一、Active Directory概述
Windows Active Directory是對象的分層框架。它提供各種Active
Directory對象的信息，例如資源，服務(wù)，用戶帳戶，組等，并設(shè)置這些對象的訪問權(quán)限和安全性。Active Directory網(wǎng)絡(luò)組件的結(jié)構(gòu)是：
域：共享公共目錄數(shù)據(jù)庫的一組計算機。
域樹：共享連續(xù)命名空間的一個或多個域。
域林：共享公共目錄信息的一個或多個域樹。
組織單位：用于將域中的對象組織到邏輯管理組中的容器或子組。
對象：對象表示具有其屬性的單個實體，例如計算機，資源，用戶，應(yīng)用程序等。
1、Active Directory組
組是可以包含用戶，計算機和其他組(嵌套組)的Active
Directory對象。有兩種類型的組，即安全組和通訊組。雖然安全組用于將用戶，計算機和其他組分組以分配對資源的權(quán)限，但通訊組僅用于創(chuàng)建電子郵件分發(fā)列表。
該組的范圍可以是本地，域本地，全局或通用。
本地組：其范圍僅限于其所在的機器。它可用于授予訪問計算機資源的權(quán)限。
域本地組：它具有域范圍，這意味著它可以在該域中的任何Windows機器上授予資源權(quán)限。
全局組：它還具有域范圍，但可以在任何域中授予權(quán)限。
通用組：可以在任何域中授予此組權(quán)限。包括其他森林中的域(基于信任關(guān)系)。
2、Active Directory用戶
用戶為了登錄計算機或域，需要Active
Directory中的用戶帳戶，該帳戶為他/她建立身份?；诖藰?biāo)識，操作系統(tǒng)對用戶進行身份驗證并授予對域資源的訪問權(quán)限。有兩個預(yù)定義的用戶帳戶(管理員和來賓)，用于初始登錄以進行必要的配置。
3、Active Directory計算機
與用戶帳戶類似，計算機帳戶用于為計算機提供必要的授權(quán)以使用網(wǎng)絡(luò)和域資源。
4、管理安全權(quán)限
Windows支持的基本安全權(quán)限(如“讀取”，“寫入”和“完全控制”)可用于Active
Directory上的每個對象。除了這些標(biāo)準(zhǔn)權(quán)限，AD還提供了一些基于對象類的特殊權(quán)限，例如列表內(nèi)容，刪除樹，列表對象，自寫，控制訪問，創(chuàng)建子項，刪除子項，讀取屬性，寫入屬性等等。
必須將這些權(quán)限分配給用戶或組，以限制或授予對Active
Directory對象的訪問權(quán)限。對用戶或組的每個權(quán)限分配稱為訪問控制條目(ACE)。
5、繼承權(quán)限
在容器(或父對象)上設(shè)置的權(quán)限也可以應(yīng)用于其子對象。這稱為繼承權(quán)限。Active
Directory安全模型允許您定義顯式權(quán)限或?qū)?quán)限傳播到其子對象。例如，您可以 為傳播指定以下條件：
僅此對象
此對象和所有子對象
電腦對象
組對象
組織單位對象
用戶對象
容器可以是任何Active Directory組件，如域，組織單位，并且只有這些容器中的對象才能從父級繼承權(quán)限。
二、 配置域
在啟動期間，ADManager Plus會添加可以發(fā)現(xiàn)的所有域。如果您希望添加更多域或修改添加的域，可以從此處執(zhí)行。
注意：從相同和不同的林添加域(如子域，域)的過程是相同的。
要添加更多域，請按以下步驟操作：
單擊客戶端的“ 域設(shè)置”鏈接以打開“域設(shè)置”頁面。
此處列出了已添加的域。單擊“添加新域”鏈接以打開“ 添加域詳細(xì)信息”對話框。
指定域名。
單擊“ 發(fā)現(xiàn)”
鏈接以從DNS中找到域控制器并添加。否則，手動添加所有域控制器。首先出現(xiàn)在列表中的域控制器被視為主域控制器。使用向上和向下箭頭按優(yōu)先級順序移動添加的域控制器。
指定將與其聯(lián)系的域控制器的用戶的身份驗證詳細(xì)信息。
單擊“ 添加”以添加域。
您可以從此處執(zhí)行以下操作：
默認(rèn)域：首次發(fā)現(xiàn)的域被視為默認(rèn)域。默認(rèn)域以粗體字母顯示。委派安全角色只能對默認(rèn)域的安全主體進行。如果要更改默認(rèn)域，請單擊操作列中的圖標(biāo)以使其成為默認(rèn)域。
修改域：要修改域詳細(xì)信息，請單擊圖標(biāo)并更改所需的值并保存。
刪除域：要刪除域，請單擊圖標(biāo)。
刷新域詳細(xì)信息：要將對象詳細(xì)信息與Active Directory同步，請單擊 圖標(biāo)。
注意：添加新域時，提供的用戶名和密碼將用于產(chǎn)品中的管理和報告目的。
如果用戶在域設(shè)置中輸入，則應(yīng)具有執(zhí)行管理操作的權(quán)限。只讀權(quán)限足以讓用戶查看報告。
如果第一個域控制器失敗，將首先聯(lián)系第一個域控制器，然后聯(lián)系該訂單中的下一個域控制器。
三、工作流程
ADManager Plus中的工作流功能有助于為組織定義日常任務(wù)的標(biāo)準(zhǔn)化工作流結(jié)構(gòu)，這些任務(wù)涉及對Active
Directory信息進行更改。
管理員將管理任務(wù)分配給幫助臺技術(shù)人員以便于管理，但同時他們可能希望在完成任務(wù)時對其進行檢查，在這種情況下，工作流功能會很方便。它允許管理員，服務(wù)臺技術(shù)人員或組織中的任何指定用戶提出要完成任務(wù)的請求，工作流程的其他角色
-
審閱者，批準(zhǔn)者和執(zhí)行者將被分配給將要審核，評論的幫助臺技術(shù)人員(僅限)分別批準(zhǔn)和執(zhí)行任務(wù)。因此，管理員可以保留在他仍然委托的任何階段(例如審查，批準(zhǔn)或執(zhí)行)檢查流程的權(quán)限。
以下部分將幫助您了解ADManager Plus Active Directory工作流中的所有功能。
1、配置“工作流程”
在ADManager Plus中配置工作流的步驟
單擊“ 工作流”選項卡 - >“
業(yè)務(wù)”工作流程，將顯示如下所示的頁面。在此頁面中，您可以根據(jù)需要創(chuàng)建和使用盡可能多的工作流，以監(jiān)控不同類型AD任務(wù)的執(zhí)行。通過選中相應(yīng)的框，選擇要包括的工作流技術(shù)人員。您可以通過從下拉列表中選擇首選號碼來設(shè)置任意數(shù)量的審閱者或批準(zhǔn)者。您可以根據(jù)AD任務(wù)的性質(zhì)配置多個工作流程。
輸入合適的工作流程名稱和描述。
“請求者”是工作流的強制角色，因此無法刪除
根據(jù)需要，您可以決定是否使用“審閱者”。您可以從下拉列表中選擇最多5位技術(shù)人員。
您必須選擇“審批者”或“執(zhí)行者”才能使工作流正常運行。同樣，您可以從下拉列表中選擇任意數(shù)量的審批者(最多5個)。
如果您選擇了多個審批者或?qū)忛喺?，則配置的相應(yīng)技術(shù)人員數(shù)應(yīng)審核或批準(zhǔn)該任務(wù)。如果配置的技術(shù)人員數(shù)量低于下拉列表中選擇的技術(shù)人員數(shù)量，則管理員必須在創(chuàng)建工作流程時查看與選擇的次數(shù)相同的次數(shù)。
您可以通過將不同的技術(shù)人員分配到工作流程中各自的角色來配置工作流代理
使用“分配規(guī)則”添加條件規(guī)則以指定特定技術(shù)人員和任務(wù)優(yōu)先級以及通知設(shè)置
注意：
而不是使用手動請求者，自動化功能可用于自動化提出請求的過程。
2、配置工作流代理
應(yīng)仔細(xì)配置工作流代理，因為Active Directory對更改非常敏感，因此工作流代理的組成應(yīng)限制為指定(授權(quán))進行此類更改的用戶。
繼續(xù)閱讀以了解有關(guān)配置各種“工作流代理”的更多信息。
請求者：發(fā)起任務(wù)或提出請求的代理稱為請求者。
配置請求者：
單擊工作流選項卡的工作流委派部分下的“請求者”
請求者創(chuàng)建頁面將顯示一個顯示已存在請求者的表
在表格上方的右上角，您會注意到兩個選項，添加新請求者并將幫助臺技術(shù)人員與請求者關(guān)聯(lián)
如果要將普通用戶添加到請求者列表，請單擊添加新請求者
在顯示的頁面中，借助標(biāo)簽并選擇要在其中配置請求者的域。
接下來，您可以選擇特定用戶或組(其成員必須配置為請求者)或OU(其用戶必須配置為用戶)。
示例1：假設(shè)必須允許所有管理員提出密碼重置請求，然后將它們放入名為“administrators”的組中，并且可以將該組配置為用戶密碼重置的請求者。
示例2：說必須允許HR部門的所有員工提出用戶創(chuàng)建請求，可以將包含HR員工的OU配置為用戶創(chuàng)建的請求者。
然后選擇要分配給請求者的請求者角色
最后選擇您希望將其指定為請求者的OU，然后單擊“ 保存”。
如果要將幫助臺技術(shù)人員與請求者列表關(guān)聯(lián)，請單擊將幫助臺技術(shù)人員關(guān)聯(lián)到請求者，將出現(xiàn)與添加新請求者相似的頁面，但在此處您只能選擇具有此權(quán)限的用戶被分配了服務(wù)臺技術(shù)人員的角色。
注意：
如果您希望為請求者分配特定模板，或者指定請求者可以為其創(chuàng)建權(quán)限更改請求的文件服務(wù)器，請單擊所需技術(shù)人員的操作列中顯示的編輯圖標(biāo)，從下面列出的技術(shù)人員列表中單擊工作流選項卡下的請求者鏈接，使用選擇文件服務(wù)器選項分配模板和相關(guān)文件服務(wù)器。
只有配置為請求者的用戶，組或OU才能提出請求。
審稿人：審核請求并評估其優(yōu)缺點并與其分享評論的代理人稱為審核人。
配置審閱者：
單擊工作流委派下的“審閱者”
將打開包含現(xiàn)有審閱者列表的頁面
您可以使用“添加”或“刪除”按鈕在此列表中添加或刪除審閱者
請記住，只有技術(shù)支持人員才能成為審稿人
審批者：擁有批準(zhǔn)已提出請求權(quán)限的工作流代理稱為審批者。
配置審批者：
單擊工作流委派下的“批準(zhǔn)者”
將打開包含已有批準(zhǔn)者列表的頁面
您可以使用“添加”或“刪除”按鈕在此列表中添加或刪除批準(zhǔn)者
請記住，只有技術(shù)支持人員才能成為審稿人
執(zhí)行者：負(fù)責(zé)完成任務(wù)的工作流代理稱為執(zhí)行者。
配置執(zhí)行程序：
單擊工作流委派下的“執(zhí)行程序”
將打開包含已存在執(zhí)行程序列表的頁面
您可以使用ADD或REMOVE按鈕在此列表中添加或刪除執(zhí)行程序
請記住，只有服務(wù)臺技術(shù)人員才能成為執(zhí)行人員
3、分配規(guī)則
在ADManager
Plus中，您可以根據(jù)需要配置盡可能多的請求者，審閱者，批準(zhǔn)者和執(zhí)行者。默認(rèn)情況下，每個階段都會將請求分配給所有技術(shù)人員。相反，您可以分配給特定的審閱者，批準(zhǔn)者和執(zhí)行者，從而可以引導(dǎo)任務(wù)并使流程更有效。這是分配規(guī)則功能發(fā)揮重要作用的地方。
在ADManager
Plus中，現(xiàn)在您還可以添加已配置的業(yè)務(wù)worflow，條件規(guī)則以分配技術(shù)人員和任務(wù)的優(yōu)先級(即)您可以將特定操作或任務(wù)與特定審閱者，批準(zhǔn)者或執(zhí)行者相關(guān)聯(lián)，并向技術(shù)人員設(shè)置通知。創(chuàng)建請求時，將執(zhí)行具有滿足條件和最高優(yōu)先級的規(guī)則。最近創(chuàng)建的規(guī)則將被分配最高優(yōu)先級，或者您可以手動更改規(guī)則中的優(yōu)先級。
配置分配規(guī)則的步驟：
單擊選項卡左側(cè)窗格中配置部分下的“分配規(guī)則”
輸入合適的規(guī)則名稱和說明
選擇所需工作流階段的業(yè)務(wù)工作流程。
要添加新規(guī)則，請選擇應(yīng)該執(zhí)行規(guī)則的滿足條件。例如，您可以在請求下設(shè)置“域名”，“操作”，“優(yōu)先級”和“主題”的條件，并將“域名”，“域名”，“部門”和“容器”設(shè)置為請求者的條件。
在“請求管理”部分中，選擇要分配的技術(shù)人員以及為每個操作設(shè)置的優(yōu)先級
通過編輯通知模板(電子郵件/短信/兩者)選項，可以為每個操作啟用或禁用通知。在為每個操作配置模板時，您可以根據(jù)收件人選擇多個模板。在分配規(guī)則中設(shè)置模板時，也會顯示管理設(shè)置中通知配置文件中配置的新模板。
配置完成后，單擊“ 保存”按鈕。
4、請求者角色
在ADManager
Plus中，您可以配置請求者角色，稍后您可以將其與幫助臺技術(shù)人員或用戶相關(guān)聯(lián)。這些角色定義了誰可以提出對AD管理操作的請求。
配置請求者角色的步驟：
單擊選項卡左側(cè)窗格中配置部分下的“請求者角色”
將打開包含現(xiàn)有請求者角色列表的頁面
在此頁面中，您可以選擇“創(chuàng)建新角色”選項以配置新的請求者角色
單擊該選項將顯示一個頁面; 在頁面中：
在角色名稱文本框中，鍵入角色的名稱，然后使用說明文本框添加注釋
然后檢查應(yīng)允許與此角色關(guān)聯(lián)的用戶引發(fā)請求的所有管理操作
最后單擊“ 保存角色”按鈕，將創(chuàng)建角色
5、創(chuàng)建請求
通過ADManager Plus 創(chuàng)建請求的步驟
單擊選項卡左窗格中“請求”部分下的“創(chuàng)建請求”
將顯示一個頁面，其中顯示允許用戶或技術(shù)人員提出請求的所有管理操作
單擊要為其發(fā)出請求的管理操作，填寫所需的詳細(xì)信息，然后單擊“創(chuàng)建請求”按鈕
因此將引發(fā)該請求，并且相應(yīng)的通知將顯示在工作流代理屏幕上
注意：
-
在創(chuàng)建創(chuàng)建新用戶帳戶的請求時，請求者可以指定適當(dāng)?shù)哪０?。但是，在審閱，批?zhǔn)或執(zhí)行時，相關(guān)審閱者，批準(zhǔn)者或執(zhí)行者可以更改指定的模板，而不是使用其他模板來創(chuàng)建用戶帳戶。
- 要查看您已提出的請求或等待審核或批準(zhǔn)的請求，只需單擊工作流程選項卡左窗格中“請求”部分下的“我的請求”鏈接。
- 要在執(zhí)行連續(xù)任務(wù)之前從自動化過程中刪除某些對象，您可以檢查該對象并選擇刪除。
- 完成即時任務(wù)后，如果要立即執(zhí)行或刪除已引發(fā)請求中的后續(xù)任務(wù)，只需單擊運行或刪除按鈕即可
