O DRA permite que você configure várias políticas que ajudam a proteger sua empresa e evitar danos aos dados. Essas políticas funcionam dentro do contexto do modelo de segurança dinâmica, garantindo que a aplicação da política acompanhe automaticamente sua empresa em constante mudança. O estabelecimento de políticas, como convenções de nomenclatura, limites de uso de disco e validação de propriedade, permite assegurar o uso obrigatório de regras que ajudam a manter a integridade de seus dados corporativos.
No DRA, você pode definir rapidamente as regras de política para estas áreas de gerenciamento corporativo:
Microsoft Exchange
Office 365
Diretório pessoal
Geração de senha
O DRA também fornece políticas integradas para grupos, contas do usuário e computadores.
Para gerenciar ou definir políticas, você deve ter os poderes adequados, como aqueles incluídos nas funções Admins do DRA ou Gerenciar Políticas e Acionadores de Automação. Para ajudar você a gerenciar suas políticas, o DRA fornece o relatório Mais Informações da Política. Este relatório fornece as seguintes informações:
Indica se a política está habilitada
Relaciona operações associadas
Relaciona objetos governados por esta política
Fornece mais informações do escopo de política
Você pode usar esse relatório para verificar se suas políticas são definidas corretamente. Você também pode usar esse relatório para comparar as propriedades da política, capturando conflitos e aplicando melhor as políticas em toda a empresa.
Você pode associar cada tarefa ou operação de administração a uma ou mais políticas. Quando você executa uma operação associada a uma política, o servidor de Administração executa a política e impõe as regras especificadas. Se o servidor detectar uma violação de política, ele retornará uma mensagem de erro. Se o servidor não detectar uma violação de política, a operação será concluída. Você pode limitar o escopo de uma política, associando-a a determinadas ActiveViews ou grupos de Admin Assistentes.
Se uma operação estiver associada a mais de uma política, o servidor de Administração aplicará as políticas em ordem alfabética. Ou seja, a Política A será aplicada antes da Política B, independentemente das regras especificadas.
Para verificar se suas políticas não entram em conflito entre si, use as seguintes diretrizes:
Nomeie as políticas para que elas sejam executadas na ordem correta
Verifique se cada política não interfere nas validações ou ações realizadas por outras políticas
Teste detalhadamente as políticas personalizadas antes de implementá-las em seu ambiente de produção
O servidor de Administração insere o status da política no registro de auditoria sempre que uma política é executada. Essas entradas de log registram o código de retorno, as operações associadas, os objetos executados e se a política personalizada foi bem-sucedida.
AVISO:As políticas são executadas usando a conta de serviço Administração. Como a conta de serviço tem permissões de administrador, as políticas têm acesso total a todos os dados corporativos. Assim, os AAs associados à função integrada Gerenciar Políticas e Acionadores de Automação poderiam obter mais poder do que você pretendia.
Políticas integradas são implementadas quando você instala o servidor de Administração. Ao trabalhar com essas políticas, você pode encontrar os seguintes termos:
Define os objetos ou propriedades aos quais o DRA aplica a política. Por exemplo, algumas políticas permitem que você aplique uma política aos AAs específicos em ActiveViews específicas. Algumas políticas permitem escolher entre diferentes classes de objetos, como contas do usuário ou grupos.
Assegure o uso obrigatório regras de política a todos os objetos da classe ou tipo especificado nos domínios gerenciados. As políticas globais não permitem limitar o escopo dos objetos aos quais a política se aplica.
Define se a política se aplica em conjunto ou por si só. Para estabelecer um relacionamento de política, defina duas ou mais regras que se aplicam à mesma ação e escolha o membro de uma opção do grupo de políticas. Se os parâmetros ou as propriedades da operação corresponderem a qualquer uma das regras, a operação será bem-sucedida.
Políticas integradas fornecem regras de negócios para abordar problemas comuns de segurança e integridade de dados. Essas políticas fazem parte do modelo de segurança padrão, permitindo integrar recursos de segurança do DRA em sua configuração corporativa existente.
O DRA fornece duas maneiras de assegurar o uso obrigatório da política. Você pode criar políticas personalizadas ou escolher entre várias políticas integradas. Políticas integradas facilitam a aplicação de políticas sem necessidade de desenvolver scripts personalizados. Se você precisar implementar uma política personalizada, poderá adaptar uma política integrada existente para atender às suas necessidades. A maioria das políticas permite modificar o texto da mensagem de erro, renomear a política, adicionar uma descrição e especificar como aplicar a política.
Várias políticas integradas são habilitadas quando você instala o DRA. As políticas a seguir são implementadas por padrão. Se você não quiser assegurar o uso obrigatório dessas políticas, poderá desabilitá-las ou apagá-las.
|
Nome da Política |
Valor Padrão |
Descrição |
|---|---|---|
|
$ComputerNameLengthPolicy |
64 15 (anterior ao Windows 2000) |
Limita o número de caracteres no nome do computador ou no nome do computador anterior ao Windows 2000 |
|
$GroupNameLengthPolicy |
64 20 (anterior ao Windows 2000) |
Limita o número de caracteres no nome do grupo ou no nome do grupo anterior ao Windows 2000 |
|
$GroupSizePolicy |
5000 |
Limita o número de membros em um grupo |
|
$NameUniquenessPolicy |
Nenhum |
Garante que os nomes anteriores ao Windows 2000 e CN sejam exclusivos em todos os domínios gerenciados |
|
$SpecialGroupsPolicy |
Nenhum |
Impede o escalonamento não verificado de poderes no ambiente. |
|
$UCPowerConflictPolicy |
Nenhum |
Evita a escalada de poder, tornando os Clones do Usuário e os poderes de Criação de Usuários mutuamente exclusivos |
|
$UPNUniquenessPolicy |
Nenhum |
Garante que os nomes UPN sejam únicos em todos os domínios gerenciados |
|
$UserNameLengthPolicy |
64 20 (nome de logon de baixo nível) |
Limita o número de caracteres no nome de logon do usuário ou no nome de logon de baixo nível |
O DRA fornece várias políticas que você pode personalizar para o seu modelo de segurança.
NOTA:Você pode criar uma política que exija uma entrada para uma propriedade que não esteja atualmente disponível nas interfaces de usuário do DRA. Se uma entrada for exigida pela política e a interface do usuário não fornecer um campo para digitar o valor, como um departamento para uma nova conta do usuário, não será possível criar nem gerenciar o objeto. Para evitar esse problema, configure políticas que exigem apenas as propriedades que podem ser acessadas nas interfaces do usuário.
Permite vincular um script ou executável a uma operação de DRA ou Exchange. Políticas personalizadas permitem que você valide todas as operações escolhidas.
Permite assegurar o uso obrigatório globalmente do comprimento máximo de nome para contas do usuário, grupos, OUs, contatos ou computadores.
A política verifica o container de nomes (nome comum ou CN) e o nome anterior ao Windows 2000 (nome de logon do usuário).
Permite que você assegure o uso obrigatório limites globais ao número de membros de um grupo.
Verifica se um nome anterior ao Windows 2000 é exclusivo em todos os domínios gerenciados. Nos domínios do Microsoft Windows, os nomes anteriores ao Windows 2000 devem ser exclusivos em um domínio. Essa política global impõe essa regra em todos os domínios gerenciados.
Verifica se um nome principal de usuário (UPN) é exclusivo em todos os domínios gerenciados. Nos domínios do Microsoft Windows, os UPNs devem ser exclusivos em um domínio. Essa política impõe essa regra em todos os domínios gerenciados. Como esta é uma política global, o DRA fornece o nome da política, a descrição e o relacionamento de política.
Impede você de gerenciar membros de um grupo de administradores, a menos que você seja um membro desse grupo de administradores. Essa política global está habilitada por padrão.
Quando você limita ações em membros dos grupos de administradores, o Assistente Create Policy (Criar Política) não requer informações adicionais. Você pode especificar uma mensagem de erro personalizada. Como esta é uma política global, o DRA fornece o nome da política, a descrição e o relacionamento de política.
Impede a possível escalada de poderes. Quando esta política está habilitada, você pode criar contas do usuário ou clonar contas de usuário, mas não pode ter ambos os poderes. Essa política global garante que você não possa criar e clonar contas de usuário na mesma ActiveView.
Esta política não requer informações adicionais.
Permite estabelecer convenções de nomenclatura que se aplicam a AAs específicos, ActiveViews e classes de objetos, como conta do usuário ou grupos.
Você também pode especificar os nomes exatos monitorados por esta política.
Permite que você crie uma política para validar qualquer propriedade de uma OU ou um objeto de conta. Você pode especificar um valor padrão, uma máscara de formato de propriedade e valores e intervalos válidos.
Use essa política para assegurar o uso obrigatório da integridade de dados validando determinados campos de entrada ao criar, clonar ou modificar propriedades de objetos específicos. Essa política oferece enorme flexibilidade e poder para validar entradas, fornecer entradas padrão e limitar as opções de entrada para vários campos de propriedade. Ao usar essa política, você pode exigir que uma entrada correta seja feita antes que a tarefa seja concluída, mantendo, assim, a integridade dos dados nos seus domínios gerenciados.
Por exemplo, suponha que você tenha três departamentos: Manufatura, Vendas e Administração. Você pode limitar as entradas que o DRA aceitará apenas para esses três valores. Você também pode usar essa política para assegurar o uso obrigatório de formatos de números de telefone apropriados, fornecer uma faixa de dados válidos ou exigir uma entrada para o campo de endereço de e-mail. Para especificar máscaras de vários formatos para um número de telefone, como (123)456 7890, assim como456 7890, defina a máscara de formato da propriedade como (###)### ####,### ####.
Permite que você crie uma política para atribuir licenças do Office 365 com base na participação do grupo do Active Directory. Essa política também impõe a remoção de licenças do Office 365 quando um membro é removido do grupo relevante do Active Directory.
Se um usuário que não está sincronizado com a nuvem for adicionado ao grupo do Active Directory, o usuário será sincronizado antes de uma licença do Office 365 ser atribuída ao usuário.
Durante a criação da política, você pode especificar várias propriedades e configurações, como o nome da política e o texto da mensagem de erro que aparece quando um AA tenta uma ação que viola essa política.
Por padrão, as políticas criadas para assegurar o uso obrigatório de licenças do Office 365 não serão aplicadas quando as mudanças forem feitas fora do DRA, a menos que você também habilite a License update schedule (Programação de atualização de licença) na página de propriedades do locatário.
Como a política integrada é parte do modelo de segurança padrão, você pode usar essas políticas para assegurar o uso obrigatório de seu modelo de segurança atual ou modificá-las para atender melhor às suas necessidades. Você pode mudar o nome, as configurações de regra, o escopo, o relacionamento de política e a mensagem de erro de várias políticas integradas. Você pode habilitar ou desabilitar cada política integrada.
Você também pode criar facilmente novas políticas.
As políticas personalizadas permitem que você explore totalmente o poder e a flexibilidade do modelo de segurança padrão. Ao usar políticas personalizadas, você pode integrar o DRA a componentes corporativos existentes, garantindo que suas regras proprietárias sejam aplicadas. Você pode usar o recurso de política personalizada para estender suas políticas corporativas.
Você cria e assegura o uso obrigatório de políticas personalizadas associando um executável ou script a uma operação de administração. Por exemplo, um script de política associado à operação UserCreate pode verificar seu banco de dados de recursos humanos para ver se o funcionário especificado existe. Se o funcionário existir no banco de dados de recursos humanos e não tiver uma conta existente, o script recuperará o ID do funcionário, o primeiro nome e o sobrenome do banco de dados. A operação é concluída com êxito e preenche a janela de propriedades da conta do usuário com as informações adequadas. No entanto, se o funcionário já tiver uma conta, a operação falhará.
Os scripts oferecem uma enorme flexibilidade e poder. Para criar seus próprios scripts de políticas, você pode usar os cmdlets do provedor de ADSI do Directory e Administrador de Recurso (provedor ADSI), SDK (Software Development Kit) e PowerShell. Para obter mais informações sobre como criar seus próprios scripts de política, consulte a seção Referência no site Documentação do DRA.
Para fornecer um ambiente mais seguro, o DRA permite limitar os poderes dados aos grupos de segurança integrados do Microsoft Windows. A capacidade de modificar a participação do grupo, as propriedades integradas do grupo de segurança ou as propriedades dos membros do grupo podem ter importantes implicações de segurança. Por exemplo, se você puder mudar a senha de um usuário no grupo Operadores de Servidor, poderá fazer logon como esse usuário e exercer os poderes delegados a esse grupo de segurança integrado.
O DRA impede esse problema de segurança fornecendo uma política que verifica os poderes que você tem para um grupo de segurança integrado nativo e seus membros. Essa validação garante que suas ações solicitadas não escalem esses poderes. Após habilitar essa política, um AA que seja membro de um grupo de segurança integrado, como o grupo Operadores de Servidor, só poderá gerenciar outros membros do mesmo grupo.
Você pode restringir os poderes dos seguintes grupos de segurança integrados do Microsoft Windows usando políticas do DRA:
Operadores de conta
Administradores
Operadores de Backup
Editores de Certificados
Admins do DNS
Admins de Domínio
Admins Corporativos
Proprietários do Criador de Política de Grupo
Operadores de Impressão
Admins de Esquema
NOTA:DRA refere-se aos grupos de segurança integrados por seus identificadores internos. Como resultado, o DRA suporta esses grupos mesmo que eles sejam renomeados. Esse recurso garante que o DRA suporte grupos de segurança integrados com nomes diferentes em países diferentes. Por exemplo, o DRA refere-se ao grupo Administradores e ao grupo Administrar com o mesmo identificador interno.
O DRA usa uma política para limitar os grupos de segurança integrados nativos e seus membros podem se exercitar. Essa política, chamada $SpecialGroupsPolicy, restringe as ações que um membro de um grupo de segurança integrado nativo pode executar em outros membros ou outros grupos de segurança integrados nativos. O DRA habilita essa política por padrão. Se você não quiser restringir ações em grupos de segurança integrados nativos e seus membros, poderá desabilitar essa política.
Quando esta política está habilitada, o DRA usa os seguintes testes de validação para determinar se uma ação é permitida em um grupo de segurança integrado nativo ou em seus membros:
Se você for um administrador do Microsoft Windows, poderá executar ações em grupos de segurança integrados nativos e seus membros para os quais você tem os poderes apropriados.
Se você for um membro de um grupo de segurança integrado, poderá executar ações no mesmo grupo de segurança integrado e em seus membros, contanto que tenha os poderes apropriados.
Se você não for membro de um grupo de segurança integrado, não poderá modificar um grupo de segurança integrado ou seus membros.
Por exemplo, se você for um membro dos grupos Operadores de Servidor e Operadores de Conta e tiver os poderes apropriados, poderá executar ações em membros do grupo Operadores de Servidor, membros do grupo Operadores de Contas ou membros de ambos os grupos. No entanto, você não pode executar ações em uma conta do usuário que seja membro do grupo Operadores de impressão e do grupo Operadores de conta.
O DRA o impede de executar as seguintes ações em grupos de segurança integrados nativos:
Clonar um grupo
Criando um grupo
Apagar um grupo
Adicionar um membro a um grupo
Remover um membro de um grupo
Mover um grupo para uma OU
Modificar propriedades de um grupo
Copiar uma caixa de correio
Remover uma caixa de correio
Clonar uma conta do usuário
Criar uma conta do usuário
Apagar uma conta do usuário
Mover uma conta do usuário para uma OU
Modificar as propriedades da conta do usuário
O DRA também restringe ações para garantir que você não tenha poderes sobre um objeto. Por exemplo, quando você adiciona uma conta do usuário a um grupo, o DRA verifica se você não obtém poderes adicionais sobre a conta do usuário, pois é membro desse grupo. Essa validação ajuda a proteger contra uma escalada de poder.
Por meio do nó Policy and Automation Management (Gerenciamento de Política e Automação), você pode acessar as políticas do Microsoft Exchange e do diretório pessoal, bem como políticas integradas e personalizadas. Use as seguintes tarefas comuns para melhorar sua segurança corporativa e integridade de dados.
Permite que você defina regras de configuração do Microsoft Exchange, políticas de caixa de correio, nomeação automática e geração de proxy. Essas regras podem definir como as caixas de correio são gerenciadas quando um AA cria, modifica ou apaga uma conta do usuário.
Permite que você assegure o uso obrigatório de caracteres inválidos e políticas de comprimento de caracteres para evitar falhas de sincronização de diretórios.
As Office 365 Rules (Regras do Office 365) permitem especificar como o Exchange Online gerencia as caixas de correio do Office 365 quando você cria ou apaga contas do usuário.
Permite que você crie, renomeie ou apague automaticamente os diretórios e os compartilhamentos da página inicial quando um AA cria, renomeia ou apaga uma conta do usuário. A política de diretório pessoal também permite habilitar ou desabilitar o suporte a cotas de disco para diretórios pessoais em servidores Microsoft Windows, bem como em servidores que não são Windows.
Permite definir os requisitos para senhas geradas pelo DRA.
O Exchange fornece várias políticas para ajudá-lo a gerenciar com mais eficiência os objetos do Microsoft Exchange. A política do Microsoft Exchange permite que você automatize o gerenciamento de caixa de correio, assegure o uso obrigatório de convenções de nomenclatura para aliases e armazenamentos de caixa de correio e gere automaticamente endereços de e-mail.
Essas políticas podem ajudar você a otimizar seus workflows e manter a integridade dos dados. Por exemplo, você pode especificar como o Exchange gerencia as caixas de correio quando você cria, modifica ou apaga contas do usuário. Para definir e gerenciar as políticas do Microsoft Exchange, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação.
Para especificar a política de endereço de e-mail padrão, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados, e sua licença deve suportar o produto Exchange.
Para especificar uma política de endereço de e-mail padrão:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Exchange Policies (Configurar Políticas do Exchange) > Proxy Generation (Geração de Proxy).
Especifique o domínio do servidor do Microsoft Exchange.
Clique em Procurar.
Especifique critérios de pesquisa adicionais, conforme necessário, e clique em Find Now (Localizar Agora).
Selecione o domínio a ser configurado e clique em OK.
Especifique as regras de geração de proxy para o domínio selecionado.
Clique em Adicionar.
Selecione um tipo de proxy. Por exemplo, clique em Endereço de Internet.
Aceite o valor padrão ou digite uma nova regra de geração de proxy e clique em OK.
Para obter mais informações sobre strings de substituição suportadas para regras de geração de proxy, consulte Política do cliente de Delegação e Configuração
Clique em Atributos personalizados para editar o nome personalizado de propriedades de caixa de correio personalizadas.
Selecione o atributo e clique no botão Editar.
Na janela Attribute Properties (Propriedades do Atributo), digite o nome do atributo no campo Custom name (Nome personalizado) e clique em OK.
Clique em OK.
NOTA:O Admin da Política do DRA deve ter o poder Gerenciar Ferramentas Personalizadas para modificar atributos personalizados na política do Microsoft Exchange.
As regras da caixa de correio permitem especificar como o Exchange gerencia as caixas de correio quando os AAs criam, clonam, modificam ou apagam contas do usuário. As regras da caixa de correio gerenciam automaticamente caixas de correio do Microsoft Exchange com base em como o AA gerencia as contas do usuário associadas.
NOTA:Ao habilitar a opçãoDo not allow Assistant Admins to create a user account without a mailbox (Não permitir que os Admins Assistentes criem uma conta do usuário sem uma caixa de correio) nos domínios do Microsoft Windows, verifique se o AA tem poder para clonar ou criar uma conta do usuário. A habilitação desta opção exige que os AAs criem contas do usuário do Windows com uma caixa de correio.
Para especificar regras da caixa de correio do Microsoft Exchange, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados, e sua licença deve suportar o produto Exchange.
Para especificar as regras da caixa de correio do Exchange:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Exchange Policies (Configurar Políticas do Exchange) > Mailbox Rules (Regras da Caixa de Correio).
Selecione as políticas de caixa de correio cujo uso obrigatório você deseja que o Exchange assegure ao criar ou modificar contas do usuário.
Clique em OK.
Para especificar políticas de caixa de correio do Office 365, você deve ter os poderes apropriados, como aqueles incluídos na função integrada Gerenciar Políticas e Acionadores de Automação. Sua licença também deve suportar o produto Microsoft Exchange.
Para restringir caracteres inválidos e comprimentos de caracteres com propriedades que sincronizam com o Office 365, clique em Office 365 Rules (Regras do Office 365) e marque a caixa de seleção: Enforce online mailbox policies for invalid characters and character lengths (Assegurar o uso obrigatório de políticas de caixa de correio online para caracteres inválidos e comprimentos de caractere).
Se você quiser permitir que o DRA gerencie suas licenças do Office 365, faça o seguinte:
Crie uma política de imposição de licença.
Habilite a License update schedule (Programação de atualização de licença) na página de propriedades do locatário.
Para criar uma política para assegurar o uso obrigatório de licenças do Office 365, clique no nó Policy and Automation Management (Política e Gerenciamento de Automação) no console de Delegação e Configuração e selecione New Policy > Create New Policy to Enforce Office 365 Licenses (Nova Política > Criar Nova Política para Assegurar o Uso Obrigatório Licenças do Office 365).
Quando a política é imposta e um usuário é adicionado ao Active Directory, o DRA usa participação do grupo para atribuir automaticamente a licença do Office 365 ao usuário.
As políticas criadas para assegurar o uso obrigatório de licenças do Office 365 não são aplicadas quando as mudanças são feitas fora do DRA, a menos que você também habilite a License update schedule (Programação de atualização de licença) na página de propriedades do locatário. A tarefa de atualização de licença garante que as licenças do Office 365 atribuídas aos usuários correspondam às políticas de licença do Office 365.
A tarefa de atualização de licença e as políticas de licença do Office 365 trabalham juntas para garantir que todos os usuários gerenciados recebam apenas as licenças do Office 365 que deveriam ter.
NOTA:
O DRA não gerencia licenças do Office 365 para contas do usuário somente online. Para que o DRA gerencie seus usuários com licenças do Office 365, esses usuários devem ser sincronizados com o Active Directory.
Se você optar por usar o DRA para gerenciar as licenças do Office 365, o DRA anulará quaisquer mudanças manuais nas licenças do Office 365 feitas fora do DRA na próxima vez em que a tarefa de atualização da licença for executada.
Se você habilitar a tarefa de atualização da licença do Office 365 antes de garantir que as políticas de licença do Office 365 estejam configuradas corretamente, as licenças atribuídas poderão estar incorretas após a execução da tarefa de atualização da licença.
Quando você gerencia um grande número de contas do usuário, criar e manter esses diretórios pessoais e compartilhamentos pode exigir muito tempo e ser uma fonte de erros na segurança. Manutenção adicional pode ser necessária sempre que um usuário é criado, renomeado ou apagado. As políticas de diretório pessoal ajudam você a gerenciar o diretório pessoal e na manutenção de compartilhamento pessoal.
O DRA permite automatizar a criação e a manutenção de diretórios pessoais do usuário. Por exemplo, você pode configurar facilmente o DRA para que o servidor de Administração crie um diretório pessoal ao criar uma conta do usuário. Nesse caso, se você especificar um caminho de diretório pessoal ao criar a conta do usuário, o servidor criará automaticamente o diretório pessoal de acordo com o caminho especificado. Se você não especificar um caminho, o servidor não criará o diretório pessoal.
O DRA suporta caminhos do Sistema de Arquivos Distribuídos (DFS) durante a criação de diretórios pessoais de usuários ou a configuração de políticas de diretórios pessoais para usuários em caminhos pai permitidos. Você pode criar, renomear e apagar diretórios pessoais em Netapp Filers e caminhos ou partições DFS.
Para configurar políticas de cota de disco de diretório pessoal, compartilhamento e volume, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados. Cada política gerencia automaticamente os diretórios de usuário, compartilhamento e volume de cota de disco com base em como você gerencia as contas de usuário associadas.
Para configurar políticas de diretório pessoal, acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Home Directory Policies (Configurar Políticas do Diretório Pessoal) >
Diretório pessoal
Compartilhamento pessoal
Cota de Disco do Volume Pessoal
Para cada computador em que você precise criar um compartilhamento pessoal, a conta de serviço ou conta de acesso do servidor de Administração deverá ser um administrador nesse computador ou um membro do grupo Administradores no domínio correspondente.
Um compartilhamento de administração, como C$ ou D$, deve existir para cada unidade na qual o DRA gerencia e armazena diretórios pessoais. O DRA usa os compartilhamentos de administração para executar algumas tarefas de automação de diretório pessoal e compartilhamento pessoal. Se esses compartilhamentos não existirem, o DRA não poderá fornecer automação de compartilhamento pessoal e diretório pessoal.
Para configurar os Allowable Parent Paths (Caminhos Pai Permitidos) para um NetApp Filer:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Home Directory Policies (Configurar Políticas do Diretório Pessoal).
Na caixa de texto Allowable parent paths (Caminhos pai permitidos), digite um dos caminhos permitidos na tabela a seguir:
|
Tipo de compartilhamento |
Caminho permitido |
|---|---|
|
Windows |
(\\FileName\adminshare:\volumerootpath\directorypath) |
|
Não Windows |
\\não windows\compartilhamento |
Clique em Adicionar.
Repita as etapas de 1 a 3 para cada caminho pai permitido onde quer que você queira aplicar as políticas de diretório pessoal.
Para ser consistente com as políticas de segurança adequadas do Microsoft Windows, o DRA cria restrições de controle de acesso apenas no nível do diretório. Impor restrições de controle de acesso no nível de nome de compartilhamento e no nível de objeto de diretório ou arquivo geralmente leva a um esquema de acesso confuso para administradores e usuários.
Quando você muda uma restrição de controle de acesso para um compartilhamento pessoal, o DRA não muda a segurança existente para esse diretório. Nesse caso, você deve garantir que as contas do usuário tenham o acesso apropriado aos seus próprios diretórios pessoais.
O DRA automatiza as tarefas de manutenção de diretório pessoal, gerenciando diretórios pessoais quando você modifica uma conta do usuário. O DRA pode executar ações diferentes quando uma conta do usuário é criada, clonada, modificada, renomeada ou apagada.
Para implementar com sucesso sua política de diretório pessoal, considere as seguintes diretrizes:
Verifique se o caminho especificado usa o formato correto.
Para especificar um caminho para um único diretório pessoal, use um dos modelos da tabela a seguir:
|
Tipo de Compartilhamento |
Gabarito do Caminho |
|---|---|
|
Windows |
\\computador\compartilhamento\. Por exemplo, se você quiser que o DRA crie automaticamente um diretório pessoal na pasta Compartilhamento Pessoal, no computador de server01, digite \\server01HomeShare\ |
|
Não Windows |
\\não windows\compartilhamento |
Para padronizar a administração do diretório pessoal no diretório raiz do compartilhamento pessoal correspondente, use a sintaxe UNC (Universal Naming Convention), como \\nome do servidor\C:\caminho para o diretório raiz.
Para especificar um caminho para diretórios pessoais aninhados, use um dos modelos da tabela a seguir:
|
Tipo de Compartilhamento |
Gabarito do Caminho |
|---|---|
|
Windows |
\\computador\compartilhamento\primeiro diretório\segundo diretório\ Por exemplo, se você quiser que o DRA crie automaticamente um diretório pessoal em JSmith\Home directory na Home Share no computador do server01, digite \\server01\Home Share\JSmith\Home. |
|
Não Windows |
\\não windows\compartilhamento\primeiro diretório\segundo diretório\ |
NOTA:O DRA também suporta os seguintes formatos: \\computador\compartilhar\nome de usuário e \\computador\compartilhar\%nome de usuário%. Em cada caso, o DRA cria automaticamente um diretório pessoal para a conta do usuário associada.
Quando você define uma política ou acionador de automação para gerenciar diretórios pessoais em um NetApp Filer, é necessário usar um formato diferente para a especificação do diretório.
Se você estiver usando o NetApp Filers, especifique o diretório pai no seguinte formato: \\FilerName\adminshare:\volumerootpath\directorypath
A variável adminshare é o compartilhamento oculto mapeado para o volume raiz no NetApp Filer, como c$. Por exemplo, se o caminho local do compartilhamento em um NetApp Filer, chamado usfiler, for c$\vol\vol0\mydirectory, você poderá especificar um caminho raiz de \\usfiler\c:\vol\vol0\mydirectory para o NetApp Filer.
Para especificar um caminho DFS enquanto você cria diretórios pessoais do usuário ou configura políticas de diretório pessoal para usuários, use \\servidor\raiz\<vínculo> formato, em que a raiz pode ser o domínio gerenciado ou um diretório raiz independente no seguinte formato: \\FilerName\adminshare\volumerootpath\directorypath.
Crie um diretório compartilhado para armazenar o diretório pessoal para essa conta do usuário.
Verifique se o DRA pode acessar o computador ou compartilhar o mencionado no caminho.
Essa regra permite que o DRA crie diretórios pessoais automaticamente para novas contas do usuário. Quando o DRA cria um diretório pessoal, o servidor de Administração usa o caminho especificado no campo Diretório pessoal no Assistente Criar Usuário. Posteriormente, você pode modificar esse caminho usando a guia Perfil da janela de propriedades do usuário e o DRA moverá o diretório pessoal para o novo local. Se você não especificar valores para esses campos, o DRA não criará um diretório pessoal para essa conta do usuário.
O DRA define a segurança para o novo diretório com base nas opções Permissões do diretório pessoal. Essas opções permitem controlar o acesso geral de todos os diretórios pessoais.
Por exemplo, você pode especificar que os membros do grupo Administradores tenham controle total e os membros do grupo de Suporte Técnico tenham acesso de leitura ao compartilhamento no qual os diretórios pessoais do usuário são criados. Em seguida, quando o DRA criar um diretório pessoal do usuário, o novo diretório pessoal poderá herdar esses direitos do diretório pai. Portanto, os membros do grupo Administradores têm controle total sobre todos os diretórios pessoais do usuário e os membros do grupo de suporte técnico têm acesso de leitura a todos os diretórios pessoais do usuário.
Se o diretório pessoal especificado já existir, o DRA não criará o diretório pessoal e não modificará as permissões do diretório existente.
Essa regra permite que o DRA execute automaticamente as seguintes ações:
Criar um diretório pessoal quando você especifica um novo caminho de diretório pessoal
Mover o conteúdo do diretório pessoal quando você muda o caminho de diretório pessoal
Renomear um diretório pessoal quando você renomeia a conta do usuário
Quando você renomeia uma conta do usuário, o DRA renomeia o diretório pessoal existente com base no novo nome da conta. Se o diretório pessoal existente estiver em uso no momento, o DRA criará um novo diretório pessoal com o novo nome e não mudará o diretório pessoal existente.
Você pode renomear o diretório pessoal se o diretório pessoal anterior e o nome e local do novo diretório pessoal forem os mesmos. No entanto, se a renomeação do diretório falhar, o DRA criará um novo diretório pessoal, moverá o conteúdo do diretório pessoal para o novo diretório pessoal e apagará o diretório pessoal existente.
Quando você muda o caminho de diretório pessoal, o DRA tenta criar o diretório pessoal especificado e mover o conteúdo do diretório pessoal para o novo local. Você também pode configurar a política de Diretório Pessoal para criar um diretório pessoal sem mover o conteúdo do diretório pessoal existente. O DRA também aplica as ACLs atribuídas do diretório anterior ao novo diretório. Se o diretório pessoal especificado já existir, o DRA não criará esse novo diretório e não modificará as permissões do diretório existente. Se o diretório pessoal não estiver bloqueado, o DRA o apagará.
Quando o DRA não renomeia o diretório pessoal, o DRA tenta criar um novo diretório pessoal com um novo nome e copiar o conteúdo do diretório pessoal para o novo diretório pessoal. O DRA então tenta apagar o diretório pessoal anterior. Você pode configurar o DRA para não copiar o conteúdo do diretório pessoal anterior para o novo diretório pessoal e mover manualmente o conteúdo do diretório pessoal para o novo diretório pessoal para evitar problemas, como copiar arquivos abertos.
Ao apagar o diretório pessoal, o DRA requer permissão explícita para apagar arquivos e subdiretórios apenas leitura do diretório pessoal anterior. Você pode fornecer ao DRA a permissão para apagar explicitamente os arquivos e subdiretórios apenas leitura do diretório pessoal anterior.
O DRA permite que você especifique os diretórios ou caminhos pai permitidos para compartilhamentos pessoais em servidores de arquivos. Se você tiver muitos caminhos de diretório ou de servidor de arquivos para especificar, poderá exportar esses caminhos para um arquivo CSV e adicionar esses caminhos ao DRA usando o console DRA. O DRA usa as informações inseridas no campo Allowable parent paths (Caminhos pai permitidos) para garantir:
O DRA não apaga o diretório pai no servidor de arquivos quando os administradores assistentes apagam uma conta do usuário e o diretório pessoal da conta do usuário.
O DRA move o diretório pessoal para um caminho ou diretório pai válido no servidor de arquivos quando você renomeia uma conta do usuário ou muda o caminho de diretório pessoal para uma conta do usuário.
Essa regra permite que o DRA apague automaticamente um diretório pessoal quando você apaga a conta do usuário associada. Se você habilitar a Lixeira, o DRA não apagará o diretório pessoal até que você apague a conta do usuário da Lixeira. Ao apagar o diretório pessoal, o DRA exige permissão explícita para apagar arquivos e subdiretórios apenas leitura do diretório pessoal anterior. Você pode fornecer ao DRA a permissão para apagar explicitamente os arquivos e subdiretórios apenas leitura do diretório pessoal anterior.
O DRA automatiza as tarefas de manutenção de compartilhamento pessoal, gerenciando compartilhamentos pessoais quando você modifica uma conta do usuário ou gerencia diretórios pessoais. O DRA pode executar ações diferentes quando uma conta do usuário é criada, clonada, modificada, renomeada ou apagada.
Para ser consistente com as políticas de segurança adequadas do Microsoft Windows, o DRA não cria restrições de controle de acesso no nível do nome do compartilhamento. Em vez disso, o DRA cria restrições de controle de acesso somente no nível do diretório. Impor restrições de controle de acesso no nível de nome de compartilhamento e no nível de objeto de diretório ou arquivo geralmente leva a um esquema de acesso confuso para administradores e usuários.
NOTA:O local especificado deve ter um compartilhamento pessoal comum, como HOMEDIRS, em um nível acima dos diretórios pessoais.
Por exemplo, o caminho a seguir é válido: \\HOUSERV1\HOMEDIRS\%username%
O caminho a seguir é inválido: \\HOUSERV1\%username%
Ao definir as regras de automação de compartilhamento pessoal, você pode especificar um prefixo e um sufixo para cada compartilhamento pessoal criado automaticamente. Ao especificar um prefixo ou sufixo, você pode assegurar o uso obrigatório de uma convenção de nomenclatura para compartilhamentos pessoais.
Por exemplo, você habilita Criar diretório pessoal e Criar regras de automação de compartilhamento pessoal. Para o compartilhamento pessoal, você especifica um prefixo de sublinhado e um sufixo de sinal de dólar. Quando você cria um usuário chamado TomS, mapeia seu novo diretório para a unidade U e especifica \\HOUSERV1\HOMEDIRS\%username% como o caminho de diretório. Neste exemplo, o DRA cria um compartilhamento de rede chamado _TomS$ que aponta para \\HOUSERV1\HOMEDIRS\TomS directory.
Quando o DRA cria um compartilhamento pessoal, o servidor de Administração usa o caminho especificado no campo Diretório pessoal no Assistente Criar Usuário. Posteriormente, você pode modificar esse caminho usando a guia Perfil da janela de propriedades do usuário.
O DRA cria o nome do compartilhamento adicionando o prefixo e o sufixo especificados, se houver, ao nome de usuário. Se você usar nomes longos de contas do usuário, o DRA poderá não conseguir adicionar o prefixo e o sufixo do compartilhamento pessoal especificado. O prefixo e o sufixo, assim como o número de conexões permitidas, são baseados nas opções de criação de compartilhamento pessoal selecionadas.
Se o nome de compartilhamento pessoal gerado do nome da conta do usuário recém-criada já existir, o DRA apagará o compartilhamento existente e criará um novo compartilhamento no diretório pessoal especificado.
Ao clonar uma conta do usuário, o nome do compartilhamento da conta do usuário existente deve existir atualmente. Quando você clona uma conta do usuário, o DRA também clona as informações do diretório pessoal e personaliza essas informações para o novo usuário.
Quando você muda o local do diretório pessoal, o DRA apaga o compartilhamento existente e cria um novo compartilhamento no novo diretório pessoal. Se o diretório pessoal original estiver vazio, o DRA apagará o diretório original.
Quando você renomeia uma conta do usuário, o DRA apaga o compartilhamento pessoal existente e cria um novo compartilhamento com base no novo nome da conta. O novo compartilhamento aponta para o diretório pessoal existente.
Quando você apaga permanentemente uma conta do usuário, o DRA apaga o compartilhamento pessoal.
O DRA permite gerenciar cotas de disco para volumes pessoais. Você pode implementar essa política em domínios nativos nos quais o diretório pessoal reside em um computador Microsoft Windows. Ao implementar essa política, você deve especificar uma cota de disco de pelo menos 25 MB para permitir um amplo espaço.
Esse recurso permite especificar as configurações de política para senhas geradas pelo DRA. O DRA não assegura o uso obrigatório dessas configurações nas senhas que os usuários criam. Ao configurar as propriedades da Política de Senha, o tamanho da senha não deve ser menor que 6 caracteres e não deve ter mais de 127 caracteres. Todos os valores podem ser definidos como zero, exceto o tamanho da senha.
Para configurar as Políticas de Geração de Senhas, acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Password Generation Policies (Configurar Políticas de Geração de Senhas) e marque a caixa de seleção Enable Password Policy (Habilitar Política de Senha). Clique em Password Settings (Configurações de Senha) e configure as propriedade da Política de Senha.
Para apagar, habilitar ou desabilitar políticas, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados.
Para realizar uma destas ações, acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Política. Clique o botão direito do mouse na política que você deseja apagar, habilitar ou desabilitar no painel direito e selecione a ação desejada.
Para implementar políticas integradas, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados. Para mais informações sobre políticas integradas, consulte Entendendo políticas integradas.
NOTA:Antes de associar a política integrada a um AA e a uma ActiveView, primeiro verifique se o AA está atribuído a essa ActiveView.
Para implementar políticas integradas:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Política.
No menu Tarefas, clique em New Policy (Nova Política) e selecione o tipo de política integrada que você deseja criar.
Em cada janela do assistente, especifique os valores apropriados e clique em Next (Próximo). Por exemplo, você pode associar essa nova política a uma ActiveView específica, permitindo que o DRA assegure o uso obrigatório dessa política a objetos incluídos por essa ActiveView.
Revise o resumo e clique em Finish (Terminar).
Para implementar uma política personalizada, você deve ter os poderes apropriados, como aqueles incluídos na função integrada Gerenciar Políticas e Disparadores de Automação.
Para implementar com êxito uma política personalizada, você deve escrever um script que seja executado durante uma operação específica (tarefa administrativa). No script de política personalizada, você pode definir mensagens de erro para exibir sempre que uma ação violar a política. Você também pode especificar uma mensagem de erro padrão por meio do Assistente Create Policy (Criar Política).
Para obter mais informações sobre como gravar políticas personalizadas, exibir uma lista de operações de administração ou usar matrizes de argumentos, consulte o SDK. Para obter mais informações, veja Gravando scripts ou executáveis de política personalizada.
NOTA:
Antes de associar a política personalizada a um AA e a uma ActiveView, primeiro verifique se o AA está atribuído a essa ActiveView.
Se o caminho do script ou executável da política personalizada contiver espaços, especifique com aspas (") ao redor do caminho.
Para implementar uma política personalizada:
Grave um executável ou script de política.
Efetue logon em um computador cliente do DRA com uma conta à qual esteja atribuída a função Gerenciar Políticas e Acionadores de Automação integrados no domínio gerenciado.
Inicie o console de Configuração e Delegação.
Conecte-se ao servidor de Administração principal.
No painel esquerdo, expanda Policy and Automation Management (Política e Gerenciamento de Automação).
Clique em Política.
No menu Tarefas, clique em New Policy > Create a Custom Policy (Nova Política > Criar uma Política Personalizada).
Em cada janela do assistente, especifique os valores apropriados e clique em Next (Próximo). Por exemplo, você pode associar essa nova política a uma ActiveView específica, permitindo que o DRA assegure o uso obrigatório dessa política a objetos incluídos por essa ActiveView.
Revise o resumo e clique em Finish (Terminar).
Para modificar todas as propriedades de uma política, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados.
Para modificar propriedades da política:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Política.
Clique o botão direito do mouse na política que você deseja modificar e selecione Propriedades.
Modifique as propriedades e as configurações apropriadas para esta política.
Para obter mais informações sobre como gravar scripts de políticas personalizadas ou executáveis, consulte o SDK.
Para acessar o SDK:
Verifique se instalou o SDK no seu computador. O programa de configuração cria um atalho para o SDK no grupo de programa Directory and Resource Administrator. Para mais informações, consulte a lista de verificação de instalação em Instalar o Servidor de Administração do DRA.
Clique no atalho do SDK no grupo de programas Directory and Resource Administrator.
Para mais informações sobre o SDK, consulte o Guia de Serviços REST do DRA
no site Documentação do DRA.
A política de nomenclatura automática inclui três configurações de política nas Políticas do Exchange exclusivas do cliente de Delegação e Configuração, o que significa que é uma política do lado do cliente.
A política de nomeação automática permite que você especifique regras de nomenclatura automáticas para propriedades específicas de uma caixa de correio. Essas opções permitem estabelecer convenções de nomenclatura e gerar rapidamente valores padrão para o nome para exibição, nome do diretório e propriedades de álias. O Exchange permite que você especifique cadeias de substituição, como %First e %Last para várias opções de nomenclatura automatizadas.
Quando o Exchange gera um nome de diretório ou álias, ele verifica se o valor gerado é exclusivo. Se o valor gerado não for exclusivo, o Exchange anexará um hífen (-) e um número de dois dígitos, começando com -01 para fazer o valor exclusivo. Quando o Exchange gera um nome de exibição, ele não verifica se o valor é exclusivo.
O Exchange suporta as seguintes strings de substituição para políticas automáticas de geração de nomes e proxy:
|
%First |
Indica o valor da propriedade Primeiro nome para a conta do usuário associada. |
|---|---|
|
%Último |
Indica o valor da propriedade Sobrenome para a conta do usuário associada. |
|
%Initials |
Indica o valor da propriedade Iniciais da conta do usuário associada. |
|
%Álias |
Indica o valor da propriedade da caixa de correio Álias. |
|
%DirNam |
Indica o valor da propriedade da caixa de correio do nome do diretório. Ao gerar endereços de e-mail para caixas de correio do Microsoft Exchange, o Exchange não oferece suporte a strings de geração de proxy que especifiquem a variável %DirName. |
|
%Nome de usuário |
Indica o valor da propriedade Nome de usuário para a conta do usuário associada. |
Você também pode especificar um número entre o sinal de porcentagem (%) e o nome da string de substituição para indicar o número de caracteres a serem incluídos nesse valor. Por exemplo, %2First indica os primeiros dois caracteres da propriedade do nome First da conta do usuário.
Cada regra de nomenclatura automática ou política de geração de proxy pode conter uma ou mais strings de substituição. Você também pode especificar caracteres em cada regra como um prefixo ou sufixo para uma string de substituição específica, como um ponto e espaço (.) seguindo a string de substituição %Initials. Se a propriedade da string de caracteres de substituição estiver em branco, o Exchange não incluirá o sufixo dessa propriedade.
Por exemplo, considere a seguinte regra de nomenclatura automática para a propriedade de nome Display:
%First %1Initials. %Last
Se a propriedade First name for Susan, a propriedade Initials for May e a propriedade Last name for Smith, o Exchange definirá a propriedade do nome Display como Susan M. Smith.
Se a propriedade First name for Michael, a propriedade Initials estiver vazia e a propriedade Last name for Jones, o Exchange definirá a propriedade do nome Display como Michael Jones.
Para especificar opções de nomeação automatizada de caixa de correio, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados, e sua licença deve oferecer suporte ao produto Exchange.
Para especificar uma política de nomenclatura automatizada de caixa de correio:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Exchange Policies (Configurar Políticas do Exchange) > Alias naming (Nomenclatura do álias).
Especifique as informações apropriadas de geração de nome.
Selecione Enforce alias naming rules during mailbox updates (Assegurar o uso obrigatório de regras de nomenclatura de álias durante atualizações de caixa de correio).
Clique em OK.
Para especificar opções de nomenclatura de recursos, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados, e sua licença deve suportar o produto Exchange.
Para especificar uma política de nomenclatura de recursos:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Exchange Policies (Configurar Políticas do Exchange) > Resource naming (Nomenclatura de recursos).
Especifique as informações apropriadas de geração da nomenclatura de recurso.
Selecione Enforce resource naming rules during mailbox updates (Assegurar o uso obrigatório de regras de nomenclatura de recursos durante atualizações de caixa de correio).
Clique em OK.
Para especificar opções de nomenclatura do arquivo, você deve ter os poderes apropriados, como aqueles incluídos na função Gerenciar Políticas e Acionadores de Automação integrados, e sua licença deve suportar o produto Exchange.
Para especificar uma política de nomenclatura de arquivo:
Acesse Policy and Automation Management (Política e Gerenciamento de Automação) > Configure Exchange Policies (Configurar Políticas do Exchange) > Archive naming (Nomenclatura do arquivo).
Especifique as informações apropriadas de geração de nomenclatura de arquivo para contas do usuário.
Selecione Enforce archive naming rules during mailbox updates (Assegurar o uso obrigatório de regras de nomenclatura de arquivo durante atualizações da caixa de correio).
Clique em OK.