NetIQ Directory and Resource Administrator 用户指南

1.2.1 DRA 管理服务器

DRA 管理服务器存储配置数据（环境相关数据、委托访问及策略）、执行操作员和自动化任务并审计系统范围内的活动。在支持多个控制台和 API 级别客户端的同时，服务器还经过特别设计，通过多主集合 (MMS) 横向扩展模型为冗余和地理隔离提供高可用性。在此模型中，每个 DRA 环境将需要一个主 DRA 管理服务器，该服务器将与一些其他次 DRA 管理服务器同步。

我们强烈建议您不要在 Active Directory 域控制器上安装管理服务器。对于 DRA 管理的每个域，请确保至少有一个域控制器与管理服务器位于相同站点。默认情况下，管理服务器访问最近的域控制器进行所有读取与写入操作；当执行站点特定的任务时，例如重设置口令，可以指定站点特定域控制器来处理操作。最佳实践是考虑设置一个专用次管理服务器用于报告、批处理和自动化工作负载。

1.2.2 Account and Resource Management（帐户和资源管理）

Account and Resource Management（帐户和资源管理）是 Delegation and Configuration（委托和配置）控制台中的一个节点，用于 DRA 助理管理员查看和管理所连接域和服务的委托对象。

1.2.3 Web 控制台

Web 控制台是一个基于 Web 的用户界面，可通过此界面快速轻松访问 DRA 助理管理员，从而查看和管理所连接域和服务的委托对象。

管理员可以自定义 Web 控制台的外观和使用，使其包含自定义企业品牌和自定义对象属性，也可以配置与 Change Guardian 服务器集成，从而能够对发生于 DRA 以外的更改进行审计。

DRA 管理员可以创建和修改自动化工作流程表单，在触发后运行例程自动化任务。

统一的更改历史记录是 Web 控制台的另一功能，该功能实现与更改历史记录服务器集成，便于审计 DRA 以外对 AD 对象所作的更改。更改历史记录报告选项包括下列内容：

1.2.4 报告组件

DRA 报告提供内置、可自定义的 DRA 管理模板以及 DRA 受管域和系统的细节：

可通过 SQL Server Reporting Service 计划和发布 DRA 报告，以便于分发给利益相关者。

1.2.5 Workflow Automation 引擎

DRA 与 Workflow Automation 引擎集成以通过 Web 控制台自动执行工作流程任务，在 Web 控制台中，助理管理员可以配置工作流程服务器并执行自定义工作流程自动化表单，然后查看这些工作流程的状态。有关 Workflow Automation 引擎的更多信息，请参见 NetIQ DRA 文档网站中的 Workflow Automation 文档。

1.2.6 产品架构

2.1.1 启动 Web 控制台

您可以从运行 Internet Explorer 的任何计算机启动 Web 控制台。要启动 Web 控制台，请在 Web 浏览器地址字段中指定相应的 URL。例如，如果在 HOUserver 计算机上安装了 Web 组件，请在 Web 浏览器的地址字段中键入 https://HOUserver.entDomain.com/draclient。

2.1.2 配置 Web 控制台

如果您拥有 DRA 管理权限，则可以配置 Advanced Authentication、客户端品牌化和会话设置，以及 Web 控制台所需的所有服务器连接。如要访问其中任何一个设置，请登录到 Web 控制台并导航到系统管理 > 配置。

2.1.3 自定义 Web 控制台

您可以在 Web 控制台中自定义对象属性。正确实现后，属性自定义将有助于通过对象管理自动执行任务。

2.1.4 在 Web 控制台中管理对象

通过导航到“管理”标头，可以在 Web 控制台中管理对象。在此处，您可以按对象类型搜索受管域、Azure 租户、容器和回收站中的对象。在域或 Azure 租户内，您可以使用 DRA 管理和操作 Active Directory 和 Azure Active Directory 对象。

如果在搜索结果列表中选择一个对象，则可以在网格上方的任务栏上找到可对该对象执行的所有适用操作。可用的选项取决于所选的对象类型、当前为 DRA 配置的组件以及分配的管理员特权。

要编辑对象的属性，将鼠标悬停在对象上，然后单击对象行上出现的属性图标 。在此处，您可以访问左侧导航窗格中对象的所有“属性”页面。

有关可以对对象执行的操作的更多信息，请参见以下主题：

2.1.5 生成更改历史记录报告

如果更改历史记录由您的 DRA 管理员配置，并且您具有 Generate UI Reports（生成 UI 报告）的权限，则您可以生成更改历史记录报告，并为 DRA 中的受管对象导出报告。这包括在 DRA 内部和外部所做的更改。您只能从 Web 控制台生成更改历史记录报告，其中包括以下类型的报告：

如要生成统一更改历史记录 (UCH) 报告：

要创建所显示报告的 CSV 文件，您可以在使用上述步骤生成报告后执行以下选项之一，导出生成的所有更改或仅导出当前页面上显示的更改：

2.1.6 使用工作流程自动化

使用 Workflow Automation，您可以实现 IT 流程自动化，方法是启动工作流程执行时运行的工作流程表单，或者由 Workflow Automation 服务器中创建的命名工作流程事件触发时启动工作流程表单。

工作流程表单在创建或修改时将保存到 Web 服务器。当您登录此服务器的 Web 控制台时，您将可以根据委托的权限以及表单的配置方式访问表单。表单通常可供具有 Web 服务器身份凭证的所有用户使用。提交表单的能力需要相应的权限。

有关 Workflow Automation 的更多信息，包含在 DRA 文档网站上的以下指南中：

2.2.1 连接到管理服务器或受管域

默认情况下，DRA 将连接到受管域或计算机的最佳可用管理服务器。最佳的可用管理服务器是最近的服务器，通常是网络站点中的服务器。如果站点不包含管理服务器，则 DRA 将连接到受管域或受管子树中的下一个可用服务器。您还可以指定要连接的管理服务器或域。

首次启动用户界面时，DRA 最初会连接到您的登录帐户的域。如果登录到未由管理服务器管理的域，或 DRA 无法连接到该域的管理服务器，则 DRA 可能会显示一条错误讯息。确保管理服务器可用，然后重试。

2.2.2 修改控制台标题

您可以修改 Delegation and Configuration（委托和配置）控制台标题栏中显示的信息。为方便和清楚起见，您可以添加起动控制台的用户名以及控制台所连接的管理服务器。在需要使用不同身份凭证连接到多个管理服务器的复杂环境中，此功能可帮助您快速识别需要使用的控制台。

2.2.3 自定义列表列

您可以选择 DRA 在列表列中显示的对象属性。这项灵活的功能可用于自定义用户界面，例如搜索结果列表，以更好地满足管理企业的特定需求。例如，可以设置列以显示用户登录名或组类型，以便快速有效地查找和排序所需的数据。

2.2.4 管理 Account and Resource Management（帐户和资源管理）中的对象

通过选择我的所有受管对象或目录树中的子节点，可以管理 Account and Resource Management（帐户和资源管理）中的对象。在此处，您可以按对象类型搜索域、容器和 OU 中的对象。

如果在搜索结果列表中选择一个对象，则可以在工具栏上的任务菜单或右键菜单中找到可对该对象执行的所有适用操作。可用的选项取决于所选的对象类型、当前为 DRA 配置的组件以及分配的管理员特权。

要编辑对象的属性，选择该对象，然后在任务菜单中单击属性。在此处，单击左侧导航窗格中的页面链接即可访问对象的所有“属性”页面。

有关可以对对象执行的操作的更多信息，请参见以下主题：

2.2.5 执行保存的高级查询

使用高级查询，您可以搜索用户、联系人、组、计算机、打印机、OU 以及 DRA 支持的任何其他对象。如果您具有 Execute Saved Advanced Queries（执行保存的高级查询）权限，则可以执行 Account and Resource Management（帐户和资源管理）节点中任何容器的 Saved Queries（保存的查询）列表中的高级查询。有关指派的权限的更多信息，请参见查看指派的权限和角色。

2.2.6 恢复控制台设置

DRA 允许您调整窗口大小，然后保持窗口大小。DRA 还会保留许多其他设置，包括您连接的最后一个管理服务器、您在列表结果中添加或去除的列以及列宽。如果要将这些设置恢复到安装 DRA 的原始设置，则可以使用 Restore Default Settings（恢复默认设置）选项来执行此操作。

2.2.7 特殊字符限制

命名用户帐户、组、联系人、OU、计算机、ActiveView、助理 Admin 组、角色、策略或自动化触发器时，不能使用以下特殊字符。这些命名限制适用于对象的名称以及定义对象的规则的名称。

在 Microsoft Windows 域中命名用户帐户、组和计算机时，可以使用任何特殊字符。

2.2.8 使用通配符

DRA 支持 DRA 控制台许多字段和命令行界面命令中使用通配符。通配符使您可以定义将多个对象与特定条件或标准匹配的规则，例如命名约定。您可以使用通配符来缩小或扩大规则的范围，而不必使用正则表达式。通配符匹配不区分大小写。您还可以将问号 (?)、星号 (*) 或数字符号 (#) 通配符用作普通字符，方法是在特定通配符前加上反斜杠 (\)。例如，要搜索 abc*，请键入搜索文本 abc\*。

DRA 支持以下通配符。名称中不能使用通配符。

下表提供了通配符规范以及其匹配和不匹配内容的示例。

DRA 不支持包含逻辑操作的通配符规范。

2.2.9 查看指派的权限和角色

角色和权限将定义管理对象的方式。角色是一组权限，可提供执行特定管理任务（例如创建用户帐户或移动共享目录）所需的许可权限。

DRA 管理员可指派角色，将您添加到特定助理 Admin 组，并将您与 ActiveView（您可以管理的域对象集）相关联。您可以通过 Delegation and Configuration（委托和配置）控制台查看这些指派。您无需任何辅助权限即可查看指派给您的角色和权限。

2.2.10 查看产品版本号和已安装的热修复

您可以从 DRA Properties（DRA 属性）窗口中查看产品版本号和已安装的热修复。此窗口提供管理服务器和 DRA 客户端计算机的版本号和已安装的热修复列表。

2.2.11 查看当前许可证

DRA 需要许可证密钥文件。您可以从任何管理服务器计算机查看您的产品许可证。您无需任何辅助权限即可查看产品许可证。

2.2.12 恢复 BitLocker 口令

Microsoft BitLocker 将其恢复口令储存在 Active Directory 中。如果您具有所需的权限，则可以使用 DRA BitLocker 恢复功能查找并恢复最终用户丢失的 BitLocker 口令。

2.3.1 了解 DRA Reporting

DRA Reporting 提供了两种生成报告的方法，使您可以查看环境中的最新更改，以及收集和查看域中的用户帐户、组和资源定义。

例如，您可以通过 Activity Detail reports（活动细节报告）查看在指定时间段内对对象所做更改或对象所做更改的列表。您还可以使用“管理”报告查看显示每个受管域在指定时间段内的事件数的图表。通过报告，您还可以查看有关 DRA 安全模型的细节，例如 ActiveView 和助理 Admin 组定义。

DRA 将禁用您的许可证不支持的功能和报告。您还必须具有运行和查看报告的相应权限。因此，您可能无法访问某些报告。

DRA Management reports（DRA 管理报告）可以作为可选功能进行安装和配置，并可在 Reporting Center 中进行查看。启用和配置数据收集时，DRA 会收集有关已审计事件的信息，并按照您定义的日程表将其导出到 SQL Server 数据库。在 Reporting Center 中连接到此数据库时，您可以访问 60 多个内置报告：

有关为管理报告配置数据收集的更多信息，请参见《管理员指南》。

2.3.2 DRA 如何使用日志存档

要查看和报告助理管理员操作，DRA 会在管理服务器计算机上的日志存档中记录所有用户操作。用户操作包括更改定义的所有尝试，例如更新用户帐户、删除组或重新定义 ActiveView。DRA 还会记录特定的内部操作，例如管理服务器初始化和相关的服务器信息。除了记录这些审计事件外，DRA 还会记录事件之前和之后的值，以便您可以确切地看到更改的内容。

DRA 使用称为 log archive（日志存档）的文件夹 NetIQLogArchiveData 来安全地储存存档的日志数据。DRA 会随着时间的推移对日志进行存档，然后删除较旧的数据，以通过整理过程为较新的数据腾出空间。

DRA 使用储存在日志存档文件中的审计事件来显示 Activity Detail reports（活动细节报告），例如显示在指定时间段内对对象所作的更改。您还可以配置 DRA 将这些日志存档文件中的信息导出到 NetIQ Reporting Center 用于显示管理报告的 SQL Server 数据库。

DRA 始终会将审计事件写入日志存档。您也可以启用或禁用 DRA 将事件写入 Windows 事件日志。

有关 DRA 审计的更多信息，请参见《管理员指南》。

2.3.3 了解日期和时间

DRA 使用“控制面板”的“区域设置”应用程序中指定的短日期样式和时间样式来显示报告。DRA 报告显示 UTC 日期和时间以及事件的本地日期和时间。DRA 报告支持以下日期格式：

2.3.4 DRA Reporting 任务

要生成 DRA Management reports（DRA 管理报告），请安装 Reporting Center 并在 DRA 中启用数据收集。有关启用数据收集的更多信息，请参见《管理员指南》。要生成 Activity Detail reports（活动细节报告），请右键单击任何对象，然后单击报告以查看针对该对象的报告的选择。以下部分将指导您完成各种报告任务。

3.1.1 受信任域中的用户帐户

Microsoft Windows 将用户帐户和组定义储存在受管域的目录中。因此，管理服务器无法修改受信任域中的目录信息，除非该域也由 DRA 管理。

例如，在 Account and Resource Management（帐户和资源管理）中，您可能会看到无法修改的用户帐户和组。这些用户帐户和组在任一个受管域信任的域中定义。但是，您可以将受信任域中的帐户和组添加到受管域中的其他组。

3.1.2 用户帐户管理任务

本节将指导您在 Delegation and Configuration（委托和配置）控制台的 Account and Resource Management（帐户和资源管理）节点以及 Web 控制台中管理用户帐户。通过相应的权限，您可以执行各种用户帐户管理任务，例如创建和删除帐户。如果选择多个用户帐户，则可以在一个操作中执行所选任务，例如删除、移动用户或向组添加用户。有关指派的权限的更多信息，请参见查看指派的权限和角色。

Account and Resource Management（帐户和资源管理）中的用户帐户任务

您可以从 Tasks（任务）菜单或右键单击菜单执行以下所有适用的任务。通常，您会选择 All My Managed Objects（我的所有受管对象）节点，然后执行 Find Now（立即查找）操作以查找并选择所需的用户对象。在创建新用户的情况下，您必须选择要在其中创建用户的域或 OU。Tasks（任务）菜单指示在选择单个或多个用户帐户时可以执行的任务。

Web 控制台中的用户帐户任务

您可以从 Web 控制台的管理 > 搜索选项卡执行以下大多数任务。执行搜索操作以查找并选择所需的用户对象。在列表中选择一个或多个对象后，任务栏将变为活动状态，其中包含适用于 Accounts（帐户）和 Exchange 的工具栏选项以及下拉选项。将鼠标悬停在工具栏图标上或单击下拉菜单以显示其功能或选项。

3.1.3 转换用户帐户

DRA 使您能够快速有效地转换用户帐户。当与用户帐户关联的个人转换为新的工作职责时，您可以使用 DRA 的转换功能。利用工作角色模板，您可以快速添加、去除或更新与帐户关联的组成员资格。无论是个人晋升、更换部门还是离开公司，转换用户帐户的功能都将为您省去时间和金钱成本。

3.2.1 组管理任务

本节将指导您在 Delegation and Configuration（委托和配置）控制台中通过 Account and Resource Management（帐户和资源管理）节点管理组。通过相应的权限，您可以执行各种组管理任务，例如修改组成员资格。如果选择多个组，则可以在一个操作中执行所选任务，例如删除、移动或向组添加成员。Tasks（任务）菜单指示在选择单个或多个组时可以执行的任务。

3.2.2 在 Delegation and Configuration（委托和配置）控制台中管理临时组指派

通过“临时组指派”，您可以管理仅在特定时间段内需要组成员资格的用户的组成员资格。本节将指导您在 Delegation and Configuration（委托和配置）控制台的 Account and Resource Management（帐户和资源管理）下管理临时组指派。通过相应的权限，您可以执行各种任务，例如创建临时组指派或去除失效的临时组指派。

助理管理员只能查看助理管理员有权修改其组成员资格（添加或去除成员）组的临时组指派。

在临时组指派处于“活动”状态时，无法更改关联的组或修改用户列表。如果要修改这些项目，则必须取消临时组指派。

3.2.3 在 Web 控制台中管理临时组指派

通过“临时组指派”，您可以管理在特定时间段内需要组成员资格的用户的组成员资格。如果 DRA 管理员配置了 Azure Active Directory，则可以为 Azure 组创建临时组指派，并将 Azure 用户、Azure Guest 用户和同步用户添加到 Azure 组成员资格。在 Web 控制台中，可以从 DRA 主服务器和次服务器创建和管理指派。但是，可以对现有指派执行的操作因指派所处的状态而异。

助理管理员只能查看其有权通过其 ActiveView 指派进行修改的组的临时组指派，例如添加或去除该组的成员。

要在 Web 控制台中管理临时组指派，请导航至任务 > 临时组指派。

可以执行以下操作：

3.4.1 方案示例

下图描述了 Active Directory 动态组的典型用法。图中有三个动态组。每个组都有一组准则，用于确定可以添加到组中和不能添加到组中的用户。每个组控制对一组特定文件、文件夹和应用程序的访问权限。

User2 最近加入了 IT 部门。刷新 IT 部门的动态组时，她将被添加到组中。刷新销售部门的动态组时，User2 将从其成员列表中去除。

User3 已离开 IT 部门转到 HR 部门，将从 IT 部门动态组中去除，并添加到 HR 部门动态组。

3.4.2 方案准备

下面的信息提供了您将在 Web 控制台中采取的操作示例，以启用上述方案。您可以将现有组设为动态组或创建新的动态组。为了简单起见，我们不会添加任何静态成员或排除的成员，而是将三个现有组设为动态组：人力资源组、IT 组和销售组。

设置动态组：

为动态更改选定用户属性中的用户组隶属关系而采取的操作：

动态更改发生在计划动态组刷新期间或由 DRA 管理员手动刷新期间。

3.4.3 动态组任务

您可以在 Web 控制台中执行的动态组任务如下所述。

4.1.1 使用通配符

DRA 支持问号 (?)、星号 (*) 或数字符号 (#) 等通配符，以最大化搜索结果。通配符匹配不区分大小写。

下表提供了通配符规范以及其匹配和不匹配内容的示例。

4.1.2 多字段搜索

“多字段匹配”选项允许您通过单个搜索来搜索多个属性的匹配项。使用“多字段匹配”进行搜索时，您的搜索字符串将与多个属性（如名称、显示名称、名和姓）进行比较，如果搜索字符串与这些属性中的任何一个匹配，则在搜索结果中返回该对象。

“多字段匹配”选项仅支持“开头为”搜索准则。

例如，如果您有两个用户，一个用户的显示名称为 "Martin Smith"，另一个用户的用户主体名称为 martha.jones@acme.com，并且如果您使用字符串 "Mart" 执行搜索，则会在搜索结果中返回这两个用户。

下表列出了为每个对象类型搜索的属性：

4.1.3 添加和排序列

单击属性的列标题时，可以按以下任意属性对搜索结果对象进行排序：

要添加或去除属性列，请单击列图标。

4.1.4 导出搜索结果

DRA 支持助理管理员将搜索结果导出到 CSV 文件中。要从 Web 控制台导出搜索结果，请转到管理 > 搜索并单击 Download（下载）图标。

4.2.1 高级搜索查询

DRA 支持虚拟属性和 LDAP 查询，以搜索 DRA 和 Active Directory 对象。虚拟属性可以与 Active Directory 对象类型相关联，例如用户、组、动态分发组、联系人、计算机和 OU。使用虚拟属性查询，您可以过滤从 LDAP 查询返回的结果，以便仅返回与虚拟属性查询匹配的结果。虚拟属性查询字符串必须以 (objectCategory=<object type>) 开头。要执行虚拟属性查询，必须同时为 LDAP 和虚拟属性查询指定字符串。

LDAP 查询示例：

虚拟属性查询示例：

4.2.2 管理高级查询

DRA 使用 LDAP 来支持高级搜索查询功能。使用高级查询，您可以搜索用户、联系人、组、计算机、OU 以及 DRA 支持的任何其他对象。如果您具有“执行保存的高级查询”权限，则可以对所有容器执行我的搜索和公共搜索列表中可用的高级查询。

除了使用保存的高级查询执行搜索并查看其细节外，在具有相应的权限时，您还可以通过“高级搜索”页面中的高级查询执行以下操作：

4.2.3 导出高级搜索结果

DRA 支持助理管理员将高级搜索结果导出到 CSV 文件中。要从 Web 控制台导出高级搜索结果，请转到管理 > 高级搜索然后单击 Download（下载）图标。

7.4.1 打印机管理任务

您可以管理与受管域或受管子树中的计算机关联的打印机。DRA 允许您在管理该计算机的其他资源时管理打印机。

本节将指导您在 Delegation and Configuration（委托和配置）控制台中通过 Account and Resource Management（帐户和资源管理）节点管理打印机。借助相应的权限，您可以执行各种打印机管理任务，例如停止打印机。

7.4.2 打印作业管理任务

您可以管理与受管域或受管子树中的打印机关联的打印作业。由于打印作业与打印机相关联，因此您可以在管理打印机的同时管理打印作业。

本节将指导您在 Delegation and Configuration（委托和配置）控制台的 Account and Resource Management（帐户和资源管理）节点中管理打印作业。借助相应的权限，您可以执行各种打印作业管理任务，例如取消打印作业。

7.4.3 已发布的打印机管理任务

您可以管理受管域或受管子树中的已发布打印机。您可以添加或搜索在 Active Directory 中发布的任何打印机或由群集服务器托管的打印机。

本节将指导您在 Account and Resource Management（帐户和资源管理）节点中管理已发布的打印机。借助相应的权限，您可以执行各种打印机管理任务，例如停止打印机。

7.4.4 已发布打印机的打印作业管理任务

您可以管理与受管域或受管子树中已发布打印机关联的打印机作业。由于打印作业与打印机相关联，因此您可以在管理已发布打印机时管理打印作业。

本节将指导您在 Account and Resource Management（帐户和资源管理）节点中管理已发布的打印机。借助相应的权限，您可以执行各种打印作业管理任务，例如取消打印作业。

7.8.1 事件日志类型

运行 Microsoft Windows 的计算机将在各种日志中记录其他信息。日志简要描述如下：

7.8.2 事件日志管理任务

在安装 DRA 时，默认情况下不会在 Windows 事件日志中记录审计事件。您可以通过修改注册表项来启用此类型的日志记录。

您可以指定事件日志文件的最大大小，以及当达到事件日志上限时如何处理。属性窗口还会显示日志的名称、日志文件路径和文件名、创建日志的时间、上次修改日志的时间以及上次访问日志的时间。如果选择备份日志文件，则 DRA 会在所选计算机的标准位置使用唯一的文件名保存事件日志。

DRA 允许您在管理该计算机的其他资源时管理事件日志。利用相应的权限，您可以执行各种任务，例如更改事件日志属性。