Планирование контроля доступа на основе ролей в Lync Server 2013

Статья
01/28/2015

Последнее изменение раздела: 2015-01-27

Чтобы делегировать административные задачи с сохранением высоких стандартов безопасности, Lync Server 2013 предлагает управление доступом на основе ролей (RBAC). С помощью RBAC права администратора предоставляются путем назначения пользователям административных ролей. Lync Server 2013 включает широкий набор встроенных административных ролей, а также позволяет создавать новые роли и указывать настраиваемый список командлетов для каждой новой роли. Также можно добавлять скрипты командлетов в разрешенные задачи как предварительно заданных, так и настраиваемых ролей RBAC.

Улучшенная безопасность и централизация сервера

При работе с RBAC доступ и авторизация основаны именно на роли пользователя Lync Server. Это позволяет использовать методику обеспечения безопасности с минимальными привилегиями, предоставив администраторам и пользователям только права, необходимые для их работы.

Важно

Ограничения RBAC работают только с администраторами, работающими удаленно, с помощью командной консоли Lync Server панель управления или Lync Server. Пользователь, размещенный на сервере под управлением Lync Server, не ограничен RBAC. Поэтому физическая безопасность Lync Server важна для сохранения ограничений RBAC.

Роли и область

В RBAC роль может использовать список командлетов, предназначенных для определенного типа администратора или технического специалиста. Область — это набор объектов, с которыми могут работать командлеты, определенные в роли. Объекты, на которые влияет область, могут быть либо учетные записи пользователей (сгруппированные по подразделению), либо серверы (сгруппированные по сайту).

В следующей таблице перечислены предопределенные роли в Lync Server и приводятся общие сведения о типах задач, которые может выполнять каждая из них. В четвертом столбце показана аналогичная Microsoft Exchange Server роли для каждой роли Lync Server, если она есть.

Предопределенные административные роли

Должность	Разрешенные задачи	Базовая группа Active Directory	Эквивалент Exchange
CsAdministrator	Может выполнять все административные задачи и изменять все параметры, включая создание ролей и назначение пользователей ролям. Развертывание можно развернуть, добавив новые сайты, пулы и службы.	CSAdministrator	Управление организацией
CsUserAdministrator	Может включить и отключить пользователей для Lync Server, переместить пользователей и назначить им существующие политики. Не удается изменить политики.	CSUserAdministrator	Получатели почты
CsVoiceAdministrator	Может создавать, настраивать и управлять параметрами и политиками, связанными с голосовой связью.	CSVoiceAdministrator	Неприменимо
CsServerAdministrator	Может управлять серверами и службами, отслеживать и устранять неполадки. Может предотвращать новые подключения к серверам, останавливать и запускать службы, а также применять обновления программного обеспечения. Не удается внести изменения с влиянием глобальной конфигурации.	CSServerAdministrator	Управление серверами
CsViewOnlyAdministrator	Может просматривать развертывание, включая сведения о пользователе и сервере, для отслеживания работоспособности развертывания.	CSViewOnlyAdministrator	View-Only организации
CsHelpDesk	Может просматривать развертывание, включая свойства и политики пользователя. Может выполнять определенные задачи устранения неполадок. Не удается изменить свойства пользователя или политики, конфигурацию сервера или службы.	CSHelpDesk	Службы поддержки
CsArchivingAdministrator	Может изменять конфигурацию и политики архивации.	CSArchivingAdministrator	Управление хранением, удержание по юридическим причинам
CsResponseGroupAdministrator	Может управлять конфигурацией приложения группы ответа на сайте.	CSResponseGroupAdministrator	Неприменимо
CsLocationAdministrator	Минимальный уровень прав для расширенного управления 9-1-1 (E9-1-1), включая создание расположений E9-1-1 и сетевых идентификаторов и их связывание друг с другом. Эта роль всегда назначается с глобальной областью.	CSLocationAdministrator	Неприменимо
CsResponseGroupManager	Может управлять определенными группами ответов.	CSResponseGroupManager	Неприменимо
CsPersistentChatAdministrator	Может управлять функцией сохраняемого чата и определенными комнатами сохраняемого чата.	CSPersistentChatAdministrator	Неприменимо

Все предопределенные роли, поставляемые в Lync Server, имеют глобальную область. Чтобы следовать минимальным привилегиям, не следует назначать пользователям роли с глобальной областью, если они будут администрировать только ограниченный набор серверов или пользователей. Для этого можно создавать роли, основанные на существующей роли, но с более ограниченной областью действия.

Создание роли с заданной областью

При создании роли с ограниченной областью действия (роль с заданной областью) необходимо указать область, а также существующую роль, на которую она основана, и группу Active Directory для назначения роли. Указанная группа Active Directory уже должна быть создана. Следующий командлет является примером создания роли, которая имеет привилегии одной из предварительно определенных административных ролей, но с ограниченной областью действия. Он создает новую роль с именем Site01 Server Administrators. Роль обладает возможностями предопределенной роли CsServerAdministrator, но только для серверов, расположенных на сайте Site01. Для работы этого командлета сайт Site01 должен быть уже определен, Site01 Server Administrators а универсальная группа безопасности с именем должна уже существовать.

New-CsAdminRole -Identity "Site01 Server Administrators" -Template CsServerAdministrator -ConfigScopes "site:Site01"

После выполнения этого командлета все пользователи, Site01 Server Administrators которые являются членами группы, будут иметь права администратора сервера для серверов в Site01. Кроме того, все пользователи, которые позже будут добавлены в эту универсальную группу безопасности, также получат привилегии этой роли. Обратите внимание, что вызываются как сама роль, так и универсальная группа безопасности, для которых она назначена Site01 Server Administrators.

В следующем примере ограничивается область пользователя, а не область сервера. Он создает роль для Sales Users Administrator администрирования учетных записей пользователей в подразделении Sales. Для работы этого командлета уже должна быть создана универсальная группа безопасности SalesUsersAdministrator.

New-CsAdminRole -Identity "Sales Users Administrator " -Template CsUserAdministrator -UserScopes "OU:OU=Sales, OU=Lync Tenants, DC=Domain, DC=com"

Создание новой роли

Чтобы создать роль, которая имеет доступ к набору командлетов, не в одной из предопределенных ролей, или к набору скриптов или модулей, вы снова начинаете с использования одной из предопределенных ролей в качестве шаблона. Обратите внимание, что скрипты и модули, которые должны быть доступны для выполнения ролей, должны храниться в следующих расположениях:

Путь модуля Lync, который по умолчанию — C:\Program Files\Common Files\Microsoft Lync Server 2013\Modules\Lync
Путь к скрипту пользователя, который по умолчанию — C:\Program Files\Common Files\Microsoft Lync Server 2013\AdminScripts

Чтобы создать новую роль, используйте командлет New-CsAdminRole . Перед запуском New-CsAdminRole необходимо сначала создать базовую универсальную группу безопасности, которая будет связана с этой ролью.

Следующие командлеты служат примером создания новой роли. Они создают новый тип роли с именем MyHelpDeskScriptRole. Новая роль обладает возможностями предопределенной роли CsHelpDesk и может дополнительно выполнять функции в скрипте с именем testscript.

New-CsAdminRole -Identity "MyHelpDeskScriptRole" -Template CsHelpDesk -ScriptModules @{Add="testScript.ps1"}

Для работы этого командлета необходимо сначала создать универсальную группу безопасности MyHelpDeskScriptRole.

После выполнения этого командлета можно назначить пользователей непосредственно этой роли (в этом случае они имеют глобальную область) или создать роль с заданной областью на основе этой роли, как описано в разделе "Создание роли с заданной областью" ранее в этом документе.

Назначение ролей пользователям

Каждая роль Lync Server связана с базовой универсальной группой безопасности Active Directory. Все пользователи, добавленные в базовую группу, получают возможности этой роли.

Примеры в предыдущих разделах создавали новую роль и назначали новую роль существующей универсальной группе безопасности. Чтобы назначить существующую роль одному или нескольким пользователям, добавьте этих пользователей в группу, связанную с ролью. В эти группы можно добавлять как отдельных пользователей, так и универсальные группы безопасности.

Например, роль CsAdministrator автоматически предоставляется универсальной группе безопасности "Администраторы CS " в Active Directory. Эта универсальная группа безопасности создается в Active Directory при развертывании Lync Server. Чтобы предоставить пользователю или группе эту привилегию, вы можете просто добавить их в группу " Администраторы CS ".

Пользователю может быть предоставлено несколько ролей RBAC путем добавления в базовые группы Active Directory, соответствующие каждой роли.

Обратите внимание, что при создании роли ее возможности получают пользователи, которые позже добавляются в базовую группу Active Directory.

Изменение возможностей роли

Вы можете изменить список командлетов и сценариев, которые может выполнять роль. Вы можете изменять как командлеты, так и скрипты, которые могут выполнять пользовательские роли, но можно изменять только скрипты для предопределенных ролей. Каждый типизированный командлет может добавлять, удалять или заменять командлеты или скрипты.

Чтобы изменить роль, используйте командлет Set-CsAdminRole . Следующий командлет удаляет один скрипт из роли.

Set-CsAdminRole -Identity "MyHelpDeskScriptRole" -ScriptModules @{Remove="testScript.ps1"}

Планирование RBAC

Для каждого пользователя, которому будут предоставлены любые права администратора для развертывания Lync Server, определите, какие задачи ему нужно выполнить, а затем назначьте их ролям с минимальными привилегиями и областью, необходимыми для его работы. При необходимости можно использовать командлет Set-CsAdminRole , чтобы создать роль только с командлетами, необходимыми для задач этого пользователя.

Пользователи с ролью CsAdministrator могут создавать все типы ролей, включая роли на основе CsAdministrator, и назначать им пользователей. Рекомендуется назначить роль CsAdministrator очень небольшому набору доверенных пользователей.

Поделиться через