 e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no console Reporting (Gerador de Relatórios).
Para habilitar o Coletor Office 365, você precisa especificar em qual servidor de Administração DRA o coletor será executado.
NOTA:O Office 365 Tenant só pode executar uma coleta bem-sucedida após o Active Directory Collector do domínio correspondente executar uma coleta bem-sucedida.
O Coletor de relatórios de gerenciamento coleta informações de auditoria de DRA e armazena essas informações no banco de dados do gerador de relatórios, que é usado para gerar relatórios no console Reporting (Gerador de Relatórios). Quando você habilita o coletor, é possível configurar com que frequência os dados são atualizados no banco de dados para que as consultas sejam executadas na ferramenta DRA Reporting.
Esta configuração exige que a conta de Serviço do DRA tenha a permissão sysadmin no SQL Server no servidor Gerador de Relatórios. As opções configuráveis são definidas abaixo:
Audit Export Data Interval: (Intervalo de Dados de Exportação de Auditoria) Esse é o intervalo em que os dados de auditoria do registro de rastreamento do DRA (LAS) são exportados para o banco de dados "SMCubeDepot" no SQL Server.
Management Report Summarization Interva: (lIntervalo de Resumo do Relatório de Gerenciamento) Esse é o intervalo em que os dados de auditoria do banco de dados do SMCubeDepot são enviados para o banco de dados do DRA Reporting, no qual podem ser consultados pela ferramenta DRA Reporting.
Você pode configurar o DRA para coletar as estatísticas do último logon de todos os controladores de domínio no domínio gerenciado. Para habilitar e programar a coleta de estatísticas do último logon, você precisa ter os poderes apropriados, como aqueles incluídos na função integrada Configurar Servidores e Domínios.
Por padrão, o recurso de coleta de estatísticas do último logon está desabilitado. Se você deseja reunir dados estatísticos do último logon, deve habilitar esse recurso. Depois de habilitar a coleta de estatísticas do último logon, você pode exibir as estatísticas do último logon de um determinado usuário ou ver o status da última coleta de estatísticas de logon.
Para coletar as estatísticas do último logon:
Acesse Configuration Management (Gerenciamento de Configurações) > Managed Domains (Domínios Gerenciados).
Clique o botão direito do mouse no domínio desejado e selecione Propriedades.
Clique na guia Last logon schedule (Programação do último logon) para configurar a coleta de estatísticas do último logon.
Por padrão, o recurso Histórico de Mudanças Unificado (UCH) permite gerar relatórios para mudanças feitas pelo DRA.
Para gerenciar o Histórico de Mudanças Unificado, atribua a função Administração do Servidor do Histórico de Mudanças unificado ou os poderes aplicáveis abaixo aos administradores assistentes:
Apagar configuração do servidor do histórico de mudanças unificado
Definir informações de configuração do Histórico de Mudanças Unificado
Exibir informações de configuração do Histórico de Mudanças Unificado
Para delegar poderes UCH:
Clique em Poderes no nó Delegation Management (Gerenciamento de Delegação) e use o recurso de objetos de pesquisa para localizar e selecionar os objetos UCH que você deseja.
Clique o botão direito do mouse em um dos poderes UCH selecionados e selecione Delegate Roles and Powers (Delegar Funções e Poderes).
Pesquise pelo usuário específico, grupo ou grupo AA ao qual você deseja delegar poderes.
Use o Seletor de Objetos para localizar e adicionar os objetos desejados e clique em Roles and Powers (Funções e Poderes) no Assistente.
Clique em ActiveViews e use o Seletor de Objetos para localizar e adicionar os objetos desejados.
Clique em Next (Próximo) e em Finish (Terminar) para concluir o processo de delegação.
Para configurar servidores UCH:
Inicie o Console da Web e efetue login com credenciais AA.
Acesse Administração > Integrações > Histórico de Mudanças Unificado e clique no ícone Adicionar.
Especifique o nome do servidor UCH ou o endereço IP, o número da porta, o tipo de servidor e mais informações sobre a conta de acesso na configuração do Histórico de Mudanças Unificado.
Teste a conexão de servidor e clique em OK para gravar a configuração.
Adicione mais servidores conforme necessário.
Para usar a automação de workflow no DRA, você precisa instalar o mecanismo de workflow em um servidor Windows e, em seguida, configurar o servidor de automação de workflow por meio do console da Web.
Para configurar o servidor de Automação de workflow, efetue login no Console da Web e acesse Administração > Integrações > Automação de Workflow.
Para obter informações sobre a instalação do Mecanismo de workflow, consulte o Guia do Administrador de Automação de Workflow.
O cliente de Delegação e Configuração fornece acesso a tarefas de configuração e delegação, atendendo às necessidades de gerenciamento corporativo, da administração distribuída até a imposição de políticas. Por meio do console de Delegação e Configuração, você pode configurar o modelo de segurança e as configurações do servidor necessárias para gerenciar com eficiência sua empresa.
Para configurar o Cliente de Delegação e Configuração:
Inicie o cliente de Delegação e Configuração e acesse Configuration Management (Gerenciamento de Configurações) > Update Administration Server Options (Atualizar Opções do Servidor de Administração).
Clique na guia Client Options (Opções do Cliente) e defina suas configurações preferidas nas opções de configuração exibidas:
Permitir que os usuários pesquisem pelo ActiveView
Ocultar objetos somente de origem nas listas de console
Mostrar objetos avançados do Active Directory
Mostrar comando de segurança
Mostrar recursos e caixas de correio compartilhadas ao pesquisar usuários
Sufixo UPN do Usuário padrão para o domínio atual
Máximo de itens editáveis por vez (seleção múltipla)
Opções de pesquisa
Opção de retorno de carro
Unidades de limites de armazenamento da caixa de correio do Exchange
Você pode configurar o Console da Web para autenticar usando cartões inteligentes ou autenticação de vários fatores e também personalizar a marca com seu próprio logotipo e título do aplicativo.
Você pode iniciar o Console da Web de qualquer computador, dispositivo iOS ou dispositivo Android que esteja executando browser da Web. Para iniciar o Console, especifique o URL apropriado no campo de endereço do browser da Web. Por exemplo, se você instalou o componente da Web no computador do HOUserver, digite https://HOUserver/draclient no campo de endereço do seu browser da Web.
NOTA:Para exibir as informações mais atualizadas da conta e do Microsoft Exchange no Console da Web, defina seu browser da Web para verificar versões mais recentes das páginas armazenadas em cache a cada visita.
Você pode definir um incremento de tempo para que o Console da Web efetue logout automaticamente após a inatividade ou configure-o para nunca efetuar logout automaticamente.
Para configurar o Logout automático no Console da Web, acesse Administração > Configuração > Logout Automático.
Você pode configurar uma das três opções no Console da Web para definir as opções de conexão do servidor DRA ao efetuar login. Depois de configurada, a configuração de conexão é a mesma para administradores e administradores assistentes no painel suspenso Opções ao efetuar login no console da Web.
Sempre use o local do servidor DRA padrão (Sempre)
Nunca use o local do servidor DRA padrão (Nunca)
Use somente o local do servidor DRA padrão, se estiver selecionado (Apenas Se Selecionado)
O comportamento de cada opção ao efetuar login é descrito abaixo:
|
Configuração da Conexão |
Tela de login – Opções |
Descrições da Opção de Conexão |
|---|---|---|
|
Sempre |
Nenhum |
As configurações de opção estão desabilitadas |
|
Nunca |
Usar descoberta automática |
Localiza um servidor DRA automaticamente; nenhuma opção de configuração está disponível |
|
Conectar a um servidor DRA específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor DRA que gerencie um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
|
Apenas se Selecionado |
Usar descoberta automática |
Localiza um servidor DRA automaticamente; nenhuma opção de configuração está disponível |
|
Conectar ao servidor DRA padrão |
O servidor padrão é selecionado e a configuração do servidor DRA está desabilitada |
|
Conectar a um servidor DRA específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor DRA que gerencie um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
Para configurar a conexão do servidor DRA no console da Web, acesse Administração > Configuração > Conexão do Servidor DRA.
A configuração da conexão do Serviço REST inclui a configuração de um local do servidor padrão e um tempo de espera de conexão em segundos. Você pode configurar uma das três opções no Console da Web para definir as opções de conexão do Serviço REST ao efetuar login. Depois de configurada, a configuração de conexão é a mesma para administradores e administradores assistentes no painel suspenso Opções ao efetuar login no console da Web.
Sempre use o local do serviço REST padrão (Sempre)
Nunca use o local do serviço REST padrão (Nunca)
Use apenas o local do Serviço REST padrão se ele estiver selecionado (Apenas Se Selecionado)
O comportamento de cada opção ao efetuar login é descrito abaixo:
|
Configuração da Conexão |
Tela de login – Opções |
Descrições da Opção de Conexão |
|---|---|---|
|
Sempre |
Nenhum |
As configurações de opção estão desabilitadas |
|
Nunca |
Usar descoberta automática |
Localiza um servidor REST automaticamente; nenhuma opção de configuração está disponível |
|
Conectar a um servidor REST específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor REST em um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
|
Apenas se Selecionado |
Usar descoberta automática |
Localiza um servidor REST automaticamente; nenhuma opção de configuração está disponível |
|
Conecte-se ao servidor REST padrão |
O servidor REST padrão é selecionado e a configuração do servidor REST é desabilitada |
|
Conectar a um servidor REST específico |
O usuário configura o servidor e a porta |
|
Conectar a um servidor REST em um domínio específico |
O usuário fornece um domínio gerenciado e escolhe uma opção de conexão:
|
Para configurar a conexão do Serviço REST no Console da Web, acesse Administração > Configuração >Conexão do Serviço REST.
Esta seção contém informações para configurar a Autenticação do Smart Card, do Windows e de vários fatores usando a integração de Advanced Authentication.
Para configurar o Console da Web para aceitar um usuário com base nas credenciais do cliente de seu smart card, você precisa configurar o IIS (Serviços de Informações da Internet) e o arquivo de configuração de serviços REST.
IMPORTANTE:Verifique se os certificados no smart card também estão instalados no armazenamento de certificados raiz no servidor Web, pois o IIS precisa encontrar certificados que correspondam aos que estão no cartão.
Instale os componentes de autenticação no servidor web.
Inicie o Gerenciador do Servidor.
Clique em Servidor Web (IIS).
Acesse a seção Serviços de Função e clique em Adicionar Serviços de Função.
Acesse o nó Serviços de função de segurança e selecioneAutenticação do Windows e Autenticação de Mapeamento do Certificado do Cliente.
Habilite a autenticação no servidor web.
Inicie o Gerente IIS.
Selecione seu servidor web.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação de Certificado do Cliente do Active Directory” e “Autenticação do Windows”.
Configure o cliente DRA.
Selecione seu cliente DRA.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação do Windows” e desabilite “Autenticação Anônima”.
Habilite os certificados SSL e do cliente no cliente DRA.
Localize o ícone Serviços SSL na seção IIS e clique duas vezes nele.
Selecione Exigir SSL e Exigir nos certificados do Cliente.
DICA:Se a opção estiver disponível, selecione Exigir SSL de 128 bits.
Configure o aplicativo web de serviços REST.
Selecione seu aplicativo web de serviços REST.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite “Autenticação do Windows” e desabilite “Autenticação Anônima”.
Habilite os certificados SSL e do cliente no aplicativo web de serviços REST.
Localize o ícone Serviços SSL na seção IIS e clique duas vezes nele.
Selecione Exigir SSL e Exigir nos certificados do Cliente.
DICA:Se a opção estiver disponível, selecione Exigir SSL de 128 bits.
Configure o arquivo de serviço da Web do WCF.
Selecione seu aplicativo web de serviços REST e alterne para ão de Conteúdo.
Localize o arquivo .svc e clique o botão direito do mouse nele.
Selecione Alternar para ão de Recursos.
Localize o ícone Autenticação na seção IIS e clique duas vezes nele.
Habilite a “Autenticação Anônima” e desabilite todos os outros métodos de autenticação.
Edite o arquivo de configuração dos serviços REST.
Use um editor de texto para abrir o arquivo C:\inetpub\wwwroot\DRAClient\rest\web.config.
Localize a linha <authentication mode="None" /> e apague-a.
Adicione as seguintes linhas abaixo da linha <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Adicione as seguintes linhas abaixo da linha <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Adicione as seguintes linhas acima da linha <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Grave o arquivo e reinicie o servidor IIS.
Para habilitar a autenticação do Windows no Console da Web, você deve configurar o IIS (Serviços de Informações da Internet) e o arquivo de configuração de serviços REST.
Abra o Gerente do IIS.
No painel Conexões, localize o aplicativo web Serviços REST e selecione-o.
No painel direito, acesse a seção IIS e clique duas vezes em Autenticação.
Habilite Autenticação do Windows e desabilite todos os outros métodos de autenticação.
Use um editor de texto para abrir o arquivo C:\inetpub\wwwroot\DRAClient\rest\web.config e localize a linha <authentication mode="None" />.
Mude "Nenhum" para "Windows" e grave o arquivo.
Reinicie o servidor IIS.
O AAF (Advanced Authentication Framework) é o nosso pacote de software principal, que permite ir além de um simples nome de usuário e senha para uma maneira mais segura de proteger suas informações confidenciais usando a autenticação multifator.
O Advanced Authentication suporta os seguintes protocolos de comunicação para segurança:
TLS 1.2 (configuração padrão), TLS 1.1, TLS 1.0
SSL 3.0
A autenticação multifator é um método de controle de acesso ao computador que requer mais de um método de autenticação de categorias separadas de credenciais para verificar a identidade de um usuário.
Existem três tipos de categorias de autenticação ou fatores:
Conhecimento. Esta categoria exige que você conheça uma informação específica, como uma senha ou um código de ativação.
Posse. Esta categoria exige que você tenha um dispositivo de autenticação, como um smart card ou smartphone.
Corpo. Essa categoria exige que você use uma parte de sua anatomia, como sua impressão digital, como método de verificação.
Cada fator de autenticação contém pelo menos um método de autenticação. Um método de autenticação é uma técnica específica que você pode usar para estabelecer a identidade de um usuário, por exemplo, usando uma impressão digital ou exigindo uma senha.
Você poderá considerar que um processo de autenticação é forte se ele usar mais de um tipo de método de autenticação, por exemplo, exigir uma senha e uma impressão digital.
O Advanced Authentication suporta os seguintes métodos de autenticação:
Senha LDAP
Serviço do Usuário de Discagem de Autenticação Remota (RADIUS)
Smartphone
DICA:O método Smartphone exige que o usuário faça download de um aplicativo para iOS ou Android. Para mais informações, consulte o Guia do Usuário para Advanced Authentication – Aplicativos de Smartphone, que está disponível no site na Web de Documentação da NetIQ.
Use as informações nas seções a seguir para configurar o Console da Web para usar a autenticação multifator.
IMPORTANTE:Enquanto algumas das etapas nas seções a seguir ocorrem dentro do console da Web, a maioria do processo de configuração de autenticação multifator exige acesso ao AAF. Esses procedimentos pressupõem que você já tenha instalado o AAF e tenha acesso à documentação de ajuda do AAF.
A primeira etapa na configuração do Console da Web para usar a autenticação multifator para adicionar todos os domínios do Active Directory que contêm os administradores de DRA e os administradores assistentes gerenciados pelo DRA ao AAF. Esses domínios são chamados de repositórios e contêm os atributos de identidade dos usuários e grupos que você deseja autenticar.
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Repositórios.
Clique em Adicionar.
Preencha o formulário.
DICA:O tipo LDAP é AD.
DICA:Digite um nome de usuário e senha em nível de administrador nos campos correspondentes.
Clique em Adicionar Servidor.
Digite o endereço IP do servidor LDAP no campo Endereço.
Clique em Gravar.
Repita as etapas de 3 a 7 para todos os outros repositórios do AD gerenciados pelo DRA.
Para cada repositório listado na página Repositórios, clique em Sincronizar agora para sincronizá-lo com o servidor AAF.
Uma cadeia de autenticação contém pelo menos um método de autenticação. Os métodos na cadeia serão invocados na ordem em que foram adicionados a ela. Para que um usuário seja autenticado, ele deve ser aprovado em todos os métodos na cadeia. Por exemplo, você pode criar uma cadeia que contenha o método de senha LDAP e o método SMS. Quando uma usuária tenta autenticar-se usando esta cadeia, ela deve primeiro autenticar usando sua senha LDAP. Após, uma mensagem de texto será enviada para o celular dela com uma senha para único uso. Após ela digitar a senha, todos os métodos na cadeia serão atendidos e a autenticação será bem-sucedida. Uma cadeia de autenticação pode ser atribuída a um usuário ou grupo específico.
Para criar uma cadeia de autenticação:
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Cadeias. O painel direito exibe uma lista da cadeias atualmente disponíveis.
Clique em Adicionar.
Preencha o formulário. Todos os campos são obrigatórios.
IMPORTANTE:Adicione os métodos na ordem em que devem ser invocados, ou seja, se você quiser que o usuário digite primeiro uma senha LDAP, adicione primeiro a senha LDAP à cadeia.
IMPORTANTE:Verifique se o switch Aplicar se usada pelo proprietário de endpoint está DESATIVADO.
Alterne a opção Está habilitado para ATIVADA.
Digite os nomes das funções ou grupos a serem submetidos à solicitação de autenticação no campo Funções e Grupos.
DICA:Se você quiser que a cadeia se aplique a todos os usuários, digite all users no campo Funções e Grupos e selecione Todos os Usuários na lista suspensa resultante.
Qualquer usuário ou grupo selecionado será adicionado abaixo do campo Funções e Grupos.
Clique em Gravar.
Um evento de autenticação é acionado por um aplicativo, neste caso, o Console da Web, que deseja autenticar um usuário. Pelo menos uma cadeia de autenticação deve ser atribuída ao evento para que, quando o evento for acionado, os métodos na cadeia associada ao evento sejam chamados para autenticar o usuário.
Um endpoint é o dispositivo real – como um computador ou um smartphone – que está executando o software que aciona o evento de autenticação. O DRA registrará o endpoint com o AAF após você criar o evento.
Você pode usar a caixa de lista de permissões do endpoint para restringir o acesso a um evento a endpoints específicos ou pode permitir que todos os endpoints acessem o evento.
Para criar um evento de autenticação:
Efetue login no portal de administração do AAF com um nome de usuário e senha em nível de administrador.
Acesse o painel esquerdo e clique em Eventos. O painel direito exibe uma lista dos eventos atualmente disponíveis.
Clique em Adicionar.
Preencha o formulário. Todos os campos são obrigatórios.
IMPORTANTE:Verifique se o switch Está habilitado está ATIVADO.
Se você quiser restringir o acesso a endpoints específicos, acesse a seção de lista de permissões de Endpoints e mova os endpoints de destino da lista Disponível para a lista Usado.
DICA:Se não houver endpoints na listaUsado, o evento ficará disponível para todos os endpoints.
Após configurar cadeias e eventos, você pode efetuar login no Console da Web como um administrador e habilitar o Advanced Authentication.
Depois que a autenticação for habilitada, todos os usuários precisarão se autenticar por meio do AAF antes de receberem acesso ao console da Web.
IMPORTANTE:Antes de habilitar o Console da Web, você já deve estar inscrito nos métodos de autenticação que o Console da Web usará para autenticar usuários. Consulte o Advanced Authentication Framework User Guide (Guia do Usuário da Advanced Authentication Framework) para saber mais sobre como se registrar em métodos de autenticação.
Para habilitar o Advanced Authentication, efetue login no Console da Web e acesse Administração > Configuração > Advanced Authentication. Marque a caixa de seleção Habilitado e configure o formulário de acordo com as instruções fornecidas para cada campo.
DICA:Após gravar a configuração, o endpoint será criado no AAF. Para exibi-lo ou editá-lo, faça logon no portal de administração do AAF com um nome de usuário e senha de nível de administrador e clique em Endpoints no painel esquerdo.
Faça logon no portal de administração do AAF com um nome de usuário e senha em nível de administrador e clique em Eventos no painel esquerdo.
Edite cada um dos eventos do Console da Web:
Abra o evento para edição.
Acesse a seção de lista de permissões de endpoints e mova o endpoint que você criou quando configurou o console da Web da lista Disponível para a lista Usado. Isso garantirá que apenas o console da Web possa usar esses eventos.
Clique em Gravar.