2.1 计划部署

计划 Directory and Resource Administrator 部署时，使用此部分内容评估硬件和软件环境的兼容性，并注意要为部署配置的必要端口和协议。

2.1.1 经过测试的资源建议

此部分提供了建议的基础资源大小信息。结果可能因可用硬件、特定环境、所处理数据的特定类型及其他因素而异。可能存在着功能更强大且可以处理更大负载的大型硬件配置。如有问题，请咨询 NetIQ 咨询服务。

在有约一百万个 Active Directory 对象的环境中执行：

组件

CPU

内存

储存

DRA 管理服务器

4 核 CPU（64 位）/核频率 2.0 GHz

16 GB

100 GB

DRA Web 控制台

2 核 CPU（64 位）/核频率 2.0 GHz

8 GB

100 GB

DRA 报告

4 核 CPU（64 位）/核频率 2.0 GHz

16 GB

100 GB

DRA 工作流程服务器

4 核 CPU（64 位）/核频率 2.0 GHz

16 GB

100 GB

2.1.2 虚拟环境资源供应

DRA 保持大内存段活动的时间有所延长。为虚拟环境供应资源时，应考虑下列建议：

  • 将储存分配为 "Thick Provisioned"

  • 将内存预留设置为 Reserve All Guest Memory(All Locked)（预留所有来宾内存（锁定所有））

  • 确保分页文件足够大，能够覆盖虚拟层潜在扩大的内存重新分配

2.1.3 所需端口和协议

此部分提供 DRA 通信端口和协议。

  • 可配置端口标有一个星号 *

  • 需要证书的端口标有两个星号 **

DRA 管理服务器

协议和端口

方向

目标

用法

TCP 135

双向

DRA 管理服务器

端点映射器，DRA 通信的基本要求；使管理服务器在 MMS 中能找到彼此

TCP 445

双向

DRA 管理服务器

委托模型复制；MMS 同步 (SMB) 期间的文件复制

动态 TCP 端口范围*

双向

Microsoft Active Directory 域控制器

默认情况下，DRA 动态分配 TCP 端口范围，即 1024 至 65535。但您可以使用“组件服务”配置此范围。有关更多信息，请参见 Using Distributed COM with Firewalls（与防火墙一起使用分布式 COM）(DCOM)

TCP 50000 *

双向

DRA 管理服务器

属性复制和 DRA 服务器 - ADAM 通信。(LDAP)

TCP 50001 *

双向

DRA 管理服务器

SSL 属性复制 (ADAM)

TCP/UDP 389

出站

Microsoft Active Directory 域控制器

Active Directory 对象管理 (LDAP)

出站

Microsoft Exchange Server

邮箱管理 (LDAP)

TCP/UDP 53

出站

Microsoft Active Directory 域控制器

名称解析

TCP/UDP 88

出站

Microsoft Active Directory 域控制器

允许从 DRA 服务器到域控制器的身份鉴定 (Kerberos)

TCP 80

出站

Microsoft Exchange Server

为所有本地 Exchange Server 2010 至 2013 所需 (HTTP)

出站

Microsoft Office 365

远程 PowerShell 访问 (HTTP)

TCP 443

出站

Microsoft Office 365, Change Guardian

Graph API 访问以及 Change Guardian 集成 (HTTPS)

TCP 443, 5986, 5985

出站

Microsoft PowerShell

本机 PowerShell cmdlet (HTTPS) 和 PowerShell 远程处理

TCP 8092 * **

出站

工作流程服务器

工作流程状态和触发 (HTTPS)

TCP 50101 *

入站

DRA 客户端

右键单击更改历史记录报告转到 UI 审计报告。可在安装期间配置。

TCP 8989

Localhost

日志存档服务

日志存档通信（不需要通过防火墙打开）

TCP 50102

双向

DRA 核心服务

日志存档服务

TCP 50103

Localhost

DRA 超速缓存服务

DRA 服务器上的超速缓存服务通信（不需要通过防火墙打开）

TCP 1433

出站

Microsoft SQL Server

报告数据集合

UDP 1434

出站

Microsoft SQL Server

SQL Server 浏览器服务使用此端口识别命名实例的端口。

TCP 8443

双向

Change Guardian 服务器

统一的更改历史记录

DRA REST 服务器

协议和端口

方向

目标

用法

TCP 8755 * **

入站

IIS 服务器、DRA PowerShell cmdlet

执行 DRA 基于 REST 的工作流程活动 (ActivityBroker)

TCP 11192 * **

出站

DRA 主机服务

用于 DRA REST 服务与 DRA 管理服务间的通信

TCP 135

出站

Microsoft Active Directory 域控制器

使用服务连接点 (SCP) 的自动发现

TCP 443

出站

Microsoft AD 域控制器

使用服务连接点 (SCP) 的自动发现

Web 控制台 (IIS)

协议和端口

方向

目标

用法

TCP 8755 * **

出站

DRA REST 服务

用于 DRA Web 控制台、DRA PowerShell 和 DRA 主机服务间的通信

TCP 443

入站

客户端浏览器

打开 DRA 网站

TCP 443 **

出站

Advanced Authentication 服务器

Advanced Authentication

DRA 委托和管理控制台

协议和端口

方向

目标

用法

TCP 135

出站

Microsoft Active Directory 域控制器

使用 SCP 自动发现

动态 TCP 端口范围*

出站

DRA 管理服务器

DRA 适配器工作流程活动。默认情况下，DCOM 动态分配 TCP 端口范围，即 1024 至 65535。但您可以使用“组件服务”配置此范围。有关更多信息，请参见 Using Distributed COM with Firewalls（与防火墙一起使用分布式 COM）(DCOM)

TCP 50102

出站

DRA 核心服务

更改历史记录报告生成

工作流程服务器

协议和端口

方向

目标

用法

TCP 8755

出站

DRA 管理服务器

执行 DRA 基于 REST 的工作流程活动 (ActivityBroker)

动态 TCP 端口范围*

出站

DRA 管理服务器

DRA 适配器工作流程活动。默认情况下，DCOM 动态分配 TCP 端口范围，即 1024 至 65535。但您可以使用“组件服务”配置此范围。有关更多信息，请参见 Using Distributed COM with Firewalls（与防火墙一起使用分布式 COM）(DCOM)

TCP 1433

出站

Microsoft SQL Server

工作流程数据储存

TCP 8091

入站

操作控制台和配置控制台

工作流程 BSL API (TCP)

TCP 8092 **

入站

DRA 管理服务器

工作流程 BSL API (HTTP)和 (HTTPS)

TCP 2219

Localhost

命名空间提供程序

命名空间提供程序用于运行适配器

TCP 9900

Localhost

Correlation Engine

Correlation Engine 用于与工作流程引擎和命名空间提供程序通信

TCP 10117

Localhost

资源管理命名空间提供程序

由资源管理命名空间提供程序使用

2.1.4 支持的平台

有关支持的软件平台的最新信息，请参见 NetIQ 网站上的 Directory and Resource Administrator 页面：

管理的系统

先决条件

Active Directory

  • Microsoft Server 2012

  • Microsoft Server 2012 R2

  • Microsoft Server 2016

Microsoft Exchange

  • Microsoft Exchange 2010 SP3（除公共文件夹）

  • Microsoft Exchange 2013

  • Microsoft Exchange 2016

  • Microsoft Skype Online

Microsoft Office 365

Skype for Business

  • Microsoft Skype for Business 2015

更改历史记录

  • Change Guardian 5.0, 5.1

Web 浏览器

  • Microsoft Internet Explorer 11, Edge

  • Google Chrome

  • Mozilla Firefox

工作流程自动化

  • Microsoft Server 2012

  • Microsoft Server 2012 R2

2.1.5 DRA 管理服务器要求

DRA 对软件和帐户有下列服务器要求：

软件要求

组件

先决条件

安装目标

操作系统

NetIQ 管理服务器操作系统：

  • Microsoft Windows Server 2012, 2012 R2, 2016

  • 仅支持 Microsoft Windows 2008 R2 升级。

    注：服务器必须是所支持的 Microsoft Windows Server 本机域的成员。

Windows DRA 接口：

  • Microsoft Windows Server 2012, 2012 R2, 2016

  • Microsoft Windows 8.1（x86 和 x64）、10（x86 和 x64）

安装程序

  • Microsoft .Net Framework 4.5.2 及更高版本

管理服务器

Directory and Resource Administrator：

  • Microsoft .Net Framework 4.5.2 及更高版本

  • 以下版本之一：

    • Microsoft Visual C++ 2015 (Update 3) Redistributable Packages（x64 和 x86）

    • Microsoft Visual C++ 2017 (Update 3) Redistributable Packages（x64 和 x86）

  • Microsoft 讯息队列

  • Microsoft Active Directory 轻型目录服务角色

  • 已启动远程注册表服务

Microsoft Office 365/Exchange Online 管理：

  • 适用于 Windows PowerShell 的 Windows Azure Active Directory 模块

  • 适用于 IT 专业人员的 Microsoft Online Services 登录助手

  • Skype for Business Online，Windows PowerShell 模块

有关更多信息，请参见支持的平台。

旧 Web 组件

Web 服务器：

  • Microsoft Internet Information Services (IIS) 版本 8.0、8.5、10

Microsoft IIS 组件：

  • Microsoft Active Service Pages (ASP)

  • Microsoft Active Service Pages .NET (ASP .Net)

  • Microsoft IIS 安全角色服务

Windows DRA 接口：

  • Microsoft .Net Framework 4.5.2

  • Microsoft Visual C++ 2015 (Update 3) Redistributable Package (x86)

帐户要求

帐户

说明

许可权限

AD LDS 组

需要将 DRA 服务帐户添加到此组以便访问 AD LDS

  • 域本地安全组

DRA 服务帐户

运行 NetIQ 管理服务所需的许可权限

  • “分布式 COM 用户”许可权限

  • AD LDS Admin 组成员

  • 帐户操作员组

  • 日志存档组（OnePointOp ConfgAdms 和 OnePointOp）

注：有关设置最小特权域访问帐户的更多信息，请参见：最小特权 DRA 访问帐户。

DRA 管理员

供应到内置 DRA Admin 角色中的用户帐户或组

  • 域本地安全组或域用户帐户

  • 受管域或受信任域的成员

    • 如果指定来自受信任域的帐户，确保管理服务器计算机可以鉴定此帐户。

DRA 助理 Admin 帐户

将通过 DRA 委托权利的帐户

  • 将所有 DRA 辅助 Admin 帐户添加到“分布式 COM 用户”组，这样它们可以从远程客户端连接到 DRA 服务器。

    注：可配置 DRA 在安装期间对此进行管理。

最小特权 DRA 访问帐户

下面是指定的帐户所需的许可权限和特权，以及您需要运行的配置命令。

域访问帐户： 向域访问帐户指派下列 Active Directory 许可权限：

  • 对内置域对象的完全控制

  • 对计算机对象的完全控制

  • 对联系人对象的完全控制

  • 对容器对象的完全控制

  • 对动态分发组的完全控制

  • 对组对象的完全控制

  • 对 Inetorgperson 对象的完全控制

  • 对 MsExchSystemObjectContainer 对象的完全控制

  • 对组织单元对象的完全控制

  • 对打印机对象的完全控制

  • 对公共文件夹的完全控制

  • 对用户对象的完全控制

向域访问帐户指定下列范围为“此对象及所有子对象”的特权：

  • 允许创建计算机对象

  • 允许创建联系人对象

  • 允许创建容器

  • 允许创建组对象

  • 允许创建 MsExchDynamicDistiributionList

  • 允许创建组织单元对象

  • 允许创建公共文件夹

  • 允许创建服务连接点

  • 允许创建用户对象

  • 允许删除计算机对象

  • 允许删除联系人对象

  • 允许删除容器

  • 允许删除组对象

  • 允许删除 InetOrgPerson 对象

  • 允许删除 MsExchDynamicDistiributionList

  • 允许删除组织单元对象

  • 允许删除公共文件夹

  • 允许删除服务连接点

  • 允许删除用户对象

Office 365 租户访问帐户： 向 Office 365 租户访问帐户指派下列 Active Directory 许可权限：

  • Office 365 中的用户管理管理员

  • Exchange Online 中的收件人管理

Exchange 访问帐户： 向 Exchange 访问帐户指派 Organizational Management（组织管理）角色来管理 Exchange 2010。

Skype 访问帐户： 确保此帐户是启用了 Skype 的用户并且至少是下列任意角色的成员：

  • CSAdministrator 角色

  • CSUserAdministrator 和 CSArchiving 角色

公共文件夹访问帐户： 向公共文件夹访问帐户指派下列 Active Directory 许可权限：

  • 公共文件夹管理

  • 启用电子邮件的公共文件夹

安装 DRA 之后：

  • 在 DRA 安装文件夹下运行下列命令，向“已删除对象容器”委派许可权限（注意：必须由域管理员执行此命令）：

    DraDelObjsUtil.exe /domain:<NetbiosDomainName> /delegate:<Account Name>

  • 在 DRA 安装文件夹下运行下列命令，向 "NetIQReceyleBin OU" 委派许可权限（注意：只能在添加了将由 DRA 管理的相应域之后才能执行此操作）：

    DraRecycleBinUtil.exe /domain:<NetbiosDomainName> /delegate:<AccountName>

  • 向 DRA 将管理资源（如打印机、服务、事件日志、设备等）的每个计算机上的“本地管理员”组添加最小特权覆盖帐户。

  • 授予最小特权覆盖帐户对供应了主目录的共享文件夹或 DFS 文件夹的“完全许可权限”。

  • 向“组织管理”角色添加最小特权覆盖帐户以管理 Exchange 对象。

2.1.6 DRA Web 控制台和扩展要求

Web 控制台和 REST 扩展要求包括：

软件要求

组件

先决条件

安装目标

操作系统：

  • 安装了 Microsoft IIS 10 的 Microsoft Windows Server 2016、Microsoft Windows 10

  • 安装了 Microsoft IIS 8.0、8.5 的 Microsoft Windows Server 2012、2012 R2

DRA 主机服务

  • Microsoft .Net Framework 4.5.2

  • DRA 管理服务器

DRA REST 端点和服务

  • Microsoft .Net Framework 4.5.2

PowerShell 扩展

  • Microsoft .Net Framework 4.5.2

  • PowerShell 4.0

DRA Web 控制台

Web 服务器：

  • Microsoft Internet Information Server 8.0, 8.5, 10

  • Microsoft Internet Information Service WCF （激活）

Microsoft IIS 组件：

  • Web 服务器

    • 通用 HTTP 功能

      • 静态内容

      • 默认文档

      • 目录浏览器

      • HTTP 错误

    • 应用程序开发

      • ASP

    • 运行状况和诊断

      • HTTP 日志记录

      • 请求监视程序

    • 安全性

      • 基本鉴定

    • 性能

      • 静态内容压缩

  • Web 服务器管理工具

2.1.7 报告要求

DRA 报告要求包括：

软件要求

组件

先决条件

安装目标

操作系统：

  • Microsoft Windows Server 2012, 2012 R2, 2016

NetIQ Reporting Center（3.2 版）

数据库：

  • Microsoft SQL Server 2012, 2014, 2016

  • Microsoft SQL Server Reporting Service

Web 服务器：

  • Microsoft Internet Information Server 8.0, 8.5, 10

  • Microsoft IIS 组件：

    • ASP .NET 4.0

Microsoft .NET Framework 3.5：

每个连接到 DRA 报告的 DRA 管理服务器都需要 .NET Framework 3.5。

注：在 SQL Server 计算机上安装 NetIQ Reporting Center (NRC) 时，安装 NRC 前，可能需要手动安装 .NET Framework 3.5。

DRA 报告

数据库：

  • Microsoft SQL Server Integration Service

  • Microsofte SQL Server 代理

2.1.8 许可要求

许可证决定了可以使用的产品和功能。DRA 要求在管理服务器上安装一个许可证密钥。

安装管理服务器后，您可以使用 Health Check（运行状况检查）实用程序安装试用许可证密钥 (TrialLicense.lic)，该许可证密钥允许您在 30 天内管理数量不受限制的用户帐户和邮箱。

有关许可证定义和限制的其他信息，请参见产品“最终用户许可证协议 (EULA)”。