Delegierte Administration
Hinweis:
Ab Version 2511 ist Citrix Web Studio (webbasiert) die einzige Verwaltungskonsole für Citrix Virtual Apps and Desktops™. Citrix Studio (MMC-basiert) wurde aus dem Installationsprogramm entfernt. Dieser Artikel gilt nur für Web Studio. Informationen zu Citrix Studio finden Sie im entsprechenden Artikel in Citrix Virtual Apps and Desktops 7 2212 oder früher.
-
Das Modell der delegierten Administration bietet die Flexibilität, die Delegierung von Administrationsaufgaben in Ihrer Organisation mithilfe rollen- und objektbasierter Steuerung anzupassen. Die delegierte Administration eignet sich für Bereitstellungen jeder Größe und ermöglicht es Ihnen, die Berechtigungsgranularität mit zunehmender Komplexität Ihrer Bereitstellung zu konfigurieren. Die delegierte Administration verwendet drei Konzepte: Administratoren, Rollen und Scopes.
-
Administratoren: Ein Administrator repräsentiert eine Person oder eine Gruppe von Personen, die durch ihr Active Directory-Konto identifiziert werden. Jeder Administrator ist einem oder mehreren Rollen- und Scope-Paaren zugeordnet.
-
Rollen: Eine Rolle repräsentiert eine Arbeitsfunktion und verfügt über definierte Berechtigungen. Beispielsweise hat die Rolle „Delivery Group-Administrator“ Berechtigungen wie „Delivery Group erstellen“ und „Desktop aus Delivery Group entfernen“. Ein Administrator kann mehrere Rollen für eine Site haben, sodass eine Person ein Delivery Group-Administrator und ein Maschinenkatalog-Administrator sein kann. Rollen können integriert oder benutzerdefiniert sein.
Die integrierten Rollen sind:
Rolle Berechtigungen Volladministrator Kann alle Aufgaben und Operationen ausführen. Ein Volladministrator ist immer mit dem Scope „Alle“ kombiniert. Schreibgeschützter Administrator Kann alle Objekte in angegebenen Scopes zusätzlich zu globalen Informationen sehen, aber nichts ändern. Beispielsweise kann ein schreibgeschützter Administrator mit Scope=London alle globalen Objekte (wie Konfigurationsprotokollierung) und alle London-bezogenen Objekte (z. B. London Delivery Groups) sehen. Dieser Administrator kann jedoch keine Objekte im New York-Scope sehen (vorausgesetzt, die Scopes London und New York überschneiden sich nicht). -
Helpdesk-Administrator Kann Delivery Groups anzeigen und die mit diesen Gruppen verbundenen Sitzungen und Maschinen verwalten. Kann Maschinenkatalog- und Hostinformationen für die überwachten Delivery Groups sehen. Kann auch Sitzungsverwaltung und Maschinen-Energieverwaltungsoperationen für die Maschinen in diesen Delivery Groups durchführen. Maschinenkatalog-Administrator Kann Maschinenkataloge erstellen und verwalten und Maschinen darin bereitstellen. Kann Maschinenkataloge aus der Virtualisierungsinfrastruktur, Provisioning Services und physischen Maschinen erstellen. Diese Rolle kann Basisimages verwalten und Software installieren, aber keine Anwendungen oder Desktops Benutzern zuweisen. Delivery Group-Administrator Kann Anwendungen, Desktops und Maschinen bereitstellen; kann auch die zugehörigen Sitzungen verwalten. Kann auch Anwendungs- und Desktopkonfigurationen wie Richtlinien und Energieverwaltungseinstellungen verwalten. Host-Administrator Kann Hostverbindungen und deren zugehörige Ressourceneinstellungen verwalten. Kann keine Maschinen, Anwendungen oder Desktops an Benutzer bereitstellen. Kostenadministrator Kann Kostendetails für Azure MCS-Kataloge überwachen und anzeigen, insbesondere die Gesamtkosten der letzten 30 Tage und einen Vergleich zwischen dem aktuellen und dem vorherigen 30-Tage-Zeitraum. In bestimmten Produkteditionen können Sie benutzerdefinierte Rollen erstellen, um die Anforderungen Ihrer Organisation zu erfüllen und Berechtigungen detaillierter zu delegieren. Sie können benutzerdefinierte Rollen verwenden, um Berechtigungen auf der Granularitätsebene einer Aktion oder Aufgabe in einer Konsole zuzuweisen.
- Scopes: Ein Scope repräsentiert eine Sammlung von Objekten. Scopes werden verwendet, um Objekte auf eine für Ihre Organisation relevante Weise zu gruppieren (z. B. die Menge der von dem Vertriebsteam verwendeten Delivery Groups). Objekte können in mehr als einem Scope enthalten sein; Sie können sich Objekte vorstellen, die mit einem oder mehreren Scopes gekennzeichnet sind. Es gibt einen integrierten Scope: „Alle“, der alle Objekte enthält. Die Rolle „Volladministrator“ ist immer mit dem Scope Alle gekoppelt.
Beispiel
-
Unternehmen XYZ entschied sich, Anwendungen und Desktops basierend auf ihrer Abteilung (Buchhaltung, Vertrieb und Lager) und ihrem Desktop-Betriebssystem (Windows 7 oder Windows 8) zu verwalten. Der Administrator erstellte fünf Scopes und kennzeichnete dann jede Delivery Group mit zwei Scopes: einen für die Abteilung, in der sie verwendet werden, und einen für das von ihnen verwendete Betriebssystem.
-
Die folgenden Administratoren wurden erstellt:
| **Administrator** | **Rollen** | **Scopes** | | – | – | – |
-
domain/fred Volladministrator Alle (die Rolle „Volladministrator“ hat immer den Scope „Alle“) -
domain/rob Schreibgeschützter Administrator Alle -
domain/heidi Schreibgeschützter Administrator, Helpdesk-Administrator Alle, Vertrieb domain/warehouseadmin Helpdesk-Administrator Lager domain/peter Delivery Group-Administrator, Maschinenkatalog-Administrator Win7 - Fred ist ein Volladministrator und kann alle Objekte im System anzeigen, bearbeiten und löschen.
- Rob kann alle Objekte auf der Site anzeigen, aber nicht bearbeiten oder löschen.
- Heidi kann alle Objekte anzeigen und Helpdesk-Aufgaben für Delivery Groups im Scope „Vertrieb“ ausführen. Dies ermöglicht ihr, die mit diesen Gruppen verbundenen Sitzungen und Maschinen zu verwalten; sie kann keine Änderungen an der Delivery Group vornehmen, wie z. B. das Hinzufügen oder Entfernen von Maschinen.
- Jedes Mitglied der Active Directory-Sicherheitsgruppe „warehouseadmin“ kann Maschinen im Scope „Lager“ anzeigen und Helpdesk-Aufgaben für diese ausführen.
- Peter ist ein Windows 7-Spezialist und kann alle Windows 7-Maschinenkataloge verwalten sowie Windows 7-Anwendungen, -Desktops und -Maschinen bereitstellen, unabhängig davon, welchem Abteilungsscope sie angehören. Der Administrator erwog, Peter zum Volladministrator für den Win7-Scope zu ernennen. Sie entschied sich jedoch dagegen, da ein Volladministrator auch volle Rechte über alle Objekte hat, die nicht gescopet sind, wie z. B. „Site“ und „Administrator“.
So verwenden Sie die delegierte Administration
- Im Allgemeinen hängt die Anzahl der Administratoren und die Granularität ihrer Berechtigungen von der Größe und Komplexität der Bereitstellung ab.
- In kleinen Bereitstellungen oder Proof-of-Concept-Bereitstellungen erledigen ein oder wenige Administratoren alles. Es gibt keine Delegierung. In diesem Fall erstellen Sie jeden Administrator mit der integrierten Rolle „Volladministrator“, die den Scope „Alle“ hat.
- In größeren Bereitstellungen mit mehr Maschinen, Anwendungen und Desktops ist mehr Delegierung erforderlich. Mehrere Administratoren könnten spezifischere funktionale Verantwortlichkeiten (Rollen) haben. Zum Beispiel sind zwei Volladministratoren und andere Helpdesk-Administratoren. Auch könnte ein Administrator nur bestimmte Objektgruppen (Scopes) verwalten, wie z. B. Maschinenkataloge. In diesem Fall erstellen Sie neue Scopes sowie Administratoren mit einer der integrierten Rollen und den entsprechenden Scopes.
- Noch größere Bereitstellungen erfordern möglicherweise mehr (oder spezifischere) Scopes sowie verschiedene Administratoren mit unkonventionellen Rollen. In diesem Fall bearbeiten oder erstellen Sie weitere Scopes, erstellen benutzerdefinierte Rollen und erstellen jeden Administrator mit einer integrierten oder benutzerdefinierten Rolle sowie bestehenden und neuen Scopes.
Für Flexibilität und einfache Konfiguration können Sie Scopes erstellen, wenn Sie einen Administrator erstellen. Sie können Scopes auch beim Erstellen oder Bearbeiten von Maschinenkatalogen oder Verbindungen angeben.
- ## Administratoren erstellen und verwalten
Wenn Sie eine Site als lokaler Administrator erstellen, wird Ihr Benutzerkonto automatisch zu einem Volladministrator mit vollen Berechtigungen über alle Objekte. Nachdem eine Site erstellt wurde, haben lokale Administratoren keine besonderen Privilegien.
- Die Rolle „Volladministrator“ hat immer den Scope „Alle“; dies kann nicht geändert werden.
Standardmäßig ist ein Administrator aktiviert. Das Deaktivieren eines Administrators kann notwendig sein, wenn Sie den Administrator jetzt erstellen, diese Person ihre administrativen Aufgaben aber erst später beginnt. Bei bereits aktivierten Administratoren möchten Sie möglicherweise mehrere von ihnen deaktivieren, während Sie Ihre Objekte/Bereiche neu organisieren, und sie dann wieder aktivieren, wenn Sie bereit sind, mit der aktualisierten Konfiguration live zu gehen. Sie können einen Volladministrator nicht deaktivieren, wenn dies dazu führen würde, dass kein aktivierter Volladministrator mehr vorhanden ist. Das Kontrollkästchen zum Aktivieren/Deaktivieren ist verfügbar, wenn Sie einen Administrator erstellen, kopieren oder bearbeiten.
Wenn Sie ein Rollen-/Bereichspaar löschen, während Sie einen Administrator kopieren, bearbeiten oder löschen, wird nur die Beziehung zwischen der Rolle und dem Bereich für diesen Administrator gelöscht. Dabei werden weder die Rolle noch der Bereich gelöscht. Es hat auch keine Auswirkungen auf andere Administratoren, die mit diesem Rollen-/Bereichspaar konfiguriert sind.
So erstellen und verwalten Sie Administratoren:
-
Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren, und klicken Sie dann auf die Registerkarte Administratoren.
-
Befolgen Sie die Anweisungen für die Aufgabe, die Sie ausführen möchten:
- Administrator erstellen: Klicken Sie in der Aktionsleiste auf Administrator erstellen. Geben Sie den Benutzernamen ein oder suchen Sie danach, wählen oder erstellen Sie einen Bereich, und wählen Sie dann eine Rolle aus. Der neue Administrator ist standardmäßig aktiviert; Sie können dies ändern.
- Administrator kopieren: Wählen Sie den Administrator aus und klicken Sie dann in der Aktionsleiste auf Administrator kopieren. Geben Sie den Benutzernamen ein oder suchen Sie danach. Sie können beliebige Rollen-/Bereichspaare auswählen und dann bearbeiten oder löschen sowie neue hinzufügen. Der neue Administrator ist standardmäßig aktiviert; Sie können dies ändern.
- Administrator bearbeiten: Wählen Sie den Administrator aus und klicken Sie dann in der Aktionsleiste auf Administrator bearbeiten. Sie können beliebige Rollen-/Bereichspaare bearbeiten oder löschen sowie neue hinzufügen.
-
Administrator löschen: Wählen Sie den Administrator aus und klicken Sie dann in der Aktionsleiste auf Administrator löschen. Sie können keinen Volladministrator löschen, wenn dies dazu führen würde, dass kein aktivierter Volladministrator mehr vorhanden ist.
-
Im oberen Bereich werden die von Ihnen erstellten Administratoren angezeigt. Wählen Sie einen Administrator aus, um dessen Details im unteren Bereich anzuzeigen. Die Spalte Warnungen gibt an, ob die dem Administrator zugeordneten Rollen- und Bereichspaare unbrauchbare Rollen oder Bereiche enthalten. Die folgende Warnmeldung wird angezeigt, wenn ein zugeordnetes Rollen- und Bereichspaar unbrauchbare Rollen oder Bereiche enthält:
- Zugeordnete Rolle oder Bereich nicht verwendbar
Wichtig:
- > Eine Warnmeldung wird nur angezeigt, wenn ein zugeordnetes Rollen- und Bereichspaar unbrauchbare Rollen oder Bereiche oder beides enthält.
- Um das Rollen- und Bereichspaar vom Administrator zu entfernen, führen Sie einen der folgenden Schritte aus:
- Löschen Sie das Rollen- und Bereichspaar.
- Klicken Sie in der Aktionsleiste auf Administrator bearbeiten.
-
- Wählen Sie im Fenster Administratorname und Details das Rollen- und Bereichspaar aus und klicken Sie dann auf Löschen.
-
- Klicken Sie zum Beenden auf Speichern.
-
- Klicken Sie in der Aktionsleiste auf Administrator bearbeiten.
- Löschen Sie den Administrator.
- Klicken Sie in der Aktionsleiste auf Administrator löschen.
- Klicken Sie im Bestätigungsfenster auf Löschen.
Rollen erstellen und verwalten
Wenn Administratoren eine Rolle erstellen oder bearbeiten, können sie nur die Berechtigungen aktivieren, die sie selbst besitzen. Dies verhindert, dass Administratoren eine Rolle mit mehr Berechtigungen erstellen, als sie derzeit haben, und diese dann sich selbst zuweisen (oder eine Rolle bearbeiten, die ihnen bereits zugewiesen ist).
Rollennamen können bis zu 64 Unicode-Zeichen enthalten; sie dürfen nicht enthalten: Backslash, Schrägstrich, Semikolon, Doppelpunkt, Rautezeichen, Komma, Sternchen, Fragezeichen, Gleichheitszeichen, linke oder rechte Pfeiltaste, Pipe, linke oder rechte Klammer, linke oder rechte runde Klammer, Anführungszeichen oder Apostroph. Beschreibungen können bis zu 256 Unicode-Zeichen enthalten.
Sie können eine integrierte Rolle nicht bearbeiten oder löschen. Sie können eine benutzerdefinierte Rolle nicht löschen, wenn sie von einem Administrator verwendet wird.
Hinweis:
Nur bestimmte Produkteditionen unterstützen benutzerdefinierte Rollen. Nur Editionen, die benutzerdefinierte Rollen unterstützen, haben entsprechende Einträge in der Aktionsleiste.
So erstellen und verwalten Sie Rollen:
-
- Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren, und klicken Sie dann auf die Registerkarte Rollen.
-
- Befolgen Sie die Anweisungen für die Aufgabe, die Sie ausführen möchten:
- Rollendetails anzeigen: Wählen Sie die Rolle aus. Im unteren Bereich werden die Objekttypen und die zugehörigen Berechtigungen für die Rolle aufgelistet. Klicken Sie im unteren Bereich auf die Registerkarte Administratoren, um eine Liste der Administratoren anzuzeigen, die diese Rolle derzeit innehaben.
- Benutzerdefinierte Rolle erstellen: Klicken Sie im Aktionsbereich auf Rolle erstellen. Geben Sie einen Namen und eine Beschreibung ein. Wählen Sie die Objekttypen und Berechtigungen aus.
- Rolle kopieren: Wählen Sie die Rolle aus und klicken Sie dann in der Aktionsleiste auf Rolle kopieren. Ändern Sie bei Bedarf den Namen, die Beschreibung, die Objekttypen und die Berechtigungen.
- Benutzerdefinierte Rolle bearbeiten: Wählen Sie die Rolle aus und klicken Sie dann in der Aktionsleiste auf Rolle bearbeiten. Ändern Sie bei Bedarf den Namen, die Beschreibung, die Objekttypen und die Berechtigungen.
- Benutzerdefinierte Rolle löschen: Wählen Sie die Rolle aus und klicken Sie dann in der Aktionsleiste auf Rolle löschen. Bestätigen Sie die Löschung, wenn Sie dazu aufgefordert werden.
Bereiche erstellen und verwalten
Wenn Sie eine Site erstellen, ist der einzige verfügbare Bereich der Bereich ‘Alle’, der nicht gelöscht werden kann.
Sie können Bereiche mithilfe des folgenden Verfahrens erstellen. Sie können Bereiche auch beim Erstellen eines Administrators erstellen; jeder Administrator muss mindestens einem Rollen- und Bereichspaar zugeordnet sein. Beim Erstellen oder Bearbeiten von Desktops, Maschinenkatalogen, Anwendungen oder Hosts können Sie diese einem vorhandenen Bereich hinzufügen. Wenn Sie sie keinem Bereich hinzufügen, bleiben sie Teil des Bereichs „Alle“.
- Die Site-Erstellung kann nicht bereichsbezogen erfolgen, ebenso wenig wie delegierte Verwaltungsobjekte (Bereiche und Rollen). Objekte, die Sie nicht bereichsbezogen festlegen können, sind jedoch im Bereich „Alle“ enthalten. (Vollständige Administratoren verfügen immer über den Bereich „Alle“.) Maschinen, Energieaktionen, Desktops und Sitzungen sind nicht direkt bereichsbezogen. Administratoren können Berechtigungen für diese Objekte über die zugehörigen Maschinenkataloge oder Bereitstellungsgruppen zugewiesen werden.
Regeln für das Erstellen und Verwalten von Bereichen:
-
Bereichsnamen können bis zu 64 Unicode-Zeichen enthalten. Bereichsnamen dürfen nicht enthalten: Backslash, Schrägstrich, Semikolon, Doppelpunkt, Rautezeichen, Komma, Sternchen, Fragezeichen, Gleichheitszeichen, linke Pfeiltaste, rechte Pfeiltaste, Pipe, linke oder rechte eckige Klammer, linke oder rechte runde Klammer, Anführungszeichen oder Apostroph.
-
Bereichsbeschreibungen können bis zu 256 Unicode-Zeichen enthalten.
-
Beachten Sie beim Kopieren oder Bearbeiten eines Bereichs, dass das Entfernen von Objekten aus dem Bereich diese Objekte für den Administrator unzugänglich machen kann. Wenn der bearbeitete Bereich mit einer oder mehreren Rollen gekoppelt ist, stellen Sie sicher, dass die Bereichsaktualisierungen kein Rollen-/Bereichspaar unbrauchbar machen.
Gehen Sie wie folgt vor, um Bereiche zu erstellen und zu verwalten:
-
Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren und dann auf die Registerkarte Bereiche.
-
Befolgen Sie die Anweisungen für die Aufgabe, die Sie ausführen möchten:
- Bereich erstellen: Klicken Sie in der Aktionsleiste auf Neuen Bereich erstellen. Geben Sie einen Namen und eine Beschreibung ein. Um alle Objekte eines bestimmten Typs (z. B. Bereitstellungsgruppen) einzuschließen, wählen Sie den Objekttyp aus. Um bestimmte Objekte einzuschließen, erweitern Sie den Typ und wählen Sie dann einzelne Objekte aus (z. B. Bereitstellungsgruppen, die vom Vertriebsteam verwendet werden).
- Bereich kopieren: Wählen Sie den Bereich aus und klicken Sie dann in der Aktionsleiste auf Bereich kopieren. Geben Sie einen Namen und eine Beschreibung ein. Ändern Sie die Objekttypen und Objekte nach Bedarf.
- Bereich bearbeiten: Wählen Sie den Bereich aus und klicken Sie dann in der Aktionsleiste auf Bereich bearbeiten. Ändern Sie den Namen, die Beschreibung, die Objekttypen und Objekte nach Bedarf.
- Bereich löschen: Wählen Sie den Bereich aus und klicken Sie dann in der Aktionsleiste auf Bereich löschen. Bestätigen Sie die Löschung, wenn Sie dazu aufgefordert werden.
Mandantenverwaltung einrichten
Richten Sie die Mandantenverwaltung ein, um Verwaltungspartitionen innerhalb einer einzelnen Citrix Virtual Apps™- und Desktops-Site zu erstellen. Jeder Mandant verfügt über getrennte Ressourcen und Konfigurationen wie Maschinenkataloge und Bereitstellungsgruppen. Administratoren mit Zugriff auf einen bestimmten Mandanten können nur Ressourcen und Konfigurationen verwalten, die diesem Mandanten zugeordnet sind. Anwendungsbeispiele sind Unternehmen mit unterschiedlichen Geschäftsbereichen (unabhängige Abteilungen oder separate IT-Management-Teams) an einem einzigen Standort.
Auf hoher Ebene umfasst der Workflow für die Einrichtung der Mandantenverwaltung Folgendes:
Mandanten erstellen
Erstellen Sie einen Mandanten, indem Sie einen Mandantenbereich erstellen. Die detaillierten Schritte sind wie folgt:
- Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren und dann auf die Registerkarte Bereiche.
- Klicken Sie auf Bereich erstellen, um die Mandantenerstellung zu starten.
- Geben Sie die folgenden Details für den Mandantenbereich ein:
- Geben Sie einen aussagekräftigen Namen für den Bereich ein. Dieser Name dient auch als Bezeichner des Mandanten.
- (Optional) Geben Sie eine kurze Beschreibung ein.
- Wählen Sie Mandantenbereich aus.
- Wählen Sie bei Bedarf die dem Mandanten zugeordneten Objekte aus. Sie können Objekten auch Mandantenbereiche hinzufügen, wenn Sie Objekte erstellen oder verwalten.
- Klicken Sie auf OK, um die Erstellung abzuschließen.
Nach Abschluss sehen Sie:
- Der neue Mandantenbereichseintrag wird in der Bereichsliste angezeigt und ist in der Spalte Typ als Mandant gekennzeichnet.
- Der Bereichsname wird in der Dropdown-Liste Alle Mandanten oben rechts in Web Studio angezeigt.
Beachten Sie bei der Arbeit mit einem Mandantenbereich die folgenden Punkte:
- Die Mandanteneigenschaft folgt einer hierarchischen Zuweisungsreihenfolge: Hosting > Maschinenkataloge > Bereitstellungsgruppen > Anwendungen. Objekte auf niedrigerer Ebene erben die Mandanteneigenschaft von Objekten auf höherer Ebene. Wenn Sie beispielsweise eine Bereitstellungsgruppe für einen Mandantenbereich auswählen, stellen Sie sicher, dass Sie auch das zugehörige Hosting und den Maschinenkatalog auswählen. Andernfalls kann die Bereitstellungsgruppe die Eigenschaft des Mandanten nicht erben.
- Nach dem Erstellen eines Mandantenbereichs können Sie Mandantenzuweisungen durch Ändern von Objekten bearbeiten. Wenn eine Mandantenzuweisung geändert wird, unterliegt sie weiterhin der Einschränkung, dass sie denselben Mandanten oder einer Untergruppe dieser Mandanten zugewiesen werden muss. Objekte auf niedrigerer Ebene werden jedoch nicht neu bewertet, wenn sich Mandantenzuweisungen ändern. Stellen Sie sicher, dass Objekte ordnungsgemäß eingeschränkt werden, wenn Sie Mandantenzuweisungen ändern. Wenn beispielsweise ein Maschinenkatalog für
TenantAundTenantBverfügbar ist, können Sie eine Bereitstellungsgruppe fürTenantAund eine fürTenantBerstellen. (TenantAundTenantBsind beide diesem Maschinenkatalog zugeordnet.) Sie können den Maschinenkatalog dann so ändern, dass er nurTenantAzugeordnet ist. Infolgedessen wird dieTenantBzugeordnete Bereitstellungsgruppe ungültig.
Administratoren für Mandanten hinzufügen
Fügen Sie Administratoren für einen Tenant hinzu, indem Sie Benutzerkonten Administratorrollen und Tenants zuweisen.
Gehen Sie wie folgt vor, um einen Administrator für einen Tenant hinzuzufügen:
- Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren und anschließend auf die Registerkarte Administratoren.
- Klicken Sie auf Administrator hinzufügen und gehen Sie wie folgt vor, um den Vorgang abzuschließen:
- Geben Sie den Namen des Benutzerkontos ein oder suchen Sie danach, und klicken Sie auf Weiter.
- Wählen Sie Benutzerdefinierter Zugriff und anschließend bei Bedarf eine oder mehrere Rollen aus (z. B. Maschinenkatalog-Administrator).
- Klicken Sie neben jeder Rolle auf Bereiche bearbeiten, ändern Sie den Bereich von Alle in den gewünschten Tenant-Bereich und klicken Sie anschließend auf Speichern.
- Klicken Sie auf Weiter.
- Klicken Sie auf der Seite Überprüfen und bestätigen auf Einladung senden.
Berichte erstellen
Sie können zwei Arten von Berichten zur delegierten Administration erstellen:
-
Einen HTML-Bericht, der die einem Administrator zugeordneten Rollen-/Bereichspaare sowie die einzelnen Berechtigungen für jeden Objekttyp (z. B. Bereitstellungsgruppen und Maschinenkataloge) auflistet. Sie generieren diesen Bericht über Web Studio.
Gehen Sie wie folgt vor, um diesen Bericht zu erstellen:
- Melden Sie sich bei Web Studio an, klicken Sie im linken Bereich auf Administratoren
- Wählen Sie einen Administrator aus und klicken Sie anschließend in der Aktionsleiste auf Bericht erstellen.
Sie können diesen Bericht auch beim Erstellen, Kopieren oder Bearbeiten eines Administrators anfordern.
-
Einen HTML- oder CSV-Bericht, der alle integrierten und benutzerdefinierten Rollen Berechtigungen zuordnet. Sie generieren diesen Bericht, indem Sie ein PowerShell-Skript namens OutputPermissionMapping.ps1 ausführen.
Um dieses Skript auszuführen, müssen Sie ein Volladministrator, ein schreibgeschützter Administrator oder ein benutzerdefinierter Administrator mit der Berechtigung zum Lesen von Rollen sein. Das Skript befindet sich unter: Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts.
Syntax:
OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]Parameter Beschreibung -HelpZeigt die Skript-Hilfe an. -CsvGibt CSV-Ausgabe an. Standard = HTML -Path stringWohin die Ausgabe geschrieben werden soll. Standard = stdout -AdminAddress stringIP-Adresse oder Hostname des Delivery Controller™, mit dem eine Verbindung hergestellt werden soll. Standard = localhost -Show(Nur gültig, wenn auch der Parameter -Pathangegeben ist) Wenn Sie die Ausgabe in eine Datei schreiben, bewirkt-Show, dass die Ausgabe in einem geeigneten Programm, z. B. einem Webbrowser, geöffnet wird.CommonParameters Verbose,Debug,ErrorAction,ErrorVariable,WarningAction,WarningVariable,OutBufferundOutVariable. Details finden Sie in der Microsoft-Dokumentation.
Das folgende Beispiel schreibt eine HTML-Tabelle in eine Datei namens Roles.html und öffnet die Tabelle in einem Webbrowser.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
-Path Roles.html –Show
<!--NeedCopy-->
Das folgende Beispiel schreibt eine CSV-Tabelle in eine Datei namens Roles.csv. Die Tabelle wird nicht angezeigt.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
–CSV -Path Roles.csv
<!--NeedCopy-->
Von einer Windows-Eingabeaufforderung aus lautet der vorhergehende Beispielbefehl:
powershell -command "& '%ProgramFiles%\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1'
-CSV -Path Roles.csv"
<!--NeedCopy-->