Utilice el control de acceso basado en roles de la consola de administración para determinar qué privilegios administrativos se otorgan a cuál de las cuentas de usuario de Active Directory.
Estos roles y sus derechos asociados determinan las acciones de administración que un usuario puede realizar usando la consola de administración. La visibilidad de las características y los elementos de la consola de administración se controla mediante el rol asignada a la cuenta de Active Directory de la persona. Por ejemplo, una persona en un grupo de Active Directory con el rol Administrador del departamento de soporte técnico de solo lectura puede navegar a las tarjetas de usuario para los usuarios finales y ver la información, pero no realizar operaciones en los escritorios. Una persona en un grupo de Active Directory con el rol Administrador del departamento de soporte técnico puede desplazarse hasta las tarjetas de usuario y realizar operaciones de solución de problemas, así como ver la información. Debe asignar un rol a los grupos apropiados de Active Directory de la organización antes de que los usuarios de ese grupo puedan iniciar sesión en segunda pantalla de inicio de sesión de la consola de administración y puedan acceder a las acciones de administración.
Requisitos
ADVERTENCIA:
Antes de asignar roles a los grupos de Active Directory existentes, revise la pertenencia de la cuenta de usuario en los grupos de Active Directory para asegurarse de que solo reciba uno de estos roles. Cree grupos específicos de Active Directory si es necesario. Debido a que estos roles se asignan en el nivel del grupo de Active Directory, pueden producirse algunos resultados inesperados si una cuenta de usuario de Active Directory pertenece a dos grupos de Active Directory y cada grupo tiene asignada un rol diferente. Las funciones de la consola de administración están visibles según el orden de prioridad:
- Superadministrador
- Administrador del departamento de soporte técnico
- Administrador de demostración
- Administrador del departamento de soporte técnico de solo lectura
Como resultado de este orden de prioridad, si una cuenta de usuario de Active Directory pertenece a ambos grupos de Active Directory (ADGroup1 y ADGroup2), y se asigna el rol de Superadministrador a ADGroup1 y el rol Administrador del departamento de soporte técnico de solo lectura a ADGroup2, la consola de administración mostrará todas las funciones correspondientes al rol Superadministrador en lugar del subconjunto de funciones del otro rol, ya que el rol Superadministrador tiene prioridad.
ADVERTENCIA:
Si solo tiene un grupo de Active Directory con el rol de superadministrador asignada, no elimine ese grupo del servidor de Active Directory. Si lo hace, es posible que se produzcan problemas con futuros inicios de sesión.
Procedimiento
-
Seleccione Configuración > Roles y permisos.
Se mostrará la página Roles y permisos.
Existen cuatro roles predeterminados, que se muestran en la siguiente tabla.
Rol Descripción Superadministrador Un rol obligatoria que debe asignar al menos a un grupo del dominio de Active Directory y de forma opcional a otros. Este rol otorga todos los permisos necesarios para realizar acciones de administración en la consola de administración. Importante: - Asegúrese de que la cuenta de unión al dominio que especificó al registrar el dominio de Active Directory con el primer nodo sea uno de los grupos a los que se les otorgó el rol de superadministrador. Para el éxito total de las operaciones relacionadas con las imágenes y las operaciones de unión al dominio, debe concederse a esa cuenta de unión a dominio este rol de superadministrador.
- A la cuenta de enlace de dominio se le asigna siempre el rol de superadministrador, que concede todos los permisos para realizar acciones de administración en la consola de administración. Asegúrese de que los usuarios a los que no desea conceder permisos de superadministrador no puedan acceder a dicha cuenta.
Administrador del departamento de soporte técnico Un rol que puede asignar de forma opcional a uno o varios grupos. El propósito de este rol es proporcionar acceso a la consola de administración para que los grupos de Active Directory con este rol puedan trabajar con las características de la tarjeta de usuario para: - Ver el estado de las sesiones de usuario final.
- Realizar operaciones de solución de problemas en las sesiones.
Administrador del departamento de soporte técnico de solo lectura Un rol que puede asignar de forma opcional a uno o varios grupos. El propósito de este rol es proporcionar acceso a la consola de administración para que los grupos de Active Directory con este rol puedan trabajar con las características de la tarjeta de usuario para ver el estado de las sesiones de usuario final. Administrador de demostración Un rol de solo lectura que puede asignar de forma opcional a uno o varios grupos. Los administradores de demostración pueden consultar la configuración y seleccionar las opciones de forma que puedan ver las adicionales en la consola, pero las selecciones no cambian las opciones de configuración. -
Seleccione un rol en la lista Roles y haga clic en Editar.
-
En el cuadro de diálogo de edición, con la ayuda de la función de búsqueda de Active Directory, seleccione un grupo para el rol y haga clic en Guardar.
Importante: Estos roles pueden asignarse solo a los grupos. La consola de administración no proporciona una manera de elegir cuentas de usuario de Active Directory individuales para cada rol.
Este punto es fundamental para la cuenta de unión al dominio. Si la cuenta de unión al dominio que registró para el nodo inicial no está ya en uno de los grupos de Active Directory, cree un grupo de Active Directory para esa cuenta para que pueda garantizar que el rol de superadministrador pueda asignarse a dicha cuenta de unión al dominio. Esa cuenta de unión al dominio debe tener el rol de superadministrador.
Nota: No agregue el mismo grupo a más de un rol. Si hace esto es posible que los usuarios de ese grupo no tengan acceso total a todas las funciones esperadas.
¿Le resultó útil esta página?