จัดการผู้ใช้โดเมน AD
หน้าผู้ใช้ในการจัดการโดเมน AD ใช้ดูผู้ใช้ไดเรกทอรีที่ซิงโครไนซ์แล้ว และเมื่อมีสิทธิ์สามารถสร้าง แก้ไข เปิดใช้ ปิดใช้ ปลดล็อก หรือรีเซ็ตรหัสผ่านได้ การดำเนินการกระทบบัญชีไดเรกทอรีจริง ไม่ใช่การจัดการบัญชีผู้ดูแล Ping64 หรือผู้ใช้ภายในของระบบอัตลักษณ์รวม การส่งงาน อนุมัติ และดำเนินการในไดเรกทอรีสำเร็จเป็นคนละสถานะ
ป้ายภาษาอังกฤษด้านล่างเป็นชื่อหน้าจอที่ตรวจสอบแล้วพร้อมคำอธิบายภาษาไทย
การเตรียมการ
- ตรวจสิทธิ์ผู้ดูแลในการดู เขียน หรือดำเนินการโดเมน AD ให้ครบ ตั้งค่าการเชื่อมต่อและขอบเขตซิงโครไนซ์ แล้วตรวจสถานะโดเมน ผลซิงโครไนซ์ สิทธิ์บริการไดเรกทอรี และเครือข่าย
- ยืนยันตัวบุคคล โดเมนต้นทาง ตำแหน่งไดเรกทอรี และสิทธิ์อนุมัติการเปลี่ยนแปลง การเปิดปิด ปลดล็อก และรีเซ็ตรหัสผ่านอาจกระทบการเข้าสู่ระบบหรือธุรกิจ จึงต้องประเมินผลและยืนยันตัวตนก่อน
- รหัสผ่านต้องตรงนโยบายจริงของโดเมนเป้าหมายและส่งผ่านช่องทางปลอดภัยที่องค์กรอนุมัติ ไม่บันทึกในทิกเก็ตทั่วไป แชต หรือเอกสารสาธารณะ
- ตรวจเส้นทางอนุมัติและดำเนินการด้วยโดเมนทดสอบและบัญชีที่ควบคุมก่อน หลีกเลี่ยงการเปลี่ยนบัญชีใช้งานจริงโดยไม่จำเป็นเพื่อทดสอบ
ตั้งค่าการอนุมัติสำหรับการดำเนินการผู้ใช้
ดูการตั้งค่าทั้งหมดใน กฎอนุมัติการดำเนินการโดเมน AD
- หากองค์กรกำหนดให้ การสร้าง ปิดใช้งาน และรีเซ็ตรหัสผ่านผู้ใช้ ต้องอนุมัติ ให้เปิด Audit Events > Platform Operations > Operation Audit > Approval rule ใน AD Domain Management และตรวจกฎที่เปิดใช้งานกับแม่แบบอนุมัติการดำเนินการโดเมน AD ที่เหมาะสม ตรวจแต่ละการดำเนินการ โดเมน จำนวนเป้าหมาย บทบาทผู้ขอ ลำดับความสำคัญและผู้อนุมัติ ใช้กฎเดิมหากเหมาะสม และให้ผู้มีสิทธิ์สร้างหรือปรับเฉพาะเมื่อจำเป็นตามบทกฎ
- เงื่อนไขที่ระบุต้องตรงทั้งหมด หากไม่ระบุโดเมนหรือบทบาทผู้ขอจะไม่จำกัดเงื่อนไขนั้น เมื่อเลือกหลายบทบาท ผู้ขอมีบทบาทที่เลือกและเปิดใช้งานเพียงหนึ่งบทบาทก็พอ ให้ลบหรือแทนบทบาทที่ใช้ไม่ได้ก่อนบันทึก หากตรงหลายกฎจะพิจารณาตัวเลขสูงกว่าก่อน หลังแก้ไขให้บันทึกและทดสอบทั้งกรณีที่ต้องและไม่ต้องอนุมัติด้วยออบเจ็กต์ที่ควบคุม พร้อมตรวจผลอนุมัติและการดำเนินการในไดเรกทอรี การดำเนินการที่ไม่ตรงกฎที่เปิดใช้งานจะเข้าสู่การดำเนินการโดยตรง ไม่รออนุมัติโดยอัตโนมัติ ประเมินผลกระทบและเตรียมการกู้คืนก่อนทดสอบ
ดูและสร้างผู้ใช้
- เปิดหน้าผู้ใช้ ค้นหาตามโดเมนต้นทางหรือคำค้น แล้วตรวจชื่อแสดง ชื่อล็อกอิน และตำแหน่งไดเรกทอรี รายการขึ้นกับการซิงโครไนซ์ หากไม่พบให้ตรวจโดเมน ขอบเขต ตัวกรอง และผลล่าสุด ไม่สรุปว่าไม่มีในไดเรกทอรีจริงจากรายการเพียงอย่างเดียว
- เลือก Create user (สร้างผู้ใช้) เลือกโดเมนเป้าหมายและหน่วยองค์กรหรือคอนเทนเนอร์หลักหนึ่งรายการ ระบุชื่อแสดง ชื่อล็อกอิน และ User principal name (ชื่อหลักผู้ใช้) พร้อมข้อมูลองค์กรและติดต่อที่จำเป็น
- ในการตั้งค่ารหัสผ่านและสถานะ ตัดสินใจเปิดใช้หลังสร้างหรือไม่ หากเปิดใช้ต้องระบุรหัสผ่านเริ่มต้นที่ตรงนโยบายโดเมน เลือกว่าต้องเปลี่ยนเมื่อเข้าสู่ระบบครั้งถัดไปตามข้อกำหนดองค์กร
- ตรวจโดเมน ตำแหน่ง ข้อมูลบัญชีและสถานะ แล้วส่งตามคำแนะนำ หากเข้าสู่การอนุมัติให้ติดตามในส่วนอนุมัติโดเมน AD มิฉะนั้นติดตามการดำเนินการตามหน้าจอ หลังอนุมัติยังต้องรอผลจาก AD
- หลังเสร็จตรวจผู้ใช้และสถานะบัญชีอีกครั้ง หากล้มเหลวตรวจการเชื่อมต่อ ตำแหน่ง สิทธิ์ ชื่อบัญชี และนโยบายรหัสผ่านของโดเมน แล้วดำเนินการตามข้อความจริง
เปิดใช้ ปิดใช้ ปลดล็อก และรีเซ็ตรหัสผ่าน
- รายบุคคล: ค้นหาผู้ใช้ เลือกการดำเนินการและยืนยัน ก่อนปิดใช้ตรวจผลกระทบธุรกิจ ก่อนปลดล็อกตรวจสาเหตุ การปลดล็อกซ้ำไม่ใช่การแก้ปัญหาข้อมูลรับรอง
- เปิดหรือปิดแบบชุด: เลือกเป้าหมายและคำสั่งแบบชุด หนึ่งชุดเลือกได้เฉพาะผู้ใช้จากโดเมนต้นทางเดียวกัน ตรวจโดเมนและจำนวนก่อนส่ง หากสำเร็จบางส่วนให้ตรวจผลสำเร็จและล้มเหลวทีละรายการก่อนตัดสินใจ
- รีเซ็ตรหัสผ่าน: เปิดรายละเอียดจัดการผู้ใช้ในส่วนการดำเนินการความเสี่ยงสูง ระบุรหัสใหม่ที่ตรงนโยบายโดเมน เลือกว่าต้องเปลี่ยนเมื่อเข้าสู่ระบบครั้งถัดไป ตรวจผู้ใช้และโดเมนแล้วส่ง ติดตามการยืนยัน การอนุมัติ หรือการดำเนินการตามคำแนะนำ รอผลและแจ้งผู้ใช้ผ่านช่องทางปลอดภัย
ติดตามและแก้ไขปัญหา
- ส่งอนุมัติแล้ว: ตรวจความคืบหน้าในส่วนอนุมัติโดเมน AD และตรวจผลไดเรกทอรีหลังอนุมัติ การอนุมัติไม่เท่ากับงานสำเร็จ
- กำลังดำเนินการ: ตรวจ Operation records (บันทึกการดำเนินการ) ในการดำเนินการแพลตฟอร์มของเหตุการณ์ตรวจสอบ อย่าส่งซ้ำเพียงเพราะรอนาน
- สำเร็จบางส่วนหรือออบเจ็กต์เปลี่ยน: ตรวจผลรายรายการ หากแจ้งว่าเปลี่ยนให้โหลดข้อมูลล่าสุด ยืนยันเป้าหมายก่อนส่งใหม่
- ไม่เข้าสู่การอนุมัติตามคาด: ตรวจสถานะกฎ การดำเนินการ โดเมน จำนวน บทบาท ลำดับ และแม่แบบ หากไม่ตรงอาจดำเนินการโดยตรง
- ดำเนินการล้มเหลว: ตรวจสิทธิ์ การเชื่อมต่อโดเมน สถานะเป้าหมายและข้อความ สำหรับรหัสผ่านให้ตรวจนโยบายโดเมนด้วย และติดต่อผู้ดูแลไดเรกทอรีเมื่อจำเป็น
วันที่อัปเดต