Amministrazione delegata
Nota:
È possibile gestire la distribuzione di Citrix Virtual Apps and Desktops™ utilizzando due console di gestione: Web Studio (basata sul Web) e Citrix Studio (basata su Windows). Questo articolo tratta solo Web Studio. Per informazioni su Citrix Studio, consultare l’articolo equivalente in Citrix Virtual Apps and Desktops 7 2212 o versioni precedenti.
Il modello di amministrazione delegata offre la flessibilità di adattarsi al modo in cui l’organizzazione desidera delegare le attività di amministrazione, utilizzando il controllo basato su ruoli e oggetti. L’amministrazione delegata si adatta a distribuzioni di tutte le dimensioni e consente di configurare una maggiore granularità delle autorizzazioni man mano che la distribuzione cresce in complessità. L’amministrazione delegata utilizza tre concetti: amministratori, ruoli e ambiti.
-
Amministratori: Un amministratore rappresenta una persona o un gruppo di persone identificate dal proprio account Active Directory. Ogni amministratore è associato a una o più coppie ruolo e ambito.
-
Ruoli: Un ruolo rappresenta una funzione lavorativa e ha autorizzazioni definite associate ad esso. Ad esempio, il ruolo Amministratore di Gruppi di consegna ha autorizzazioni come ‘Crea Gruppo di consegna’ e ‘Rimuovi desktop dal Gruppo di consegna’. Un amministratore può avere più ruoli per un sito, quindi una persona può essere un Amministratore di Gruppi di consegna e un Amministratore di Cataloghi di macchine. I ruoli possono essere predefiniti o personalizzati.
I ruoli predefiniti sono:
Ruolo Autorizzazioni Amministratore completo Può eseguire tutte le attività e le operazioni. Un Amministratore completo è sempre combinato con l’ambito Tutti. Amministratore di sola lettura Può visualizzare tutti gli oggetti negli ambiti specificati oltre alle informazioni globali, ma non può modificare nulla. Ad esempio, un Amministratore di sola lettura con Ambito=Londra può visualizzare tutti gli oggetti globali (come la registrazione della configurazione) e qualsiasi oggetto con ambito Londra (ad esempio, Gruppi di consegna di Londra). Tuttavia, tale amministratore non può visualizzare gli oggetti nell’ambito New York (supponendo che gli ambiti Londra e New York non si sovrappongano). Amministratore Help Desk Può visualizzare i Gruppi di consegna e gestire le sessioni e le macchine associate a tali gruppi. Può visualizzare le informazioni sul Catalogo di macchine e sull’host per i Gruppi di consegna monitorati. Può anche eseguire operazioni di gestione delle sessioni e di gestione dell’alimentazione delle macchine per le macchine in tali Gruppi di consegna. Amministratore di Cataloghi di macchine Può creare e gestire Cataloghi di macchine e fornirvi le macchine. Può creare Cataloghi di macchine dall’infrastruttura di virtualizzazione, da Provisioning Services e da macchine fisiche. Questo ruolo può gestire le immagini di base e installare software, ma non può assegnare applicazioni o desktop agli utenti. Amministratore di Gruppi di consegna Può fornire applicazioni, desktop e macchine; può anche gestire le sessioni associate. Può anche gestire le configurazioni di applicazioni e desktop come criteri e impostazioni di gestione dell’alimentazione. Amministratore host Può gestire le connessioni host e le relative impostazioni delle risorse. Non può fornire macchine, applicazioni o desktop agli utenti. In alcune edizioni del prodotto, è possibile creare ruoli personalizzati per soddisfare i requisiti dell’organizzazione e delegare le autorizzazioni con maggiore dettaglio. È possibile utilizzare ruoli personalizzati per allocare le autorizzazioni con la granularità di un’azione o di un’attività in una console.
-
Ambiti: Un ambito rappresenta una raccolta di oggetti. Gli ambiti vengono utilizzati per raggruppare gli oggetti in un modo pertinente all’organizzazione (ad esempio, l’insieme di Gruppi di consegna utilizzati dal team di vendita). Gli oggetti possono trovarsi in più di un ambito; si può pensare agli oggetti come etichettati con uno o più ambiti. Esiste un ambito predefinito: ‘Tutti’, che contiene tutti gli oggetti. Il ruolo Amministratore completo è sempre abbinato all’ambito Tutti.
Esempio
L’azienda XYZ ha deciso di gestire applicazioni e desktop in base al reparto (Contabilità, Vendite e Magazzino) e al sistema operativo desktop (Windows 7 o Windows 8). L’amministratore ha creato cinque ambiti e ha quindi etichettato ogni Gruppo di consegna con due ambiti: uno per il reparto in cui vengono utilizzati e uno per il sistema operativo che utilizzano.
Sono stati creati i seguenti amministratori:
| Amministratore | Ruoli | Ambiti |
|---|---|---|
| domain/fred | Amministratore completo | Tutti (il ruolo Amministratore completo ha sempre l’ambito Tutti) |
| domain/rob | Amministratore di sola lettura | Tutti |
| domain/heidi | Amministratore di sola lettura, Amministratore Help Desk | Tutti Vendite |
| domain/warehouseadmin | Amministratore Help Desk | Magazzino |
| domain/peter | Amministratore di Gruppi di consegna, Amministratore di Cataloghi di macchine | Win7 |
- Fred è un Amministratore completo e può visualizzare, modificare ed eliminare tutti gli oggetti nel sistema.
- Rob può visualizzare tutti gli oggetti nel sito ma non può modificarli o eliminarli.
- Heidi può visualizzare tutti gli oggetti ed eseguire attività di help desk sui Gruppi di consegna nell’ambito Vendite. Ciò le consente di gestire le sessioni e le macchine associate a tali gruppi; non può apportare modifiche al Gruppo di consegna, come l’aggiunta o la rimozione di macchine.
- Chiunque sia membro del gruppo di sicurezza Active Directory warehouseadmin può visualizzare ed eseguire attività di help desk sulle macchine nell’ambito Magazzino.
- Peter è uno specialista di Windows 7 e può gestire tutti i Cataloghi di macchine Windows 7 e fornire applicazioni, desktop e macchine Windows 7, indipendentemente dall’ambito del reparto in cui si trovano. L’amministratore ha considerato di rendere Peter un Amministratore completo per l’ambito Win7. Tuttavia, ha deciso di non farlo, perché un Amministratore completo ha anche pieni diritti su tutti gli oggetti che non sono con ambito, come ‘Sito’ e ‘Amministratore’.
Come utilizzare l’amministrazione delegata
In generale, il numero di amministratori e la granularità delle loro autorizzazioni dipendono dalle dimensioni e dalla complessità della distribuzione.
- Nelle distribuzioni di piccole dimensioni o proof-of-concept, uno o pochi amministratori fanno tutto. Non c’è delega. In questo caso, creare ogni amministratore con il ruolo predefinito Amministratore completo, che ha l’ambito Tutti.
- Nelle distribuzioni più grandi con più macchine, applicazioni e desktop, è necessaria una maggiore delega. Diversi amministratori potrebbero avere responsabilità funzionali più specifiche (ruoli). Ad esempio, due sono Amministratori completi e altri sono Amministratori Help Desk. Inoltre, un amministratore potrebbe gestire solo determinati gruppi di oggetti (ambiti), come i cataloghi di macchine. In questo caso, creare nuovi ambiti, più amministratori con uno dei ruoli predefiniti e gli ambiti appropriati.
- Distribuzioni ancora più grandi potrebbero richiedere ambiti più numerosi (o più specifici), oltre a diversi amministratori con ruoli non convenzionali. In questo caso, modificare o creare più ambiti, creare ruoli personalizzati e creare ogni amministratore con un ruolo predefinito o personalizzato, più ambiti esistenti e nuovi.
Per flessibilità e facilità di configurazione, è possibile creare ambiti quando si crea un amministratore. È anche possibile specificare gli ambiti durante la creazione o la modifica di Cataloghi di macchine o connessioni.
Creare e gestire gli amministratori
Quando si crea un sito come amministratore locale, l’account utente diventa automaticamente un Amministratore completo con autorizzazioni complete su tutti gli oggetti. Dopo la creazione di un sito, gli amministratori locali non hanno privilegi speciali.
Il ruolo Amministratore completo ha sempre l’ambito Tutti; non è possibile modificarlo.
Per impostazione predefinita, un amministratore è abilitato. La disabilitazione di un amministratore potrebbe essere necessaria se si sta creando l’amministratore ora, ma quella persona non inizierà le attività di amministrazione fino a più tardi. Per gli amministratori abilitati esistenti, potrebbe essere opportuno disabilitarne diversi mentre si riorganizzano gli oggetti/ambiti, quindi riabilitarli quando si è pronti a passare alla configurazione aggiornata. Non è possibile disabilitare un Amministratore completo se ciò comporterebbe l’assenza di un Amministratore completo abilitato. La casella di controllo abilita/disabilita è disponibile quando si crea, si copia o si modifica un amministratore.
Quando si elimina una coppia ruolo/ambito durante la copia, la modifica o l’eliminazione di un amministratore, viene eliminata solo la relazione tra il ruolo e l’ambito per quell’amministratore. Non elimina né il ruolo né l’ambito. Inoltre, non influisce su nessun altro amministratore configurato con quella coppia ruolo/ambito.
Per creare e gestire gli amministratori, seguire questi passaggi:
-
Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro, quindi fare clic sulla scheda Amministratori.
-
Seguire le istruzioni per l’attività che si desidera completare:
- Crea un amministratore: Fare clic su Crea amministratore nella barra delle azioni. Digitare o cercare il nome dell’account utente, selezionare o creare un ambito, quindi selezionare un ruolo. Il nuovo amministratore è abilitato per impostazione predefinita; è possibile modificarlo.
- Copia un amministratore: Selezionare l’amministratore e quindi fare clic su Copia amministratore nella barra delle azioni. Digitare o cercare il nome dell’account utente. È possibile selezionare e quindi modificare o eliminare una qualsiasi delle coppie ruolo/ambito e aggiungerne di nuove. Il nuovo amministratore è abilitato per impostazione predefinita; è possibile modificarlo.
- Modifica un amministratore: Selezionare l’amministratore e quindi fare clic su Modifica amministratore nella barra delle azioni. È possibile modificare o eliminare una qualsiasi delle coppie ruolo/ambito e aggiungerne di nuove.
- Elimina un amministratore: Selezionare l’amministratore e quindi fare clic su Elimina amministratore nella barra delle azioni. Non è possibile eliminare un Amministratore completo se ciò comporterebbe l’assenza di un Amministratore completo abilitato.
Il riquadro superiore visualizza gli amministratori creati. Selezionare un amministratore per visualizzarne i dettagli nel riquadro inferiore. La colonna Avvisi indica se le coppie ruolo e ambito associate all’amministratore contengono ruoli o ambiti inutilizzabili. Il seguente messaggio di avviso viene visualizzato se una coppia ruolo e ambito associata contiene ruoli o ambiti inutilizzabili:
- Ruolo o ambito associato non utilizzabile
Importante:
Un messaggio di avviso viene visualizzato solo quando una coppia ruolo e ambito associata contiene ruoli o ambiti inutilizzabili o entrambi.
Per rimuovere la coppia ruolo e ambito dall’amministratore, completare uno dei seguenti passaggi:
- Eliminare la coppia ruolo e ambito.
- Nella barra delle azioni, fare clic su Modifica amministratore.
- Nella finestra Nome e dettagli amministratore, selezionare la coppia ruolo e ambito e quindi fare clic su Elimina.
- Fare clic su Salva per uscire.
- Eliminare l’amministratore.
- Nella barra delle azioni, fare clic su Elimina amministratore.
- Nella finestra di conferma, fare clic su Elimina.
Creare e gestire i ruoli
Quando gli amministratori creano o modificano un ruolo, possono abilitare solo le autorizzazioni che essi stessi possiedono. Ciò impedisce agli amministratori di creare un ruolo con più autorizzazioni di quelle che hanno attualmente e quindi di assegnarlo a se stessi (o di modificare un ruolo che è già stato loro assegnato).
I nomi dei ruoli possono contenere fino a 64 caratteri Unicode; non possono contenere: barra rovesciata, barra, punto e virgola, due punti, simbolo di cancelletto, virgola, asterisco, punto interrogativo, segno di uguale, freccia sinistra o destra, pipe, parentesi quadra sinistra o destra, parentesi tonda sinistra o destra, virgolette o apostrofo. Le descrizioni possono contenere fino a 256 caratteri Unicode.
Non è possibile modificare o eliminare un ruolo predefinito. Non è possibile eliminare un ruolo personalizzato se è utilizzato da un amministratore.
Nota:
Solo alcune edizioni del prodotto supportano i ruoli personalizzati. Solo le edizioni che supportano i ruoli personalizzati hanno voci correlate nella barra delle azioni.
Per creare e gestire i ruoli, seguire questi passaggi:
-
Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro, quindi fare clic sulla scheda Ruoli.
-
Seguire le istruzioni per l’attività che si desidera completare:
- Visualizza dettagli ruolo: Selezionare il ruolo. Il riquadro inferiore elenca i tipi di oggetto e le autorizzazioni associate per il ruolo. Fare clic sulla scheda Amministratori nel riquadro inferiore per visualizzare un elenco di amministratori che attualmente hanno questo ruolo.
- Crea un ruolo personalizzato: Fare clic su Crea ruolo nel riquadro delle azioni. Immettere un nome e una descrizione. Selezionare i tipi di oggetto e le autorizzazioni.
- Copia un ruolo: Selezionare il ruolo, quindi fare clic su Copia ruolo nella barra delle azioni. Modificare il nome, la descrizione, i tipi di oggetto e le autorizzazioni, se necessario.
- Modifica un ruolo personalizzato: Selezionare il ruolo, quindi fare clic su Modifica ruolo nella barra delle azioni. Modificare il nome, la descrizione, i tipi di oggetto e le autorizzazioni, se necessario.
- Elimina un ruolo personalizzato: Selezionare il ruolo, quindi fare clic su Elimina ruolo nella barra delle azioni. Quando richiesto, confermare l’eliminazione.
Creare e gestire gli ambiti
Quando si crea un sito, l’unico ambito disponibile è l’ambito ‘Tutti’, che non può essere eliminato.
È possibile creare ambiti utilizzando la seguente procedura. È anche possibile creare ambiti quando si crea un amministratore; ogni amministratore deve essere associato ad almeno una coppia ruolo e ambito. Quando si creano o si modificano desktop, cataloghi di macchine, applicazioni o host, è possibile aggiungerli a un ambito esistente. Se non li si aggiunge a un ambito, rimangono parte dell’ambito ‘Tutti’.
La creazione del sito non può essere con ambito, né possono esserlo gli oggetti di amministrazione delegata (ambiti e ruoli). Tuttavia, gli oggetti che non è possibile definire con ambito sono inclusi nell’ambito ‘Tutti’. (Gli Amministratori completi hanno sempre l’ambito Tutti.) Macchine, azioni di alimentazione, desktop e sessioni non sono direttamente con ambito. Agli amministratori possono essere assegnate autorizzazioni su questi oggetti tramite i cataloghi di macchine o i gruppi di consegna associati.
Regole per la creazione e la gestione degli ambiti:
-
I nomi degli ambiti possono contenere fino a 64 caratteri Unicode. I nomi degli ambiti non possono includere: barra rovesciata, barra, punto e virgola, due punti, simbolo di cancelletto, virgola, asterisco, punto interrogativo, segno di uguale, freccia sinistra, freccia destra, pipe, parentesi quadra sinistra o destra, parentesi tonda sinistra o destra, virgolette o apostrofo.
-
Le descrizioni degli ambiti possono contenere fino a 256 caratteri Unicode.
-
Quando si copia o si modifica un ambito, tenere presente che la rimozione di oggetti dall’ambito può rendere tali oggetti inaccessibili all’amministratore. Se l’ambito modificato è abbinato a uno o più ruoli, assicurarsi che gli aggiornamenti dell’ambito non rendano inutilizzabile alcuna coppia ruolo/ambito.
Per creare e gestire gli ambiti, seguire questi passaggi:
-
Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro, quindi fare clic sulla scheda Ambiti.
-
Seguire le istruzioni per l’attività che si desidera completare:
- Crea un ambito: Fare clic su Crea nuovo ambito nella barra delle azioni. Immettere un nome e una descrizione. Per includere tutti gli oggetti di un tipo particolare (ad esempio, Gruppi di consegna), selezionare il tipo di oggetto. Per includere oggetti specifici, espandere il tipo e quindi selezionare i singoli oggetti (ad esempio, Gruppi di consegna utilizzati dal team di vendita).
- Copia un ambito: Selezionare l’ambito e quindi fare clic su Copia ambito nella barra delle azioni. Immettere un nome e una descrizione. Modificare i tipi di oggetto e gli oggetti, se necessario.
- Modifica un ambito: Selezionare l’ambito e quindi fare clic su Modifica ambito nella barra delle azioni. Modificare il nome, la descrizione, i tipi di oggetto e gli oggetti, se necessario.
- Elimina un ambito: Selezionare l’ambito e quindi fare clic su Elimina ambito nella barra delle azioni. Quando richiesto, confermare l’eliminazione.
Configurare la gestione dei tenant
Configurare la gestione dei tenant per creare partizioni di gestione all’interno di un singolo sito Citrix Virtual Apps and Desktops. Ogni tenant ha risorse e configurazioni segregate come cataloghi di macchine e gruppi di consegna. Gli amministratori con accesso a un tenant specifico possono gestire solo le risorse e le configurazioni associate a quel tenant. Esempi di casi d’uso includono aziende con diversi settori di attività (divisioni indipendenti o team di gestione IT separati) in un unico sito.
A un livello superiore, il flusso di lavoro per la configurazione della gestione dei tenant include:
Creare i tenant
Creare un tenant creando un ambito tenant. I passaggi dettagliati sono i seguenti:
- Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro, quindi fare clic sulla scheda Ambiti.
- Fare clic su Crea ambito per avviare la creazione del tenant.
- Immettere i seguenti dettagli per l’ambito tenant:
- Digitare un nome descrittivo per l’ambito. Questo nome funge anche da identificatore del tenant.
- (Facoltativo) Immettere una breve descrizione.
- Selezionare Ambito tenant.
- Se necessario, selezionare gli oggetti associati al tenant. È anche possibile aggiungere oggetti agli ambiti tenant durante la creazione o la gestione degli oggetti.
- Fare clic su OK per completare la creazione.
Al termine, è possibile visualizzare:
- Il nuovo record dell’ambito tenant appare nell’elenco Ambiti, identificato come Tenant nella colonna Tipo.
- Il nome dell’ambito viene visualizzato nell’elenco a discesa Tutti i tenant situato nell’angolo in alto a destra di Web Studio.
Quando si lavora con un ambito tenant, tenere presenti queste considerazioni:
- La proprietà del tenant segue un ordine di assegnazione gerarchico: Hosting > Cataloghi di macchine > Gruppi di consegna > Applicazioni. Gli oggetti di livello inferiore ereditano la proprietà del tenant dagli oggetti di livello superiore. Ad esempio, quando si seleziona un gruppo di consegna per un ambito tenant, assicurarsi di selezionare anche l’hosting e il catalogo di macchine associati. In caso contrario, il gruppo di consegna non può ereditare la proprietà del tenant.
- Dopo aver creato un ambito tenant, è possibile modificare le assegnazioni dei tenant modificando gli oggetti. Quando un’assesegnazione di tenant viene modificata, è comunque soggetta al vincolo che deve essere assegnata agli stessi tenant o a un sottoinsieme di tali tenant. Tuttavia, gli oggetti di livello inferiore non vengono rivalutati quando le assegnazioni dei tenant cambiano. Assicurarsi che gli oggetti siano correttamente limitati quando si modificano le assegnazioni dei tenant. Ad esempio, se un catalogo di macchine è disponibile per
TenantAeTenantB, è possibile creare un gruppo di consegna perTenantAe uno perTenantB. (TenantAeTenantBsono entrambi associati a quel catalogo di macchine.) È quindi possibile modificare il catalogo di macchine in modo che sia associato solo aTenantA. Di conseguenza, il gruppo di consegna associato aTenantBdiventa non valido.
Aggiungere amministratori per i tenant
Aggiungere amministratori per un tenant assegnando account utente con ruoli di amministratore e tenant.
Per aggiungere un amministratore per un tenant, seguire questi passaggi:
- Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro, quindi fare clic sulla scheda Amministratori.
- Fare clic su Aggiungi amministratore e seguire questi passaggi per completare:
- Digitare o cercare il nome dell’account utente e fare clic su Avanti.
- Selezionare Accesso personalizzato e quindi selezionare uno o più ruoli (ad esempio, Amministratore di Cataloghi di macchine) se necessario.
- Fare clic su Modifica ambiti accanto a ciascun ruolo, modificare l’ambito da Tutti all’ambito tenant desiderato e quindi fare clic su Salva.
- Fare clic su Avanti.
- Nella pagina Rivedi e conferma, fare clic su Invia invito.
Creare report
È possibile creare due tipi di report di amministrazione delegata:
-
Un report HTML che elenca le coppie ruolo/ambito associate a un amministratore, più le singole autorizzazioni per ogni tipo di oggetto (ad esempio, gruppi di consegna e cataloghi di macchine). Questo report viene generato da Web Studio.
Per creare questo report, seguire questi passaggi:
- Accedere a Web Studio, fare clic su Amministratori nel riquadro sinistro
- Selezionare un amministratore e quindi fare clic su Crea report nella barra delle azioni.
È anche possibile richiedere questo report durante la creazione, la copia o la modifica di un amministratore.
-
Un report HTML o CSV che mappa tutti i ruoli predefiniti e personalizzati alle autorizzazioni. Questo report viene generato eseguendo uno script PowerShell denominato OutputPermissionMapping.ps1.
Per eseguire questo script, è necessario essere un Amministratore completo, un Amministratore di sola lettura o un amministratore personalizzato con l’autorizzazione a leggere i ruoli. Lo script si trova in: Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts.
Sintassi:
OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]Parametro Descrizione -HelpVisualizza la guida dello script. -CsvSpecifica l’output CSV. Predefinito = HTML -Path stringDove scrivere l’output. Predefinito = stdout -AdminAddress stringIndirizzo IP o nome host del Delivery Controller™ a cui connettersi. Predefinito = localhost -Show(Valido solo quando è specificato anche il parametro -Path) Quando si scrive l’output su un file,-Showfa sì che l’output venga aperto in un programma appropriato, come un browser web.CommonParameters Verbose,Debug,ErrorAction,ErrorVariable,WarningAction,WarningVariable,OutBuffereOutVariable. Per i dettagli, consultare la documentazione Microsoft.
L’esempio seguente scrive una tabella HTML in un file denominato Roles.html e apre la tabella in un browser web.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
-Path Roles.html –Show
<!--NeedCopy-->
L’esempio seguente scrive una tabella CSV in un file denominato Roles.csv. La tabella non viene visualizzata.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
–CSV -Path Roles.csv
<!--NeedCopy-->
Da un prompt dei comandi di Windows, il comando di esempio precedente è:
powershell -command "& '%ProgramFiles%\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1'
-CSV -Path Roles.csv"
<!--NeedCopy-->