Планирование контроля доступа на основе ролей в Lync Server 2013

Создание роли с заданной областью

При создании роли с ограниченной областью действия (роль с заданной областью) необходимо указать область, а также существующую роль, на которую она основана, и группу Active Directory для назначения роли. Указанная группа Active Directory уже должна быть создана. Следующий командлет является примером создания роли, которая имеет привилегии одной из предварительно определенных административных ролей, но с ограниченной областью действия. Он создает новую роль с именем Site01 Server Administrators. Роль обладает возможностями предопределенной роли CsServerAdministrator, но только для серверов, расположенных на сайте Site01. Для работы этого командлета сайт Site01 должен быть уже определен, Site01 Server Administrators а универсальная группа безопасности с именем должна уже существовать.

New-CsAdminRole -Identity "Site01 Server Administrators" -Template CsServerAdministrator -ConfigScopes "site:Site01"

После выполнения этого командлета все пользователи, Site01 Server Administrators которые являются членами группы, будут иметь права администратора сервера для серверов в Site01. Кроме того, все пользователи, которые позже будут добавлены в эту универсальную группу безопасности, также получат привилегии этой роли. Обратите внимание, что вызываются как сама роль, так и универсальная группа безопасности, для которых она назначена Site01 Server Administrators.

В следующем примере ограничивается область пользователя, а не область сервера. Он создает роль для Sales Users Administrator администрирования учетных записей пользователей в подразделении Sales. Для работы этого командлета уже должна быть создана универсальная группа безопасности SalesUsersAdministrator.

New-CsAdminRole -Identity "Sales Users Administrator " -Template CsUserAdministrator -UserScopes "OU:OU=Sales, OU=Lync Tenants, DC=Domain, DC=com"

Создание новой роли

Чтобы создать роль, которая имеет доступ к набору командлетов, не в одной из предопределенных ролей, или к набору скриптов или модулей, вы снова начинаете с использования одной из предопределенных ролей в качестве шаблона. Обратите внимание, что скрипты и модули, которые должны быть доступны для выполнения ролей, должны храниться в следующих расположениях:

• Путь модуля Lync, который по умолчанию — C:\Program Files\Common Files\Microsoft Lync Server 2013\Modules\Lync

• Путь к скрипту пользователя, который по умолчанию — C:\Program Files\Common Files\Microsoft Lync Server 2013\AdminScripts

Чтобы создать новую роль, используйте командлет New-CsAdminRole . Перед запуском New-CsAdminRole необходимо сначала создать базовую универсальную группу безопасности, которая будет связана с этой ролью.

Следующие командлеты служат примером создания новой роли. Они создают новый тип роли с именем MyHelpDeskScriptRole. Новая роль обладает возможностями предопределенной роли CsHelpDesk и может дополнительно выполнять функции в скрипте с именем testscript.

New-CsAdminRole -Identity "MyHelpDeskScriptRole" -Template CsHelpDesk -ScriptModules @{Add="testScript.ps1"}

Для работы этого командлета необходимо сначала создать универсальную группу безопасности MyHelpDeskScriptRole.

После выполнения этого командлета можно назначить пользователей непосредственно этой роли (в этом случае они имеют глобальную область) или создать роль с заданной областью на основе этой роли, как описано в разделе "Создание роли с заданной областью" ранее в этом документе.

Назначение ролей пользователям

Каждая роль Lync Server связана с базовой универсальной группой безопасности Active Directory. Все пользователи, добавленные в базовую группу, получают возможности этой роли.

Примеры в предыдущих разделах создавали новую роль и назначали новую роль существующей универсальной группе безопасности. Чтобы назначить существующую роль одному или нескольким пользователям, добавьте этих пользователей в группу, связанную с ролью. В эти группы можно добавлять как отдельных пользователей, так и универсальные группы безопасности.

Например, роль CsAdministrator автоматически предоставляется универсальной группе безопасности "Администраторы CS " в Active Directory. Эта универсальная группа безопасности создается в Active Directory при развертывании Lync Server. Чтобы предоставить пользователю или группе эту привилегию, вы можете просто добавить их в группу " Администраторы CS ".

Пользователю может быть предоставлено несколько ролей RBAC путем добавления в базовые группы Active Directory, соответствующие каждой роли.

Обратите внимание, что при создании роли ее возможности получают пользователи, которые позже добавляются в базовую группу Active Directory.

Изменение возможностей роли

Вы можете изменить список командлетов и сценариев, которые может выполнять роль. Вы можете изменять как командлеты, так и скрипты, которые могут выполнять пользовательские роли, но можно изменять только скрипты для предопределенных ролей. Каждый типизированный командлет может добавлять, удалять или заменять командлеты или скрипты.

Чтобы изменить роль, используйте командлет Set-CsAdminRole . Следующий командлет удаляет один скрипт из роли.

Set-CsAdminRole -Identity "MyHelpDeskScriptRole" -ScriptModules @{Remove="testScript.ps1"}