Privilèges et autorisations minimaux requis

    Aperçu

    Par défaut, ADSelfService Plus fonctionne parfaitement lorsque le compte de service configuré est membre du groupe Domain Admins.

    Dans les environnements qui suivent le principe du moindre privilège, vous pouvez utiliser à la place un compte de service délégué qui possède uniquement les autorisations requises pour les fonctionnalités que vous activez.

    Note : Si vous ne fournissez pas les détails d’authentification lors de l’ajout de domaines, ADSelfService Plus acquiert les privilèges de l’une des manières suivantes : Si ADSelfService Plus est installé pour s’exécuter en tant qu’application console et qu’aucun identifiant n’est spécifié, il utilise les autorisations du compte utilisateur qui a installé le produit. Si ADSelfService Plus est installé pour s’exécuter en tant que service et qu’aucun identifiant n’est spécifié, il utilise les autorisations du compte configuré pour exécuter le service.

    Exigences en matière d’autorisations par fonctionnalité

    FonctionnalitéAutorisations minimales requises
    Réinitialisation de mot de passe en libre-serviceRéinitialiser le mot de passe, Lire pwdLastSet et Écrire pwdLastSet sur les objets utilisateur
    Déblocage de compte en libre-serviceLire lockoutTime et Écrire lockoutTime sur les objets utilisateur
    Auto-mise à jour des attributs utilisateurLire et Écrire sur les attributs utilisateur requis
    Afficher la politique de mot de passe à granularité fineLire les objets msDS-PasswordSettings et les objets msDS-PasswordSettingsContainer
    Abonnement aux groupes de messagerie en libre-serviceLire les Membres et Écrire les Membres sur les objets groupe
    Authentification unique NTLMCréer et Lire les objets ordinateur
    Forcer l'inscription via un script de connexionLire scriptPath et Écrire scriptPath sur les objets utilisateur
    Voir le rapport des utilisateurs supprimésAppartenance au groupe Domain Admins
    Installation de l’agent de connexionAppartenance au groupe Domain Admins
    Configuration du basculementAppartenance au groupe Domain Admins
    Note : Le compte de service mentionné ici est le compte configuré sur la page Domain Settings.
    privilèges et permissions requis active directory 1

    Fig 1 : Page de configuration du domaine avec les identifiants du compte de service

    Attribution des autorisations pour toutes les fonctionnalités

    Si vous souhaitez activer toutes les fonctionnalités standard d’ADSelfService Plus (réinitialisation de mot de passe, déverrouillage de compte, auto-mise à jour et NTLM SSO) sans utiliser un compte Domain Admin, déléguez les autorisations listées ci-dessous au compte de service ADSelfService Plus.

    Étape 1 : Déléguer la gestion des utilisateurs

    1. Ouvrez Active Directory Users and Computers (ADUC).
    2. Cliquez avec le bouton droit sur le domaine ou l’OU cible et sélectionnez Delegate Control.
    privilèges et permissions requis active directory 2

    Fig 2 : Sélection de Delegate Control dans Active Directory Users and Computers

    1. Cliquez sur Next à l’écran d’accueil.
    privilèges et permissions requis active directory 3

    Fig 3 : Page d’accueil de l’assistant Delegation of Control

    1. Cliquez sur Add, sélectionnez le compte utilisateur ou le compte de service, puis cliquez sur OK. Then cliquez sur Next.
    privilèges et permissions requis active directory 4

    Fig 4 : Ajout du compte de service ADSelfService Plus

    1. Select Déléguez les tâches courantes suivantesand enable the following options:
      • Réinitialiser les mots de passe utilisateur et forcer le changement de mot de passe à la prochaine connexion
      • Lire toutes les informations utilisateur
      • Modifier l’appartenance à un groupe
    privilèges et permissions requis active directory 5

    Fig 5 : Sélection des tâches courantes de délégation

    1. Cliquez sur Finish.

    Étape 2 : Déléguer les modifications d’attributs

    1. Répétez les étapes 1-4 listées à l'Étape 1.
    2. Sélectionnez Créer une tâche personnalisée à déléguer et cliquez sur Suivant.
    privilèges et permissions requis active directory 6

    Fig 6 : Choix d'une tâche de délégation personnalisée

    1. Sélectionnez Uniquement les objets suivants dans le dossier.
    2. Cochez Objets Utilisateur dans la liste et cliquez sur Suivant.
    privilèges et permissions requis active directory 7

    Fig 7 : Sélection des objets Utilisateur pour la délégation

    1. Cochez Général et spécifique à la propriété.
    2. Accordez les permissions Lecture et Écriture pour les attributs spécifiques que les utilisateurs sont autorisés à mettre à jour (par exemple, mobile, département).
    privilèges et permissions requis active directory 8

    Fig 8 : Attribution des permissions de lecture et d’écriture pour les attributs utilisateur

    1. Cliquez sur Finish.

    Étape 3 : Déléguer les permissions NTLM SSO

    1. Répétez les étapes 1-4 listées à l'Étape 1.
    2. Sélectionnez Créer une tâche personnalisée à déléguer et cliquez sur Suivant.
    3. Sélectionnez Uniquement les objets suivants dans le dossier.
    4. Sélectionnez Objets Ordinateur dans la liste et cochez Créer les objets sélectionnés dans ce dossier. Cliquez sur Suivant.
    privilèges et permissions requis active directory 9

    Fig 9 : Sélection des objets Ordinateur pour la délégation NTLM SSO

    1. Sélectionnez Général. Sous Permissions, cochez Lecture et cliquez sur Suivant.
    privilèges et permissions requis active directory 10

    Fig 10 : Attribution des permissions de lecture sur les objets Ordinateur pour la délégation NTLM SSO

    1. Cliquez sur Finish.

    Étape 4 : Déléguer la visibilité de la politique de mot de passe

    1. Répétez les étapes 1-4 listées à l'Étape 1.
    2. Sélectionnez Créer une tâche personnalisée à déléguer et cliquez sur Suivant.
    3. Sélectionnez Uniquement les objets suivants dans le dossier.
    4. Cochez les objets msDS-PasswordSettings et msDS-PasswordSettingsContainer dans la liste, puis cliquez sur Suivant.
    privilèges et permissions requis active directory 11

    Fig 11 : Sélection des objets de paramètres de mot de passe

    1. Cochez la case Général. Sous Permissions, cochez Lecture et cliquez sur Suivant.
    privilèges et permissions requis active directory 12

    Fig 12 : Attribution de la permission de lecture pour la visibilité de la politique de mot de passe

    1. Cliquez sur Terminer.

    Attribution des permissions spécifiques aux fonctionnalités

    Si vous ne nécessitez que des fonctionnalités spécifiques, suivez les étapes de délégation ci-dessous pour la capacité concernée.

    Réinitialisation de mot de passe en libre-service

    1. Dans ADUC, faites un clic droit sur le domaine ou l’OU cible et sélectionnez Delegate Control.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Ajouter et sélectionnez le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Suivant.
    4. Sélectionnez Créer une tâche personnalisée à déléguer, puis cliquez sur Suivant.
    5. Cochez Uniquement les objets suivants dans le dossier. Sélectionnez Objets Utilisateur dans la liste, puis cliquez sur Suivant.
    privilèges et permissions requis active directory 13

    Fig 13 : Sélection des objets Utilisateur pour la délégation de réinitialisation de mot de passe

    1. Cochez les cases Général et spécifique à la propriété.
    2. Sous Permissions, cochez les cases Réinitialiser le mot de passe, Lire pwdLastSet, et Écrire pwdLastSet, puis cliquez sur Suivant.
    privilèges et permissions requis active directory 14

    Fig 14 : Attribution des permissions de réinitialisation de mot de passe

    1. Cliquez sur Terminer.

    Déblocage de compte en libre-service

    1. Dans ADUC, faites un clic droit sur le domaine ou l’OU cible et sélectionnez Delegate Control.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Ajouter et sélectionnez le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Suivant.
    4. Sélectionnez Créer une tâche personnalisée à déléguer, et cliquez sur Suivant.
    5. Sélectionnez Uniquement les objets suivants dans le dossier. Sélectionnez Objets Utilisateur dans la liste, puis cliquez sur Suivant.
    privilèges et permissions requis active directory 15

    Fig 15 : Sélection des objets Utilisateur pour la délégation de déverrouillage de compte

    1. Décochez General et cochez Property-specific.
    2. Sous Permissions, cochez Read lockoutTime et Write lockoutTime, puis cliquez sur Next.
    privilèges et permissions requis active directory 16

    Fig 16 : Attribution des permissions lockoutTime

    1. Cliquez sur Terminer.

    Auto-mise à jour du répertoire

    1. Dans ADUC, faites un clic droit sur le domaine ou l’OU cible et sélectionnez Delegate Control.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Ajouter et sélectionnez le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Suivant.
    4. Sélectionnez Créer une tâche personnalisée à déléguer, et cliquez sur Suivant.
    5. Sélectionnez Uniquement les objets suivants dans le dossier. Sélectionnez Objets Utilisateur dans la liste, puis cliquez sur Suivant.
    privilèges et permissions requis active directory 17

    Fig 17 : Sélection des objets User pour la délégation d’auto-mise à jour

    1. Cochez le General.
    2. Sous Permissions, cochez le Read et le Write. Vous pouvez également attribuer des permissions Read et Write pour des attributs spécifiques qui doivent être disponibles. Cliquez sur Next.
    privilèges et permissions requis active directory 18

    Fig 18 : Attribution des permissions de lecture et d’écriture pour l’auto-mise à jour

    1. Cliquez sur Finish.

    Afficher la politique de mot de passe à granularité fine

    1. Dans ADUC, faites un clic droit sur le domaine ou l’OU cible et sélectionnez Delegate Control.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Ajouter et sélectionnez le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Suivant.
    4. Sélectionnez Créer une tâche personnalisée à déléguer, puis cliquez sur Suivant.
    5. Cochez Only the following objects in the folder. Sélectionnez les objets msDS-PasswordSettings et msDS-PasswordSettingsContainer dans la liste, puis cliquez sur Next.
    privilèges et permissions requis active directory 19

    Fig 19 : Sélection des objets de paramètres de mot de passe pour l’affichage de la politique

    1. Cochez la case General.
    2. Sous Permissions, sélectionnez Read et cliquez sur Next.
    privilèges et permissions requis active directory 20

    Fig 20 : Attribution de la permission de lecture pour l’affichage de la politique de mot de passe

    1. Cliquez sur Terminer.

    Abonnement aux groupes de messagerie en libre-service

    1. Dans ADUC, cliquez avec le bouton droit sur le domaine ou l’OU souhaité, puis sélectionnez Delegate Control dans le menu contextuel.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Add pour sélectionner le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Next.
    4. Sélectionnez Créer une tâche personnalisée à déléguer, puis cliquez sur Suivant.
    5. Cochez Only the following objects in the folder. Sélectionnez les objets Group dans la liste, puis cliquez sur Next.
    privilèges et permissions requis active directory 21

    Fig 21 : Sélection des objets Group pour l’abonnement au groupe de messagerie

    1. Décochez General et cochez Property-specific.
    2. Sous Permissions, cochez les cases Read members et Write members, puis cliquez sur Next.
    privilèges et permissions requis active directory 22

    Fig 22 : Attribution des permissions sur l’attribut Members

    1. Cliquez sur Terminer.

    Synchronisation des objets AD avec ADSelfService Plus

    Pour synchroniser les objets AD avec ADSelfService Plus sans erreurs :

    1. Ouvrez la console ADUC, cliquez avec le bouton droit sur le domaine ou l’OU souhaité, puis sélectionnez Properties.
    2. Dans l’onglet Security, cliquez sur Add pour sélectionner le compte utilisateur ou de service ADSelfService Plus.
    3. Dans la section Permissions, autorisez Replicating Directory Changes.
    4. Cliquez sur OK.
    privilèges et permissions requis active directory 23

    Fig 23 : Activation de la permission Replicating Directory Changes

    Authentification unique à ADSelfService Plus via NTLMv2

    1. Dans ADUC, cliquez avec le bouton droit sur le domaine ou l’OU souhaité, puis sélectionnez Delegate Control dans le menu contextuel.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Add pour sélectionner le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Next.
    4. Sélectionnez Créer une tâche personnalisée à déléguer et cliquez sur Suivant.
    5. Sélectionnez Uniquement les objets suivants dans le dossier.
    6. Dans la liste donnée, sélectionnez les objets Computer et Create selected objects in this folder, puis cliquez sur Next.
    7. Cochez la case General.
    8. Sous Permissions, cochez Read et cliquez sur Next.
    9. Cliquez sur Terminer.

    Forcer l’enregistrement via un script de connexion

    Pour obliger les utilisateurs à s’enregistrer dans ADSelfService Plus en modifiant le chemin du script de connexion :

    1. Ouvrez ADUC, cliquez avec le bouton droit sur le domaine ou l’OU souhaité, puis sélectionnez Delegate Control dans le menu contextuel.
    2. Cliquez sur Suivant dans la boîte de dialogue d’accueil.
    3. Cliquez sur Add pour sélectionner le compte utilisateur ADSelfService Plus ou le compte de service, puis cliquez sur OK. Cliquez sur Next.
    4. Sélectionnez Créer une tâche personnalisée à déléguer et cliquez sur Suivant.
    5. Sélectionnez Only the following objects in the folder. Cochez les objets User dans la liste, puis cliquez sur Next.
    6. Décochez General et cochez Property-specific.
    7. Sous Permissions, cochez Read scriptPath et Write scriptPath, puis cliquez sur Next.
    privilèges et autorisations requis active directory 24

    Fig 24 : Attribution des permissions scriptPath pour forcer l’enregistrement

    1. Cliquez sur Terminer.

    Fonctionnalités nécessitant l’appartenance au groupe Domain Admin

    Voir le rapport des utilisateurs supprimés

    La condition minimale pour consulter ce rapport est l’appartenance au groupe Domain Admin, car l’accès à AD Recycle Bin ou aux objets Tombstone nécessite des privilèges élevés.

    Installation de l’agent de connexion Windows (GINA)

    Les privilèges Domain Admin sont requis pour déployer l’installation via la console ADSelfService Plus. Si vous ne pouvez pas fournir les identifiants Domain Admin, installez l’agent de connexion manuellement en utilisant Group Policy Objects (GPO) ou SCCM. Cette méthode ne nécessite aucun privilège élevé dans l’application ADSelfService Plus.

    Configuration du basculement

    Les privilèges Domain Admin sont requis uniquement lors de la configuration initiale. Après la configuration, vous pouvez passer à un lower-privileged service account.

    Privilèges du compte de service pour exécuter le service ADSelfService Plus

    Le compte de service mentionné ici est le compte configuré dans l’onglet Log On sous les Properties du service ADSelfService Plus.

    privilèges et autorisations requis active directory 25

    Fig 25 : Configuration du compte de service ADSelfService Plus

    Permissions du dossier local du serveur

    Le compte de service exécutant l’application et le compte utilisateur local utilisé pour lancer l’application doivent avoir les permissions Full Control sur le répertoire d’installation d’ADSelfService Plus (Par défaut : C:\Program Files\ManageEngine\ADSelfService Plus).

    Le fait de ne pas accorder ces permissions empêchera :

    • Les mises à jour du Service Pack.
    • La génération de rapports.
    • Démarrage du produit
    • L’application de la licence produit
    • Les sauvegardes et restaurations de base de données.
    • La synchronisation des photos des employés.
    • Les options d’auto-mise à jour
    • Les mises à jour des graphiques du tableau de bord.

    Environnement de basculement

    Si vous passez à un compte de service avec des privilèges inférieurs après avoir terminé la configuration initiale du basculement, le compte de service doit avoir les permissions Share pour assurer un partage de dossier ininterrompu entre les deux instances.

    Configuration de la base de données MS SQL

    Lorsqu’une base de données Microsoft SQL externe est utilisée, le compte de service configuré pour exécuter le service doit avoir un accès de connexion au serveur SQL ainsi que les privilèges requis (db_owner, bulkadmin).