Users Guide

Présentation d’Active Directory avec schéma étendu
Pour utiliser la solution de schéma étendu, vous devez disposer de l’extension de schéma Active Directory.
Les meilleures pratiques pour le schéma étendu
Le schéma étendu utilise les objets Association Dell pour relier l’iDRAC et les permissions. Cela vous permet d’utiliser iDRAC en
fonction des permissions générales accordées. La liste de contrôle d’accès (ACL) par défaut des objets Association Dell permet
aux administrateurs de domaine et les auto-administrateurs de gérer les permissions et l’étendue des objets iDRAC.
Par défaut, les objets Association Dell n’héritent pas de toutes les permissions des objets Active Directory parents. Si vous
activez l’héritage pour l’objet Association Dell, les permissions héritées de cet objet sont accordées aux utilisateurs et aux
groupes sélectionnés. L’iDRAC peut ainsi se voir accorder involontairement certains privilèges.
Pour utiliser le schéma étendu en toute sécurité, Dell recommande de ne pas activer l’héritage sur les objets Association Dell
dans le cadre de l’implémentation du schéma étendu.
Extensions de schéma Active Directory
Les données Active Directory se présentent sous la forme d’une base de données distribuée d’attributs et de classes. Le schéma
Active Directory inclut les règles qui déterminent le type de données pouvant être ajoutées ou incluses dans la base de données.
La classe « user » (utilisateur) est un exemple de classe stockée dans la base de données. Les attributs de cette classe sont
le prénom, le nom, le numéro de téléphone, etc. de l’utilisateur. Vous pouvez étendre la base de données Active Directory en
ajoutant vos propres attributs et classes uniques, selon vos besoins. Dell a étendu le schéma afin d’inclure les modifications
nécessaires pour la prise en charge des opérations d’authentification et d’autorisation à distance avec Active Directory.
Chaque attribut ou classe que vous ajoutez à un schéma Active Directory existant doit avoir un identifiant unique. Pour assurer
l’unicité des identifiants au sein du secteur, Microsoft gère une base de données d’identifiants d’objets Active Directory, de
sorte que lorsque les entreprises ajoutent des extensions au schéma, elles aient la garantie que ces extensions sont uniques
et n’entreront pas en conflit les unes avec les autres. Pour étendre le schéma Microsoft Active Directory, Dell a reçu des
identifiants d’objets uniques, des extensions de noms uniques, et des identifiants d’attributs avec liaison unique pour les attributs
et les classes ajoutés au service d’annuaire :
● Extension : dell
● Identifiant d’objet de base : 1.2.840.113556.1.8000.1280
● Plage d’identifiants de liaison RAC : 12070 to 12079
Présentation des extensions de schéma d'iDRAC
Dell a étendu le schéma pour inclure une propriété Association, Device (Appareil) et Privilege (Privilège). La propriété
Association est utilisée pour relier entre eux les utilisateurs ou groupes avec un ensemble spécifique de privilèges et un
ou plusieurs appareils iDRAC. Ce modèle offre une flexibilité d’administration maximale pour les différentes combinaisons
d’utilisateurs, de privilèges iDRAC et d’appareils iDRAC sur le réseau, sans complexité excessive.
Pour chaque appareil iDRAC physique sur le réseau que vous souhaitez intégrer avec Active Directory à des fins
d’authentification et d’autorisation, créez au moins un objet d’association et un objet d’appareil iDRAC. Vous pouvez créer
plusieurs objets d’association. Chacun d’eux peut être associé à plusieurs utilisateurs, groupes d’utilisateurs ou appareils
iDRAC selon les besoins. Les utilisateurs et groupes d’utilisateurs iDRAC peuvent être membres de n’importe quel domaine
de l’entreprise.
Cependant, chaque objet d’association peut être associé (ou associer des utilisateurs, groupes d’utilisateurs et appareils iDRAC)
à un seul objet de privilège. Cet exemple montre comment autoriser un administrateur à contrôler les privilèges de chaque
utilisateur sur des appareils iDRAC spécifiques.
L’objet d’appareil iDRAC est le lien vers le micrologiciel iDRAC pour envoyer des requêtes à Active Directory à des fins
d’authentification et d’autorisation. Quand iDRAC est ajouté au réseau, l’administrateur doit configurer iDRAC et son objet
d’appareil avec son nom Active Directory, afin que les utilisateurs puissent effectuer des opérations d’authentification et
d’autorisation avec Active Directory. De plus, l’administrateur doit ajouter iDRAC à un objet d’association au minimum pour
l’authentification des utilisateurs.
L'illustration suivante montre que l'objet Association fournit la connexion nécessaire à l'authentification et l'autorisation.
Configuration des comptes et des privilèges des utilisateurs
165