3.1 管理用户帐户

Microsoft Windows 依赖于用户帐户类型来确定关联用户帐户的访问许可权限。用户帐户可以是全局帐户或本地帐户。DRA 还支持 InetOrgPerson 对象，但会将 InetOrgPerson 对象识别为普通用户。

全局用户帐户

可以在信任创建用户帐户的域的任何域中使用的用户帐户。您可以向用户帐户授予特定许可权限。您还可以将用户帐户设为组的成员，然后为该组指派许可权限。对用户帐户进行分组有助于简化管理许多用户帐户的网络许可权限的过程。

本地用户帐户

本地用户帐户与用于登录 Windows 操作系统的任何帐户相同。允许您在自己的用户空间中访问系统资源。

3.1.1 受信任域中的用户帐户

Microsoft Windows 将用户帐户和组定义储存在受管域的目录中。因此，管理服务器无法修改受信任域中的目录信息，除非该域也由 DRA 管理。

例如，在 Account and Resource Management（帐户和资源管理）控制台中，您可能会看到无法修改的用户帐户和组。这些用户帐户和组在任一个受管域信任的域中定义。但是，您可以将受信任域中的帐户和组添加到受管域中的其他组。

3.1.2 用户帐户管理任务

本节将指导您在 Account and Resource Management（帐户和资源管理）控制台以及 Web 控制台中管理用户帐户。通过相应的权限，您可以执行各种用户帐户管理任务，例如创建和删除帐户。如果选择多个用户帐户，则可以在一个操作中执行所选任务，例如删除、移动用户或向组添加用户。有关指派的权限的更多信息，请参见查看指派的权限和角色。

注：只能从 Account and Resource Management（帐户和资源管理）控制台将用户帐户复制到另一个 ActiveView。

Account and Resource Management（帐户和资源管理）控制台中的用户帐户任务

您可以从 Tasks（任务）菜单或右键单击菜单执行以下所有适用的任务。通常，您会选择 All My Managed Objects（我的所有受管对象）节点，然后执行 Find Now（立即查找）操作以查找并选择所需的用户对象。在创建新用户的情况下，您必须选择要在其中创建用户的域或 OU。Tasks（任务）菜单指示在选择单个或多个用户帐户时可以执行的任务。

Web 控制台中的用户帐户任务

您可以从 Web 控制台的管理 > 搜索选项卡执行以下大多数任务。通常，您会执行搜索操作以查找并选择所需的用户对象。在列表中选择一个或多个对象后，工具栏按钮将变为活动状态。将鼠标悬停在按钮上以显示其功能。

注：只能从 Account and Resource Management（帐户和资源管理）控制台将用户帐户复制到另一个 ActiveView。

创建用户帐户

您可以在受管域或受管子树中创建用户帐户。您还可以修改属性、创建邮箱、启用电子邮件以及为新帐户指定组成员资格。

注：

  • 您的公司可能具有通过策略强制执行的命名约定，该约定将确定您可以指派给新用户帐户的名称。

  • 默认情况下，DRA 会将新用户帐户放在受管域的用户 OU 中。

  • 您无法在 DRA 中创建 InetOrgPerson 对象。

克隆用户帐户

克隆用户帐户时，该用户所属的任何组都将自动添加到新用户帐户，从而节省您配置新帐户的时间。您可以添加或去除新帐户中的组、启用电子邮件以及进行任何其他属性配置，如同您使用任何新帐户一样。

注：克隆 InetOrgPerson 对象时，您将创建一个用户帐户。

修改用户帐户属性

您可以管理受管域或受管子树中的用户帐户的属性。您拥有的权限决定了您可以为用户帐户修改的属性。如果已安装 Exchange 并已启用 Microsoft Exchange 支持，则可以在管理用户帐户时修改关联的邮箱属性。

注：如果已启用用户主目录策略，则 DRA 会在您管理该帐户时自动修改用户帐户的用户主目录。例如，更改用户主目录位置时，DRA 会尝试创建指定的用户主目录，并将先前用户主目录的内容移动到新位置。DRA 还会将从先前目录中指派的 ACL 应用于新目录。

管理您自己的帐户

您可以通过修改常规属性（例如电话号码）来管理自己的帐户。在管理帐户之前，请确保您拥有相应的权限。

重命名用户帐户

您可以重命名受管域或受管子树中的用户帐户。更改用户登录名也会更改与用户帐户关联的邮箱的名称。

启用用户帐户

您可以启用受管域或受管子树中的用户帐户。如果您在管理 Microsoft Windows 帐户，则可以指定 DRA 应用此更改的域控制器。

将此更改应用于特定域控制器时，DRA 还会将此更改应用于此受管域的默认域控制器。要校验 DRA 正在使用的默认域控制器，请查看域属性。

禁用用户帐户

您可以禁用受管域中的用户帐户。如果您在管理 Microsoft Windows 帐户，则可以指定 DRA 应用此更改的域控制器。

将此更改应用于特定域控制器时，DRA 还会将此更改应用于此受管域的默认域控制器。要校验 DRA 正在使用的默认域控制器，请查看域属性。

解除锁定用户帐户

您可以解除锁定受管域或受管子树中的用户帐户。

由于 DRA 从帐户超速缓存中检索用户帐户状态，因此所选帐户实际锁定时，用户界面可能仍指示为已解除锁定。即使帐户状态指示当前已解除锁定，DRA 也允许您解除锁定用户帐户。您还可以在使用 DRA 控制台解除锁定用户帐户时指定域控制器，而无需重设置用户帐户口令。

重设置用户帐户口令

您可以重设置受管域或受管子树中帐户的口令。您拥有的权限决定了您可以为该用户帐户更改的字段。

重设置用户帐户的口令后，DRA 会自动解除锁定该帐户。您可以选择 DRA 是否为用户帐户生成新口令。您还可以修改该帐户的多个与口令相关的选项。如果您在管理 Microsoft Windows 帐户，则可以指定 DRA 应用这些更改的域控制器。

注：将此更改应用于特定域控制器时，DRA 还会将此更改应用于此受管域的默认域控制器。要校验 DRA 正在使用的默认域控制器，请查看域属性。

将用户帐户复制到另一个 ActiveView

您可以将用户帐户复制到另一个 ActiveView。此操作称为转移用户帐户。要将用户帐户复制到另一个 ActiveView，您需要在源 ActiveView 和目标 ActiveView 中拥有“将用户复制到另一个 ActiveView”的权限。将用户帐户转移到另一个 ActiveView 不会从源 ActiveView 中去除该用户帐户。

将用户帐户移动到另一个容器

您可以将用户帐户移动到受管域或受管子树中的另一个容器，例如 OU。

删除用户帐户

您可以删除受管域或受管子树中的用户帐户。如果为该域禁用了回收站，则删除用户帐户将从 Active Directory 中永久去除该用户帐户。如果为该域启用了回收站，则删除用户帐户会将该用户帐户移动到回收站。

警告：创建用户帐户时，Microsoft Windows 会为该帐户指派安全标识符 (SID)。不会从帐户名称生成 SID。Microsoft Windows 在访问控制列表 (ACL) 中使用 SID 记录每个资源的特权。如果删除用户帐户，则无法通过创建具有相同名称的新用户帐户来恢复该帐户的访问权限。

指定用户帐户的组成员资格

您可以在受管域或受管子树的特定组中添加或去除用户帐户。您还可以查看或修改此帐户所属的现有组的属性。

3.1.3 转换用户帐户

DRA 使您能够快速有效地转换用户帐户。当与用户帐户关联的个人转换为新的工作职责时，您可以使用 DRA 的转换功能。利用工作角色模板，您可以快速添加、去除或更新与帐户关联的组成员资格。无论是个人晋升、更换部门还是离开公司，转换用户帐户的功能都将为您省去时间和金钱成本。

了解转换过程

您可以使用转换用户帐户功能来满足以下任何需求：

  • 从用户帐户中去除组成员资格

  • 将组成员资格添加到用户帐户

  • 更改用户属性

  • 将其他组成员资格添加到用户帐户时，去除特定的组成员资格

尝试转换用户帐户之前，请考虑以下过程：

  1. 确定是否需要添加、去除或同时添加和去除组成员资格。

  2. 查看当前的减性和加性模板，以确保您拥有必要的模板用户帐户。

  3. 如有必要，请创建任何所需的模板帐户。

  4. 完成 Transform user（转换用户）向导。

当 DRA 转换用户时，减性模板指定的组成员资格将从用户帐户中去除，而加性模板指定的成员资格将指派给用户帐户。DRA 不会对减性或加性模板之外的任何成员资格执行任何操作。例如，外部销售部门的某个人从美国销售部转移到欧洲销售部。在您的组织内，您拥有这些销售团队独有的分发组和安全组，以及所有销售团队共享的编号。美国销售团队拥有美国热点分发列表和美国销售管理分发列表分发组，而欧洲销售团队则拥有欧洲热点和欧洲销售管理分发组。两个团队都是“全球销售安全”安全组的成员，但也有单个特定于站点的安全组。

您的减性模板（名为“美国销售模板”）将获指派以下组成员资格：

  • 美国热点分发列表

  • 美国销售管理分发列表

  • 全球销售安全

  • 美国安全

您的加性模板（名为“欧洲销售模板”）将获指派以下组成员资格：

  • 欧洲热点分发列表

  • 欧洲销售管理分发列表

  • 全球销售安全

  • 欧洲安全

在转换过程中，转移销售人员的用户帐户首先从美国销售模板指定的所有组成员资格中去除，然后添加到欧洲销售模板指定的所有组成员资格。如果此人也是扑克玩家分发组的成员，则此组成员资格保持不变。

以下权限允许助理管理员在转换过程中进一步修改用户帐户：

  • 在转换用户帐户时修改地址属性

  • 在转换用户帐户时修改说明

  • 在转换用户帐户时修改办公室

  • 在转换用户帐户时修改电话属性

您还可以通过仅向助理管理员授予以下任意权限来限制添加或去除组成员资格的能力：

  • 将用户添加到模板中的组

  • 从模板中的组中去除用户

您可以使用上述任何一个基于权限的限制选项在组织内创建一个安全性层。通过为某些个人提供仅去除模板中的组的权限，您可以创建临时用户帐户。然后，可以在其他助理管理员使用加性模板帐户授予新的组成员资格之前，查看这些临时帐户。

创建用户转换模板

用户帐户的转换直接与组织的角色和工作阶梯相关。考虑为公司内的每个角色或工作创建一个模板。DRA 并不区分用作减性和加性的用户帐户模板。为组织中的每个角色创建单个模板用户帐户。在转换过程中，您可以选择模板是加性还是减性。选择模板为减性不会阻止相同的模板在将来的转换中呈现加性。

要创建用户转换模板，您必须具有创建用户帐户，并将该用户帐户指派给相应组的权限。通过将您的帐户与相应 ActiveView 中的“创建和删除用户帐户”以及“组管理”角色相关联，或通过指派各个权限，可以获得这些权限。

转换用户帐户

通过转换用户帐户，您可以添加、去除或同时添加和去除用户帐户组成员资格。当个人在组织内从一项工作职责转移到另一项工作职责时，使用此工作流程可对您有所帮助。您必须具有“转换用户”角色或包含转换用户帐户的相应权限的角色。只能从 Account and Resource Management（帐户和资源管理）控制台执行此功能。

要转换用户帐户：

  1. 在左窗格中，展开 All My Managed Objects（我的所有受管对象）。

  2. 要指定要管理的用户帐户，请执行 Find Now（立即查找）操作以查找并选择用户对象。

  3. 单击 Tasks（任务） > Transform（转换）。

  4. 查看 Welcome（欢迎）窗口，然后单击 Next（下一步）。

  5. 在 Select User Template（选择用户模板）窗口中，使用 Browse（浏览）选择相应的减性模板用户。

  6. 如果要查看减性模板用户帐户的属性，请单击 View（查看）。

  7. 使用 Browse（浏览）选择相应的加性模板用户。

  8. 如果要查看加性模板用户帐户的属性，请单击 View（查看）。

  9. 如果您具有相应权限，则可以选中 Change other properties of the user（更改用户的其他属性），然后选择要修改的属性。单击 Next（下一步）以浏览可用的属性。

  10. 单击 Next（下一步）。

  11. 查看 Summary（摘要）窗口，然后单击 Finish（完成）。