Bei der Synchronisation des One Identity Manager mit einer Active Directory-Umgebung spielen folgende Benutzer eine Rolle.

Tabelle 2: Benutzer für die Synchronisation

Benutzer	Berechtigungen
Benutzer für den Zugriff auf das Active Directory	Für eine vollständige Synchronisation von Objekten einer Active Directory-Umgebung mit der ausgelieferten One Identity Manager Standardkonfiguration stellen Sie ein Benutzerkonto bereit, das die folgenden Berechtigungen besitzt. Mitglied der Active Directory Gruppe Domänen Administratoren HINWEIS: In einer hierarchischen Domänenstruktur sollte das Benutzerkonto des One Identity Manager Service einer untergeordneten Domäne Mitglied in der Gruppe Enterprise Admins sein. Es kann keine sinnvolle Minimalkonfiguration empfohlen werden, die sich bezüglich der reinen Benutzerverwaltung effektiv in ihren Berechtigungen von einem Mitglied der Gruppe Domänen Administratoren unterscheidet.
Benutzerkonto des One Identity Manager Service	Das Benutzerkonto für den One Identity Manager Service benötigt die Rechte, um die Operationen auf Dateiebene durchzuführen, beispielsweise Rechte vergeben, Verzeichnisse und Dateien anlegen und bearbeiten. Das Benutzerkonto muss der Gruppe Domänen-Benutzer angehören. Das Benutzerkonto benötigt das erweiterte Benutzerrecht Anmelden als Dienst. Das Benutzerkonto benötigt Rechte für den internen Webservice. HINWEIS: Muss der One Identity Manager Service unter dem Benutzerkonto des Network Service (NT Authority\NetworkService) laufen, so können Sie die Rechte für den internen Webservice über folgenden Kommandozeilenaufruf vergeben: netsh http add urlacl url=http://<IP-Adresse>:<Portnummer>/ user="NT AUTHORITY\NETWORKSERVICE" Für die automatische Aktualisierung des One Identity Manager Services benötigt das Benutzerkonto Vollzugriff auf das One Identity Manager-Installationsverzeichnis. In der Standardinstallation wird der One Identity Manager installiert unter: %ProgramFiles(x86)%\One Identity (auf 32-Bit Betriebssystemen) %ProgramFiles%\One Identity (auf 64-Bit Betriebssystemen) Das Setzen von Remote Access Service (RAS)-Eigenschaften erfordert Remote Procedure Calls (RPC), die im Kontext des Benutzerkontos des One Identity Manager Service ausgeführt werden. Um diese Eigenschaften zu lesen oder zu schreiben, muss das Benutzerkonto des One Identity Manager Service die entsprechenden Berechtigungen besitzen.
Benutzer für den Zugriff auf die One Identity Manager-Datenbank	Um die Synchronisation über einen Anwendungsserver auszuführen, wird der Standard-Systembenutzer Synchronization bereitgestellt.

Erläuterungen zu den erforderlichen Rechten

In der Active Directory-Umgebung werden auf das Basisobjekt der Synchronisation folgende Rechte benötigt:

• Read
• Write

Ist das Basisobjekt das Domänenobjekt werden diese Rechte benötigt, um das Lesen und Setzen von Domäneneigenschaften wie beispielsweise Kennwortrichtlinien zu ermöglichen.

Um unterhalb des gewählten Basisobjektes uneingeschränkt arbeiten zu können, werden die folgenden Rechte benötigt:

• Create All Child Objects
• Delete All Child Objects

Um in einem Benutzerobjekt bestimmte Eigenschaften bearbeiten zu können, die eine Veränderung der Rechteliste eines Active Directory Objektes zur Folge haben (beispielsweise die Eigenschaft Kennwort kann nicht geändert werden), werden die folgenden Rechte benötigt:

• Read Permissions
• Modify Permissions

Als weiteres Privileg wird vorausgesetzt:

• Modify Owner

Das Privileg hat normalerweise nur die Gruppe der Administratoren. Wenn das Benutzerkonto des One Identity Manager Service nicht Mitglied dieser Gruppe oder einer äquivalenten Gruppe ist, muss es in die Lage versetzt werden, mit Konten umzugehen, auf die keine Berechtigungen mehr gesetzt sind.

Da über den One Identity Manager prinzipiell alle Werte eines Objektes änderbar sein sollen, sind die folgenden Rechte notwendig:

• Read All Properties
• Write All Properties
• All Extended Rights
• DeleteSubTree

Essentielle Funktionalitäten eines Benutzerkontos sind teilweise als Eintrag in der Berechtigungsliste (DACL) eines Active Directory Objektes hinterlegt. Es ist notwendig, das das Benutzerkonto des One Identity Manager Service diese DACL modifizieren kann. Beispiele für Eigenschaften, die über die DACL gepflegt werden, sind UserCanNotChangePassword am Benutzerkonto oder AllowWriteMembers an der Gruppe.

Die Modifikation einer DACL setzt sehr weitreichende Berechtigungen voraus. Wird zur Veränderung einer DACL ein Benutzerkonto verwendet, welches nicht die Full Control-Rechte auf das entsprechende Active Directory Objekt besitzt, wird die Änderung nur unter folgenden Bedingungen akzeptiert.

• Das Benutzerkonto ist Eigentümer des Objektes.

  – ODER –

• Das Benutzerkonto ist Mitglied in der selben primären Gruppe, wie der Eigentümer des Objektes. Das ist zumeist die Gruppe der Domänen Administratoren.

Andernfalls wird die Änderung abgelehnt. Wenn dem Benutzerkonto das Take Ownership-Recht zugewiesen ist, ist es möglich einen Eigentümerwechsel zu initiieren und die DACL daraufhin zu ändern. Das verfälscht jedoch die Berechtigungssituation des Active Directory Objektes und wird daher nicht empfohlen.

Des Weiteren sind für die Funktionen des Active Directory Papierkorbs zum Löschen und Wiederherstellen von Benutzerkonten sowie für den Umgang mit besonders geschützten Benutzerkonten und Gruppen die Berechtigungen eines Domänen Administrators erforderlich.

Hinweise für Read-Rechte

Grundsätzlich funktioniert der Teil der Synchronisation mit dem Active Directory, der die Active Directory Objekte in die One Identity Manager-Datenbank einliest, auch dann, wenn auf Strukturen nur Read-Rechte, jedoch keine Write-Rechte vergeben werden.

Folgende Probleme können jedoch auftreten:

• Um ein Benutzerkonto, auf welches nur Read-Rechte bestehen, in eine Gruppe aufzunehmen, welche nicht die primäre Gruppe des Benutzerkontos ist, muss der One Identity Manager Service mindestens Write-Rechte auf das Gruppenobjekt besitzen.
• Fehlerzustände zwischen One Identity Manager-Datenbank und Active Directory Daten treten auf, wenn durch die Administrationswerkzeuge des One Identity Manager oder durch Datenbankimporte Objekte im Active Directory angelegt oder verändert werden, auf welche nur Read-Rechte existieren. Diese Fälle sind durch geeignete Menüführung in den Administrationswerkzeugen, Objektrechte im One Identity Manager und entsprechende Vorsichtsmaßnahmen bei Importen auszuschließen.

Hinweise zur One Identity ManagerActive Directory Edition

Für die One Identity ManagerActive Directory Edition werden vollständige Read-Rechte und die Berechtigungen zum Erzeugen, Ändern und Löschen von Gruppen benötigt.