4.1 瞭解動態委託模型

DRA 可讓您在委託模型內容中管理對於您的企業的管理存取。委託模型可讓您透過會隨著企業變更和發展而調適的動態控制組，為助理管理員設定「最低權限」存取。委託模型提供管理存取控制，更能貼近地表示貴公司的運作方式：

  • 使用彈性範圍規則，管理員可以根據業務需求而不是企業結構，將許可的目標設為特定受管理物件。

  • 角色型委託會確保授與的許可一致，並且簡化佈建。

  • 權限指定可以從單一位置，在網域、雲端租用戶及受管理應用程式之間進行管理。

  • 細微能力可讓您量身訂做要授與助理管理員的特定存取。

4.1.1 委託模型控制

管理員會使用下列控制，透過委託模型來佈建存取：

  • 委託: 管理員會藉由指定角色以將存取佈建給使用者和群組，該角色具有 ActiveView (提供範圍) 內容中的指定許可。

  • ActiveView： ActiveView 代表特定範圍的受管理物件，這些物件是由一或多個規則定義的。ActiveView 中各個規則所定義的受管理物件，會一併結集到整合的範圍。

  • ActiveView 規則： 規則是由符合受管理物件組的運算式，根據一些條件 (例如物件類型、位置、名稱等) 來定義的。

  • 角色︰ 角色代表執行特定管理功能所需的特定權限 (許可) 組。DRA 針對通用業務功能提供一些內建角色，您可以定義最適合您組織需求的自定角色。

  • 權限： 權限會定義受管理物件支援之任務的特定許可，例如檢視、修改、建立和刪除等。關於修改受管理物件的許可可以進一步細分為可變更的特定內容。DRA 為支援的受管理物件提供廣泛的內建權限清單，且可以定義自定權限以延伸可透過委託模型佈建哪些項目。

4.1.2 DRA 如何處理要求

當管理伺服器收到動作要求時 (例如變更使用者密碼)，它會使用下列程序：

  1. 搜尋 Activeview，它設定為管理操作的目標物件。

  2. 驗證指定給要求動作之帳戶的權限。

    1. 評估所有「作用中檢視」指定，其中包含要求操作的助理管理員。

    2. 一旦完成該清單，建立所有 ActiveView 的清單，其中同時包含目標物件和助理管理員。

    3. 比較能力與要求操作所需的權限。

  3. 如果帳戶具有正確的權限，管理伺服器就會允許執行動作。

    如果帳戶沒有正確的權限，管理伺服器就會傳回錯誤。

  4. 更新 Active Directory。

4.1.3 DRA 如何處理委託指定的範例

下列範例說明在 DRA 處理要求時如何評估委託模型所發生的通用案例：

範例 1：變更使用者的密碼

當助理管理員嘗試為 JSmith 使用者帳戶設定新密碼時，管理伺服器會尋找包含 JSmith 的所有 ActiveView。這個搜尋會尋找直接指定 JSmith、透過萬用字元規則，或透過群組成員資格的任何 ActiveView。如果 ActiveView 包含其它 ActiveView，管理伺服器也會搜尋這些額外的 ActiveView。管理伺服器會判斷這些 ActiveView 中的助理管理員是否具有重設使用者帳戶密碼權限。如果助理管理員具有重設使用者帳戶密碼權限，管理伺服器會重設 JSmith 的密碼。如果沒有此權限，管理伺服器會拒絕要求。

範例 2：重疊 ActiveView

權限會定義助理管理員可以在您管理的網域或子樹狀結構中檢視、修改或建立之物件的內容。一個以上的 ActiveView 可以包含相同物件。此組態稱為重疊 ActiveView。

當 ActiveView 重疊時，您可以在相同物件上累積一組不同的權限。例如，如果一個 ActiveView 允許您將使用者帳戶新增至網域，而另一個 ActiveView 允許您從相同網域刪除使用者帳戶，則您可以在該網域中新增或刪除使用者帳戶。如此一來，您對於指定物件所具有的權限就是累計的。

請務必瞭解 ActiveView 可以重疊的方式，以及您可以在這些 ActiveView 中所包含物件上擁有增加的權限。請考量下圖中所示的 ActiveView 組態。

白色索引標籤會依據位置來識別 ActiveView，紐約市和休士頓。黑色索引標籤會依據其組織功能來識別 ActiveView，銷售和行銷。儲存格會顯示每個 ActiveView 中所包含的群組。

NYC_Sales 群組和 HOU_Sales 群組都會在銷售 ActiveView 中顯示。如果您具有銷售 ActiveView 中的權限，可以管理 NYC_Sales 和 HOU_Sales 群組的任何成員。如果您也有紐約市 ActiveView 中的權限，這些額外的權限會套用至 NYC_Marketing 群組。如此一來，權限會累積為 ActiveView 重疊。

重疊 ActiveView 可以提供強大且彈性的委託模型。但是，此功能可能也會產生意外的結果。請謹慎規劃您的 ActiveView 以確保每個 AA 都只有您想要讓它對於每個使用者帳戶、群組、OU、聯絡人或資源具備的權限。

多個 ActiveView 中的群組

在此範例中，NYC_Sales 群組出現在一個以上的 ActiveView。NYC_Sales 群組的成員出現在紐約市 ActiveView 中，因為群組名稱符合 NYC_* ActiveView 規則。群組也會在銷售 ActiveView 中，因為群組名稱符合 *_Sales ActiveView 規則。藉由在多個 ActiveView 中包含相同群組，您可以允許不同的助理管理員分別管理相同物件。

在多個 ActiveView 中使用權限

假設有一位助理管理員 JSmith，它具有紐約市 ActiveView 中的修改一般使用者內容權限。此第一個權限允許 JSmith 在使用者內容視窗的「一般」索引標籤上編輯所有內容。JSmith 具有銷售 ActiveView 中的修改使用者設定檔內容權限。此第二個權限允許 JSmith 在使用者內容視窗的「設定檔」索引標籤上編輯所有內容。

下圖指出 JSmith 對於每個群組所具有的權限。

JSmith 具有下列權限：

  • NYC_* ActiveView 中的一般內容

  • *_Sales ActiveView 中的設定檔內容

這些重疊 ActiveView 中的權限委託可讓 JSmith 修改 NYC_Sales 群組的「一般」和「設定檔」內容。因此，JSmith 獲得授與所有 ActiveView 中代表 NYC_Sales 群組的所有權限。