2.1 規劃部署

當您規劃 Directory and Resource Administrator 部署時，請利用本節來評估軟硬體環境的相容性，並了解您需要為部署所設定的連接埠和通訊協定。

2.1.1 經過測試的資源建議

本節提供基本資源建議的規模大小資訊。根據可用的硬體、特定的環境、所處理的具體資料類型及其他因素，您的結果可能有所不同。可能另有更大型、更強大的硬體組態可以處理更多的負載。如有疑問，請洽詢 NetIQ 諮詢服務。

在大約有一百萬個 Active Directory 物件的環境中執行：

元件

CPU

記憶體

儲存

DRA 管理伺服器

4 CPU (x64)/核心 2.0 GHz

16 GB

100 GB

DRA Web 主控台

2 CPU (x64)/核心 2.0 GHz

8 GB

100 GB

DRA 報告

4 CPU (x64)/核心 2.0 GHz

16 GB

100 GB

DRA 工作流程伺服器

4 CPU (x64)/核心 2.0 GHz

16 GB

100 GB

虛擬環境資源佈建

DRA 會保持大型記憶體區段長時間運作。佈建資源給虛擬環境時，請採用下列建議：

  • 將儲存體配置為「完整佈建」

  • 將記憶體保留設為「保留所有訪客記憶體(全部鎖定)」

  • 確定分頁檔足夠因應虛擬層可能的氣泡式記憶體重新配置

2.1.2 必要的連接埠和通訊協定

本節提供 DRA 通訊所需的連接埠和通訊協定。

  • 可設定的連接埠以一個星號 * 表示

  • 需要證書的連接埠以兩個星號 ** 表示

DRA 管理伺服器

通訊協定和連接埠

方向

目的地

用法

TCP 135

雙向

DRA 管理伺服器

端點對映程式、DRA 通訊的基本需求；讓管理伺服器在 MMS 中找到彼此

TCP 445

雙向

DRA 管理伺服器

委託模型複製；MMS 同步期間的檔案複製 (SMB)

動態 TCP 連接埠範圍 *

雙向

Microsoft Active Directory 網域控制器、DRA 用戶端

依預設，DRA 會從 TCP 連接埠範圍 1024 至 65535 內動態指定連接埠。不過，您可以使用元件服務來設定此範圍。如需詳細資訊，請參閱使用分散式 COM 搭配防火牆 (DCOM)

TCP 50000 *

雙向

DRA 管理伺服器

屬性複製和 DRA 伺服器 ADAM 通訊。(LDAP)

TCP 50001 *

雙向

DRA 管理伺服器

SSL 屬性複製 (ADAM)

TCP/UDP 389

向外

Microsoft Active Directory 網域控制器

Active Directory 物件管理 (LDAP)

向外

Microsoft Exchange Server

信箱管理 (LDAP)

TCP/UDP 53

向外

Microsoft Active Directory 網域控制器

名稱解析

TCP/UDP 88

向外

Microsoft Active Directory 網域控制器

允許從 DRA 伺服器向網域控制器驗證 (Kerberos)

TCP 80

向外

Microsoft Exchange Server

內部部署 Exchange 伺服器 2010 至 2013 所需的 (HTTP)

向外

Microsoft Office 365

遠端 PowerShell 存取 (HTTP)

TCP 443

向外

Microsoft Office 365、Change Guardian

圖形 API 存取和 Change Guardian 整合 (HTTPS)

TCP 443、5986、5985

向外

Microsoft PowerShell

原生 PowerShell Cmdlet (HTTPS) 和 PowerShell 遠端

TCP 8092 * **

向外

工作流程伺服器

工作流程狀態和觸發 (HTTPS)

TCP 50101 *

向內

DRA 用戶端

在變更歷程報告上按右鍵移至 UI 稽核報告。可在安裝期間設定。

TCP 8989

Localhost

記錄歸檔服務

記錄歸檔通訊 (不必透過防火牆開啟)

TCP 50102

雙向

DRA 核心服務

記錄歸檔服務

TCP 50103

Localhost

DRA 快取服務

DRA 伺服器上的快取服務通訊 (不需要透過防火牆開啟)

TCP 1433

向外

Microsoft SQL Server

報告資料收集

UDP 1434

向外

Microsoft SQL Server

SQL Server 瀏覽器服務使用此連接埠來識別具名例項的連接埠。

TCP 8443

雙向

Change Guardian 伺服器

整合的變更歷程

DRA REST 伺服器

通訊協定和連接埠

方向

目的地

用法

TCP 8755 * **

向內

IIS 伺服器、DRA PowerShell Cmdlet

執行 DRA REST 為基礎的工作流程活動 (ActivityBroker)

TCP 11192 * **

向外

DRA 主機服務

適用於 DRA REST 服務和 DRA 管理服務之間的通訊

TCP 135

向外

Microsoft Active Directory 網域控制器

使用服務連接點 (SCP) 來自動探索

TCP 443

向外

Microsoft AD 網域控制器

使用服務連接點 (SCP) 的自動探索

Web 主控台 (IIS)

通訊協定和連接埠

方向

目的地

用法

TCP 8755 * **

向外

DRA REST 服務

適用於 DRA Web 主控台、DRA PowerShell 和 DRA 主機服務之間的通訊

TCP 443

向內

用戶端瀏覽器

開啟 DRA 網站

TCP 443 **

向外

Advanced Authentication 伺服器

Advanced Authentication

DRA 委託和管理主控台

通訊協定和連接埠

方向

目的地

用法

TCP 135

向外

Microsoft Active Directory 網域控制器

使用 SCP 來自動探索

動態 TCP 連接埠範圍 *

向外

DRA 管理伺服器

DRA 配接器工作流程活動。依預設，DCOM 會從 TCP 連接埠範圍 1024 至 65535 內動態指定連接埠。不過，您可以使用元件服務來設定此範圍。如需詳細資訊，請參閱使用分散式 COM 搭配防火牆 (DCOM)

TCP 50102

向外

DRA 核心服務

產生變更歷程報告

工作流程伺服器

通訊協定和連接埠

方向

目的地

用法

TCP 8755

向外

DRA 管理伺服器

執行 DRA REST 為基礎的工作流程活動 (ActivityBroker)

動態 TCP 連接埠範圍 *

向外

DRA 管理伺服器

DRA 配接器工作流程活動。依預設，DCOM 會從 TCP 連接埠範圍 1024 至 65535 內動態指定連接埠。不過，您可以使用元件服務來設定此範圍。如需詳細資訊，請參閱使用分散式 COM 搭配防火牆 (DCOM)

TCP 1433

向外

Microsoft SQL Server

工作流程資料儲存

TCP 8091

向內

Operations 主控台和組態主控台

工作流程 BSL API (TCP)

TCP 8092 **

向內

DRA 管理伺服器

工作流程 BSL API (HTTP)

TCP 2219

Localhost

命名空間提供者

由命名空間提供者用來執行配接器

TCP 9900

Localhost

Correlation Engine

由 Correlation Engine 用來與工作流程引擎和命名空間提供者通訊

TCP 10117

Localhost

資源管理命名空間提供者

由資源管理命名空間提供者使用

2.1.3 支援的平台

如需所支援軟體平台的最新資訊，請參閱 NetIQ 網站上的 Directory and Resource Administrator 頁面：

受管理系統

先決條件

Active Directory

  • Microsoft Server 2012

  • Microsoft Server 2012 R2

  • Microsoft Server 2016

Microsoft Exchange

  • Microsoft Exchange 2010 SP3 (公用資料夾除外)

  • Microsoft Exchange 2013

  • Microsoft Exchange 2016

  • Microsoft Skype Online

Microsoft Office 365

商務用 Skype

  • Microsoft 商務用 Skype 2015

變更歷程

  • Change Guardian 5.0、5.1

網頁瀏覽器

  • Microsoft Internet Explorer 11、Edge

  • Google Chrome

  • Mozilla Firefox

2.1.4 DRA 管理伺服器需求

對於軟體和帳戶，DRA 具有下列伺服器要求：

軟體要求：

元件

先決條件

安裝目標

作業系統

NetIQ 管理伺服器作業系統：

  • Microsoft Windows Server 2012、2012 R2、2016

  • Microsoft Windows 2008 R2 僅支援升級。

    附註：伺服器也必須是受支援的 Microsoft Windows Server 原生網域的成員。

Windows DRA 介面：

  • Microsoft Windows Server 2012、2012 R2、2016

  • Microsoft Windows 8.1 (x86 & x64)、10 (x86 & x64)

安裝程式

  • Microsoft .Net Framework 4.5.2 和更新版本

管理伺服器

Directory and Resource Administrator：

  • Microsoft .Net Framework 4.5.2 和更新版本

  • 以下之一︰

    • Microsoft Visual C++ 2015 (Update 3) 可轉散發套件 (x64 和 x86)

    • Microsoft Visual C++ 2017 (Update 3) 可轉散發套件 (x64 和 x86)

  • Microsoft Message Queuing

  • Microsoft Active Directory 輕量型目錄服務角色

  • 已啟動的遠端登錄服務

Microsoft Office 365/Exchange Online 管理：

  • 適用於 Windows PowerShell 的 Windows Azure Active Directory 模組

  • 適用於 IT 專業人員的 Microsoft Online Services 登入小幫手

  • 商務用 Skype Online、Windows PowerShell 模組

如需詳細資訊，請參閱支援的平台。

舊版 Web 元件

Web 伺服器：

  • Microsoft Internet Information Services (IIS) 版本 8.0、8.5、10

Microsoft IIS 元件：

  • Microsoft Active Service Pages (ASP)

  • Microsoft Active Service Pages .NET (ASP .Net)

  • Microsoft IIS 安全性角色服務

Windows DRA 介面：

  • Microsoft .NET Framework 4.5.2

  • Microsoft Visual C++ 2015 (Update 3) 可轉散發套件 (x86)

帳戶需求：

帳戶

描述

許可權

AD LDS 群組

必須將 DRA 服務帳戶新增至此群組才能存取 AD LDS

  • 網域本機安全性群組

DRA 服務帳戶

執行 NetIQ 管理服務所需的許可權

  • 「Distributed COM Users」許可權

  • AD LDS 管理員群組的成員

  • 帳戶操作員群組

  • 記錄歸檔群組 (OnePointOp ConfgAdms & OnePointOp)

附註：如需設定最低權限網域存取帳戶的相關資訊，請參閱：最低權限 DRA 存取帳戶。

DRA 管理員

佈建給內建 DRA 管理員角色的使用者帳戶或群組

  • 網域本機安全性群組或網域使用者帳戶

  • 管理的網域或受信任的網域的成員

    • 如果您從受信任的網域指定帳戶，請確定管理伺服器電腦可以驗證此帳戶。

DRA Assistant Admin 帳戶

透過 DRA 來委託權限的帳戶

  • 將所有 DRA Assistant Admin 帳戶新增至「Distributed COM Users」群組，讓他們可以從遠端用戶端連接至 DRA 伺服器。

    附註：在安裝期間可設定 DRA 來替您管理這方面。

最低權限 DRA 存取帳戶

以下是指定的帳戶所需的許可和權限，以及您需要執行的組態指令。

網域存取帳戶： 將下列 Active Directory 許可指定給網域存取帳戶：

  • 「完整」控制使用者物件

  • 「完整」控制電腦物件

  • 「完整」控制群組物件

  • 「完整」控制聯絡人物件

  • 「完整」控制組織單位物件

  • 「完整」控制 Inetorgperson 物件

  • 「完整」控制印表機物件

  • 「完整」控制內建網域物件

  • 「完整」控制容器物件

  • 「完整」控制 MsExchSystemObjectContainer 物件

  • 「完整」控制動態通訊群組

  • 「完整」控制公用資料夾

將下列具有「此物件和所有子物件」範圍的權限指定給網域服務帳戶：

  • 允許建立電腦物件

  • 允許刪除電腦物件

  • 允許建立聯絡人物件

  • 允許刪除聯絡人物件

  • 允許建立群組物件

  • 允許刪除群組物件

  • 允許刪除 InetOrgPerson 物件

  • 允許建立組織單位物件

  • 允許刪除組織單位物件

  • 允許建立使用者物件

  • 允許刪除使用者物件

  • 允許建立動態通訊群組

  • 允許刪除動態通訊群組

  • 允許建立服務連接點

  • 允許刪除服務連接點

  • 允許建立容器

  • 允許刪除容器

  • 允許建立公用資料夾

  • 允許刪除公用資料夾

Office 365 租用戶存取帳戶： 將下列 Active Directory 許可指定給 Office 365 租用戶存取帳戶：

  • Office 365 中的使用者管理管理員

  • Exchange Online 中的收件者管理

Exchange 存取帳戶： 將組織管理角色指定給 Exchange 存取帳戶來管理 Exchange 2010。

Skype 存取帳戶： 確保此帳戶為可使用 Skype 的使用者，且至少為下列其中一個角色的成員：

  • CSAdministrator 角色

  • CSUserAdministrator 與 CSArchiving 角色

公用資料夾存取帳戶： 將下列 Active Directory 許可指定給公用資料夾存取帳戶：

  • 公用資料夾管理

  • 已啟用郵件功能的公用資料夾

DRA 安裝之後：

  • 從 DRA 安裝資料夾執行下列指令，將許可委託給「刪除的物件容器」(注意：必須由網域管理員執行此指令)：

    DraDelObjsUtil.exe /domain:<NetbiosDomainName> /delegate:<Account Name>

  • 從 DRA 安裝資料夾執行下列指令，將許可委託給「NetIQReceyleBin OU」(注意：只有在新增要由 DRA 管理的各個網域之後才能這麼做)：

    DraRecycleBinUtil.exe /domain:<NetbiosDomainName> /delegate:<AccountName>

  • 在 DRA 將管理資源 (例如印表機、服務、事件記錄、裝置等) 的每一部電腦上，將最低權限覆寫帳戶新增至「本機系統管理員」群組。

  • 將佈建主目錄的共享資料夾或 DFS 資料夾上的「完整許可」，授予最低權限覆寫帳戶。

  • 將最低權限覆寫帳戶新增至「組織管理」角色來管理 Exchange 物件。

2.1.5 DRA Web 主控台和延伸功能需求

Web 主控台和 REST 延伸功能的需求包括：

軟體要求:

元件

先決條件

安裝目標

作業系統︰

  • Microsoft Windows Server 2016、Microsoft Windows 10 (含 Microsoft IIS 10)

  • Microsoft Windows Server 2012、2012 R2 (含 Microsoft IIS 8.0、8.5)

DRA 主機服務

  • Microsoft .NET Framework 4.5.2

  • DRA 管理伺服器

DRA REST 端點和服務

  • Microsoft .NET Framework 4.5.2

PowerShell 延伸功能

  • Microsoft .NET Framework 4.5.2

  • PowerShell 4.0

DRA Web 主控台

Web 伺服器:

  • Microsoft Internet Information Server 8.0、8.5、10

  • Microsoft Internet Information Services WCF (啟用)

Microsoft IIS 元件：

  • 網路伺服器

    • 通用 HTTP 功能

      • 靜態內容

      • 預設文件

      • 目錄瀏覽器

      • HTTP 錯誤

    • 應用程式開發

      • ASP

    • 狀態及診斷

      • HTTP 記錄

      • 申請監視器

    • 安全性

      • 基本驗證

    • 效能

      • 靜態內容壓縮

  • Web 伺服器管理工具

2.1.6 報告需求

DRA 報告的需求包括：

軟體要求:

元件

先決條件

安裝目標

作業系統︰

  • Microsoft Windows Server 2012、2012 R2、2016

NetIQ Reporting Center (3.2 版)

資料庫：

  • Microsoft SQL Server 2012、2014、2016

  • Microsoft SQL Server Reporting Services

Web 伺服器:

  • Microsoft Internet Information Server 8.0、8.5、10

  • Microsoft IIS 元件：

    • ASP .NET 4.0

Microsoft .NET Framework 3.5:

連接至 DRA Reporting 的每一部 DRA Administration 伺服器，另外還需要 .NET Framework 3.5。

附註：在 SQL Server 電腦上安裝 NetIQ Reporting Center (NRC) 時，.NET Framework 3.5 在安裝 NRC 之前，可能需要手動安裝。

DRA 報告

資料庫：

  • Microsoft SQL Server Integration Services

  • Microsofte SQL Server Agent

2.1.7 授權需求

授權決定您可使用的產品和功能。DRA 需要有隨著管理伺服器一起安裝的授權金鑰。

安裝管理伺服器之後，您可以使用「健康情況檢查公用程式」來安裝試用授權金鑰 (License1.lic)，此可允許您管理無數量的使用者帳戶和信箱 30 天。

如需授權定義和限制的其他資訊，請參閱產品最終使用者授權合約 (EULA)。