จัดการกลุ่มผู้ใช้โดเมน AD
หน้ากลุ่มในการจัดการโดเมน AD แสดงกลุ่มไดเรกทอรีที่ซิงโครไนซ์มายังแพลตฟอร์ม และเมื่อมีสิทธิ์สามารถสร้าง แก้ไข ปรับความสัมพันธ์สมาชิก ย้ายหรือลบกลุ่ม การดำเนินการกระทบ AD จริง ไม่ใช่การแก้บทบาทผู้ดูแล Ping64 หรือกลุ่มอุปกรณ์ปลายทาง กลุ่มและสมาชิกอาจมีผลต่อการเข้าถึงทรัพยากรและแอป การส่งงาน อนุมัติ และดำเนินการในไดเรกทอรีเป็นคนละสถานะ
ป้ายภาษาอังกฤษด้านล่างเป็นชื่อหน้าจอที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย
การเตรียมการ
- ทำการตั้งค่าการเชื่อมต่อและขอบเขตโดเมน ADให้เสร็จ ตรวจสถานะโดเมน ผลซิงโครไนซ์ สิทธิ์ไดเรกทอรี เครือข่าย และสิทธิ์ดู เขียน หรือดำเนินการของผู้ดูแล
- ยืนยันโดเมนเป้าหมาย ตำแหน่ง วัตถุประสงค์ ประเภทและขอบเขตกลุ่ม สมาชิกที่จะเพิ่มหรือลบ และการพึ่งพาทางธุรกิจ ประเมินกลุ่มสำคัญหรือสิทธิ์สูงและขออนุมัติตามข้อกำหนดองค์กร
- ใช้โดเมนทดสอบและออบเจ็กต์ที่ควบคุมเพื่อตรวจการอนุมัติและการดำเนินการ ก่อนย้ายหรือลบให้เตรียมแผนกู้คืนที่ตรวจสอบแล้ว ไม่สมมติว่าออบเจ็กต์กู้คืนอัตโนมัติได้
ตั้งค่าการอนุมัติสำหรับการดำเนินการกลุ่ม
ดูการตั้งค่าทั้งหมดใน กฎอนุมัติการดำเนินการโดเมน AD
- หากองค์กรกำหนดให้ การสร้างกลุ่ม การเปลี่ยนสมาชิกโดยตรงและกลุ่มแม่โดยตรง การย้ายและลบ ต้องอนุมัติ ให้เปิด Audit Events > Platform Operations > Operation Audit > Approval rule ใน AD Domain Management และตรวจกฎที่เปิดใช้งานกับแม่แบบอนุมัติการดำเนินการโดเมน AD ที่เหมาะสม ตรวจแต่ละการดำเนินการ โดเมน จำนวนเป้าหมาย บทบาทผู้ขอ ลำดับความสำคัญและผู้อนุมัติ ใช้กฎเดิมหากเหมาะสม และให้ผู้มีสิทธิ์สร้างหรือปรับเฉพาะเมื่อจำเป็นตามบทกฎ
- เงื่อนไขที่ระบุต้องตรงทั้งหมด หากไม่ระบุโดเมนหรือบทบาทผู้ขอจะไม่จำกัดเงื่อนไขนั้น เมื่อเลือกหลายบทบาท ผู้ขอมีบทบาทที่เลือกและเปิดใช้งานเพียงหนึ่งบทบาทก็พอ ให้ลบหรือแทนบทบาทที่ใช้ไม่ได้ก่อนบันทึก หากตรงหลายกฎจะพิจารณาตัวเลขสูงกว่าก่อน หลังแก้ไขให้บันทึกและทดสอบทั้งกรณีที่ต้องและไม่ต้องอนุมัติด้วยออบเจ็กต์ที่ควบคุม พร้อมตรวจผลอนุมัติและการดำเนินการในไดเรกทอรี การดำเนินการที่ไม่ตรงกฎที่เปิดใช้งานจะเข้าสู่การดำเนินการโดยตรง ไม่รออนุมัติโดยอัตโนมัติ ประเมินผลกระทบและเตรียมการกู้คืนก่อนทดสอบ
ค้นหาและสร้างกลุ่ม
- เปิดหน้ากลุ่ม เลือกโดเมนต้นทางและกรองด้วยคำค้น ประเภทหรือขอบเขตตามต้องการ ตรวจชื่อและข้อมูลไดเรกทอรี รายการขึ้นกับการซิงโครไนซ์ หากไม่พบกลุ่มให้ตรวจขอบเขตและผลล่าสุด
- เลือก Create group (สร้างกลุ่ม) เลือกโดเมนเป้าหมายและหน่วยองค์กรหรือคอนเทนเนอร์หลักหนึ่งรายการ ระบุชื่อและชื่อล็อกอิน พร้อมชื่อแสดงตามต้องการ
- เลือกขอบเขตและประเภทกลุ่มในส่วนประเภทและคำอธิบาย เพิ่มคำอธิบายตามจำเป็น ค่าเริ่มต้นเป็น global และ security แต่ต้องตรวจความเหมาะสมกับโดเมนจริง ไม่สมมติว่าเหมาะกับทุกกรณี
- ตรวจโดเมน ตำแหน่งและข้อมูลกลุ่มแล้วส่งตามคำแนะนำ หากต้องอนุมัติให้ติดตามในส่วนอนุมัติโดเมน AD มิฉะนั้นติดตามการดำเนินการตามหน้าจอ รอผลไดเรกทอรีแล้วค้นหาและตรวจสถานะอีกครั้ง การส่งหรืออนุมัติไม่ยืนยันการสร้างสำเร็จ
เปลี่ยนคุณสมบัติ ความสัมพันธ์ และตำแหน่ง
- เปิดรายละเอียดจัดการกลุ่มและตรวจข้อมูลไดเรกทอรีปัจจุบัน ปรับคุณสมบัติที่อนุญาตในข้อมูลกลุ่มหรือ Type and scope (ประเภทและขอบเขต) แล้วบันทึก การเปลี่ยนประเภทหรือขอบเขตอาจกระทบสมาชิกและการเข้าถึง จึงต้องประเมินและปฏิบัติตามการตรวจสอบจริงของ AD เป้าหมาย
- เปิด Group relationships (ความสัมพันธ์กลุ่ม) และรออ่านความสัมพันธ์โดยตรง ในสมาชิกโดยตรงให้ตรวจและเลือกผู้ใช้ กลุ่ม คอมพิวเตอร์ หรือผู้ติดต่อที่จะเพิ่มหรือลบ ส่วนกลุ่มหลักโดยตรงใช้จัดการกลุ่มที่กลุ่มนี้สังกัดโดยตรง ทั้งสองมีทิศทางต่างกัน ชื่อช่องในหน้าจอคือ Direct members และ Direct parent groups ตามลำดับ
- บันทึกสมาชิกโดยตรงและกลุ่มหลักโดยตรงด้วยคำสั่งของแต่ละส่วนแยกกัน หากแก้ทั้งสองส่วนต้องตรวจ บันทึก และติดตามแยกกัน การบันทึกส่วนหนึ่งไม่ส่งอีกส่วน ปุ่มที่ใช้ตามลำดับคือ Save members และ Save parent groups
- หากย้าย ให้ตรวจตำแหน่งปัจจุบันและเป้าหมายใน Directory location (ตำแหน่งไดเรกทอรี) เลือกปลายทางและส่ง ยืนยันและติดตามการอนุมัติหรือการดำเนินการของสมาชิก กลุ่มหลักและตำแหน่งแต่ละรายการ หลังเสร็จอ่านไดเรกทอรีใหม่ ตรวจความสัมพันธ์และตำแหน่งจริง ส่วนการสืบทอดทางอ้อมและการเข้าถึงสุดท้ายต้องตรวจแยกในสภาพแวดล้อมเป้าหมาย
- หากแจ้งว่าออบเจ็กต์หรือความสัมพันธ์เปลี่ยน อ่านไม่สำเร็จ หรือต้องรีเฟรช ให้โหลดข้อมูลล่าสุด ตรวจการเปลี่ยนของผู้ดูแลอื่นและผลที่ต้องการก่อนส่ง ไม่ใช้ข้อมูลเก่า
ลบและแก้ไขปัญหา
- ลบกลุ่ม: ตรวจโดเมน สมาชิกโดยตรง กลุ่มหลักและการพึ่งพาของแอป ประเมินผลธุรกิจและเตรียมกู้คืน เลือกลบ ยืนยัน และติดตามการอนุมัติกับผลไดเรกทอรีจริง อย่าสมมติว่ากู้คืนอัตโนมัติ
- ไม่พบกลุ่ม: ตรวจโดเมนต้นทาง ตัวกรอง ขอบเขตซิงโครไนซ์ สถานะงานและการเชื่อมต่อ รายการที่ซิงโครไนซ์กับรายละเอียดปัจจุบันอาจต่างกัน
- สร้างหรือแก้แล้วไม่เห็นทันที: ตรวจว่ายังอนุมัติหรือดำเนินการอยู่และดูบันทึกในเหตุการณ์ตรวจสอบส่วนการดำเนินการแพลตฟอร์ม ตรวจไดเรกทอรีเมื่อได้สถานะสุดท้าย ไม่ส่งซ้ำหลายครั้ง
- เลือกสมาชิกหรือบันทึกไม่ได้: ตรวจเป้าหมาย ประเภทและขอบเขตกลุ่ม สิทธิ์และการเชื่อมต่อ รวมถึงข้อจำกัดจริงของ AD เป้าหมาย
- ไม่เข้าสู่การอนุมัติตามคาด: ตรวจกฎที่เปิดใช้ การดำเนินการ โดเมน จำนวนเป้าหมาย บทบาท ลำดับ และแม่แบบ หากไม่ตรงอาจดำเนินการโดยตรง
- ลบหรือย้ายล้มเหลว: ตรวจสถานะออบเจ็กต์ สมาชิกและกลุ่มหลัก สิทธิ์และข้อความ ติดต่อผู้ดูแลไดเรกทอรีเมื่อจำเป็น ไม่เลี่ยงการป้องกัน
วันที่อัปเดต