Planen für die rollenbasierte Zugriffssteuerung in Lync Server 2013

Erstellen einer bereichsbezogenen Rolle

Wenn Sie eine Rolle mit begrenztem Bereich (eine bereichsbezogene Rolle) erstellen, geben Sie den Bereich zusammen mit der vorhandenen Rolle an, auf der er basiert, und der Active Directory-Gruppe, der die Rolle zugewiesen werden soll. Die von Ihnen angegebene Active Directory-Gruppe muss bereits erstellt sein. Das folgende Cmdlet ist ein Beispiel für das Erstellen einer Rolle, die über die Berechtigungen einer der vordefinierten Administrativen Rollen, aber mit begrenztem Umfang verfügt. Es wird eine neue Rolle namens Site01 Server Administratorserstellt. Die Rolle hat die Fähigkeiten der vordefinierten CsServerAdministrator-Rolle, jedoch nur für die Server, die sich am Standort 01 befinden. Damit dieses Cmdlet funktioniert, muss die Site01-Website bereits definiert sein, und eine universelle Sicherheitsgruppe mit dem Namen Site01 Server Administrators muss bereits vorhanden sein.

New-CsAdminRole -Identity "Site01 Server Administrators" -Template CsServerAdministrator -ConfigScopes "site:Site01"

Nachdem dieses Cmdlet ausgeführt wurde, verfügen alle Benutzer, die Mitglieder der Site01 Server Administrators Gruppe sind, über Serveradministratorberechtigungen für die Server in Site01. Darüber hinaus erhalten alle Benutzer, die später dieser universellen Sicherheitsgruppe hinzugefügt werden, auch die Berechtigungen dieser Rolle. Beachten Sie, dass sowohl die Rolle selbst als auch die universelle Sicherheitsgruppe, der sie zugewiesen ist, aufgerufen Site01 Server Administratorswerden.

Im folgenden Beispiel wird der Benutzerbereich anstelle des Serverbereichs beschränkt. Es wird eine Sales Users Administrator Rolle zum Verwalten der Benutzerkonten in der Organisationseinheit "Vertrieb" erstellt. Die universelle Sicherheitsgruppe "SalesUsersAdministrator" muss bereits erstellt werden, damit dieses Cmdlet funktioniert.

New-CsAdminRole -Identity "Sales Users Administrator " -Template CsUserAdministrator -UserScopes "OU:OU=Sales, OU=Lync Tenants, DC=Domain, DC=com"

Erstellen einer neuen Rolle

Um eine Rolle zu erstellen, die Zugriff auf eine Gruppe von Cmdlets hat, die nicht in einer der vordefinierten Rollen enthalten sind, oder auf eine Reihe von Skripts oder Modulen, verwenden Sie erneut eine der vordefinierten Rollen als Vorlage. Beachten Sie, dass Skripts und Module, die rollenfähig sein sollen, an den folgenden Speicherorten gespeichert werden müssen:

• Der Lync-Modulpfad, der standardmäßig "C:\Program Files\Common Files\Microsoft Lync Server 2013\Modules\Lync" lautet

• Der Benutzerskriptpfad, der standardmäßig "C:\Programme\Allgemeine Dateien\Microsoft Lync Server 2013\AdminScripts" lautet

Um eine neue Rolle zu erstellen, verwenden Sie das Cmdlet "New-CsAdminRole ". Bevor Sie New-CsAdminRole ausführen, müssen Sie zuerst die zugrunde liegende universelle Sicherheitsgruppe erstellen, die dieser Rolle zugeordnet wird.

Die folgenden Cmdlets dienen als Beispiel für das Erstellen einer neuen Rolle. Sie erstellen einen neuen Rollentyp namens MyHelpDeskScriptRole. Die neue Rolle verfügt über die Fähigkeiten der vordefinierten CsHelpDesk-Rolle und kann die Funktionen zusätzlich in einem Skript mit dem Namen "testscript" ausführen.

New-CsAdminRole -Identity "MyHelpDeskScriptRole" -Template CsHelpDesk -ScriptModules @{Add="testScript.ps1"}

Damit dieses Cmdlet funktioniert, müssen Sie zuerst die universelle Sicherheitsgruppe MyHelpDeskScriptRole erstellt haben.

Nachdem dieses Cmdlet ausgeführt wurde, können Sie Benutzer dieser Rolle direkt zuweisen (in diesem Fall haben sie einen globalen Bereich) oder eine bereichsbezogene Rolle basierend auf dieser Rolle erstellen, wie in "Erstellen einer bereichsbezogenen Rolle" weiter oben in diesem Dokument erläutert.

Zuweisen von Rollen zu Benutzern

Jede Lync Server-Rolle ist einer zugrunde liegenden universellen Active Directory-Sicherheitsgruppe zugeordnet. Alle Benutzer, die Sie der zugrunde liegenden Gruppe hinzufügen, erhalten die Fähigkeiten dieser Rolle.

In den Beispielen in den vorherigen Abschnitten wurde eine neue Rolle erstellt und der neuen Rolle eine vorhandene universelle Sicherheitsgruppe zugewiesen. Wenn Sie einem oder mehreren Benutzern eine vorhandene Rolle zuweisen möchten, fügen Sie diese Benutzer der Gruppe hinzu, die der Rolle zugeordnet ist. Sie können diesen Gruppen sowohl einzelne Benutzer als auch universelle Sicherheitsgruppen hinzufügen.

Die Rolle "CsAdministrator " wird z. B. automatisch der universellen Sicherheitsgruppe " CS-Administratoren " in Active Directory gewährt. Diese universelle Sicherheitsgruppe wird in Active Directory erstellt, wenn Sie Lync Server bereitstellen. Um einem Benutzer oder einer Gruppe diese Berechtigung zu gewähren, können Sie sie einfach der Gruppe "CS-Administratoren " hinzufügen.

Einem Benutzer können mehrere RBAC-Rollen zugewiesen werden, indem er den zugrunde liegenden Active Directory-Gruppen hinzugefügt wird, die jeder Rolle entsprechen.

Beachten Sie, dass Benutzer, die später der zugrunde liegenden Active Directory-Gruppe hinzugefügt werden, beim Erstellen einer Rolle die Fähigkeiten dieser Rolle erhalten.

Ändern der Fähigkeiten einer Rolle

Sie können die Liste der Cmdlets und Skripts ändern, die eine Rolle ausführen kann. Sie können sowohl die Cmdlets als auch skripts ändern, die von benutzerdefinierten Rollen ausgeführt werden können, aber Sie können nur die Skripts für vordefinierte Rollen ändern. Jedes von Ihnen eingegebene Cmdlet kann Cmdlets oder Skripts hinzufügen, entfernen oder ersetzen.

Verwenden Sie zum Ändern einer Rolle das Cmdlet Set-CsAdminRole . Das folgende Cmdlet entfernt ein Skript aus der Rolle.

Set-CsAdminRole -Identity "MyHelpDeskScriptRole" -ScriptModules @{Remove="testScript.ps1"}