使用 DRA 管理 Active Directory 任务的最小特权访问权限需要配置许多组件和过程。其中包括常规和客户端组件配置。本节介绍需要为 DRA 配置的常规组件和过程的相关信息。
MMS 环境使用多个管理服务器管理同一组域和成员服务器。一个 MMS 包含一个主管理服务器和多个次管理服务器。
管理服务器的默认模式为主服务器。在将次服务器添加到 MMS 环境时，请记住次管理服务器只能属于一个服务器集。
要确保集合中的每个服务器都管理相同的数据，请定期将次服务器与主管理服务器同步。要减少维护，请对域林中的所有管理服务器使用相同的服务帐户。
重要说明：
安装次服务器时，在安装程序中选择次管理服务器。
新的 DRA 次服务器版本必须与 DRA 主服务器版本相同，以确保主服务器中的所有功能在次服务器中均可用。
您可以将次管理服务器添加到 Delegation and Configuration（委托和配置）客户端中的现有 MMS。要添加次服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
注：要成功添加新的次服务器，必须先在管理服务器计算机上安装 Directory and Resource Administrator 产品。有关更多信息，请参见安装 DRA 管理服务器。
要添加次管理服务器，请右键单击 Configuration Management（配置管理）节点中的 Administration Servers（管理服务器），然后选择 Add Secondary Server（添加次服务器）。
您可以将次管理服务器升级为主管理服务器。将次管理服务器升级为主管理服务器时，现有主管理服务器将成为服务器集中的次管理服务器。要升级次管理服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。在升级次管理服务器之前，请同步 MMS 以使其具有最新配置。
有关同步 MMS 的信息，请参见安排同步。
注：新升级的主服务器只能连接到升级过程中可用的次服务器。如果次服务器在升级过程中变得不可用，请联系技术支持。
要升级次管理服务器：
导航到 Configuration Management（配置管理）> Administration Servers（管理服务器）节点。
在右侧窗格中，选择要升级的次管理服务器。
在“任务”菜单上，单击 Advanced（高级）> Promote Server（升级服务器）。
重要说明：如果次服务器的服务帐户与主服务器不同，或次服务器安装在与主服务器不同的域（受信任域/不可信域）中，并且您升级次服务器，请确保在升级次服务器之前委托以下角色：Audit All Objects（审计所有对象）、Configure Servers and Domains（配置服务器和域）以及 Generate UI Reports（生成用户界面报告）。然后校验 MMS 同步是否成功。
您可以将主管理服务器降级为次管理服务器。要降级主管理服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
要降级主管理服务器：
导航到 Configuration Management（配置管理）> Administration Servers（管理服务器）节点。
在右侧窗格中，选择要降级的主管理服务器。
在“任务”菜单上，单击 Advanced（高级）> Demote Server（降级服务器）。
指定要指派为新主管理服务器的计算机，然后单击确定。
同步将确保 MMS 中的所有管理服务器使用相同的配置数据。您可以随时手动同步服务器，但默认日程表设置为每 4 小时同步一次 MMS。您可以修改此日程表以根据企业需要进行定制。
要修改同步日程表或手动同步 MMS 服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
要访问同步日程表或手动同步，请导航到 Configuration Management（配置管理）> Administration Servers（管理服务器），然后使用所选服务器上的任务菜单或右键单击选项。同步日程表位于选定服务器的“属性”中。
了解同步选项
对于同步 MMS 服务器，基本上有四种不同的选项：
选择主服务器并同步所有次服务器 Synchronize All Servers（同步所有服务器）
选择次服务器并仅同步该服务器
独立配置主服务器和次服务器的同步日程表
配置所有服务器的同步日程表。在主服务器同步日程表中选择以下设置时，将启用此选项：
Configure secondary Administration servers when refreshing the primary Administration server（刷新主管理服务器时配置次管理服务器）
注：如果取消选中此选项，配置文件将按主服务器日程表复制到次服务器上，但此时次服务器不会装载这些配置文件；它们将根据次服务器上配置的日程表进行装载。如果服务器位于不同的时区，这将非常有用。例如，您可以将所有服务器配置为在午夜刷新其配置，即使由于时区的原因可能是不同的时间。
使用 Clone Exceptions（克隆例外项），您可以定义在克隆其中一个对象时不会复制的用户、组、联系人和计算机的属性。
通过相应的权限，您可以管理 Clone Exceptions（克隆例外项）。Manage Clone Exceptions（管理克隆例外项）角色将授予查看、创建和删除 Clone Exceptions（克隆例外项）的权限。
要查看或删除现有克隆例外项或创建新克隆例外项，请导航到 Configuration Management（配置管理）> Clone Exceptions（克隆例外项）> 任务或右键单击菜单。
创建自定义工具时，可能需要先在 DRA Delegation and Configuration（委托和配置）控制台计算机上安装自定义工具使用的支持文件，然后自定义工具才能运行。您可以使用 DRA 的 File Replication（文件复制）功能快速轻松地将自定义工具支持文件从主管理服务器复制到 MMS 中的次管理服务器以及 DRA 客户端计算机。File Replication（文件复制）还可用于将触发器脚本从主服务器复制到次服务器。
您可以同时使用自定义工具和 File Replication（文件复制），以确保 DRA 客户端计算机可以访问自定义工具文件。DRA 将自定义工具文件复制到次管理服务器，以确保连接到次管理服务器的 DRA 客户端计算机可以访问自定义工具。
在 MMS 同步过程中，DRA 会将主管理服务器上的自定义工具文件复制到次管理服务器。当 DRA 客户端计算机连接到管理服务器时，DRA 会将自定义工具文件下载到 DRA 客户端计算机。
注：DRA 会将自定义工具文件下载到 DRA 客户端计算机上的以下位置：
{DRAInstallDir} \{MMS ID}\Download
MMSID 是 DRA 下载自定义工具文件的多主集合的标识。
将文件上载到主管理服务器时，指定要上载和在 MMS 集中的主管理服务器和所有次管理服务器之间复制的文件。DRA 允许您上载库文件、脚本文件和可执行文件。
“复制文件”角色允许您在 MMS 和 DRA 客户端计算机中将文件从主管理服务器复制到次管理服务器。“复制文件”角色包含以下权限：
从服务器删除文件： 此权限允许 DRA 删除主管理服务器、次管理服务器和 DRA 客户端计算机上不再存在的文件。
设置文件信息： 此权限允许 DRA 更新次管理服务器上文件的文件信息。
将文件上载到服务器： 此权限允许 DRA 将文件从 DRA 客户端计算机上载到主管理服务器。
注：您可以使用 Delegation and Configuration（委托和配置）控制台中的 File Replication（文件复制）用户界面，一次仅上载一个文件以进行复制。
要将自定义工具文件上载到主管理服务器：
导航到 Configuration Management（配置管理）> File Replication（文件复制）。
在“任务”菜单上，单击 Upload File（上载文件）。
要搜索并选择要上载的文件，请单击 Browse（浏览）。
要将所选文件下载到所有 DRA 客户端计算机，请选中 Download to all client computers（下载到所有客户端计算机）复选框。
如果要注册 COM 库，请选中 Register COM library（注册 COM 库）复选框。
单击确定。
注：
DRA 会将脚本文件或需要复制到其他次管理服务器的支持文件上载到主管理服务器的 {DRAInstallDir}\FileTransfer\Replicate 文件夹中。{DRAInstallDir}\FileTransfer\Replicate 文件夹也称为 {DRA_Replicated_Files_Path}。
DRA 会将脚本文件或需要复制到 DRA 客户端计算机的支持文件上载到主管理服务器的 {DRAInstallDir}\FileTransfer\Download 文件夹中。
在下次安排好的同步或手动同步期间，上载到主管理服务器的自定义工具文件将分发给次管理服务器。
如果要在 MMS 中的主管理服务器和次管理服务器之间上载和复制多个文件，则可以手动上载这些文件以进行复制，方法是将文件复制到位于以下位置的主管理服务器复制目录：
{DRAInstallDir}\FileTransfer\Replicate
安装 DRA 时创建复制目录。
管理服务器可自动识别复制目录中的文件，并在下次安排好的同步期间在管理服务器之间复制文件。同步后，DRA 会在 Delegation and Configuration（委托和配置）控制台的 File Replication（文件复制）窗口中显示上载的文件。
注：如果要复制的文件包含必须注册的 COM 库，则无法手动将文件复制到管理服务器复制目录。您必须使用 Delegation and Configuration（委托和配置）控制台上载每个文件并注册 COM 库。
如果要在主管理服务器和 DRA 客户端计算机之间复制多个文件，则可以将这些文件复制到主管理服务器上的客户端复制目录，该目录位于以下位置：
{DRAInstallDir}\FileTransfer\Download
安装 DRA 时创建客户端复制目录。
管理服务器可自动识别 Download 文件夹中的文件，并在下次安排好的同步期间将文件复制到次管理服务器。同步后，DRA 会在 Delegation and Configuration（委托和配置）控制台的 File Replication（文件复制）窗口中显示上载的文件。DRA 客户端计算机在复制后首次连接到管理服务器时，DRA 会将复制的文件下载到 DRA 客户端计算机。
注：如果要复制的文件包含必须注册的 COM 库，则无法将文件复制到管理服务器下载目录。您必须使用 Delegation and Configuration（委托和配置）控制台上载每个文件并注册 COM 库。
启用 AD 域服务审计时，DRA 事件将记录为由 DRA 服务帐户或域访问帐户（如果已配置）生成。Event Stamping（事件标记）通过生成一个额外的 AD DS 事件以标识执行操作的助理管理员，从而使此功能更进一步。
要生成这些事件，您必须在 DRA 管理服务器上配置 AD DS 审计并启用 Event Stamping（事件标记）。启用 Event Stamping（事件标记）后，您将能够查看助理管理员在 Change Guardian 事件报告中所做的更改。
要配置 AD DS 审计，请参见 Microsoft 参考 AD DS Auditing Step-by-Step Guide（AD DS 审计逐步指南）
要配置 Change Guardian 集成，请参见配置统一的更改历史记录服务器。
要启用 Event Stamping（事件标记），请以 DRA 管理员身份打开 Delegation and Configuration（委托和配置）控制台，然后执行以下操作：
导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> Event Stamping（事件标记）。
选择对象类型，然后单击 Update（更新）。
选择要用于该对象类型的 Event Stamping（事件标记）的属性。
DRA 当前支持用户、组、联系人、计算机和组织单元的 Event Stamping（事件标记）。
DRA 还要求每个受管域的 AD 纲要中都存在属性。如果在配置 Event Stamping（事件标记）后添加受管域，则应注意这一点。如果要添加不包含所选属性的受管域，则不会使用 Event Stamping（事件标记）数据审计该域中的操作。
DRA 将修改这些属性，因此您应选择 DRA 或环境中任何其他应用程序未使用的属性。
有关 Event Stamping（事件标记）的更多信息，请参见Event Stamping（事件标记）如何工作。
Azure Sync 使您能够实施无效字符和字符长度策略以防止目录同步失败。选择此选项将确保与 Azure Active Directory 同步的任何属性都将限制无效字符并实施字符长度限制。
要启用 Azure Sync：
在左侧窗格中，单击 Configuration Management（配置管理）。
在右侧窗格的 Common Tasks（常见任务）下，单击 Update Administration Server Options（更新管理服务器选项）。
在 Azure Sync 选项卡上，选择 Enforce online mailbox policies for invalid characters and character length（针对无效字符和字符长度实施联机邮箱策略）。
当您启用支持多个管理员管理一个组时，系统将使用两个默认属性之一来储存组管理员。运行 Microsoft Exchange 时的属性是 msExchCoManagedByLink 属性。未运行 Microsoft Exchange 时的默认属性是 nonSecurityMember 属性。后一个选项可以修改。但是，如果您需要更改此设置，我们建议您联系技术支持以确定相应的属性。
要为组启用多管理员支持：
在左侧窗格中，单击 Configuration Management（配置管理）。
在右侧窗格的 Common Tasks（常见任务）下，单击 Update Administration Server Options（更新管理服务器选项）。
在 Enable Support for Group Multiple Managers（启用组多管理员支持）选项卡上，选中 Enable support for group’s multiple managers（启用组多管理员支持）复选框。
此功能允许您启用或禁用 Delegation and Configuration（委托和配置）客户端与管理服务器之间使用加密通信。默认情况下，DRA 会加密帐户口令。此功能不会对 Web 客户端或 PowerShell 通信进行加密，此加密由服务器证书单独处理。
使用加密通信会影响性能。默认情况下禁用加密通信。如果启用此选项，则会在用户界面和管理服务器之间的通信期间对数据进行加密。DRA 使用 Microsoft 标准加密进行远程过程调用 (RPC)。
要启用加密通信，请导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> General（常规）选项卡，然后选中 Encrypted Communications（加密通信）复选框。
注：要加密管理服务器和用户界面之间的所有通信，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
使用虚拟属性，您可以创建新属性，并将这些属性与用户、组、动态分发组、联系人、计算机和 OU 相关联。虚拟属性允许您创建新属性，而无需扩展 Active Directory 纲要。
使用虚拟属性，您可以向 Active Directory 中的对象添加新属性。您只能在主管理服务器上创建、启用、禁用、关联和取消关联虚拟属性。DRA 会储存您在 AD LDS 中创建的虚拟属性。在 MMS 同步过程中，DRA 会将主管理服务器上的虚拟属性复制到次管理服务器。
通过相应的权限，您可以管理虚拟属性。Manage Virtual Attributes（管理虚拟属性）角色将授予创建、启用、关联、解除关联、禁用和查看虚拟属性的权限。
您需要具备 Create Virtual Attributes（创建虚拟属性）权限以创建虚拟属性，并且需要具备 View Virtual Attributes（查看虚拟属性）权限以查看虚拟属性。
要创建虚拟属性，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Attributes（受管属性）节点，然后单击“任务”菜单中的 New Virtual Attribute（新建虚拟属性）。
您只能将启用的虚拟属性与 Active Directory 对象关联。将虚拟属性与对象关联后，虚拟属性可作为对象属性的一部分使用。
要通过 DRA 用户界面公开虚拟属性，需要创建自定义属性页。
要将虚拟属性与对象关联，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Attributes（受管属性）节点，右键单击要使用的虚拟属性，然后选择 Associate（关联）>（对象类型）。
注：
您只能将虚拟属性与用户、组、动态分发组、计算机、联系人和 OU 关联。
将虚拟属性与对象关联时，DRA 会自动创建两个默认的自定义权限。助理管理员需要这些自定义权限来管理虚拟属性。
您可以解除虚拟属性与 Active Directory 对象的关联。您创建的任何新对象都不会将解除关联的虚拟属性显示为对象属性的一部分。
要解除虚拟属性与 Active Directory 对象的关联，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Classes（受管类）>（对象类型）节点。右键单击虚拟属性，然后选择 Disassociate（解除关联）。
如果虚拟属性与 Active Directory 对象没有关联，则可以禁用虚拟属性。禁用虚拟属性时，管理员无法查看虚拟属性或将虚拟属性与对象关联。
要禁用虚拟属性，请导航到 Configuration Management（配置管理）> Managed Attributes（受管属性）。右键单击列表窗格中的所需属性，然后选择 Disable（禁用）。
管理服务器将构建并维护一个帐户超速缓存，其中包含受管域的 Active Directory 部分。在管理用户帐户、组、联系人和计算机帐户时，DRA 将使用帐户超速缓存来提高性能。
要安排超速缓存刷新时间或查看超速缓存状态，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
注：要在包含受管子树的域中执行增量帐户超速缓存刷新，请确保服务帐户对 Deleted Objects（已删除对象）容器以及子树域中的所有对象具有读取访问权限。您可以使用 Deleted Objects Utility（已删除对象实用程序）来校验和委托相应的许可权限。
增量帐户超速缓存刷新仅更新自上次刷新以来更改的数据。增量刷新提供了一种简化的方法来跟上不断变化的 Active Directory。使用增量刷新可快速更新帐户超速缓存，同时对企业产生的影响最小。
重要说明：Microsoft Server 将连接到 WinRM/WinRS 会话的并发用户数量限制为五个，将每个用户的壳层数量限制为五个，以确保针对 DRA 次服务器，同一用户帐户限制为五个壳层。
增量刷新会更新以下数据：
新建和克隆的对象
已删除和已移动的对象
组成员资格
已修改对象的所有超速缓存对象属性
完全帐户超速缓存刷新将重建指定域的 DRA 帐户超速缓存。
注：正在运行完全帐户超速缓存刷新时，DRA 用户将无法使用该域。
要刷新帐户超速缓存，您必须具备相应权限，例如内置 Configure Servers and Domains
（配置服务器和域）角色中所包含的权限。
要立即执行完全帐户超速缓存刷新：
导航到 Configuration Management（配置管理）> Managed Domains（受管域）。
右键单击所需的域，然后选择属性。
单击 Full refresh（完全刷新）选项卡中的 Refresh Now（立即刷新）。
刷新帐户超速缓存的频率取决于企业更改的频率。使用增量刷新经常更新帐户超速缓存，以确保 DRA 具有关于 Active Directory 的最新信息。
默认情况下，管理服务器在以下时间执行增量帐户超速缓存刷新：
|
域类型 |
默认安排的刷新时间 |
|---|---|
|
受管域 |
每 5 分钟 |
|
受信任域 |
每小时 |
您无法安排 FACR；但是，DRA 在以下情况下会运行自动 FACR：
首次配置受管域后。
将 DRA 从以前版本升级到新的完整版本后。
安装 DRA 服务包后。
执行完全帐户超速缓存刷新可能需要几分钟。
您必须定期刷新帐户超速缓存以确保 DRA 具有最新信息。在执行或安排帐户超速缓存刷新之前，请查看以下注意事项：
要执行增量帐户超速缓存刷新，管理服务器服务帐户或访问帐户必须具有对受管域或受信任域的 Active Directory 中已删除对象的访问许可权限。
当 DRA 执行帐户超速缓存刷新时，管理服务器不包括来自受信任域的域本地安全组。由于超速缓存不包含这些组，因此 DRA 不允许您将域本地安全组从受信任域添加到受管成员服务器上的本地组。
如果从帐户超速缓存刷新中省略受信任域，则管理服务器也会从域配置刷新中省略该域。
如果在帐户超速缓存刷新中包含先前省略的受信任域，请对受管域执行完全帐户超速缓存刷新。这可确保受管域的管理服务器上的帐户超速缓存正确反映受管域和受信任域中的组成员资格数据。
如果将增量帐户超速缓存刷新间隔设置为 Never（从不），则管理服务器仅执行完全帐户超速缓存刷新。完全帐户超速缓存刷新可能需要一些时间，在此期间您无法管理此域中的对象。
DRA 无法自动确定何时通过其他工具（如 Microsoft Directory Service）进行更改。在 DRA 之外执行的操作可能会影响超速缓存信息的准确性。例如，如果使用其他工具将邮箱添加到用户帐户，则在更新帐户超速缓存之前，无法使用 Exchange 管理此邮箱。
执行完全帐户超速缓存刷新会删除超速缓存中保留的上次登录统计信息。然后，管理服务器将从所有域控制器收集最新的登录信息。
默认情况下禁用 AD 打印机集合。要启用 AD 打印机集合，请导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> General（常规）选项卡，然后选中 Collect Printers（收集打印机）复选框。
您可以将 AD LDS 清理刷新配置为按特定域的日程表运行。默认设置为“从不”刷新。您还可以查看清理状态并查看与 AD LDS (ADAM) 配置相关的特定信息。
要配置日程表或查看 AD LDS 清理状态，请在 Account and Resource Management（帐户和资源管理）> All My Managed Objects（我的所有受管对象）节点中右键单击所需的域，然后分别选择属性 > Adlds Cleanup Refresh Schedule（Adlds 清理刷新日程表）或 Adlds Cleanup status（Adlds 清理状态）。
要查看 AD LDS (ADAM) 配置信息，请导航到 Configuration Management（配置管理）> Update Server Options（更新服务器选项）> ADAM Configuration（ADAM 配置）。
动态组根据组属性中配置的一组定义的准则更改其成员资格。在“域属性”中，您可以将动态组刷新配置为按特定域的日程表运行。默认设置为“从不”刷新。您还可以查看刷新状态。
要配置日程表或查看动态组刷新状态，请在 Account and Resource Management（帐户和资源管理）> All My Managed Objects（我的所有受管对象）节点中右键单击所需的域，然后分别选择属性 > Dynamic group refresh（动态组刷新）或 Dynamic group status（动态组状态）。
有关动态组的更多信息，请参见 DRA 动态组。
您可以为每个 Microsoft Windows 域或每个域中的对象启用或禁用回收站，并配置何时以及如何进行回收站清理。
有关使用回收站的详细信息，请参见回收站。
您可以为特定 Microsoft Windows 域和这些域中的对象启用回收站。默认情况下，DRA 会为其管理的每个域和所有域的对象启用回收站。您必须是 DRA Admin 或 DRA 配置 Admin 组的成员才能启用回收站。
如果您的环境包括以下配置，请使用回收站实用程序启用此功能：
DRA 正在管理此域的子树。
管理服务器服务或访问帐户无权创建回收站容器、将帐户移至此容器以及修改此容器中的帐户。
您还可以使用回收站实用程序校验管理服务器服务或访问帐户对回收站容器的许可权限。
要启用回收站，请右键单击回收站节点中的相应域，然后选择 Enable Recycle Bin（启用回收站）。
您可以为特定 Microsoft Windows 域和这些域中的对象禁用回收站。如果禁用的回收站包含帐户，则无法查看、永久删除或恢复这些帐户。
您必须是 DRA Admin 或 DRA 配置 Admin 助理管理员组的成员才能禁用回收站。
要禁用回收站，请右键单击回收站节点中的相应域，然后选择 Disable Recycle Bin（禁用回收站）。
回收站清理的默认设置是每天。您可以将此配置更改为每 x 天清理域回收站。在安排的清理期间，回收站将删除超出为每种对象类型配置的天数的对象。每种类型的默认设置是删除超过 1 天的对象。通过禁用、重新启用和设置每个对象类型的删除对象的期限，您可以自定义回收站清理的行为。
要配置回收站清理，请在 Delegation and Configuration（委托和配置）控制台中选择相应的域，然后转到任务 > 属性 > 回收站选项卡。
以下章节将提供有关 DRA Management（DRA 管理）报告和可以启用的报告收集器的概念信息。要访问可以配置收集器的向导，请导航到 Configuration Management（配置管理）> Update Reporting Service Configuration（更新报告服务配置）。
Active Directory Collector（Active Directory 收集器）将从 Active Directory 中为 DRA 中的每个受管用户、组、联系人、计算机、OU 和动态分发组收集一组指定的属性。这些属性将储存在报告数据库中，用于在 Reporting（报告）控制台中生成报告。
您可以配置 Active Directory Collector（Active Directory 收集器）以指定要收集和储存在报告数据库中的属性。您还可以配置将运行收集器的 DRA 管理服务器。
DRA Collector（DRA 收集器）将收集有关 DRA 配置的信息，并将该信息储存在报告数据库中，该数据库用于在 Reporting（报告）控制台中生成报告。
要启用 DRA Collector（DRA 收集器），您必须指定将运行收集器的 DRA 管理服务器。作为最佳实践，您应安排 DRA Collector（DRA 收集器）在 Active Directory Collector（Active Directory 收集器）成功运行之后和服务器负载最少时或在正常工作时间以外运行。
Azure Tenant Collector（Azure 租户收集器）将收集有关同步到 Azure Active Directory 租户的 Azure 用户和组信息，并将该信息储存在报告数据库中，该数据库用于在 Reporting（报告）控制台中生成报告。
要启用 Azure Tenant Collector（Azure 租户收集器），您必须指定将运行收集器的 DRA 管理服务器。
注：Azure 租户只有在其相应域的 Active Directory Collector（Active Directory 收集器）成功运行收集后，才能成功运行收集。
Management Reports Collector（管理报告收集器）将收集 DRA 审计信息并将该信息储存在报告数据库中，该数据库用于在 Reporting（报告）控制台中生成报告。启用收集器时，可以配置数据库中数据的更新频率，以便在 DRA Reporting 工具中运行查询。
此配置要求 DRA 服务帐户在报告服务器的 SQL Server 中具有 sysadmin 许可权限。可配置选项定义如下：
Audit Export Data Interval（审计导出数据间隔）：这是将 DRA 跟踪日志 (LAS) 中的审计数据导出到 SQL Server 中的 "SMCubeDepot" 数据库的时间间隔。
Management Report Summarization Interval（管理报告摘要间隔）：这是将 SMCubeDepot 数据库中的审计数据提取到 DRA Reporting 数据库的时间间隔，可以通过 DRA Reporting 工具查询该数据库。
您可以配置 DRA 以从受管域的所有域控制器中收集上次登录统计信息。要启用和安排收集上次登录统计信息，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
默认情况下，禁用上次登录统计信息收集功能。如果要收集上次登录统计数据，则必须启用此功能。启用收集上次登录统计信息后，您可以查看特定用户的上次登录统计信息，或显示上次登录统计信息收集的状态。
要收集上次登录统计信息：
导航到 Configuration Management（配置管理）> Managed Domains（受管域）。
右键单击所需的域，然后选择属性。
单击 Last logon schedule（上次登录日程表）选项卡以配置上次登录统计信息收集。
统一的更改历史记录服务器功能使您能够针对在 DRA 之外进行的更改生成报告。
要管理统一的更改历史记录服务器，请将统一的更改历史记录服务器管理角色或以下适用的权限指派给助理管理员：
删除统一的更改历史记录服务器配置
设置统一的更改历史记录配置信息
查看统一的更改历史记录配置信息
要委托统一的更改历史记录服务器权限：
单击 Delegation Management（委托管理）节点中的 Powers（权限），然后使用搜索对象功能查找并选择所需的 UCH 权限。
右键单击其中一个选定的 UCH 权限，然后选择 Delegate Roles and Powers（委托角色和权限）。
搜索要向其委托权限的特定用户、组或助理管理员组。
使用 Object Selector（对象选择器）查找并添加所需的对象，然后单击 Wizard（向导）中的 Roles and Powers（角色和权限）。
单击 ActiveView，然后使用 Object Selector（对象选择器）查找和添加所需的 ActiveView。
单击 Next（下一步），然后单击 Finish（完成）以完成委托过程。
要配置统一的更改历史记录服务器：
登录到 Delegation and Configuration（委托和配置）控制台。
展开 Configuration Management（配置管理）> Integration Servers（集成服务器）。
右键单击 Unified Change History（统一的更改历史记录），然后选择 New Unified Change History Server（新的统一的更改历史记录服务器）。
在统一的更改历史记录配置中指定 UCH 服务器名称或 IP 地址、端口号、服务器类型和访问帐户细节。
测试服务器连接，然后单击 Finish（完成）以保存配置。
根据需要添加其他服务器。
要管理工作流程，请将工作流程自动化服务器管理角色或以下适用的权限指派给助理管理员：
Create Workflow Event and Modify All Properties（创建工作流程事件并修改所有属性）
Delete Workflow Automation Server Configuration（删除工作流程自动化服务器配置）
Set Workflow Automation Server Configuration Information（设置工作流程自动化服务器配置信息）
Start Workflow（启动工作流程）
View All Workflow Event Properties（查看所有工作流程事件属性）
View All Workflow Properties（查看所有工作流程属性）
View Workflow Automation Server Configuration Information（查看工作流程自动化服务器配置信息）
要委托工作流程自动化服务器配置权限：
单击 Delegation Management（委托管理）节点中的 Powers（权限），然后使用搜索对象功能查找并选择所需的工作流程权限。
右键单击其中一个选定的工作流程权限，然后选择 Delegate Roles and Powers（委托角色和权限）。
搜索要向其委托权限的特定用户、组或助理管理员组。
使用 Object Selector（对象选择器）查找并添加所需的对象，然后单击 Wizard（向导）中的 Roles and Powers（角色和权限）。
单击 ActiveView，然后使用 Object Selector（对象选择器）查找和添加所需的 ActiveView。
单击 Next（下一步），然后单击 Finish（完成）以完成委托过程。
要在 DRA 中使用工作流程自动化，则必须在 Windows Server 上安装工作流程引擎，然后通过 Delegation and Configuration（委托和配置）控制台配置工作流程自动化服务器。
要配置工作流程自动化服务器：
登录到 Delegation and Configuration（委托和配置）控制台。
有关工作流程自动化权限，请参见委托工作流程自动化服务器配置权限。
展开 Configuration Management（配置管理）> Integration Servers（集成服务器）。
右键单击 Workflow Automation（工作流程自动化），然后选择 New Workflow Automation Server（新的工作流程自动化服务器）。
在 Add Workflow Automation Server（添加工作流程自动化服务器）向导中指定细节，例如服务器名称、端口、协议和访问帐户。
测试服务器连接，然后单击 Finish（完成）以保存配置。
有关安装工作流程引擎的信息，请参见 Workflow Automation Administrator Guide（《工作流程自动化管理员指南》）。
DRA 使您能够在本地 Active Directory 域中搜索 LDAP 对象，例如 LDAP 服务器的用户、联系人、计算机、组和 OU。DRA 服务器仍会处理操作，且其为执行搜索的域控制器。使用搜索过滤器可以更有效地进行搜索。此外，您还可以保存搜索查询以供将来使用，可以将其与公众共享，也可以通过将其标记为私用以供自己使用。您可以编辑已保存的查询。LDAP 高级查询角色授予助理管理员创建和管理 LDAP 搜索查询的权限。使用以下权限委托创建和管理 LDAP 搜索查询：
Create Private Advanced Query（创建私用高级查询）
Create Public Advanced Query（创建公共高级查询）
Delete Public Advanced Query（删除公共高级查询）
Execute Advanced Query（执行高级查询）
Execute Save Advanced Query（执行保存高级查询）
Modify Public Query（修改公共查询）
View Advanced Query（查看高级查询）
要委托 LDAP 查询权限：
单击 Delegation Management（委托管理）节点中的 Powers（权限），然后使用搜索对象功能查找并选择所需的高级 LDAP 查询权限。
右键单击其中一个选定的 LDAP 权限，然后选择 Delegate Roles and Powers（委托角色和权限）。
搜索要向其委托权限的特定用户、组或助理管理员组。
使用 Object Selector（对象选择器）查找并添加所需的对象，然后单击 Wizard（向导）中的 Roles and Powers（角色和权限）。
单击 ActiveView，然后使用 Object Selector（对象选择器）查找和添加所需的 ActiveView。
单击 Next（下一步），然后单击 Finish（完成）以完成委托过程。
要访问 Web 控制台中的搜索功能，请导航到 Management（管理）> LDAP Search（LDAP 搜索）。