Benutzerrollen und -berechtigungen delegieren
Die Informationen in diesem Artikel beziehen sich auf:
- Microsoft ISA Server 2004
Manchmal ist es notwendig, einem zusätzlichen Benutzer bestimmte Rechte für die ISA Server Verwaltung zu geben, ohne ihm gleich lokale Windows-Administrationsrechte zu vergeben. Genau dafür bietet der ISA Server 2004 die Option "Benutzerrollen und -berechtigungen delegieren" an. Zu finden ist sie in der ISA MMC unter Konfiguration -> Allgemein:
Folgende Rollen stehen zur Verfügung:
- ISA Server-Hauptadministrator:
Gewährt Vollzugriff auf alle ISA Server-Konfigurationsoptionen, -Protokollierung und -Berichterstattung. Außerdem können Hauptadministratoren die ISA Server-Steuerung auf andere Administratoren delegieren. - ISA Server-Basisüberwachung:
Gewährt Zugriff auf die ISA Server-Basisüberwachungsfunktionen. - Erweiterte ISA Server-Überwachung
Gewährt Vollzugriff auf die gesamt ISA Server-Überwachung und Lesezugriff auf die ISA Server-Konfiguration.
Nachdem ein Benutzer hinzugefügt wurde, erscheint eine Zusammenfassung:
Empfohlen wird statt eines einzelnen Benutzers eine Gruppe zu verwenden. Prinzipiell sollten Berechtigungen nur auf Gruppenebene statt auf Benutzerebene vergeben werden. Dies betrifft nicht nur die ISA Konfiguration; vielmehr die Filesystem- und Exchangerechte. Gruppen sind wesentlich flexibler handhabbar - ohne Aufwand kein ein Benutzer hinzugefügt werden, in dem er Mitglied der Gruppe wird. Schon hat er sämtliche benötigten Rechte. Wenn jedes Mal Rechte für einen einzelnen Benutzer vergeben werden müssten, wäre der Verwaltungsaufwand zu hoch und es kann leichter passieren, dass vergessen wird, einem Benutzer bei Bedarf Rechte zu entziehen (z.B. wenn sich seine Funktion geändert hat).
Tip: Die Zusammenfassung kann per Copy und Paste herausgenommen werden und in eine Dokumentation eingefügt werden. So spart man sich ggfs. Tipparbeit....
Denken
Sie daran, die durchgeführten Änderungen zu übernehmen. Erst dann wird das
Regelwerk in ISA Server tatsächlich geändert und steht zur Verfügung.
Sollten Sie eine Fehlkonfiguration gefunden haben, können Sie alle getätigten aber noch nicht gespeicherten Änderungen wieder verwerfen.
Stand: Friday, 28. August 2009/DR.
