3.5 DRA 管理服务器、Web 控制台和 REST 扩展要求

DRA 组件需要以下软件和帐户：

3.5.1 软件要求

组件

先决条件

安装目标

操作系统

NetIQ 管理服务器操作系统：

  • Microsoft Windows Server 2012 R2、2016、2019

    注：服务器还必须是所支持的 Microsoft 本地 Active Directory 域的成员。

DRA 界面：

  • Microsoft Windows Server 2012 R2、2016、2019

  • Microsoft Windows 8.1（x86 和 x64）、10（x86 和 x64）

安装程序

  • Microsoft .Net Framework 4.6.2 及更高版本

管理服务器

Directory and Resource Administrator：

  • Microsoft .Net Framework 4.6.2 及更高版本

  • Microsoft Visual C++ 2013 Redistributable Packages (x64) 和 Microsoft Visual C++ 2017 (Update 3) Redistributable Packages (x64 和 x86)

  • Microsoft 讯息队列

  • Microsoft Active Directory 轻型目录服务角色

  • 已启动远程注册表服务

  • Microsoft Internet 信息服务 URL 重写模块

  • Microsoft Internet 信息服务应用程序请求路由

Microsoft Office 365/Exchange Online 管理：

  • 适用于 Windows PowerShell 的 Windows Azure Active Directory 模块

  • Skype for Business Online，Windows PowerShell 模块

有关更多信息，请参见支持的平台。

用户界面

DRA 界面：

  • Microsoft .Net Framework 4.6.2

  • Microsoft Visual C++ 2017 (Update 3) Redistributable Packages（x64 和 x86）

DRA 主机服务

  • Microsoft .Net Framework 4.6.2

  • DRA 管理服务器

DRA REST 端点和服务

  • Microsoft .Net Framework 4.6.2

PowerShell 扩展

  • Microsoft .Net Framework 4.6.2

  • PowerShell 5.1 或更高版本

DRA Web 控制台

Web 服务器：

  • Microsoft .Net Framework 4.x > WCF 服务 > HTTP 激活

  • Microsoft Internet Information Server 8.0, 8.5, 10

  • Microsoft Internet 信息服务 URL 重写模块

  • Microsoft Internet 信息服务应用程序请求路由

Microsoft IIS 组件：

  • Web 服务器

    • 通用 HTTP 功能

      • 静态内容

      • 默认文档

      • 目录浏览器

      • HTTP 错误

    • 应用程序开发

      • ASP

    • 运行状况和诊断

      • HTTP 日志记录

      • 请求监视程序

    • 安全性

      • 基本鉴定

    • 性能

      • 静态内容压缩

  • Web 服务器管理工具

3.5.2 服务器域

组件

操作系统

DRA 服务器

  • Microsoft Windows Server 2019

  • Microsoft Windows Server 2016

  • Microsoft Windows Server 2012 R2

3.5.3 帐户要求

帐户

说明

许可权限

AD LDS 组

需要将 DRA 服务帐户添加到此组以便访问 AD LDS

  • 域本地安全组

DRA 服务帐户

运行 NetIQ 管理服务所需的许可权限

  • 针对“分布式 COM 用户”许可权限

  • AD LDS Admin 组成员

  • 帐户操作员组

  • 日志存档组（OnePointOp ConfgAdms 和 OnePointOp）

  • 如果在服务器上使用 STIG 方法安装 DRA，则必须针对 DRA 服务帐户用户选择以下任意“帐户”选项卡 > Account options（帐户选项）：

    • Kerberos AES 128 位加密

    • Kerberos AES 256 位加密

注：

  • 有关设置最小特权域访问帐户的更多信息，请参见：最小特权 DRA 访问帐户。

  • 有关为 DRA 设置组托管服务帐户的更多信息，请参见“为组托管服务帐户配置 DRA 服务”

DRA 管理员

供应到内置 DRA Admin 角色中的用户帐户或组

  • 域本地安全组或域用户帐户

  • 受管域或受信任域的成员

    • 如果指定来自受信任域的帐户，确保管理服务器计算机可以鉴定此帐户。

DRA 助理 Admin 帐户

将通过 DRA 委托权限的帐户

  • 将所有 DRA 助理 Admin 帐户添加到“分布式 COM 用户”组，以便它们可以从远程客户端连接到 DRA 服务器。仅在使用胖客户端或 Delegation and Configuration（委托和配置）控制台时才需要此操作。

    注：可配置 DRA 在安装期间对此进行管理。

3.5.4 最小特权 DRA 访问帐户

下面是指定的帐户所需的许可权限和特权，以及您需要运行的配置命令。

域访问帐户： 使用 ADSI 编辑器，可以在域顶层为以下后代对象类型向域访问帐户授予以下 Active Directory 许可权限：

  • 对 builtInDomain 对象的完全控制

  • 对计算机对象的完全控制

  • 对连接点对象的完全控制

  • 对联系人对象的完全控制

  • 对容器对象的完全控制

  • 对组对象的完全控制

  • 对 InetOrgPerson 对象的完全控制

  • 对 MsExchDynamicDistributionList 对象的完全控制

  • 对 MsExchSystemObjectsContainer 对象的完全控制

  • 对组织单元对象的完全控制

  • 对打印机对象的完全控制

  • 对 publicFolder 对象的完全控制

  • 对共享文件夹对象的完全控制

  • 对用户对象的完全控制

在域顶层向域访问帐户授予对此对象和所有后代对象的以下 Active Directory 许可权限：

  • 允许创建计算机对象

  • 允许创建联系人对象

  • 允许创建容器对象

  • 允许创建组对象

  • 允许创建 MsExchDynamicDistributionList 对象

  • 允许创建组织单元对象

  • 允许创建 publicFolders 对象

  • 允许创建共享文件夹对象

  • 允许创建用户对象

  • 允许删除计算机对象

  • 允许删除联系人对象

  • 允许删除容器

  • 允许删除组对象

  • 允许删除 InetOrgPerson 对象

  • 允许删除 MsExchDynamicDistiributionList 对象

  • 允许删除组织单元对象

  • 允许删除 publicFolders 对象

  • 允许删除共享文件夹对象

  • 允许删除用户对象

注：

  • 默认情况下，Active Directory 中的某些内置容器对象不继承域顶层的许可权限。因此，这些对象将需要启用继承或设置显式许可权限。

  • 如果未将 REST 服务器与 DRA 管理服务器安装在同一服务器上，则正在运行的 REST 服务帐户必须对 Active Directory 中的 REST 服务器具有完全控制权限。例如，设置对 CN=DRARestServer,CN=System,DC=myDomain,DC=com 的完全控制

Exchange 访问帐户： 要管理本地 Microsoft Exchange 对象，请将组织管理角色指派给 Exchange 访问帐户，并将 Exchange 访问帐户指派给“帐户操作员”组。

Skype 访问帐户： 确保此帐户是启用了 Skype 的用户并且至少是下列任意角色的成员：

  • CSAdministrator 角色

  • CSUserAdministrator 和 CSArchiving 角色

公共文件夹访问帐户： 向公共文件夹访问帐户指派下列 Active Directory 许可权限：

  • 公共文件夹管理

  • 启用电子邮件的公共文件夹

Azure 租户访问帐户： 向 Azure 租户访问帐户指派下列 Azure Active Directory 许可权限：

  • 分发组

  • 邮件收件人

  • 邮件收件人创建

  • 安全组创建和成员资格

  • （可选）Skype for Business 管理员

    如果要管理 Skype for Business Online，请将 Skype for Business 管理员权限指派给 Azure 租户访问帐户。

  • 用户管理员

NetIQ 管理服务帐户许可权限：

  • 本地管理员

  • 授予最小特权覆盖帐户对供应了主目录的共享文件夹或 DFS 文件夹的“完全许可权限”。

  • 资源管理：要管理托管的 Active Directory 域中已发布的资源，必须为域访问帐户授予对这些资源的本地管理许可权限。

安装 DRA 之后： 添加所需的域或由 DRA 管理所需的域后，运行以下命令：

  • 将许可权限委托给 DRA 安装文件夹中的“已删除对象容器”（注意：必须由域管理员执行此命令）：

    DraDelObjsUtil.exe /domain:<NetbiosDomainName> /delegate:<Account Name>

  • 将许可权限委托给 DRA 安装文件夹中的 "NetIQReceyleBin OU"：

    DraRecycleBinUtil.exe /domain:<NetbiosDomainName> /delegate:<AccountName>

远程访问 SAM： 指派由 DRA 管理的域控制器或成员服务器以启用以下 GPO 设置中列出的帐户，以便它们可以对安全帐户管理器 (SAM) 数据库进行远程查询。配置需要包括 DRA 服务帐户。

网络访问: 限制允许对 SAM 进行远程调用的客户端

要访问此设置，请执行以下操作：

  1. 打开域控制器上的组策略管理控制台。

  2. 在节点树中展开域 > [域控制器] > 组策略对象。

  3. 右键单击默认域控制器策略，然后选择编辑以为此策略打开 GPO 编辑器。

  4. 在 GPO 编辑器的节点树中，展开计算机配置 > 策略 > Windows 设置 > 安全设置 > 本地策略。

  5. 在策略窗格中双击网络访问: 限制允许对 SAM 进行远程调用的客户端，然后选择定义此策略设置。

  6. 单击编辑安全设置，然后启用允许进行远程访问。如果 DRA 服务帐户尚未作为用户或管理员组的一部分包括在内，则添加该帐户。

  7. 应用更改。这会将安全描述符 O:BAG:BAD:(A;;RC;;;BA) 添加到策略设置。

有关更多信息，请参见知识库文章 7023292。