本节介绍首次安装 Directory and Resource Administrator 时所需进行的配置步骤。
使用下列核对清单完成配置，以便开始使用。
|
步骤 |
细节 |
|---|---|
|
安装 DRA 许可证 |
使用运行状况检查实用程序应用 DRA 许可证。有关 DRA 许可证的更多信息，请参见许可要求。 |
|
配置 DRA 服务器和功能 |
配置 MMS、Clone Exceptions（克隆例外项）、File Replication（文件复制）、Event Stamping（事件标记）、超速缓存、AD LDS、动态组、回收站、报告、统一的更改历史记录和工作流程服务器。 |
|
配置 Delegation and Configuration（委托和配置）客户端 |
配置如何在 Delegation and Configuration（委托和配置）客户端中访问和显示项目。 |
|
配置 Web 客户端 |
配置自动注销、证书、服务器连接和鉴定组件 |
DRA 要求许可证密钥文件。此文件包含许可证信息，安装在管理服务器上。安装管理服务器后，使用运行状况检查实用程序安装 NetIQ 公司为您提供的试用版许可证密钥文件 (TrialLicense.lic)。
要升级现有许可证或试用许可证，打开委托和配置控制台，导航到配置管理 > 更新许可证。升级许可证时，升级每个管理服务器上的许可证文件。
您可以通过 Delegation and Configuration（委托和配置）控制台或 Account and Resource Management（帐户和资源管理）控制台查看产品许可证。要查看产品许可证，请导航到文件菜单 > DRA Properties（DRA 属性）> License（许可证）。
使用 DRA 管理 Active Directory 任务的最小特权访问权限需要配置许多组件和过程。其中包括常规和客户端组件配置。本节介绍需要为 DRA 配置的常规组件和过程的相关信息。
MMS 环境使用多个管理服务器管理同一组域和成员服务器。一个 MMS 包含一个主管理服务器和多个次管理服务器。
管理服务器的默认模式为主服务器。在将次服务器添加到 MMS 环境时，请记住次管理服务器只能属于一个服务器集。
要确保集合中的每个服务器都管理相同的数据，请定期将次服务器与主管理服务器同步。要减少维护，请对域林中的所有管理服务器使用相同的服务帐户。
重要说明：
安装次服务器时，在安装程序中选择次管理服务器。
DRA 次服务器版本必须与 DRA 主服务器版本相同，以确保主服务器中的所有功能在次服务器中均可用。
您可以将次管理服务器添加到 Delegation and Configuration（委托和配置）客户端中的现有 MMS。要添加次服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
注：要成功添加新的次服务器，必须先在管理服务器计算机上安装 Directory and Resource Administrator 产品。有关更多信息，请参见安装 DRA 管理服务器。
要添加次管理服务器，请右键单击 Configuration Management（配置管理）节点中的 Administration Server（管理服务器），然后选择 Add Secondary Server（添加次服务器）。
您可以将次管理服务器升级为主管理服务器。将次管理服务器升级为主管理服务器时，现有主管理服务器将成为服务器集中的次管理服务器。要升级次管理服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。在升级次管理服务器之前，请同步 MMS 以使其具有最新配置。
有关同步 MMS 的信息，请参见安排同步。
注：新升级的主服务器只能连接到升级过程中可用的次服务器。如果次服务器在升级过程中变得不可用，请联系技术支持。
要升级次管理服务器：
导航到 Configuration Management（配置管理）> Administration Servers（管理服务器）节点。
在右侧窗格中，选择要升级的次管理服务器。
在“任务”菜单上，单击 Advanced（高级）> Promote Server（升级服务器）。
重要说明：如果次服务器的服务帐户与主服务器不同，或次服务器安装在与主服务器不同的域（受信任域/不可信域）中，并且您升级次服务器，请确保在升级次服务器之前委托以下角色：Audit All Objects（审计所有对象）、Configure Servers and Domains（配置服务器和域）以及 Generate UI Reports（生成用户界面报告）。然后校验 MMS 同步是否成功。
您可以将主管理服务器降级为次管理服务器。要降级主管理服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
要降级主管理服务器：
导航到 Configuration Management（配置管理）> Administration Servers（管理服务器）节点。
在右侧窗格中，选择要降级的主管理服务器。
在“任务”菜单上，单击 Advanced（高级）> Demote Server（降级服务器）。
指定要指派为新主管理服务器的计算机，然后单击确定。
同步将确保 MMS 中的所有管理服务器使用相同的配置数据。您可以随时手动同步服务器，但默认日程表设置为每 4 小时同步一次 MMS。您可以修改此日程表以根据企业需要进行定制。
要修改同步日程表或手动同步 MMS 服务器，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
要访问同步日程表或手动同步，请导航到 Configuration Management（配置管理）> Administration Servers（管理服务器），然后使用所选服务器上的任务菜单或右键单击选项。同步日程表位于选定服务器的“属性”中。
了解同步选项
对于同步 MMS 服务器，基本上有四种不同的选项：
选择主服务器并同步所有次服务器 Synchronize All Servers（同步所有服务器）
选择次服务器并仅同步该服务器
独立配置主服务器和次服务器的同步日程表
配置所有服务器的同步日程表。在主服务器同步日程表中选择以下设置时，将启用此选项：
Configure secondary Administration servers when refreshing the primary Administration server（刷新主管理服务器时配置次管理服务器）
注：如果取消选中此选项，配置文件将按主服务器日程表复制到次服务器上，但此时次服务器不会装载这些配置文件；它们将根据次服务器上配置的日程表进行装载。如果服务器位于不同的时区，这将非常有用。例如，您可以将所有服务器配置为在午夜刷新其配置，即使由于时区的原因可能是不同的时间。
使用 Clone Exceptions（克隆例外项），您可以定义在克隆其中一个对象时不会复制的用户、组、联系人和计算机的属性。
通过相应的权限，您可以管理 Clone Exceptions（克隆例外项）。Manage Clone Exceptions（管理克隆例外项）角色将授予查看、创建和删除 Clone Exceptions（克隆例外项）的权限。
要查看或删除现有克隆例外项或创建新克隆例外项，请导航到 Configuration Management（配置管理）> Clone Exceptions（克隆例外项）> 任务或右键单击菜单。
创建自定义工具时，可能需要先在 DRA 客户端计算机上安装自定义工具使用的支持文件，然后自定义工具才能运行。您可以使用 DRA 的 File Replication（文件复制）功能快速轻松地将自定义工具支持文件从主管理服务器复制到 MMS 中的次管理服务器以及 DRA 客户端计算机。File Replication（文件复制）还可用于将触发器脚本从主服务器复制到次服务器。
您可以同时使用自定义工具和 File Replication（文件复制），以确保 DRA 客户端计算机可以访问自定义工具文件。DRA 将自定义工具文件复制到次管理服务器，以确保连接到次管理服务器的 DRA 客户端计算机可以访问自定义工具。
在 MMS 同步过程中，DRA 会将主管理服务器上的自定义工具文件复制到次管理服务器。当 DRA 客户端计算机连接到管理服务器时，DRA 会将自定义工具文件下载到 DRA 客户端计算机。
注：DRA 会将自定义工具文件下载到 DRA 客户端计算机上的以下位置：
{DRAInstallDir} \{MMS ID}\Download
MMSID 是 DRA 下载自定义工具文件的多主集合的标识。
将文件上载到主管理服务器时，指定要上载和在 MMS 集中的主管理服务器和所有次管理服务器之间复制的文件。DRA 允许您上载库文件、脚本文件和可执行文件。
“复制文件”角色允许您在 MMS 和 DRA 客户端计算机中将文件从主管理服务器复制到次管理服务器。“复制文件”角色包含以下权限：
从服务器删除文件： 此权限允许 DRA 删除主管理服务器、次管理服务器和 DRA 客户端计算机上不再存在的文件。
设置文件信息： 此权限允许 DRA 更新次管理服务器上文件的文件信息。
将文件上载到服务器： 此权限允许 DRA 将文件从 DRA 客户端计算机上载到主管理服务器。
注：您可以使用 Delegation and Configuration（委托和配置）控制台中的 File Replication（文件复制）用户界面，一次仅上载一个文件以进行复制。
要将自定义工具文件上载到主管理服务器：
导航到 Configuration Management（配置管理）> File Replication（文件复制）。
在“任务”菜单上，单击 Upload File（上载文件）。
要搜索并选择要上载的文件，请单击 Browse（浏览）。
要将所选文件下载到所有 DRA 客户端计算机，请选中 Download to all client computers（下载到所有客户端计算机）复选框。
如果要注册 COM 库，请选中 Register COM library（注册 COM 库）复选框。
单击确定。
注：
DRA 会将脚本文件或需要复制到其他次管理服务器的支持文件上载到主管理服务器的 {DRAInstallDir}\FileTransfer\Replicate 文件夹中。{DRAInstallDir}\FileTransfer\Replicate 文件夹也称为 {DRA_Replicated_Files_Path}。
DRA 会将脚本文件或需要复制到 DRA 客户端计算机的支持文件上载到主管理服务器的 {DRAInstallDir}\FileTransfer\Download 文件夹中。
在下次安排好的同步或手动同步期间，上载到主管理服务器的自定义工具文件将分发给次管理服务器。
如果要在 MMS 中的主管理服务器和次管理服务器之间上载和复制多个文件，则可以手动上载这些文件以进行复制，方法是将文件复制到位于以下位置的主管理服务器复制目录：
{DRAInstallDir}\FileTransfer\Replicate
安装 DRA 时创建复制目录。
管理服务器可自动识别复制目录中的文件，并在下次安排好的同步期间在管理服务器之间复制文件。同步后，DRA 会在 Delegation and Configuration（委托和配置）控制台的 File Replication（文件复制）窗口中显示上载的文件。
注：如果要复制的文件包含必须注册的 COM 库，则无法手动将文件复制到管理服务器复制目录。您必须使用 Delegation and Configuration（委托和配置）控制台上载每个文件并注册 COM 库。
如果要在主管理服务器和 DRA 客户端计算机之间复制多个文件，则可以将这些文件复制到主管理服务器上的客户端复制目录，该目录位于以下位置：
{DRAInstallDir}\FileTransfer\Download
安装 DRA 时创建客户端复制目录。
管理服务器可自动识别 Download 文件夹中的文件，并在下次安排好的同步期间将文件复制到次管理服务器。同步后，DRA 会在 Delegation and Configuration（委托和配置）控制台的 File Replication（文件复制）窗口中显示上载的文件。DRA 客户端计算机在复制后首次连接到管理服务器时，DRA 会将复制的文件下载到 DRA 客户端计算机。
注：如果要复制的文件包含必须注册的 COM 库，则无法将文件复制到管理服务器下载目录。您必须使用 Delegation and Configuration（委托和配置）控制台上载每个文件并注册 COM 库。
启用 AD 域服务审计时，DRA 事件将记录为由 DRA 服务帐户或域访问帐户（如果已配置）生成。Event Stamping（事件标记）通过生成一个额外的 AD DS 事件以标识执行操作的助理管理员，从而使此功能更进一步。
要生成这些事件，您必须在 DRA 管理服务器上配置 AD DS 审计并启用 Event Stamping（事件标记）。启用 Event Stamping（事件标记）后，您将能够查看助理管理员在 Change Guardian 事件报告中所做的更改。
要配置 AD DS 审计，请参见 AD DS 审计
要配置 Change Guardian 集成，请参见配置统一的更改历史记录服务器。
要启用 Event Stamping（事件标记），请以 DRA 管理员身份打开 Delegation and Configuration（委托和配置）控制台，然后执行以下操作：
导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> Event Stamping（事件标记）。
选择对象类型，然后单击 Update（更新）。
选择要用于该对象类型的 Event Stamping（事件标记）的属性。
DRA 当前支持用户、组、联系人、计算机和组织单元的 Event Stamping（事件标记）。
DRA 还要求每个受管域的 AD 纲要中都存在属性。如果在配置 Event Stamping（事件标记）后添加受管域，则应注意这一点。如果要添加不包含所选属性的受管域，则不会使用 Event Stamping（事件标记）数据审计该域中的操作。
DRA 将修改这些属性，因此您应选择 DRA 或环境中任何其他应用程序未使用的属性。
有关 Event Stamping（事件标记）的更多信息，请参见Event Stamping（事件标记）如何工作。
当您启用支持多个管理员管理一个组时，系统将使用两个默认属性之一来储存组管理员。运行 Microsoft Exchange 时的属性是 msExchCoManagedByLink 属性。未运行 Microsoft Exchange 时的默认属性是 nonSecurityMember 属性。后一个选项可以修改。但是，如果您需要更改此设置，我们建议您联系技术支持以确定相应的属性。
要为组启用多管理员支持：
在左侧窗格中，单击 Configuration Management（配置管理）。
在右侧窗格的 Common Tasks（常见任务）下，单击 Update Administration Server Options（更新管理服务器选项）。
在 Enable Support for Group Multiple Managers（启用组多管理员支持）选项卡上，选中 Enable support for group’s multiple managers（启用组多管理员支持）复选框。
此功能允许您启用或禁用 Delegation and Configuration（委托和配置）及 ARM 客户端与管理服务器之间使用加密通信。默认情况下，DRA 会加密帐户口令。此功能不会对 Web 客户端或 PowerShell 通信进行加密，此加密由服务器证书单独处理。
使用加密通信会影响性能。默认情况下禁用加密通信。如果启用此选项，则会在用户界面和管理服务器之间的通信期间对数据进行加密。DRA 使用 Microsoft 标准加密进行远程过程调用 (RPC)。
要启用加密通信，请导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> General（常规）选项卡，然后选中 Encrypted Communications（加密通信）复选框。
注：要加密管理服务器和用户界面之间的所有通信，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
使用虚拟属性，您可以创建新属性，并将这些属性与用户、组、动态分发组、联系人、计算机和 OU 相关联。虚拟属性允许您创建新属性，而无需扩展 Active Directory 纲要。
使用虚拟属性，您可以向 Active Directory 中的对象添加新属性。您只能在主管理服务器上创建、启用、禁用、关联和取消关联虚拟属性。DRA 会储存您在 AD LDS 中创建的虚拟属性。在 MMS 同步过程中，DRA 会将主管理服务器上的虚拟属性复制到次管理服务器。
通过相应的权限，您可以管理虚拟属性。Manage Virtual Attributes（管理虚拟属性）角色将授予创建、启用、关联、解除关联、禁用和查看虚拟属性的权限。
您需要具备 Create Virtual Attributes（创建虚拟属性）权限以创建虚拟属性，并且需要具备 View Virtual Attributes（查看虚拟属性）权限以查看虚拟属性。
要创建虚拟属性，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Attributes（受管属性）节点，然后单击“任务”菜单中的 New Virtual Attribute（新建虚拟属性）。
您只能将启用的虚拟属性与 Active Directory 对象关联。将虚拟属性与对象关联后，虚拟属性可作为对象属性的一部分使用。
要通过 DRA 用户界面公开虚拟属性，需要创建自定义属性页。
要将虚拟属性与对象关联，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Attributes（受管属性）节点，右键单击要使用的虚拟属性，然后选择 Associate（关联）>（对象类型）。
注：
您只能将虚拟属性与用户、组、动态分发组、计算机、联系人和 OU 关联。
将虚拟属性与对象关联时，DRA 会自动创建两个默认的自定义权限。助理管理员需要这些自定义权限来管理虚拟属性。
您可以解除虚拟属性与 Active Directory 对象的关联。您创建的任何新对象都不会将解除关联的虚拟属性显示为对象属性的一部分。
要解除虚拟属性与 Active Directory 对象的关联，请导航到 Configuration Management（配置管理）> Virtual Attributes（虚拟属性）> Managed Classes（受管类）>（对象类型）节点。右键单击虚拟属性，然后选择 Disassociate（解除关联）。
如果虚拟属性与 Active Directory 对象没有关联，则可以禁用虚拟属性。禁用虚拟属性时，管理员无法查看虚拟属性或将虚拟属性与对象关联。
要禁用虚拟属性，请导航到 Configuration Management（配置管理）> Managed Attributes（受管属性）。右键单击列表窗格中的所需属性，然后选择 Disable（禁用）。
管理服务器将构建并维护一个帐户超速缓存，其中包含受管域的 Active Directory 部分。在管理用户帐户、组、联系人和计算机帐户时，DRA 将使用帐户超速缓存来提高性能。
要安排超速缓存刷新时间或查看超速缓存状态，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
注：要在包含受管子树的域中执行增量帐户超速缓存刷新，请确保服务帐户对 Deleted Objects（已删除对象）容器以及子树域中的所有对象具有读取访问权限。您可以使用 Deleted Objects Utility（已删除对象实用程序）来校验和委托相应的许可权限。
增量帐户超速缓存刷新仅更新自上次刷新以来更改的数据。增量刷新提供了一种简化的方法来跟上不断变化的 Active Directory。使用增量刷新可快速更新帐户超速缓存，同时对企业产生的影响最小。
重要说明：Microsoft Server 将连接到 WinRM/WinRS 会话的并发用户数量限制为五个，将每个用户的壳层数量限制为五个，以确保针对 DRA 次服务器，同一用户帐户限制为五个壳层。
增量刷新会更新以下数据：
新建和克隆的对象
已删除和已移动的对象
组成员资格
已修改对象的所有超速缓存对象属性
完全帐户超速缓存刷新将重建指定域的 DRA 帐户超速缓存。
注：正在运行完全帐户超速缓存刷新时，DRA 用户将无法使用该域。
要刷新帐户超速缓存，您必须具备相应权限，例如内置 Configure Servers and Domains
（配置服务器和域）角色中所包含的权限。
要立即执行完全帐户超速缓存刷新：
导航到 Configuration Management（配置管理）> Managed Domains（受管域）。
右键单击所需的域，然后选择属性。
单击 Full refresh（完全刷新）选项卡中的 Refresh Now（立即刷新）。
刷新帐户超速缓存的频率取决于企业更改的频率。使用增量刷新经常更新帐户超速缓存，以确保 DRA 具有关于 Active Directory 的最新信息。
默认情况下，管理服务器在以下时间执行增量帐户超速缓存刷新：
|
域类型 |
默认安排的刷新时间 |
|---|---|
|
受管域 |
每 5 分钟 |
|
受信任域 |
每小时 |
您无法安排 FACR；但是，DRA 在以下情况下会运行自动 FACR：
首次配置受管域后。
将 DRA 从以前版本升级到新的完整版本后。
安装 DRA 服务包后。
执行完全帐户超速缓存刷新可能需要几分钟。
您必须定期刷新帐户超速缓存以确保 DRA 具有最新信息。在执行或安排帐户超速缓存刷新之前，请查看以下注意事项：
要执行增量帐户超速缓存刷新，管理服务器服务帐户或访问帐户必须具有对受管域或受信任域的 Active Directory 中已删除对象的访问许可权限。
当 DRA 执行帐户超速缓存刷新时，管理服务器不包括来自受信任域的域本地安全组。由于超速缓存不包含这些组，因此 DRA 不允许您将域本地安全组从受信任域添加到受管成员服务器上的本地组。
如果从帐户超速缓存刷新中省略受信任域，则管理服务器也会从域配置刷新中省略该域。
如果在帐户超速缓存刷新中包含先前省略的受信任域，请对受管域执行完全帐户超速缓存刷新。这可确保受管域的管理服务器上的帐户超速缓存正确反映受管域和受信任域中的组成员资格数据。
如果将增量帐户超速缓存刷新间隔设置为 Never（从不），则管理服务器仅执行完全帐户超速缓存刷新。完全帐户超速缓存刷新可能需要一些时间，在此期间您无法管理此域中的对象。
DRA 无法自动确定何时通过其他工具（如 Microsoft Directory Service）进行更改。在 DRA 之外执行的操作可能会影响超速缓存信息的准确性。例如，如果使用其他工具将邮箱添加到用户帐户，则在更新帐户超速缓存之前，无法使用 Exchange 管理此邮箱。
执行完全帐户超速缓存刷新会删除超速缓存中保留的上次登录统计信息。然后，管理服务器将从所有域控制器收集最新的登录信息。
默认情况下禁用 AD 打印机集合。要启用 AD 打印机集合，请导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）> General（常规）选项卡，然后选中 Collect Printers（收集打印机）复选框。
您可以将 AD LDS 清理刷新配置为按特定域的日程表运行。默认设置为“从不”刷新。您还可以查看清理状态并查看与 AD LDS (ADAM) 配置相关的特定信息。
要配置日程表或查看 AD LDS 清理状态，请在 Account and Resource Management（帐户和资源管理）> All My Managed Objects（我的所有受管对象）节点中右键单击所需的域，然后分别选择属性 > Adlds Cleanup Refresh Schedule（Adlds 清理刷新日程表）或 Adlds Cleanup status（Adlds 清理状态）。
要查看 AD LDS (ADAM) 配置信息，请导航到 Configuration Management（配置管理）> Update Server Options（更新服务器选项）> ADAM Configuration（ADAM 配置）。
动态组根据组属性中配置的一组定义的准则更改其成员资格。在“域属性”中，您可以将动态组刷新配置为按特定域的日程表运行。默认设置为“从不”刷新。您还可以查看刷新状态。
要配置日程表或查看动态组刷新状态，请在 Account and Resource Management（帐户和资源管理）> All My Managed Objects（我的所有受管对象）节点中右键单击所需的域，然后分别选择属性 > Dynamic group refresh（动态组刷新）或 Dynamic group status（动态组状态）。
有关动态组的更多信息，请参见 DRA 动态组。
您可以为每个 Microsoft Windows 域或每个域中的对象启用或禁用回收站，并配置何时以及如何进行回收站清理。
有关使用回收站的详细信息，请参见回收站。
您可以为特定 Microsoft Windows 域和这些域中的对象启用回收站。默认情况下，DRA 会为其管理的每个域和所有域的对象启用回收站。您必须是 DRA Admin 或 DRA 配置 Admin 组的成员才能启用回收站。
如果您的环境包括以下配置，请使用回收站实用程序启用此功能：
DRA 正在管理此域的子树。
管理服务器服务或访问帐户无权创建回收站容器、将帐户移至此容器以及修改此容器中的帐户。
您还可以使用回收站实用程序校验管理服务器服务或访问帐户对回收站容器的许可权限。
要启用回收站，请右键单击回收站节点中的相应域，然后选择 Enable Recycle Bin（启用回收站）。
您可以为特定 Microsoft Windows 域和这些域中的对象禁用回收站。如果禁用的回收站包含帐户，则无法查看、永久删除或恢复这些帐户。
您必须是 DRA Admin 或 DRA 配置 Admin 组的成员才能禁用回收站。
要禁用回收站，请右键单击回收站节点中的相应域，然后选择 Disable Recycle Bin（禁用回收站）。
回收站清理的默认设置是每天。您可以将此配置更改为每 x 天清理域回收站。在安排的清理期间，回收站将删除超出为每种对象类型配置的天数的对象。每种类型的默认设置是删除超过 1 天的对象。通过禁用、重新启用和设置每个对象类型的删除对象的期限，您可以自定义回收站清理的行为。
要配置回收站清理，请在 Delegation and Configuration（委托和配置）控制台中选择相应的域，然后转到任务 > 属性 > 回收站选项卡。
以下章节将提供有关 DRA 管理报告和可以启用的报告收集器的概念信息。要访问可以配置收集器的向导，请导航到 Configuration Management（配置管理）> Update Reporting Service Configuration（更新报告服务配置）。
Active Directory Collector（Active Directory 收集器）将从 Active Directory 中为 DRA 中的每个受管用户、组、联系人、计算机、OU 和动态分发组收集一组指定的属性。这些属性将储存在报告数据库中，用于在报告控制台中生成报告。
您可以配置 Active Directory Collector（Active Directory 收集器）以指定要收集和储存在报告数据库中的属性。您还可以配置将运行收集器的 DRA 管理服务器。
DRA Collector（DRA 收集器）将收集有关 DRA 配置的信息，并将该信息储存在报告数据库中，该数据库用于在报告控制台中生成报告。
要启用 DRA Collector（DRA 收集器），您必须指定将运行收集器的 DRA 管理服务器。作为最佳实践，您应安排 DRA Collector（DRA 收集器）在 Active Directory Collector（Active Directory 收集器）成功运行之后和服务器负载最少时或在正常工作时间以外运行。
Office 365 Tenant Collector（Office 365 租户收集器）将收集有关同步到 Office 365 的受管用户的信息，并将该信息储存在报告数据库中，该数据库用于在 Reporting Console（报告控制台）中生成报告。
要启用 Office 365 收集器，您必须指定将运行收集器的 DRA 管理服务器。
注：Office 365 租户只有在其相应域的 Active Directory Collector（Active Directory 收集器）成功运行收集后，才能成功运行收集。
管理报告收集器将收集 DRA 审计信息并将该信息储存在报告数据库中，该数据库用于在 Reporting Console（报告控制台）中生成报告。启用收集器时，可以配置数据库中数据的更新频率，以便在 DRA Reporting 工具中运行查询。
此配置要求 DRA 服务帐户在报告服务器的 SQL Server 中具有 sysadmin 许可权限。可配置选项定义如下：
Audit Export Data Interval（审计导出数据间隔）：这是将 DRA 跟踪日志 (LAS) 中的审计数据导出到 SQL Server 中的 "SMCubeDepot" 数据库的时间间隔。
Management Report Summarization Interval（管理报告摘要间隔）：这是将 SMCubeDepot 数据库中的审计数据提取到 DRA Reporting 数据库的时间间隔，可以通过 DRA Reporting 工具查询该数据库。
您可以配置 DRA 以从受管域的所有域控制器中收集上次登录统计信息。要启用和安排收集上次登录统计信息，您必须具备相应权限，例如内置 Configure Servers and Domains（配置服务器和域）角色中所包含的权限。
默认情况下，禁用上次登录统计信息收集功能。如果要收集上次登录统计数据，则必须启用此功能。启用收集上次登录统计信息后，您可以查看特定用户的上次登录统计信息，或显示上次登录统计信息收集的状态。
要收集上次登录统计信息：
导航到 Configuration Management（配置管理）> Managed Domains（受管域）。
右键单击所需的域，然后选择属性。
单击 Last logon schedule（上次登录日程表）选项卡以配置上次登录统计信息收集。
默认情况下，统一的更改历史记录 (UCH) 功能可让您为 DRA 所做的更改生成报告。
要管理统一的更改历史记录，请将统一的更改历史记录服务器管理角色或以下适用的权限指派给助理管理员：
删除统一的更改历史记录服务器配置
设置统一的更改历史记录配置信息
查看统一的更改历史记录配置信息
要委托 UCH 权限：
单击 Delegation Management（委托管理）节点中的 Powers（权限），然后使用搜索对象功能查找并选择所需的 UCH 对象。
右键单击其中一个选定的 UCH 权限，然后选择 Delegate Roles and Powers（委托角色和权限）。
搜索要向其委托权限的特定用户、组或助理 Admin 组。
使用 Object Selector（对象选择器）查找并添加所需的对象，然后单击 Wizard（向导）中的 Roles and Powers（角色和权限）。
单击 ActiveView，然后使用 Object Selector（对象选择器）查找和添加所需的对象。
单击 Next（下一步），然后单击 Finish（完成）以完成委托过程。
要配置 UCH 服务器：
起动 Web 控制台并使用助理 Admin 身份凭证登录。
转到 Administration（管理）> Integrations（集成）> Unified Change History（统一的更改历史记录），然后单击 Add（添加）图标。
在“统一的更改历史记录”配置中指定 UCH 服务器名称或 IP 地址、端口号、服务器类型和访问帐户细节。
测试服务器连接，然后单击确定以保存配置。
根据需要添加其他服务器。
要在 DRA 中使用工作流程自动化，则必须在 Windows Server 上安装工作流程引擎，然后通过 Web 控制台配置工作流程自动化服务器。
要配置工作流程自动化服务器，请登录到 Web 控制台并导航到管理 > 集成 > 工作流程自动化。
有关安装工作流程引擎的信息，请参见 Workflow Automation Administrator Guide（《工作流程自动化管理员指南》）。
Delegation and Configuration（委托和配置）客户端可提供对配置和委托任务的访问权限，从而满足从分布式管理到策略实施的企业管理需求。通过 Delegation and Configuration（委托和配置）控制台，您可以设置有效管理企业所需的安全模型和服务器配置。
要配置 Delegation and Configuration（委托和配置）客户端：
起动 Delegation and Configuration（委托和配置）客户端，然后导航到 Configuration Management（配置管理）> Update Administration Server Options（更新管理服务器选项）。
单击 Client Options（客户端选项）选项卡，然后从显示的配置选项中定义首选设置：
允许用户按 ActiveView 搜索
从控制台列表中隐藏仅源对象
显示高级 Active Directory 对象
显示安全性命令
搜索用户时显示资源和共享邮箱
当前域的默认用户 UPN 后缀。
一次可编辑的最大项目数（多选）
搜索选项
回车选项
Exchange 邮箱储存限制单位
您可以将 Web 控制台配置为使用智能卡或多因子鉴定进行鉴定，还可以使用您自己的徽标和应用程序标题自定义品牌。
您可以从运行 Web 浏览器的任何计算机、iOS 设备或 Android 设备启动 Web 控制台。要启动控制台，请在 Web 浏览器地址字段中指定相应的 URL。例如，如果在 HOUserver 计算机上安装了 Web 组件，请在 Web 浏览器的地址字段中键入 https://HOUserver/draclient。
注：要在 Web 控制台中显示最新帐户和 Microsoft Exchange 信息，请将 Web 浏览器设置为每次访问时检查超速缓存页的较新版本。
您可以定义 Web 控制台在不活动后自动注销的时间增量，或将其设置为永远不会自动注销。
要在 Web 控制台中配置自动注销，请导航到管理 > 配置 > 自动注销。
在 Web 控制台中，可任选一种登录时 DRA 服务器的连接方式。配置完成后，登录到 Web 控制台时，选项下拉面板中的连接配置对于管理员和助理管理员均相同。
始终使用默认 DRA 服务器位置（始终）
从不使用默认 DRA 服务器位置（从不）
仅限于选中时使用默认 DRA 服务器位置（仅限于选中）
登录时每个选项的行为如下所述：
|
连接配置 |
登录屏幕 - 选项 |
连接选项说明 |
|---|---|---|
|
始终 |
无 |
禁用选项配置 |
|
从不 |
使用自动发现 |
自动查找 DRA 服务器；没有可用的配置选项 |
|
连接到特定 DRA 服务器 |
用户可配置服务器和端口 |
|
连接到管理特定域的服务器 |
用户提供受管域并选择连接选项：
|
|
仅限于选中 |
使用自动发现 |
自动查找 DRA 服务器；没有可用的配置选项 |
|
连接到默认 DRA 服务器 |
选择默认服务器并禁用 DRA 服务器配置 |
|
连接到特定 DRA 服务器 |
用户可配置服务器和端口 |
|
连接到管理特定域的服务器 |
用户提供受管域并选择连接选项：
|
要在 Web 控制台中配置 DRA 服务器连接，请导航到管理 > 配置 > DRA 服务器连接。
REST 服务连接的配置包括设置默认服务器位置和连接超时（以秒为单位）。在 Web 控制台中，可任选一种登录时 REST 服务的连接方式。配置完成后，登录到 Web 控制台时，选项下拉面板中的连接配置对于管理员和助理管理员均相同。
始终使用默认 REST 服务位置（始终）
从不使用默认 REST 服务位置（从不）
仅限于选中时使用默认 REST 服务位置（仅限于选中）
登录时每个选项的行为如下所述：
|
连接配置 |
登录屏幕 - 选项 |
连接选项说明 |
|---|---|---|
|
始终 |
无 |
禁用选项配置 |
|
从不 |
使用自动发现 |
自动查找 REST 服务器；没有可用的配置选项 |
|
连接到特定 REST 服务器 |
用户可配置服务器和端口 |
|
连接到特定域中的 REST 服务器 |
用户提供受管域并选择连接选项：
|
|
仅限于选中 |
使用自动发现 |
自动查找 REST 服务器；没有可用的配置选项 |
|
连接到默认 REST 服务器 |
选择默认 REST 服务器并禁用 REST 服务器配置 |
|
连接到特定 REST 服务器 |
用户可配置服务器和端口 |
|
连接到特定域中的 REST 服务器 |
用户提供受管域并选择连接选项：
|
要在 Web 控制台中配置 REST 服务连接，请导航到管理 > 配置 > REST 服务连接。
本节包含有关使用 Advanced Authentication 集成配置智能卡鉴定、Windows 鉴定和多因子鉴定的信息。
要将 Web 控制台配置为基于用户智能卡中的客户端身份凭证接受用户，您必须配置因特网信息服务 (IIS) 和 REST 服务配置文件。
重要说明：确保智能卡上的证书也安装在 Web 服务器上的根证书存储中，因为 IIS 必须能够找到与卡上证书相匹配的证书。
在 Web 服务器上安装鉴定组件。
启动服务器管理器。
单击 Web 服务器 (IIS)。
转到“角色服务”部分，然后单击添加角色服务。
转到“安全角色服务”节点，然后选择 Windows 鉴定和客户端证书映射鉴定。
在 Web 服务器上启用鉴定。
启动 IIS 管理器。
选择您的 Web 服务器。
在 IIS 部分下找到鉴定图标，然后双击图标。
启用“Active Directory 客户端证书鉴定”和“Windows 鉴定”。
配置 DRA 客户端。
选择您的 DRA 客户端。
在 IIS 部分下找到鉴定图标，然后双击图标。
启用“Windows 鉴定”并禁用“匿名鉴定”。
在 DRA 客户端上启用 SSL 和客户端证书。
在 IIS 部分下找到 SSL 服务图标，然后双击图标。
选择需要 SSL，然后在“客户端证书”下选择需要。
提示：如果有选项，请选择需要 128 位 SSL。
配置 REST 服务 Web 应用程序。
选择 REST 服务 Web 应用程序。
在 IIS 部分下找到鉴定图标，然后双击图标。
启用“Windows 鉴定”并禁用“匿名鉴定”。
在 REST 服务 Web 应用程序上启用 SSL 和客户端证书。
在 IIS 部分下找到 SSL 服务图标，然后双击图标。
选择需要 SSL，然后在“客户端证书”下选择需要。
提示：如果有选项，请选择需要 128 位 SSL。
配置 WCF Web 服务文件。
选择您的 REST 服务 Web 应用程序并切换到“内容视图”。
找到 .svc 文件并右键单击。
选择切换到功能视图。
在 IIS 部分下找到鉴定图标，然后双击图标。
启用“匿名鉴定”并禁用所有其他鉴定方法。
编辑 REST 服务配置文件。
使用文本编辑器打开 C:\inetpub\wwwroot\DRAClient\rest\web.config 文件。
找到 <authentication mode="None" /> 行并将其删除。
在 <system.serviceModel> 行下面添加以下行：
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
在 <serviceDebug includeExceptionDetailInFaults="false"/> 行下面添加以下行：
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
在 <serviceHostingEnvironment multipleSiteBindingsEnabled="true" /> 行上方添加以下行：
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
保存该文件并重启动 IIS 服务器。
要在 Web 控制台上启用 Windows 鉴定，您必须配置因特网信息服务 (IIS) 和 REST 服务配置文件。
打开“IIS 管理器”。
在“连接”窗格中，找到并选择 REST 服务 Web 应用程序。
在右窗格中，转到 IIS 部分，然后双击鉴定。
启用 Windows 鉴定并禁用所有其他鉴定方法。
使用文本编辑器打开 C:\inetpub\wwwroot\DRAClient\rest\web.config 文件并找到 <authentication mode="None" /> 行。
将 "None" 更改为 "Windows" 并保存文件。
重启动 IIS 服务器。
Advanced Authentication Framework (AAF) 是我们的首选软件包，可让您超越简单的用户名和口令，以更安全的方式 - 多因子鉴定来保护您的敏感信息。
Advanced Authentication 支持以下安全通信协议：
TLS 1.2（默认设置）、TLS 1.1、TLS 1.0
SSL 3.0
多因子鉴定是一种计算机访问控制方法，需要从不同类别的身份凭证中使用多种鉴定方法来校验用户的身份。
有三种类型的鉴定类别或因子：
知识。此类别要求您了解特定信息，例如口令或激活码。
拥有。此类别要求您拥有鉴定设备，例如智能卡或智能电话。
身体。此类别要求您使用身体的一部分（例如指纹）作为校验方法。
每个鉴定因子至少包含一种鉴定方法。鉴定方法是一种可用于建立用户身份的特定技术，例如使用指纹或需要口令。
如果鉴定过程使用多种鉴定方法 - 例如，如果需要口令和指纹，则可以认为是强鉴定过程。
Advanced Authentication 支持以下鉴定方法：
LDAP 口令
远程鉴定拨入用户服务 (RADIUS)
智能电话
提示：智能电话方法要求用户下载 iOS 或 Android APP。有关更多信息，请参见 Advanced Authentication - Smartphone Applications User Guide（《Advanced Authentication - 智能电话应用程序用户指南》），该指南可从 NetIQ 文档网站中获取。
使用以下章节中的信息将 Web 控制台配置为使用多因子鉴定。
重要说明：虽然以下章节中的有些步骤在 Web 控制台中进行，但大多数多因子鉴定配置过程都需要访问 AAF。这些过程假定您已安装 AAF，并且可以访问 AAF 的帮助文档。
配置 Web 控制台以使用多因子鉴定的第一步是将包含由 DRA 管理的 DRA 管理员和助理管理员的所有 Active Directory 域添加到 AAF。这些域称为储存库，它们包含要进行鉴定的用户和组的标识属性。
使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击储存库。
单击添加。
填写表单。
提示：LDAP 类型为 AD。
提示：在相应字段中键入管理员级别的用户名和口令。
单击添加服务器。
在地址字段中键入 LDAP 服务器的 IP 地址。
单击保存。
对 DRA 管理的所有其他 AD 储存库重复步骤 3 到 7。
对于“储存库”页上列出的每个储存库，单击立即同步以将其与 AAF 服务器同步。
鉴定链至少包含一种鉴定方法。链中的方法将按照其添加到链中的顺序进行调用。要对用户进行鉴定，用户必须通过链中的所有方法。例如，您可以创建包含 LDAP 口令方法和短信方法的链。当用户尝试使用此链进行鉴定时，必须首先使用其 LDAP 口令进行鉴定，之后用户手机会收到一条包含一次性口令的短信。输入口令后，将完成链中的所有方法，鉴定成功。可以将鉴定链指派给特定用户或组。
要创建鉴定链：
使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击链。右侧面板将显示当前可用链的列表。
单击添加。
填写表单。所有字段均为必填字段。
重要说明：按照调用顺序添加方法 - 也就是说，如果您希望用户先输入 LDAP 口令，则先将 LDAP 口令添加到链中。
重要说明：确保端点拥有者使用时应用开关为“关”。
将已启用切换为“开”。
在角色和组字段中键入要接受鉴定请求的角色或组的名称。
提示：如果要将链应用于所有用户，请在角色和组字段中键入 all users，然后从打开的下拉列表中选择 All Users（所有用户）。
您选择的任何用户或组都将添加到角色和组字段下方。
单击保存。
鉴定事件由应用程序触发，在本例中是希望对用户进行鉴定的 Web 控制台。必须至少为事件指派一个鉴定链，以便在触发事件时，将调用与事件关联的链中的方法以对用户进行鉴定。
端点是运行触发鉴定事件的软件的实际设备，例如计算机或智能电话。创建事件后，DRA 将使用 AAF 注册端点。
您可以使用“端点白名单”框限制特定端点对事件的访问，或者您可以允许所有端点访问事件。
要创建鉴定事件：
使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击事件。右侧面板将显示当前可用事件的列表。
单击添加。
填写表单。所有字段均为必填字段。
重要说明：确保已启用开关为“开”。
如果要限制对特定端点的访问，请转到“端点白名单”部分，并将目标端点从可用列表移动到已使用列表。
提示：如果已使用列表中没有端点，则该事件将对所有端点可用。
配置链和事件后，以管理员身份登录 Web 控制台并启用 Advanced Authentication。
启用鉴定后，每个用户都需要通过 AAF 进行鉴定，然后才能访问 Web 控制台。
重要说明：在启用 Web 控制台之前，您必须已注册 Web 控制台将用于对用户进行鉴定的鉴定方法。请参见 Advanced Authentication Framework User Guide（《Advanced Authentication Framework 用户指南》）以了解如何注册鉴定方法。
要启用 Advanced Authentication，登录到 Web 控制台并导航到管理 > 配置 > Advanced Authentication。选中已启用复选框，并根据为每个字段提供的说明配置表单。
提示：保存配置后，将在 AAF 中创建端点。要查看或编辑端点，请使用管理员级别的用户名和口令登录到 AAF 管理门户，然后单击左窗格中的端点。
使用管理员级别的用户名和口令登录到 AAF 管理门户，然后单击左窗格中的事件。
编辑每个 Web 控制台事件：
打开事件以进行编辑。
转到“端点白名单”部分，并将在配置 Web 控制台时创建的端点从可用列表移动到已使用列表。这将确保只有 Web 控制台才能使用这些事件。
单击保存。