Planejamento de controle de acesso baseado em função no Lync Server 2013

Criando uma função com escopo

Ao criar uma função com escopo limitado (uma função com escopo), especifique o escopo, juntamente com a função existente na qual ela se baseia e o grupo do Active Directory ao qual a função será atribuída. O grupo do Active Directory especificado já deve ser criado. O cmdlet a seguir é um exemplo de criação de uma função que tem os privilégios de uma das funções administrativas predefinidas, mas com escopo limitado. Ele cria uma nova função chamada Site01 Server Administrators. A função tem as capacidades da função CsServerAdministrator predefinida, mas somente para os servidores localizados no site Site01. Para que esse cmdlet funcione, o site Site01 já deve estar definido e um grupo de segurança universal Site01 Server Administrators chamado já deve existir.

New-CsAdminRole -Identity "Site01 Server Administrators" -Template CsServerAdministrator -ConfigScopes "site:Site01"

Depois que esse cmdlet for executado, Site01 Server Administrators todos os usuários que forem membros do grupo terão privilégios de administrador do servidor para os servidores no Site01. Além disso, todos os usuários adicionados posteriormente a esse grupo de segurança universal também obtêm os privilégios dessa função. Observe que tanto a função em si quanto o grupo de segurança universal ao qual ela é atribuída são chamados Site01 Server Administrators.

O exemplo a seguir limita o escopo do usuário em vez do escopo do servidor. Ele cria uma função Sales Users Administrator para administrar as contas de usuário na unidade organizacional Vendas. O grupo de segurança universal SalesUsersAdministrator já deve ser criado para que esse cmdlet funcione.

New-CsAdminRole -Identity "Sales Users Administrator " -Template CsUserAdministrator -UserScopes "OU:OU=Sales, OU=Lync Tenants, DC=Domain, DC=com"

Criando uma nova função

Para criar uma função que tenha acesso a um conjunto de cmdlets que não estão em uma das funções predefinidas ou a um conjunto de scripts ou módulos, você começará novamente usando uma das funções predefinidas como modelo. Observe que os scripts e módulos que as funções devem ser capazes de executar devem ser armazenados nos seguintes locais:

• O caminho do módulo do Lync, que é por padrão C:\Arquivos de Programas\Arquivos Comuns\Microsoft Lync Server 2013\Modules\Lync

• O caminho do script de usuário, que é por padrão C:\Arquivos de Programas\Arquivos Comuns\Microsoft Lync Server 2013\AdminScripts

Para criar uma nova função, use o cmdlet New-CsAdminRole . Antes de executar New-CsAdminRole, você deve primeiro criar o grupo de segurança universal subjacente que será associado a essa função.

Os cmdlets a seguir servem como um exemplo de uma criação de uma nova função. Eles criam um novo tipo de função chamado MyHelpDeskScriptRole. A nova função tem as habilidades da função CsHelpDesk predefinida e também pode executar as funções em um script chamado "testscript".

New-CsAdminRole -Identity "MyHelpDeskScriptRole" -Template CsHelpDesk -ScriptModules @{Add="testScript.ps1"}

Para que esse cmdlet funcione, primeiro você deve ter criado o grupo de segurança universal MyHelpDeskScriptRole.

Depois que esse cmdlet for executado, você poderá atribuir usuários diretamente a essa função (nesse caso, eles têm escopo global) ou criar uma função com escopo com base nessa função, conforme explicado em Criando uma função com escopo, anteriormente neste documento.

Atribuindo funções a usuários

Cada função do Lync Server é associada a um grupo de segurança universal subjacente do Active Directory. Todos os usuários que você adicionar ao grupo subjacente obtêm as habilidades dessa função.

Os exemplos nas seções anteriores criaram uma nova função e atribuiu um grupo de segurança universal existente à nova função. Para atribuir uma função existente a um ou mais usuários, adicione esses usuários ao grupo associado à função. Você pode adicionar usuários individuais e grupos de segurança universais a esses grupos.

Por exemplo, a função CsAdministrator é concedida automaticamente ao grupo de segurança universal de Administradores de CS no Active Directory. Esse grupo de segurança universal é criado no Active Directory quando você implanta o Lync Server. Para conceder esse privilégio a um usuário ou grupo, basta adicioná-lo ao grupo administradores do CS .

Um usuário pode receber várias funções RBAC sendo adicionadas aos grupos subjacentes do Active Directory que correspondem a cada função.

Observe que, quando você cria uma função, os usuários que são adicionados posteriormente ao grupo subjacente do Active Directory obtêm as habilidades dessa função.

Modificando as habilidades de uma função

Você pode modificar a lista de cmdlets e scripts que uma função pode executar. Você pode modificar os cmdlets e scripts que as funções personalizadas podem executar, mas pode modificar apenas os scripts para funções predefinidas. Cada cmdlet que você digitar pode adicionar, remover ou substituir cmdlets ou scripts.

Para modificar uma função, use o cmdlet Set-CsAdminRole . O cmdlet a seguir remove um script da função.

Set-CsAdminRole -Identity "MyHelpDeskScriptRole" -ScriptModules @{Remove="testScript.ps1"}