INSTALLATION UND KONFIGURATION Handbuch - … · 2 Haftungsausschluss Die in diesem Handbuch...

INSTALLATION UND KONFIGURATION HANDBUCH

Version 5.0

2

Haftungsausschluss

Die in diesem Handbuch gemachten Angaben können sich jederzeit ohne

vorherige Ankündigung ändern und gelten als nicht rechtsverbindlich. Die

beschriebene Software 8MAN wird von protected-networks.com im Rahmen

einer Nutzungsvereinbarung zur Verfügung gestellt und darf nur in

Übereinstimmung mit dieser Vereinbarung eingesetzt werden. Dieses

Dokument darf ohne die vorherige schriftliche Erlaubnis von protected-

networks.com weder ganz noch teilweise in irgendeiner Form reproduziert,

übermittelt oder übersetzt werden, sei es elektronisch, mechanisch, manuell

oder optisch. Dieses Dokument ist in einer Einheit zu denen auf der Website

von protected-networks.com veröffentlichten rechtlichen Hinweisen AGB,

EULA und der Datenschutzerklärung zu sehen.

Urheberrecht

8MAN ist eine geschützte Bezeichnung für ein Programm und die

entsprechenden Dokumente, dessen Urheberrechte bei protected-

networks.com GmbH liegen. Marken und geschäftliche Bezeichnungen sind –

auch ohne besondere Kennzeichnung – Eigentum des jeweiligen

Markeninhabers.

3

Teil A -Installation- ................................................................................................................................................. 5

Teil B -Konfiguration- ............................................................................................................................................. 8

1 Erste Schritte nach der Installation ................................................................................................................ 8

Login 8MAN Konfiguration .................................................................................................................... 8 1.1

Basiskonfiguration ................................................................................................................................. 9 1.2

Lizenz laden ......................................................................................................................................... 12 1.3

8MAN Konfigurationsansicht .............................................................................................................. 13 1.4

Verschlüsselung der 8MAN Netzwerkkommunikation ....................................................................... 15 1.5

2 Scans ............................................................................................................................................................ 17

AD-Scan- und Ressourcenkonfiguration ............................................................................................. 17 2.1

FS-Scan- und Ressourcenkonfiguration ............................................................................................... 25 2.2

Logga ................................................................................................................................................... 30 2.3

SharePoint ........................................................................................................................................... 42 2.4

Exchange ............................................................................................................................................. 49 2.5

vSphere ............................................................................................................................................... 59 2.6

Lokale Konten ...................................................................................................................................... 61 2.7

Jobsliste ............................................................................................................................................... 64 2.8

3 Kollektoren ................................................................................................................................................... 65

Kollektorverbindung ............................................................................................................................ 65 3.1

Kollektoraktualisierung ....................................................................................................................... 66 3.2

Anmeldung für Kollektorinstallation ................................................................................................... 68 3.3

Kollektorinstallation ............................................................................................................................ 68 3.4

Kollektorentfernung ............................................................................................................................ 68 3.5

4 Ändern-Konfiguration .................................................................................................................................. 69

AD-Ändern-Konfiguration ................................................................................................................... 69 4.1

FS-Ändern-Konfiguration .................................................................................................................... 72 4.2

SharePoint- Ändern-Konfiguration ...................................................................................................... 78 4.3

5 Benutzerverwaltung..................................................................................................................................... 85

Benutzermanagement ........................................................................................................................ 85 5.1

Erweiterte Benutzerverwaltung .......................................................................................................... 86 5.2

6 Dateneigentümer ......................................................................................................................................... 87

Organisationskategorieeinstellungen ................................................................................................. 88 6.1

Dateneigentümer hinzufügen ............................................................................................................. 91 6.2

Verwendbare Ressourcen ................................................................................................................... 91 6.3

Einstellungen Ändern von Gruppenmitgliedschaften für Dateneigentümer ...................................... 92 6.4

7 Server ........................................................................................................................................................... 93

Autorisierung....................................................................................................................................... 93 7.1

Kommentare ....................................................................................................................................... 94 7.2

4

E-Mail .................................................................................................................................................. 94 7.3

Datenstand Speicherung ..................................................................................................................... 94 7.4

Server Schwellwerte............................................................................................................................ 95 7.5

Report ................................................................................................................................................. 95 7.6

Server Ereignis Protokollierung ........................................................................................................... 96 7.7

8 Server-Status ................................................................................................................................................ 97

Lizenzinformationen ........................................................................................................................... 97 8.1

Übersicht der angemeldeten Benutzer am 8MAN Server ................................................................... 98 8.2

9 8MAN starten............................................................................................................................................... 99

5

TEIL A -INSTALLATION-

Für die Installation von 8MAN sind die erforderlichen Systemanforderungen zu erfüllen (Teil A -Systemanforderungen-).

Der Computer auf dem der 8MAN Server installiert werden soll, muss in einer Windowsdomäne angemeldet sein und es

darf sich dabei nicht um ein standalone Computer handeln. Um die Installation zu beginnen starten Sie die Setup.exe Datei

als Administrator. Das Betriebssystem wird automatisch erkannt und im darauffolgenden Dialog können Sie wählen,

welche Sprache (Deutsch, Englisch oder Russisch) während der Installation verwendet werden soll. Die gewählte Sprache

wird als Standard für 8MAN und die 8MAN Konfiguration übernommen und kann später im Logindialog für 8MAN und die

8MAN Konfiguration geändert werden (Deutsch, Englisch, Russisch, Französisch, Spanisch und Serbisch).

„OK“ und es erscheint der Setupassistentendialog.

Mit „Zurück“ und „Weiter“ können Sie durch die Installationsschritte navigieren.

Um die Installation durchzuführen, müssen Sie den Lizenzvereinbarungen zustimmen.

6

Bitte wählen Sie die zu installierenden 8MAN Komponenten und den Speicherort für die Installation aus. Die Architektur

der 8MAN Komponenten (Zusammenarbeit und Funktion der Komponenten) ist im 8MAN Architekturdokument detailliert

beschrieben. Bei einer normalen Installation übernehmen Sie die voreingestellte Auswahl. Der 8MAN Server muss nur auf

einem Computer installiert werden und sollte zuerst installiert werden (auch bei Programmaktualisierungen). Danach

können Kollektoren und die Benutzeroberflächen auf beliebig vielen Computern installiert werden.

Auf Computern mit 8MAN Server kann kein Kollektor installiert werden. Auf Computern ohne 8MAN Server kann jeweils

nur ein Kollektor installiert werden. Beachten Sie, dass die Versionen von Server und Kollektoren gleich sein müssen. Es

wird empfohlen die Benutzeroberflächen 8MAN und die 8MAN Konfiguration zusammen mit dem 8MAN Server auf einen

Computer zu installieren. Sollten 8MAN und die 8MAN Konfiguration ab Version 4.6 separat auf verschiedenen Computern

installiert sein, dann laden diese ab Version 5 automatisch vom 8MAN Server und führen diese aus. Die existierende

Installation wird nicht gelöscht, aktualisiert oder verändert und die neuen Dateien werden in einem lokalen Verzeichnis

temporär gespeichert. Somit sind für die Aktualisierung keine administrativen Rechte nötig. Der Anmeldedialog zeigt die

original installierte Version, während anschließend die aktualisierte Anwendung ausgeführt wird.

„Installieren“ und die Installation wird gestartet.Die Installation erkennt eine bereits installierte Version und führt ein

Update bei einer älteren Version durch oder bricht die Installation ab, wenn bereits eine neuere Version installiert ist.

7

„Fertig stellen“ schließt die Installation ab und es öffnet sich der Logindialog für die 8MAN Konfiguration.

8

TEIL B -KONFIGURATION-

1 ERSTE SCHRITTE NACH DER INSTALLATION

Login 8MAN Konfiguration 1.1

Nach der Installation erscheint der Logindialog für die 8MAN Konfiguration automatisch.

Für manuelle Starts .

Standardmäßig werden für die Anmeldung die Benutzerdaten vom momentan auf dem 8MAN Server Computer

angemeldeten Benutzer übernommen. Alternativ kann man sich mit anderen Anmeldeinformationen anmelden.

Im aufgeklappten Erweiterte-Optionen / Sprachauswahl-Bereich ( ) ist es möglich, den 8MAN Server, den Port sowie

die Sprache für die 8MAN Konfiguration auszuwählen:

9

Hier geben Sie den Computernamen oder die IP-Adresse des Computers ein auf dem der 8MAN Server läuft. Wenn der

8MAN Server lokal läuft, geben Sie bitte „localhost“ ein. Die voreingestellte Portnummer ist 55555. Als Sprache können Sie

Deutsch, Englisch, Russisch, Französisch, Spanisch und Serbisch wählen. Wenn Sie die gewünschten Werte ausgewählt

haben „Anmelden“.

Basiskonfiguration 1.2

Die 8 MAN Konfiguration startet beim ersten Mal nach der Installation automatisch mit der Ansicht für die

Basiskonfiguration:

In der Basiskonfiguration konfigurieren Sie die Anmeldung für den 8MAN Server und den Microsoft SQL Server. Weitere

Informationen zu den einzelnen Bereichen der Basiskonfiguration können Sie unter „8MAN sagt!“ nachlesen.

1.2.1 8MAN Server Anmeldung

Der 8MAN Server ist ein Dienst, der mit lokalen System Berechtigungen läuft. Um sich am Microsoft SQL Server

anzumelden und im Active Directory Daten lesen zu können, benötigt der 8MAN Server Anmeldeinformationen. Die 8MAN

Server Anmeldung wird bei entsprechender Konfiguration bei der Anmeldung am Microsoft SQL Server verwendet.

Weiterhin werden diese Anmeldeinformationen auch standardmäßig bei neu zu konfigurierten Scans vorgeschlagen. Für

Scans können im Mein 8MAN Dashboard unter „Scans“ auch gesonderte Anmeldedaten eingegeben werden.

Der 1. Test überprüft automatisch nach Eingabe der Daten, ob die eingegebenen Daten für die 8MAN Server Anmeldung

10

korrekt sind. Wenn alles in Ordnung ist erscheint folgende Meldung:

1.2.2 SQL-Serverkonfiguration

In der SQL-Serverkonfiguration müssen der Microsoft SQL Server Name, die Microsoft SQL-Server Instanz, der SQL-

Datenbankname (keine Verwendung von Leerzeichen) und die Art der Anmeldung am SQL-Server festgelegt werden.

Standardmäßig ist für die SQL-Serverdatenbank das einfache Wiederherstellungsmodell eingestellt. Ein Wechsel zum

vollständigen Wiederherstellungsmodell ist erst nach der Erstkonfiguration möglich (Kap. 1.2.3).

Bei einem Haken in der Checkbox „Verwende Anmeldung des 8MAN-Servers (Windows Authentifizierung)“ werden die

Benutzerdaten die bei der 8MAN- Server Anmeldung eingegeben wurden, verwendet. Es ist auch möglich, die Microsoft

SQL Server eigene Benutzerverwaltung zu verwenden, tragen Sie dazu den Benutzernamen und das Passwort in die

entsprechenden Felder ein.

überprüft der 2. Test , ob die eingegebenen Daten für die SQL-Serveranmeldung korrekt sind. Wenn alles in

Ordnung ist erscheint folgende Meldung:

8MAN unterstützt auch Microsoft SQL Server 2005, 2008 oder 2012 in der Express Version. Der Microsoft SQL Server

Express ist in seiner Leistungsfähigkeit stark beschränkt (siehe Microsoft-Onlinehilfe). Bei einer Teststellung in größeren

Umgebungen ab ca. 500 Benutzern kann es deshalb notwendig werden, auf einen Standard MS SQL Server umzusteigen. Es

ist natürlich möglich einen bereits installierten Microsoft SQL Server zu verwenden.

Sobald alle Einstellungen vorgenommen wurden und der 1. und 2. Test erfolgreich waren, um die Konfiguration zu

speichern und „Ja“. im darauffolgenden Dialog:

11

Nun wird der 8MAN Server beendet und die 8MAN Konfiguration ist für ein paar Sekunden nicht mit dem 8MAN Server

verbunden.

Anschließend wird der 8MAN Server mit der neuen Konfiguration gestartet und die Erstkonfiguration ist beendet. Bei

Bedarf, z.B. beim Passwortablauf (Empfehlung: Verwendung von Benutzerkonten für 8MAN ohne zeitlichen Ablauf), Umzug

eines SQL-Datenbankservers oder Anlegung einer neuen SQL-Datenbank können die Daten in der Basiskonfiguration

geändert werden. Nach der Erstkonfiguration bzw. dem Anlegen einer neuen Datenbank wird standardmäßig ins Mein

8MAN Dashboard gewechselt:

Um 8MAN nutzen zu können müssen Sie als nächstes eine Lizenz laden (Kap. 1.3).

12

1.2.3 Wiederherstellungsmodell SQL-Datenbank

Das Wiederherstellungsmodell der SQL-Datenbank kann einfach oder vollständig sein. Das standardmäßig eingestellte und

von protected-networks.com empfohlene Wiederherstellungsmodell ist einfach. Um sich die Einstellungen für das

Wiederherstellungsmodell anzeigen zu lassen .

Wechsel zum vollständigen Wiederherstellungsmodell

Logdateien der Datenbank verkleinern

Alle Dateien der Datenbank verkleinern

Wechsel zum einfachen Wiederherstellungsmodell

Alle Dateien der Datenbank verkleinern.

Desweiteren werden Ihnen jetzt im Bereich Status der Konfiguration weitere Informationen zum Wiederherstellungsmodell

angezeigt.

Lizenz laden 1.3

13

Im Kapitel 8.1 ist beschrieben wie man eine Lizenz lädt.

8MAN Konfigurationsansicht 1.4

Mein 8MAN Dashboard Funktionen werden im Kap. 2 bis 8 erklärt.

Statusanzeige für

Vorgänge in 8MAN

Report Übersicht

(Kap. 1.4.1)

Abmelden Server

Schwellwerte

(Kap. 1.4.2)

Anmeldedaten

(Kap. 1.1)

14

1.4.1 Report Übersicht

Im Report-Übersicht-Dialog können Sie alle Reports ansehen, speichern oder löschen, welche auf dem 8Man Server

hinterlegt sind.

1.4.2 Server Schwellwerte

Im Server-Schwellwerte-Dialog erhalten Sie einen Überblick über die aktuellen Server Schwellwerte (Kap. 7.5)

15

Verschlüsselung der 8MAN Netzwerkkommunikation 1.5

Zur Verschlüsselung der Transportschicht mittels SSL-Verbindung für die 8MAN Netzwerkkommunikation müssen folgende

config.xml-Dateien unter C:\ProgramData\protected-networks.com\8MAN\cfg auf allen PCs mit 8MAN Komponenten

angelegt werden:

PC mit 8MAN PC mit 8MAN Konfiguration PC mit 8MAN Kollektor PC mit 8MAN Server

app8MAN.config.xml appConfig.config.xml pnCollector.config.xml

pnJob.config.xml

pnRun config.xml

pnService.config.xml

pnServiceInstaller.config.xml

pnJob.config.xml

pnRun config.xml

pnServer.config.xml

pnService.config.xml

pnServiceInstaller.config.xml

Sie können die erforderlichen Dateien, sofern diese nicht bereits vorhanden sind, aus dem Verzeichnis C:\Programme

\protected-networks.com\8MAN\etc kopieren und den Inhalt löschen. Beispiel für ein …\8Man\cfg-Verzeichnis mit

config.xml-Dateien für ein PC mit 8MAN Kollektor:

In den config.xml-Dateien mit gelöschtem Inhalt müssen folgende Zeilen eingefügt werden:

<?xml version="1.0" encoding="utf-8"?> <config> <network.useSecureChannels type=”System.Boolean”>true</network.useSecureChannels> </config>

Bei >true< ist die Verschlüsselung aktiviert bzw. bei >false< deaktiviert.

Für bereits im Verzeichnis …8MAN\cfg vorhandene config.xml-Dateien muss nur die Zeile <network.useSecureChannels

type=”System.Boolean”>true</network.useSecureChannels> im config-Abschnitt eingefügt werden.

Nach dem Speichern müssen alle auf dem PC laufenden 8MAN Komponenten geschlossen werden und der 8MAN Service

muss neugestartet werden.

16

Bei aktivierter Verschlüsselung sind Scans von Domänen ohne Vertrauensstellung nicht mehr möglich. Das heißt Sie

können nur bei deaktivierter Verschlüsselung Domänen ohne Vertrauensstellung scannen.

17

2 SCANS

In der Scankonfigurationsansicht können Sie Einstellungen für AD-, FS-, Logga (AD bzw. FS mit Überwachung)-, SharePoint-,

Exchange- und vSphere Scans vornehmen. Zusätzlich können Sie domänen- bzw. fileserverspezifische Einstellungen

vornehmen, die bei Berechtigungsänderungen mit 8MAN benötigt werden (Kap. 2.1.5 und 2.2.3). Die Konfigurationen

werden automatisch gespeichert.

Die Schaltflächen haben folgende Bedeutung:

Domänen- und

Kollektorauswahl

(Kap. 2.1.2)

SharePoint

(Kap. 2.4)

FS-Scan- und

Ressourcenkonfiguration

(Kap. 2.2)

Exchange

(Kap. 2.5)

Fileserver CSV Import

(Kap. 2.2.2.4)

vSphere

(Kap. 2.6)

Logga

(Kap. 2.3)

Lokale Konten

(Kap. 2.7)

AD-Scan- und Ressourcenkonfiguration 2.1

2.1.1 Scanvorbereitung für Domänen ohne Vertauensstellung

8MAN kann Domänen ohne Vertrauensstellung nur scannen, wenn die Verschlüsselung der 8MAN

Netzwerkkommunikation (Kap. 1.5) deaktiviert ist und die folgendende Scanvorbereitung durchgeführt wird. Zielstellung

dabei ist das Gewinnen von Berechtigungsinformationen von Objekten, die dem 8MAN Server bzw. innerhalb der Domäne

des 8MAN Servers nicht bekannt sind. Weitere Informationen für das Scannen der Domänen ohne Vertrauensstellung

werden an den entsprechenden Stellen im Kapitel 2.1 AD-Scan- und Ressourcenkonfiguration beschrieben.

18

2.1.1.1 Kollektorinstallation in der Domäne ohne Vetrauensstellung

Grundvoraussetzung für das Scannen einer Domäne ohne Vetrauensstellung ist die zusätzliche Installation eines 8MAN

Kollektors auf einem Host (z.B. Windows Fileserver) innerhalb der Domäne ohne Vertrauensstellung. Zu diesem Zweck

muss ein Kollektor (Teil A -Installation-) auf dem entfernten Host installiert werden. Der dadurch installierte Service

(pnCollector.exe) muss unter dem ‚Local System‘ Konto arbeiten. Um dem Kollektor eine Kommunikation zum 8MAN

Server ermöglichen zu können, ist es essentiell einen Eintrag in die hosts Datei vorzunehmen, der dafür sorgt, dass ein nicht

automatisch vorhandener Domain Name System (DNS) Eintrag für den 8MAN Server erzeugt wird. Der 8MAN Server muss

mit dem voll qualifizierten Namen und seiner IP Adresse benannt werden. Sollte sich die IP Adresse unter Umständen

ändern können, so muss der Eintrag manuell gepflegt werden.

2.1.1.2 Kollektorverbindung aus der Domäne ohne Vetrauensstellung

Im Kapitel 3 ist beschrieben wie man Kollektoren mit dem 8MAN Server verbindet. Für die Kollektorverbindung aus der

Domäne ohne Vertrauensstellung muss hierbei die IP Adresse (z. B.: xxx.xxx.xxx.xxx) des Computers mit installiertem

Kollektor eingetragen werden.

2.1.2 Domänen- und Kollektorauswahl

Im Active-Directory-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig

werden zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), die zu scannende

Domäne und den Kollektor für den Scan auswählen. Wenn ein Kollektor auf der zu scannenden Ressource installiert ist,

wählen Sie diesen aus. Sollte dies nicht der Fall sein, wählen Sie einen bzw. mehrere Kollektoren in der Nähe (Kollektoren

die auf Computern mit geringer Last installiert sind, sind zu bevorzugen) der zu scannenden Ressource aus. Der Kollektor

führt den eigentlichen Scan aus und ist normalerweise der 8MAN Server selbst. Für den einzelnen Zugriff (z. B. Scan,

Änderung, sonstige Anfragen) wird zum Zeitpunkt des Zugriffs der Kollektor automatisch ausgewählt, der die geringste Last

(Speicherverbrauch, CPU-Last) hat. Damit ist 8MAN in der Lage, die Last von vielen gleichzeitig auszuführenden Aufgaben

auf mehrere Kollektoren dynamisch zu verteilen (Kap. 2.1.3.4.2).

Bei Domänen ohne Vetrauensstellung wird initial mit hoher Wahrscheinlichkeit nicht die gewünschte Domäne zur Auswahl

stehen. Das ist dadurch bedingt, dass das voreingestellte Anmeldung keine passenden Rechte beinhaltet. Bei Verwendung

des für den Zweck in Frage kommenden Kontos wird die gewünschte Domäne angezeigt werden. Es ist unbedingt

notwendig, dass sich das gewünschte Konto auch interaktiv auf dem FS mit installiertem Kollektor in der Domäne ohne

Vertrauenstellung anmelden kann.

19

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble in der Sie AD-

Scan- und Ressourceneinstellungen vornehmen können.

2.1.3 AD-Scaneinstellungen


AD-Scaneinstellungen (Kap. 2.1.3)

v

AD-Ressourceneinstellungen (Kap. 2.1.5)

v

20

Scan ausführen und Scangröße in

der Datenbank

(Kap. 2.1.4)

Domänen- und

Kollektorauswahl

(Kap. 2.1.2)

und Ausführungsplan

(Kap. 2.1.3.2)

,

und

Zusätzliche Optionen

(Kap. 2.1.3.4)

Name der Konfiguration

(Kap.2.1.3.1)

Berechtigungen

Scannen

(Kap. 2.1.3.5)

Domänen- und Kollektorauswahl

(Kap. 2.1.2)

und

Verhalten im

Fehlerfall

(Kap.2.1.3.6)

Anmeldung Ressourcenscan

(Kap.2.1.3.3)

Fileserverauswahl

(Kap.2.1.3.7)

2.1.3.1 Name der Konfiguration

Im Name-der-Konfiguration-Dialog können Sie einen Namen für die Konfiguration eingeben, wenn Sie einen anderen

Anzeigenamen benötigen.

2.1.3.2 Ausführungsplan

Im Ausführungsplandialog können Sie definieren zu welchen Zeitpunkten Scans ausgeführt werden. Beachten Sie, dass die

Einstellung beim Tag größer oder gleich 29 bei bestimmten Zeitpunkten zu keinem automatischen Start der geplanten

Aufgabe führt (z.B.: der 29. Februar [ohne Schaltjahr] oder der 31.April).

21

2.1.3.3 Anmeldung Ressourcenscan

Im Anmeldungdialog können Sie die für den Ressourcenscan zu verwendende Anmeldung (standardmäßig werden zum

Scannen der Ressource die Anmeldedaten aus der Basiskonfiguration[Kap. 1.2.1] übernommen) eingeben.

2.1.3.4 Zusätzliche Optionen

Im Zusätzliche-Optionen-Dialog können Sie definieren wie der Scanner Objekte aus fremden Domänen behandelt und die

Anzahl der parallelen Anfragen während der Scans.

2.1.3.4.1 Unterstützung externer Domänen mit und ohne Vertrauensstellung

Benutzer oder Gruppen aus externen Domänen mit Vertrauensstellung werden in der eigenen Domäne als

ForeignSecurityPricipal-Objekte angelegt. Diese haben die gleiche Sicherheits-ID (SID) wie der Benutzer oder Gruppe in der

Ursprungsdomäne, es fehlen jedoch sämtliche weitere Eigenschaften wie z. B. Name oder Beschreibung. Damit diese

Informationen nun angezeigt werden können, gibt es im Dialog für die zusätzlichen Optionen der Domäne eine neue

Einstellung, mit der das Auflösen und Lesen der Eigenschaften dieser Fremd-Domänenobjekte aktiviert werden kann.

Es ist möglich, die Änderungsfunktionalitäten auch auf Domänen ohne Vetrauensstellung anzuwenden (weitere

Informationen zu den Scanvorbereitung für Domänen ohne Vertauensstellung finden Sie im Kap. 2.1.1). Externe Domänen

ohne Vertrauensstellung können von 8MAN gescannt und angezeigt werden. Dazu müssen lediglich die Kollektoren

angeschlossen und geeignete Zugangsdaten in den Dialogen eingetragen sein.

2.1.3.4.2 Parallele Scans

22

Bitte beachten Sie, dass sich mit der Anzahl der parallelen Anfragen auch die Rechenlast auf dem ausführenden Computer

erhöht. Ausgehend von 2 Prozessoren sind nach unseren Erfahrungen 4 bis 6 parallele Anfragen optimal. Mit der Anzahl

der Prozessoren kann diese Zahl jedoch höher angesetzt werden. Maximal ist die Anzahl auf 64 parallele Anfragen

begrenzt. Wenn Sie den Wert auf 1 stellen, werden keine parallelen Anfragen durchgeführt.

Scans im Active Directory und auf den Fileservern können sequentiell abgearbeitet werden. Dabei ist die Rechenlast des

ausführenden Computers sehr gering, weil die Geschwindigkeit von den Antwortzeiten der Domaincontroller und

Fileserver abhängt. Die Antwortzeit der Anfragen erhöht sich nur unwesentlich durch das parallele Verarbeiten der

Anfragen, die Geschwindigkeit des gesamten Scans kann sich jedoch erheblich verkürzen.

2.1.3.5 Berechtigungen Scannen

Im Berechtigungen-scannen-Dialog können Sie einstellen welche Objektklassen bei Berechtigungsscans zusätzlich gescannt

werden sollen.

2.1.3.6 Verhalten im Fehlerfall

Im Verhalten-im-Fehlerfall-Dialog können Sie einstellen wie oft und mit welcher Wartezeit der Scan bei eventeullen

Wartungsarbeiten wiederholt wird.

2.1.3.7 Fileserverauswahl

23

Welche Einstellungen Sie im Fileserver Auswahldialog vornehmen können, erfahren Sie im Kap. 4.2. Der ausgewählte FS

wird dem AD-Scan zugeordnet. Dies wird visuell durch eine Verbindungslinie gekennzeichnet. Sie können auch einen

seperaten FS-Scan per Drag-und Drop einem AD-Scan zuordnen bzw. von einem lösen, indem Sie eine FS-Scan-

Konfigurationsbubble auf eine AD-Scan-Konfigurationsbubble ziehen bzw. von einer wegziehen.Sie können den AD- und FS-

Scan zusammen ausführen ( ) oder den AD- bzw. FS-Scan einzeln ausführen.

2.1.4 Scan ausführen und Scangröße in der Datenbank

Nach einem Scan wird angezeigt wie viele Elemente insgesamt bei welcher Geschwindigkeit gescannt wurden, wie groß die

Datendatei und die Tabellen in der SQL Datenbank sind. Diese Information befindet sich auch in der Jobliste-Details. Bei

Fehlermeldungen können diese unter C:\ProgramData\protected-networks.com\8MAN\log in der pnServer.log

nachgelesen werden.

Zu beachten ist, dass sich die Datenbankgröße auf den reservierten Speicher bezieht, also nicht nur die eigentlichen Daten

und ggf. Indizes, sondern auch ein Puffer, der vom SQL Server verwaltet wird. Weiterhin kann es sein, dass die

Datenbankdatei durch den neuen Scan nicht unbedingt um die Größe des verwendeten Speicherplatzes der Tabellen

gewachsen ist. Die Größenänderung der Datenbankdatei hängt allein von den Wachstumseinstellungen der Datenbank ab.

Durch zusätzlich benötigten Speicher kann die Datenbank nicht wachsen oder wesentlich mehr Speicher als zum Zeitpunkt

notwendig reservieren.

2.1.5 AD-Ressourceneinstellungen

Während des Scannens besteht die Möglichkeit den Scan abzubrechen.

24


Anmeldung zum Schreiben im Active

Directory

(Kap. 2.1.5.1)

Auswahl der Oragnisationseinheit

für zu löschende Benutzer

(Kap. 2.1.5.4)

Auswahl der Organisationseinheit für

neue Benutzer

(Kap. 2.1.5.2)

Auswahl der Organisationseinheit

für 8MAN Gruppen

(Kap. 2.1.5.5)

Auswahl der Oragnisationseinheit für

neue Gruppen

(Kap. 2.1.5.3)

Zusätzliches 8MAN

Gruppenpräfix

(Kap. 2.1.5.6)

2.1.5.1 Anmeldung zum Schreiben im Active Directory

Um z.B. Gruppenmitgliedschaften in 8MAN zu ändern werden Anmeldedaten mit Berechtigungen zum Schreiben im AD

benötigt, diese können Sie im Anmeldung-Dialog einstellen.

2.1.5.2 Auswahl der Organisationseinheit für neue Benutzer

Im Auswahl-der-Organisationseinheit-für-neue-Benutzer-Dialog können Sie die OU wählen in der neue Objekte,wie

Benutzer oder Gruppen, standardmäßig gespeichert werden sollen.

2.1.5.3 Auswahl der Oragnisationseinheit für neue Gruppen

Im Auswahl-der-Organisationseinheit-für-neue-Gruppen-Dialog können Sie die OU wählen in der neue Objekte,wie

25

Benutzer oder Gruppen, standardmäßig gespeichert werden sollen. Der Dialog hat den gleichen Aufbau wie Auswahl-der-

Organisationseinheit-für-neue-Benutzer-Dialog (Kap. 2.1.5.2).

2.1.5.4 Auswahl der Oragnisationseinheit für zu löschende Benutzer

Im Auswahl-der-Organisationseinheit-für-zu-löschende-Benutzer-Dialog wählen Sie die OU, in die zu löschende

Benutzerkonten verschoben werden sollen (zum Thema Soft-Delete & Recovery von Benutzern siehe

Produktbeschreibung) Der Dialog hat den gleichen Aufbau wie Auswahl-der-Organisationseinheit-für-neue-Benutzer-Dialog

(Kap. 2.1.5.2).

2.1.5.5 Auswahl der Organisationseinheit für 8MAN Gruppen

Im Auswahl-der-Organisationseinheit-für-8MANGruppen-Dialog selektieren Sie die OU in der die von 8MAN erzeugten

Berechtigungsgruppen aus dem Gruppenassistenten gespeichert werden sollen. Der Dialog hat den gleichen Aufbau wie

Auswahl-der-Organisationseinheit-für-neue-Benutzer-Dialog (Kap. 2.1.5.2).

2.1.5.6 Zusätzliches 8MAN Gruppenpräfix

Im Zusätzliches-8MAN-Gruppenpräfix-Dialog definieren Sie ein zusätzliches 8MAN Gruppenpräfix (8GP), das in allen 8MAN

Gruppen enthalten sein soll. Diese Gruppennamen werden in der „Gruppenassistent-Konfiguration“ eingestellt.

FS-Scan- und Ressourcenkonfiguration 2.2

Sie können einen FS-Scan entweder separat erstellen oder mit einem AD-Scan verknüpfen. Einen separaten FS-Scan

erstellen Sie (Kap. 2.2.1) oder (Kap. 2.2.2.4). Einen verknüpften Scan erstellen

Sie dagegen, indem Sie bei einem vorhandenen AD-Scan (Kap. 2.1.3.7).

2.2.1 FS- und Kollektorauswahl

Im Fileserver-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden

zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), den zu scannenden FS und den

Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im Kap. 2.1.2).

26

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble in der Sie FS-

Scan- und Ressourceneinstellungen vornehmen können.

2.2.2 FS-Scaneinstellungen

Die Schaltflächen haben folgende Bedeutung (es werden nur Schaltflächen aufgeführt die Unterschiede zur AD-Scan-

Konfigurations-Bubble [Kap. 2.1.3] aufweisen):

und Zusätzliche Optionen

(Kap. 2.2.2.1)

und Scantiefe

(Kap. 2.2.2.3)

Freigabe-Auswahl

(Kap. 2.2.2.2)

Scaneinstellungen (Kap. 2.2.2)

v

Ressourceneinstellungen (Kap. 2.2.3)

27

2.2.2.1 Zusätzliche Optionen

Im Zusätzliche-Optionen-Dialog können Sie den Fileservertypen und die Anzahl der parallelen Anfragen während der Scans

(weitere Informationen zu parallele Anfragen während der Scans Kap. 4.1.1) festlegen. Als Fileserver-Typ lassen Sie bitte

vorzugsweise die Standardeinstellung „Automatisch erkennen“ ausgewählt. Nur falls dies nicht funktioniert, sollten Sie den

Typ explizit angeben.

2.2.2.2 Freigabe-Auswahl

Im Freigabe-Auswahl-Dialog können Sie alle zu scannenden Freigaben wählen. Desweiteren können Sie im

Zusatzinformationen/Kommentare-zu-den-Freigaben-Feld neue Informationskategorien hinzufügen.

2.2.2.3 Scantiefe

Im Scantiefe-Dialog definieren Sie die Tiefe, bis zu welcher Scans durchgeführt werden sollen.

28

2.2.2.4 Fileserver CSV Import

…

Im Import-Datei-Dialog wählen Sie die zu öffnende csv-Datei. Mithilfe der csv-Datei ist es möglich die zu scannenden

Freigaben zu importieren. Dazu wird eine csv-Datei mit folgenden Werten benötigt:

zwei obligatorische Spalten mit folgenden Überschriften: „Server“ und „Freigabe“ und

Spalten durch Semikolon oder Tab getrennt

optionale Spalte mit Überschift „Kollektor“ (wenn diese nicht erstellt wird der 8MAN Server wird als Kollektor

verwendet)

weitere optinale Spalten (diese müssen nach dem Erstellen auch ausgefüllt werden) mit frei wählbaren

Überschriften, z.B.: „Kostenstelle“ oder „Beschreibung“

Beispiel einer csv-Datei:

Nach dem Import der csv-Datei erscheint der Fileserver-CSV-Import-Dialog.

29

Informationen zu den Scaneinstellungen auf der rechten Seite erhalten Sie im Kap.2.2.2. Nachdem Sie alle Einstellungen

vorgenommen haben „Ok“. Als Ergebnis sehen Sie eine FS-Scan-Konfigurations-Bubble (Kap.2.2.2). In dieser sind Ihre

importierten Freigaben aufgeführt: .

2.2.3 FS-Ressourceneinstellungen


Anmeldung zum Schreiben auf dem

Fileserver

(Kap. 2.2.3.1)

Listrechte-Konfiguration

(Kap. 2.2.3.2)

2.2.3.1 Anmeldung zum Schreiben auf dem Fileserver

Um z.B. Verzeichnisberechtigungen in 8MAN zu ändern werden Anmeldedaten mit Berechtigungen zum Schreiben auf dem

Fileserver benötigt, diese können Sie im Anmeldung-Dialog einstellen.

2.2.3.2 Listrechte-Konfiguration

Im Listrechte-Konfiguration-Dialog können Sie durch Hakensetzen im Auswahlkasten „Listrechte (Ordenerinhalt anzeigen)

automatisch verwalten“ einstellen das 8MAN Listrechte automatisch verwalten soll.

30

Im unteren Bereich können Sie bestimmen, wie die Listrechte für die ersten fünf Verzeichnebenen realisiert werden sollen.

Belassen Sie hierbei bitte die Standardeinstellung, sofern Sie keine spezielle Konfiguration für Ihr System benötigen.

Logga 2.3

2.3.1 Vorbereitung für die Logga Konfiguration

2.3.1.1 AD-Logga Vorbereitung

Der 8MAN AD Logga arbeitet agentless, Sie müssen also keine extra Software auf den Domänen Controllern installieren.

Basis unserer Lösung sind die Security-Logs, die remote über bestehende Windows APIs ausgelesen werden. Damit ist auch

gewährleistet, dass kurzfristige Ausfälle des 8MAN Kollektors, z.B. wegen Wartung, nicht zu fehlenden Ereignissen im

8MAN Logbuch führen.

Für die AD Logga Funktionalität müssen 8MAN -Kollektoren installiert werden.

Die Kollektoren müssen nicht auf den Domain Controllern der zu überwachenden Domäne installiert werden, Sie können

hierfür jeden Server in dieser Domäne nutzen. Für AD Logga Kollektoren gelten zusätzliche Einschränkungen bezüglich der

Systemanforderungen. Sie können anhand des Dokuments 8MAN Systemanforderungen überprüfen, ob der Server für die

AD Logga Kollektorinstallation geeignet ist.

Da keine zusätzliche Komponente installiert werden muß, wird die normale Kollektorinstallation genutzt (siehe

Screenshot). Ist bereits ein 8MAN-Kollektor installiert, dann ist damit auch der AD Logga installiert.

31

2.3.1.1.1 Konfiguration der Überwachungsrichtlinien und SACL

Für die AD Logga Funktionalität sind spezielle Einstellungen der Überwachungsrichtlinien (Audit Policies) und eine

entsprechende Einstellung der System ACL (SACL) für die zu überwachenden Objekte notwendig. Diese Einstellungen

sollten Sie vor dem Starten des AD Logga vornehmen, weil sonst keine oder nur bestimmte Ereignisse aufgezeichnet

würden. Beachten Sie dabei, dass sich die Aktivierung der Überwachungsrichtlinien je nach Replikationsintervall zwischen

den Domänen Controllern (DCs) verzögern kann.

Um Überwachungsrichtlinien auf DCs ändern zu können, muß man Mitglied der entsprechenden Domain Administratoren

Gruppe oder der Gruppe der Enterprise Administratoren sein.

Für die Konfiguration der SACL ist das User Recht "Manage Auditing and Security Log " notwendig (was dem Privileg "

SeSecurityPrivilege" entspricht).

2.3.1.1.1.1 Aktivieren der Überwachungsrichtlinie.

2.3.1.1.1.1.1 Windows Server 2008

Die Administration der Erweiterten Überwachungsrichtlinen ist für Windows Server 2008 möglich, aber nicht über die

Windows Gruppenrichtlinienverwaltung. Hier müssen mit Hilfe von Auditpol.exe auf jedem Domänen Controller der zu

überwachenden Domäne die einzelnen Überwachungsrichtlinien eingerichtet werden.

Geben Sie dazu als lokaler Administrator folgende Kommandos ein.

Für „Richtlinienänderungen überwachen“:

>auditpol /set /subcategory:{0CCE922F-69AE-11D9-BED3-505054503030} /success:enable

Für „Verzeichnisdienständerungen“:

>auditpol /set /subcategory:{0CCE923C-69AE-11D9-BED3-505054503030} /success:enable

Für „Benutzerkontenverwaltung“, „Computerkontoverwaltung“, „ Sicherheitsgruppenverwaltung“,

„Verteilergruppenverwaltung“, „Anwendungsgruppenverwaltung“ und „Andere Kontoverwaltungsereignisse“:

>auditpol /set /subcategory:{0CCE9235-69AE-11D9-BED3-505054503030} /success:enable





>auditpol /set /subcategory:{0CCE923A-69AE-11D9-BED3-505054503030} /success:enable

32

2.3.1.1.1.1.2 Windows Server 2008R2

Die Einrichtung der Überwachungsrichtlinien ist nur auf einem der zur überwachenden Domäne gehörenden DC

notwendig. Die anderen DCs erhalten diese dann über die Replikation.

So aktivieren Sie die erweiterten Überwachungsrichtlinien mithilfe der Windows-Benutzeroberfläche

(Falls Sie die Gruppenrichtlinienverwaltung erst noch installieren müssen, klicken Sie im Server-Manager auf Features

hinzufügen. Wählen Sie Gruppenrichtlinienverwaltung aus, und klicken Sie dann auf Installieren.)

1. Klicken Sie auf Start, zeigen Sie auf Verwaltung und anschließend auf Gruppenrichtlinienverwaltung.

2. Doppelklicken Sie in der Konsolenstruktur auf den Namen der Gesamtstruktur, doppelklicken Sie auf Domänen,

doppelklicken Sie auf den Namen der Domäne, doppelklicken Sie auf Domänencontroller, klicken Sie mit der

rechten Maustaste auf Standard-Domänencontrollerrichtlinie, und klicken Sie dann auf Bearbeiten.

3. Doppelklicken Sie unter Computerkonfiguration auf Richtlinien, doppelklicken Sie auf Windows-Einstellungen,

doppelklicken Sie auf Sicherheitseinstellungen, doppelklicken Sie auf Erweiterte

Überwachungsrichtlinienkonfiguration, doppelklicken Sie auf Überwachungsrichtlinien.

4. Klicken Sie auf Kontenverwaltung und wiederholen Sie für alle angezeigten Unterkategorien die folgenden

Schritte:

1. Klicken Sie mit der rechten Maustaste auf die Unterkategorien und klicken Sie dann auf Eigenschaften.

2. Aktivieren Sie das Kontrollkästchen Folgende Überwachungsereignisse konfigurieren.

3. Aktivieren Sie das Kontrollkästchen Erfolgreich, und klicken Sie dann auf OK.

5. Klicken Sie auf DS-Zugriff, klicken Sie mit der rechten Maustaste auf die Unterkategorie

Verzeichnisdienständerungen überwachen und klicken Sie dann auf Eigenschaften. Aktivieren Sie das

Kontrollkästchen Folgende Überwachungsereignisse konfigurieren. Aktivieren Sie das Kontrollkästchen

Erfolgreich, und klicken Sie dann auf OK.

6. Klicken Sie auf Richtlinienänderung, klicken Sie mit der rechten Maustaste auf die Unterkategorie

Überwachungsrichtlinienänderungen überwachen und klicken Sie dann auf Eigenschaften. Aktivieren Sie das

Kontrollkästchen Folgende Überwachungsereignisse konfigurieren. Aktivieren Sie das Kontrollkästchen

Erfolgreich, und klicken Sie dann auf OK.

7. Gehen Sie zurück bis auf die Ebene Computerkonfiguration\ Richtlinien\Windows-

Einstellungen\Sicherheitseinstellungen und doppelklicken Sie Lokale Richtlinien und klicken dann auf

Sicherheitsoptionen. Aktivieren Sie die Richtlinie " Überwachung: Unterkategorieeinstellungen der

Überwachungsrichtlinie erzwingen (Windows Vista oder höher), um Kategorieeinstellungen der

Überwachungsrichtlinien außer Kraft zu setzen "

2.3.1.1.1.2 Einrichten der Überwachung in Objekt-SACLs.

Die Einrichtung der SACL ist nur auf einem der zur überwachenden Domäne gehörenden DC notwendig. Die anderen DCs

erhalten diese dann über die Replikation.

1. Klicken Sie auf Start, zeigen Sie auf Verwaltung, und klicken Sie dann auf Active Directory-Benutzer und -

Computer.

2. Klicken Sie im Menü auf Ansicht und Aktivieren Sie Erweiterte Features.

3. Klicken Sie mit der rechten Maustaste auf die Domäne, für die die Überwachung aktiviert werden soll, und

klicken Sie dann auf Eigenschaften.

4. Klicken Sie auf der Registerkarte Sicherheit auf Erweitert und anschließend auf die Registerkarte Überwachung.

5. Klicken Sie auf Hinzufügen, und geben Sie einen Benutzer, eine Gruppe oder einen anderen Sicherheitsprinzipal

(hier typischerweise Jeder), dessen Zugriffe Sie überwachen wollen ein. Klicken Sie dann auf OK.

6. Klicken Sie in Übernehmen für auf Dieses und alle untergeordnete Objekte.

7. Aktivieren Sie unter Zugriff das Kontrollkästchen Erfolg für:

- Alle Eigenschaften schreiben

- Löschen

33

- Unterstruktur löschen

- Berechtigungen ändern

- Alle untergeordneten Objekte erstellen

- Alle untergeordneten Objekte löschen

8. Klicken Sie auf OK, bis Sie die Eigenschaftenseite für die Organisationseinheit bzw. ein anderes Objekt

geschlossen haben.

2.3.1.2 FS-Logga Vorbereitung

Der FS Logga ist in etwa gleichzusetzen mit einem 8MAN Kollektor mit der erweiterten Funktionalität zum Überwachen.

Für die FS-Logga-Funktionalität müssen 8MAN Kollektoren installiert werden. Da es für den FS Logga zusätzliche

Einschränkungen gibt, können Sie anhand des Dokuments 8MAN Systemanforderungen überprüfen, ob der Server für die

FS-Logga-Installation geeignet ist.

Aus Performance- und Systemstabilitätsgründen arbeitet der FS Logga nicht auf dem 8MAN Server selbst. (Das Setup

Programm unterbindet zwar nicht die Installation eines FS Logga auf dem 8MAN Server, aber der FS Logga wird auf dem

8MAN Server nicht gestartet.)

Wartung bei überwachten Windows Fileservern:

Beim Austausch von Festplatten oder beim Einbinden anderer Festplatten (Einrichten von Volume Mount Points) auf zu

überwachende Festplattenbereiche muss der FS Logga Kollektor deaktiviert bzw. angehalten werden. Gehen Sie dazu in

die Windows-Dienste-Übersicht und stoppen Sie den 8MAN Service für die Wartung.

2.3.1.2.1 FS Logga für Windows Fileserver Kollektorinstallation

Für den FS Logga für Windows Fileserver besteht die Notwendigkeit der Installation (s.Teil A -Installation-) auf dem zu

überwachenden Fileserver selbst. Der FS Logga für Windows Fileserver muß hierbei explizit ausgewählt werden (s.

Screenshot), um den zusätzlich notwendigen Minifiltertreiber (minitrc.sys) zu installieren.

2.3.1.2.2 FS Logga für NetApp Fileserver

Beim FS Logga für NetApp Fileserver, gibt es folgende Einschränkungen:

Der FS Logga für NetApp Fileserver ist nur auf Windows 64-Bit Systemen lauffähig

Pro FS Logga für NetApp Fileserver ist nur ein NetApp Fileserver konfigurierbar bzw. auslesbar

Der FS-Logga für NetApp Fileserver ist nur mit NetApp-Fileservern mit OnTap-Versionen ab 3.7.x. möglich

34

Es werden nur Zugriffe über CIFS (aber nicht über NFS) erfasst.

Der FS Logga für NetApp Fileserver kann nicht auf dem NetApp Fileserver installiert werden. Er wird auf einem Windows

Server installiert (dieser darf aber nicht der 8MAN Server sein), wobei NetApp dringend empfiehlt, einen Server aus

demselben Netzsegment zu wählen, da es sonst zu Performance- und Routingproblemen kommen kann.

Da beim FS Logga für NetApp Fileserver keine zusätzliche Komponente installiert werden muß, wird die normale

Kollektorinstallation genutzt (s. Screenshot und Teil A -Installation-). Ist bereits ein Datenkollektor oder der FS Logga für

Windows Fileserver installiert, dann ist damit auch der FS Logga für NetApp Fileserver installiert.

Da der FS Logga nicht auf dem NetApp Fileserver selbst installierbar ist, sind bestimmte Richtlinieneinstellungen für den FS

Logga notwendig, um die Kommunikation zwischen dem NetApp Fileserver und FS Logga zu gewährleisten. Folgende lokale

Computer-Richtlinien des Servers, auf dem der FS Logga läuft, sind notwendig (unter Richtlinien für Lokaler Computer

\Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Sicherheitsoptionen):

Richtlinie Einstellung

Netzwerkzugriff: Die Verwendung von „Jeder“-Berechtigungen für anonyme

Benutzer ermöglichen

Aktiviert

Netzwerkzugriff: Named Pipes, auf die anonym zugegriffen werden kann ntapfprq_<netapp name>

(wobei <netapp name> der name des

NetApp Fileservers ist)

Neben der Konfiguration des FS Logga ist für den NetApp Fileserver auch eine zusätzliche Einrichtung (Administration der

NetApp Fileserver) notwendig.

1. FPolicy Feature

Der FS Logga nutzt das FPolicy Feature der NetApp. Deshalb muss es aktiviert und passend eingestellt werden.

Aktivierung des FPolicy Features:

• options fpolicy.enable on

Einrichten der FPolicy:

• fpolicy create 8ManLogga screen

35

> fpolicy enable 8ManLogga > fpolicy options 8ManLogga cifs_setattr on

Die Angabe „8ManLogga“ der FPolicy muss mit dem Wert in der Konfigurationsdatei „pnCollector.config.xml“ auf

dem Fileserver mit installiertem FS Logga übereinstimmen. „8ManLogga“ ist der Default nach der Installation.

<tracer> . . . <netapp> <policy>8ManLogga</policy>

2. Domain-Accounts

Zur Registrierung des FS Logga auf dem Netapp Fileserver muß dieser unter einem Account laufen, der zur

Gruppe „Backup Operators“ auf dem NetApp Filserver gehört. Da der FS Logga unter dem Acount des Fileservers

läuft auf dem er installiert ist, muss dieser Account zu dieser Gruppe hinzugefügt werden:

>useradmin domainuser add <domain\computer-account> -g “Backup Operators”

Um die Freigaben mit den kompletten Pfaden abfragen zu können (Kap. 2.3.2.3.2) wird ein Account gebraucht,

der zur Gruppe „Power Users“ gehören.

>useradmin domainuser add <domain\user> -g “Power Users”

2.3.1.2.3 Kollektorverbindung FS Logga für Windows Fileserver

Im Kapitel 3 ist beschrieben wie man Kollektoren mit dem 8MAN Server verbindet. Für die Kollektorverbindung muss der

Name des Fileserver mit installiertem FS Logga für Windows Fileserver eingetragen werden.

2.3.2 Logga Konfiguration

Die Logga Konfiguration ist nur in der 8MAN Administratorrolle nutzbar. Für die Logga Konfiguration ist ein eigener Lizenz-

Typ notwendig. Ob eine gültige Lizenz vorhanden ist, können Sie in der 8MAN Konfiguration unter „Server-Status“ in den

Lizenzinformationen überprüfen. Die Anzahl der Logga definiert, wie viele Domänene bzw.Fileserver (egal ob Windows

oder NetApp) Sie parallel überwachen können:

2.3.2.1 Fileserver und Active Directory mit Überwachung- und Kollektorauswahl

36

Im Logga-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden zum

Lesen des AD die Anmeldedaten aus der Basiskonfiguration[Kap. 1.2.1] übernommen), den zu überwachenden FS (wenn

Sie FS mit Überwachung ausgewählt haben) oder die zu überwachende Domäne (wenn Sie AD mit Überwachung

ausgewählt haben) und den Kollektor, der die Überwachung übernehmen soll, auswählen (weitere Informationen zum

Kollektor im Kap. 2.1.2). Da die verfügbaren NetApp Fileserver aus dem Active Directory ausgelesen werden, müssen Sie

gegebenenfalls die Anmeldung ändern, um die gewünschten Fileserver aufgelistet zu bekommen. Für die Auflistung der

Windows Fileserver spielt die Anmeldung keine Rolle.

Für Windows Fileserver ist generell nur der Kollektor auf dem ausgewählten Fileserver selbst wählbar. NetApp Fileserver

werden remote überwacht und deshalb ist es je nach Installation möglich, zwischen verschiedenen Kollektoren zu wählen,

wobei ein Kollektor nur einen NetApp Fileserver überwachen kann. Der gleichzeitige Einsatz eines Kollektors als AD- und

FS-Logga für Windows Fileserver bzw. NetApp Fileserver, sowie als AD- und FS-Scanner ist möglich.

Der Logga-Auswahldialog für FS mit Überwachung enthält:

Windows Fileserver, auf denen der FS Logga für Windows Fileserver installiert ist und

Fileserver, für die mit der angegebenen Anmeldung im Active Directory Accounts gefunden wurden, die bestimmte

Werte für das Attribut „operatingSystems“ haben. Der Default für „operatingSystems“ ist nach der Installation des

Kollektors auf „OnTap“ gesetzt. Wenn in Ihrem System die NetApp Fileserver mit anderen Werten für das Attribut

„operatingSystems“ eingerichtet sind, können Sie dies entsprechend anpassen. Gehen Sie dazu in die

Konfigurationsdatei pnCollector.config.xml auf dem Fileserver mit dem installiertem FS Logga für NetApp Fileserver

und ändern folgenden Eintrag:

<tracer> … <netapp> <NetappOperatingSystems>OnTap</NetappOperatingSystems>

Wenn mehrere Werte für das Attribut „operatingSystem“ notwendig sind, tragen Sie diese einfach mit Komma getrennt

ein. Haben nicht alle oder gar keine NetApp Fileserver das Attribut „operatingSystem“ , so lassen Sie diesen Eintrag leer. In

diesem Falle werden dann sämtliche mit dieser Anmeldung im Active Directory „sichtbaren“ Account aufgelistet.

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble in der Sie AD-

Logga-Einstellungen (wenn Sie AD mit Überwachung ausgewählt haben) bzw. FS-Logga-Einstellungen (wenn Sie FS mit

Überwachung ausgewählt haben) vornehmen können.

37

2.3.2.2 AD-Logga-Einstellungen

Zur Anmeldung des AD Logga Kollektors bei den Domain Controllern (zum Zwecke der Ereignis-Zustellung) sind spezielle

Rechte notwendig. Das Benutzerkonto, mit dem der Kollektor konfiguriert wird, muß das User Recht "Manage Auditing and

Security Log " besitzen (was dem Privileg " SeSecurityPrivilege" entspricht).

Die Schaltflächen und aktivieren bzw. deaktivieren den AD-Logga (andere Schaltflächen

siehe AD-Scan- Konfigurations-Bubble Kap. 2.1.3):

Solange der AD-Logga eingeschaltet ist, ist es nicht möglich die Anmeldedaten zu ändern:

Die durch den AD Logga aufgezeichneten Daten können im 8MAN Logbuch angesehen werden.

2.3.2.2.1 AD Logga Scaneinstellungen in der Konfigurationsdatei pnCollector.config.xml

Über die Konfigurationsdatei pnCollector.config.xml des für den AD Logga ausgewählten Kollektors bzw. über die

Konfigurationsdatei pnServer.config.xml des 8MAN Servers können bestimmte Parameter geändert werden, um das

Verhalten des AD Logga in gegebenen Grenzen nach Ihren Wünschen anzupassen.

Was kann geändert werden:

a. Filterung von Ereignissen von AD Objekten mit Objekt Klasse "serviceConnectionPoint"

Um über den Active Directory Service von Clients auffindbar zu sein registrieren Web-Services wie z.B. SharePoint

ihre spezifischen Daten im AD als Service Connection Point. Die registrierten Services frischen diese Daten

regelmäßig auf, was zu entsprechenden AD-Objekt Änderungen führt, was wiederum AD-Ereignissen generiert,

die vom AD Logga aufgezeichnet werden. Da diese automatischen Änderungen meistens nicht von Interessen

sind, aber signifikante Datenmengen produzieren, werden standardmäßig diese Änderungen vom AD Logga

ignoriert. Wollen Sie jedoch auch diese Änderungen im 8MAN Logbuch speichern, ändern Sie folgende Zeile in

der pnCollector.config.xml unter:

<config>

38

.. <tracer> <adlogga> .. <filter> <objectClassServiceConnectionPoint type="System.Boolean">true</objectClassServiceConnectionPoint> ..

Setzen Sie dazu den Wert von "true" auf "false".

b. Anzahl von aufgelaufenen Ereignissen und Zeitdauer nach der die Daten in die 8MAN DB geschrieben werden.

Um bei hohem Datenaufkommen den Kollektor als auch 8MAN Server zu entlasten, wird nicht jedes einzelne

Ereignis sofort in die 8MAN DB übertragen. Standardmäßig sammelt der Kollektor 1000 Ereignisse oder sammelt

10 Minuten lang (je nachdem was zuerst eintritt) bevor die Daten im 8MAN Server verarbeitet werden. Wollen

Sie nicht warten bis 1000 Ereignisse zusammengekommen sind oder 10 Minuten nach Ereigniseingang vergangen

sind, können Sie diese Werte ändern. Dazu editieren Sie folgende Zeilen in der pnCollector.config.xml unter:

<config> .. <tracer> <adlogga> <ThWriSect> .. <transferinterval type="System.Int32">600000</transferinterval> <maxevents type="System.Int32">1000</maxevents>> ..

Die Werte für transferinterval sind in Millisekunden anzugeben. Als Minimum sind 15s (15000 ms) möglich

und das Maximum liegt bei 30min (1800000ms). Das Minimum für maxevents sind 10 Events und das Maximum

10000.

c. Dauer der Speicherung der Daten

Ist eine andere Speicherdauer für die gesammelten notwendig, dann muß der Eintrag für maximumDataAgeDays

in der pnServer.config.xml Datei auf dem 8MAN Server geändert werden. Die Angabe der Dauer ist in Tagen seit

Speicherung. Der Standardwert nach Installation ist 30 Tage.

<config> .. <tracer> <db> <adLoggaCleanUp> <maximumDataAgeDays type="System.Int32">30</maximumDataAgeDays> ..

2.3.2.3 FS-Logga-Einstellungen

In der Erweiterten Benutzerverwaltungsansicht im Erweiterte-Benutzerverwaltung-Bereich kann die Funktion zur

Ausführung von FS-Logga-Reports aktiviert bzw. deaktiviert werden. Bei aktivierter Funktion erscheinen auf der 8MAN

Startseite Sznarien für konfigurierte Reporttypen. Zurzeit ist dies jedoch nur für Administratoren anwendbar.

39



und 2.3.2.3.1

(Kap. 2.3.2.3.1)

Report-Typen

(Kap. 2.3.2.3.2)

2.3.2.3.1 FS-Logga Aktivierung

Im folgenden Dialog können Sie den FS Logga aktivieren bzw. deaktivieren.

Solange der AD-Logga eingeschaltet ist, ist es nicht möglich die Anmeldedaten zu ändern.

2.3.2.3.2 Report-Typen

Für Fileserver mit Überwachung sind 3 verschiedenen Report-Typen verfügbar. Für jeden Report-Typ sind beliebig viele

Reports konfigurierbar (die Reports selbst können mit 8MAN erstellt und gespeichert werden). Im Gegensatz zu Windows

Fileservern ist für die Konfiguration der zu überwachenden Verzeichnisse auf NetApp Fileservern eine spezielle

Berechtigung notwendig. Dazu klicken Sie auf den Link der angezeigten Anmeldung und geben dann Credentials für einen

Account ein, der auf dem ausgewählten NetApp Fileserver zur Gruppe "Power Users" gehört. Einen Domänen-Account als

Power User richten Sie auf der NetApp folgendermaßen ein:

>useradmin domainuser add <domain\user> -g “Power Users”

Sobald eine Report-Konfiguration mit einem oder mehreren Verzeichnissen erstellt wurde, beginnt der FS Logga mit dem

Aufzeichnen der Dateiaktionen. Das Löschen aller Report-Konfigurationen sorgt für das Anhalten der Datenaufzeichnung.

40

Hinweis:

Werden nicht nur alle Report-Konfigurationen , sondern auch die FS-Logga-Konfigurations-Bubble gelöscht, dann haben

Sie die Wahl alle Logga Aufzeichnungen für diesen Fileserver zu löschen oder in der Datenbank zu behalten. Wenn Sie

„vorhandene Scans löschen“ wählen, gehen alle bis dahin für diesen Fileserver gesammelten Daten verloren.

Die aufgezeichneten Daten werden automatisch in die 8MAN Datenbank des 8MAN Servers übertragen. Diese Daten

werden dann maximal 30 Tage (Standardwert nach Installation) gespeichert und können solange für die Erstellung von

Reports verwendet werden. Ist eine andere Zeitspanne notwendig, dann muß der Eintrag für maximumDataAgeDays in

der pnServer.config.xml Datei auf dem 8MAN Server geändert werden:

<config> .. <tracer> <db> <cleanUp> <maximumDataAgeDays type=”System.Int32”>30</maximumDataAgeDays> </cleanUp> </db> ..

Bitte beachten Sie, dass eine längere Speicherdauer einen entsprechend größeren Speicherbedarf auf der 8MAN

Datenbank bedeutet. Je aufgezeichneter Aktion werden 31 Byte benötigt.

2.3.2.3.2.1 Dateizugriffe

Es werden alle Aktionen an den konfigurierten Verzeichnissen, Unterverzeichnissen und den dort enthaltenen Dateien

erfasst. Diese können dann später in einem Report aufgelistet werden.

Folgende Aktionen werden aufgezeichnet:

Datei gelesen

Datei geschrieben

Verzeichnis / Datei erzeugt

Verzeichnis / Datei gelöscht

Verzeichnis / Datei verschoben bzw. umbenannt

ACL geändert

ACL gelesen (nur wenn die Konfigurationsdatei geändert wurde; ACL-Lesen ist standardmäßig ausgeschaltet und für NetApp Fileserver nicht verfügbar)

41

2.3.2.3.2.2 Wo haben Änderungen stattgefunden?

Hier können Sie Verzeichnisse des Logga-Fileservers auswählen, um später einen Report zu erstellen, in dem ausschließlich

Datei- und ACL-Schreibzugriffe in den konfigurierten Verzeichnissen und Unterverzeichnissen aufgelistet werden:


Datei geschrieben

ACL geändert

2.3.2.3.2.3 Hat ein unerlaubter Zugriff stattgefunden - Segregation of Duty (SoD)

Es werden alle Aktionen an den konfigurierten Verzeichnissen, Unterverzeichnissen und den dort enthaltenen Dateien

erfasst, die von Benutzern ausgeführt wurden, die nicht zu von Ihnen ausgewählten Benutzern oder Benutzergruppen

gehören. Die Auswahl der erlaubten Gruppen und Benutzer erfolgt später bei der Reporterstellung, nicht innerhalb dieser

Konfiguration.


Datei gelesen

Datei geschrieben

Verzeichnis / Datei erzeugt

Verzeichnis /Datei gelöscht

Verzeichnis / Datei verschoben bzw. umbenannt

ACL geändert

ACL gelesen (nur wenn die Konfigurationsdatei geändert wurde; ACL-Lesen ist standardmäßig ausgeschaltet und für NetApp Fileserver nicht verfügbar)

2.3.2.3.3 Einschränkung der aufgezeichneten Datenmengen

Der FS Logga bietet zwei konfigurierbare Möglichkeiten der Reduzierung der anfallenden (und damit der aufgezeichneten)

Datenmengen. Beide Möglichkeiten sind gleichzeitig und unabhängig voneinander nutzbar.

Änderungen werden erst nach dem Neustart des 8MAN Service auf dem FS mit installiertem FS Logga wirksam.

2.3.2.3.3.1 Einschränkung der zu berücksichtigenden Typen von Dateiaktionen

Die anfallenden Datenmengen können reduziert werden, indem die aufgezeichneten Dateiaktionen auf die Dateiaktionen

einschränkt werden, die Sie für Ihre Reports benötigen. Gehen Sie dazu in die Konfigurationsdatei pnCollector.config.xml

auf dem FS mit installiertem FS Logga. Unter ThValSect werden alle Dateiaktionen, welche ein true enthalten, vom FS

Logga aufgezeichnet. Für die nicht notwendigen Dateiaktionen ändern Sie den Wert auf false. Die standardmäßige

Einstellung nach der Installation des FS Logga ist true für alle Dateiaktionen außer für aclread (ACL-lesen).

<tracer> <windows>

42

<SysInfo> <ThValSect> ... <create type=”System.Boolean”>true</create> <read type=”System.Boolean”>true</read> <readwrite type=”System.Boolean”>true</readwrite> <move type=”System.Boolean”>true</move> <aclread type=”System.Boolean”>false</aclread> <aclwrite type=”System.Boolean”>true</aclwrite> ...

2.3.2.3.3.2 Einschränkung der zu berücksichtigenden Sicherheits-IDs (SID‘s)

Die anfallenden Datenmengen werden reduziert, indem alle Dateiaktionen von bestimmten sogenannten Wellknown SID‘s

nicht erfasst werden.

Nach der Installation des FS Logga werden alle Dateiaktionen der folgenden SID‘s ignoriert:

S-1-5-18 NT-AUTORITÄT\SYSTEM S-1-5-19 NT-AUTORITÄT\LOKALER DIENST S-1-5-20 NT-AUTORITÄT\NETZWERDIENST S-1-5-32-551 Sicherungs-Operatoren

Sollen jedoch auch die Dateiaktionen dieser System-User aufgezeichnet werden, muß die entsprechende Konfiguration

geändert werden. Gehen Sie dazu in die Konfigurationsdatei pnCollector.config.xml auf dem Fileserver mit installiertem

Logga-Fileserver. Unter ThValSect dann den Wert für suspendfilter auf false ändern. Die Änderung betrifft immer alle oben

genannten SID‘s. Es ist nicht möglich, das Aufzeichnen der Aktionen nur einzelner dieser SID‘s zu unterdrücken.

<tracer> <windows> <SysInfo> <ThValSect> ... <suspendfilter type=”System.Boolean”>true</suspendfilter>

SharePoint 2.4

8MAN unterstützt das Auslesen von SharePoint 2010 und 2007. SharePoint Websitesammlungen mit „Forderungsbasierter

Authentifizierung“ (Claims-Based Authentication) werden von 8MAN unterstützt mit der Einschränkung, dass die Prinzipale

aus der Domäne sein müssen, die auch die Heimatdomäne des Sharepoints ist.

2.4.1 SharePoint Scanvorbereitung

Um SharePoint scannen zu können, benötigen Sie einen mit folgenden Voraussetzungen eingerichteten Account. Für die

Durchführung der SharePoint Scans und Berechtigungsvergabe wird ein Benutzer vorausgesetzt, der in der SharePoint- und

der Datenbank-Umgebung volle Berechtigung hat (z.B: Farm Administrator). Um diesen Account richtig berechtigen zu

können, wird ein Active Directory Account vorausgesetzt, ggf. kann mit 8MAN ein neuer Account erstellt werden.

Folgende Voraussetzungen für den Scanaccount sind absolut notwendig:

43

1. Der Scanaccount muss Mitglied der Share Point Farmadministrator Gruppe sein.

2. Der Benutzer muss über die Berechtigungen der einzelnen Webanwendungen „Vollzugriff“ Berechtigungen haben

3. Auf den SharePoint Datenbanken mindestens Leserechte.

4. Auf jeder SharePoint Datenbank die spezielle Berechtigung „SharePoint_Shell_Access“.

5. Der Scanaccount muss Mitglied der lokalen Administratoren Gruppe auf allen SharePoint Servern sein.

Im Kap. 2.4.1.1 und 2.4.1.2 finden Sie eine kleine Anleitung, wie Sie sich selbst mit 8MAN einen solchen Benutzer

(nachfolgend sa – Service Account benannt) erstellen können.

Neben dem Scanaccount wird noch ein auf dem SharePoint Server installierter und mit dem 8MAN Server verbundener

Kollektor benötigt (Kap. 2.4.1.3 und 2.4.1.4), um SharePoint scannen zu können.

2.4.1.1 Erstellung Scanaccount in Active Directory

Im ersten Schritt benötigen sie einen neuen sa, den sie sich in 8MAN mit Hilfe von „erstelle neuen Benutzer/Gruppe“ neu

erstellen können. Die gewählten Namen in den Screenshots sind nur Beispielnamen, hier: sa-sp_scanner.

Dieser neu erstellte sa muss nun in die Gruppe der lokalen Administratoren auf allen SharePoint Servern aufgenommen

werden.

44

2.4.1.2 Berechtigungsvergabe für Scanaccount

2.4.1.2.1 Farm Administrator

Der Scan Account muss in der Central Administration vom SharePoint in die Farm Administratoren Gruppe hinzugefügt

werden.

2.4.1.2.2 Web Application Policy – Full Read

Zur jetzigen Zeit muss der Scan Account bei allen Web Applications über Policies mit „Full Read“ berechtigt werden, da

sonst der komplette Inhalt nicht gescannt werden kann.

45

2.4.1.2.3 Zusätzliche unbedingt benötigte Berechtigungen

Folgende Berechtigungen sind ebenfalls notwendig (wenn SharePoint 2010 u.U. nicht nach Best Practices aufgesetzt

worden ist).Wir raten es immer auszuführen.

2.4.1.2.3.1 SharePoint Shell Administrator

Diese Berechtigung erweitert den Scan Account mit der Berechtigung die „SharePoint 2010 Management Shell“ verwenden

zu können. Damit bekommt der Account die spezielle Berechtigung „SharePoint_Shell_Access“ auf allen Datenbanken und

der Account wird auf allen SharePoint-Server in die lokale Gruppe „WSS_Admin_WPG“ hinzugefügt. Dafür muss folgender

Befehl in der „SharePoint 2010 Management Shell“ ausgeführt werden:

ForEach ($db in Get-SPDatabase) {Add-SPShellAdmin -Username <User account> -Database $db}

Bitte nach dem Ausführen nachprüfen ob der Scan Account wirklich in der lokalen Gruppe „WSS_Admin_WPG“ ist.

2.4.1.2.3.2 Lokaler Administrator

Es kann eventuell nötig sein, den Scan Account auf allen SharePoint-Servern in die Gruppe „Lokale Administratoren“

hinzuzufügen.

46

2.4.1.2.3.3 Datenbank Server Rechte „Public“

Es muss sichergestellt werden, dass der Scann Account mindestens Public Rechte besitzt

2.4.1.2.3.4 Datenbank Server System Administrator

In Einzelfällen kann es nötig sein, dass dieser Scan Account auf dem Datenbank-Server als System Administrator berechtigt

wird.

47

2.4.1.2.4 Web Application Policy – Full Control

Der Kollektor auf dem SharePoint ist zur Zeit nur lesend auf dem SharePoint tätig. Deshalb wird die „Full Control“

Berechtigung nicht benötigt. Nach der Erweiterung des Kollektors zum zusätzlichen Verwalten von Berechtigungen

(„Ändern“), wird diese Berechtigung benötigt werden. Ausführungen im Kap. 2.4.1.2.2 erneut durchführen, mit der Policy

„Full Control“.

2.4.1.3 Kollektorinstallation auf dem SharePoint Server

Um SharePoint scannen zu können muß ein Kollektor auf dem SharePoint Server installiert werden (weitere Informationen

zur Kollektorinstallation Teil A -Installation-).

2.4.1.4 Kollektorverbindung SharePoint Server


Name des Sharepoint Servers mit installiertem Kollektor eingetragen werden.

2.4.2 SharePoint Scankonfiguration

2.4.2.1 SharePoint Server- und Kollektorauswahl

Im SharePoint-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden

zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), den zu scannenden Sharepoint

Server und den Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im Kap. 2.1.2). Für SharePoint ist

nur der auf dem SharePoint Server installierte Kollektor wählbar.

48

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”. Es erscheint eine Konfigurations-Bubble in der Sie

SharePoint Scaneinstellungen vornehmen können.

2.4.2.2 SharePoint Scaneinstellungen



Webanwendung Auswahl

(Kap. 2.4.2.2.1)

Scanoptionen für SharePoint

(Kap. 2.4.2.2.2)

Bei sind die Anmeldedaten des sa-sp_scanner Accounts einzutragen. Nachdem Sie die zu

scannenden Websiten im Einstiegspunkt-Dialog ausgewählt haben erscheint und Sie können den Scan ausführen.

2.4.2.2.1 Webanwendung Auswahl

Im Webanwendung-Auswahl-Dialog können Sie die zu scannenden Webanwendungen auswählen. Die zu verwendende

Anmeldung wird aus der SharePoint-Konfigurations-Bubble (Kap. 2.4.2.2) übernommen.

49

2.4.2.2.2 Scanoptionen für SharePoint

Im Scanoptionen-für-SharePoint-Dialog können Sie zusätzliche Optionen für die SharePoint Scan Konfiguration definieren.

Exchange 2.5

Der 8MAN unterstützt das Auslesen von Exchange ab der Version 2007. Zwingende Voraussetzung zum Scannen von

Exchange ist eine lokal installierte PowerShell 2.0 oder höher. Von dem Rechner, der den Scan ausführt sollte weiterhin

eine Verbindung zu einem Exchange Client Access Server möglich sein. Achten Sie bitte auf vorhandene Firewalls die ggf.

Autodiscovery oder eine Verbindung zum Exchanger verhindern.

Zusätzliche Anforderungen unter Exchange 2007: Lokal installierte Exchange Management Tools

2.5.1 Exchange Scanvorbereitung

2.5.1.1 Exchange 2007 Scanvorbereitung

Für den Scan von Exchange 2007 benötigt 8MAN das PowerShell SnapIn der Exchange Management Tools.

(Microsoft.Exchange.Management.PowerShell.Admin)

Das SnapIn wird durch einen Exchange Server oder die Exchange Management Tools zur Verfügung gestellt. Dazu kann

entweder ein 8MAN Kollektor auf einem Exchange Server installiert werden (nicht empfohlen), auf einem Rechner mit

installierten Exchange Management Tools installiert werden (empfohlen) oder die Management Tools auf dem Computer

des 8MAN Servers installiert werden (nicht unbedingt empfehlenswert). Mit den Exchange Management Tools wird das

nötige SnapIn installiert und für die PowerShell registriert.

2.5.1.1.1 Berechtigungen für den Scanaccount

Die Anmeldung für den Exchangescan muss zumindest Mitglied der Gruppe „Exchange View-Only Administrators“ sein. Da

bei dem Scan auch die Auflösung von Distinguished Names durchgeführt wird und die Berechtigungen auf einem Postfach

50

teilweise auch direkt am Postfachbenutzer gesetzt werden, muss der Account auch über Leserechte im Active Directory

verfügen.

Zum Abruf von Stellvertretungsregeln und Postfachordnern sind weiterhin Impersonierungsrechte notwendig. Lesen Sie

bitte hierzu weiter unter: Exchange Web Service - Impersonation

2.5.1.1.2 Exchange Web Service in Exchange 2007

Postfachordner können in Exchange 2007 über den Exchange Web Service abgerufen werden. Leider arbeitet der Exchange

Web Service nicht sehr schnell und der Scan der Postfachordner kann unter Exchange 2007 einige Zeit in Anspruch

nehmen. Um dieses Problem ein wenig zu lindern, werden die Postfachinhalte parallel abgerufen.

Stellvertretungsregeln werden auch über den Exchange Web Service abgerufen. Für detaillierte Informationen zum

Exchange Web Service lesen Sie bitte unter: Exchange Web Service - Impersonation

2.5.1.1.3 Mögliche Probleme

Wenn der Scan nicht ausgeführt werden kann, funktionieren ggf. die Exchange Management Tools nicht. Ist das Ausführen

der Exchange Management Shell mit dem Scanaccount möglich, prüfen Sie die 8MAN Log Dateien oder kontaktieren Sie

ihren Vertriebspartner bzw. protected-networks.

2.5.1.2 Exchange 2010 Scanvorbereitung

Exchange 2010 unterstützt das Verbinden mit dem Exchange Server über eine Remote PowerShell Verbindung. Dafür ist

nur eine lokale PowerShell nötig und keine Exchange Management Tools. Ein Exchange Scan kann also von einem

beliebigen 8MAN Kollektor ausgeführt werden. Die Verbindung wird allerdings über einen Client Access Server, der in der

aktuellen Active Directory Site sein muss, hergestellt.

2.5.1.2.1 Die richtige Site

Auf dem Exchange Client Access Server gibt es eine Site mit dem Namen „PowerShell“. Über diese Site verbindet sich der

8MAN über die PowerShell mit Exchange.

Im Standard werden bei remote PowerShell Verbindungen nicht alle PowerShell Features unterstützt, so lassen sich leider

keine Skripte ausführen. Skripte werden aber bei dem Exchange Scan benötigt. Dazu ist folgende Einstellung notwendig:

Öffnen Sie die IIS Konfiguration auf dem Server auf dem der Scan ausgeführt werden soll. In der web.config der PowerShell

Site in der „appSettings“ Sektion gibt es eine Einstellung „PSLanguageMode“. Bei dieser Einstellung muss auf

„FullLanguage“ stehen.

51

Sie können dazu

1. Entweder die Einstellung direkt ändern. Damit ermöglichen Sie allen Berechtigten Zugriff über die remote

Exchange Verbindung.

2. Oder Sie kopieren diese Site und ändern die Einstellung auf der Kopie. Bei der Kopie haben Sie die Möglichkeit

nur dem 8MAN Scanaccount das Recht zu geben auf diese Site zuzugreifen.

(Siehe auch: http://blogs.microsoft.co.il/blogs/scriptfanatic/archive/2011/08/22/get-full-control-over-your-

exchange-remote-powershell-session.aspx)

Wenn sie Änderungen an den Eigenschaften der Website vorgenommen haben, müssen sie den Webserver neustarten.

2.5.1.2.2 Zusatzeinstellungen in der Scankonfiguration in Exchange 2010

Für den Exchange Scan sind zusätzlich folgende Einstellungen in 8MAN notwendig (Vergleich Kap. 2.5.2.2.3):

Auf dem Dialog können Sie die zu verwendende Website und den Authentifizierungsmechanismus einstellen. Im unteren

Teil des Dialogs finden Sie die Adresse, die der Scanner verwenden wird.

Im Standardfall verbindet sich der 8MAN mit der Default „PowerShell“ Website auf dem Exchange Client Access Server. Die

Site „PowerShell“ existiert auf allen Exchange Client Access Servern. Wollen Sie allerdings, dass der 8MAN Scan auf einer

anderen Website durchgeführt werden soll, ändern Sie die Einstellung in der Scankonfiguration. „exadmin“ ist in diesem

Fall eine Website mit eingerichtetem FullLanguage Support.

Im Standardfall verbindet sich der 8MAN mit dem „Default“ Authentifizierungsmechanismus zu dem Exchange Client

http://blogs.microsoft.co.il/blogs/scriptfanatic/archive/2011/08/22/get-full-control-over-your-exchange-remote-powershell-session.aspx

http://blogs.microsoft.co.il/blogs/scriptfanatic/archive/2011/08/22/get-full-control-over-your-exchange-remote-powershell-session.aspx

52

Access Server. Bitte wählen Sie einen Authentifizierungsmechanismus, der im IIS für diese Website aktiviert ist. Default,

Basic und Kerberos sollten die üblichen Mechanismen sein und wurden bei unseren Tests auch erfolgreich verwendet. Das

Bild unten beschreibt beispielhaft mögliche Einstellungen.

Im Standardfall verbindet sich der 8MAN zum Exchange Client Access Server mit dem voll qualifizierten Servernamen.

Wenn dies nicht möglich ist, funktioniert ggf. die Verbindung über den einfachen Servernamen. Aktivieren oder

deaktivieren Sie dazu die Checkbox auf dem Dialog.

Wir empfehlen außerdem die https Unterstützung auf dem IIS Server zu aktivieren. Wenn die Site keine https

Verbindungen zulässt, warnt der Scanner während des Scans.

2.5.1.2.3 Berechtigungen für den Scan Account

Der Scanaccount muss zumindest Mitglied der Gruppe „View-Only Organization Management“ sein. Da bei dem Scan auch

die Auflösung von Distinguished Names durchgeführt wird und Berechtigungen teilweise auf dem Active Directory

Postfachbenutzer gelesen werden, muss der Scanaccount auch über Leserechte im Active Directory verfügen.

Beachten Sie, wenn der Scanaccount nur Mitglied der „Organization Management“ Gruppe ist, ggf. nicht alles lesen kann,

weil z.B. Postfachinhalte durch Deny-Rechte geschützt sind. Als Mitglied der „Organization Management“ Gruppe ist es z.B.

nicht möglich, die Stellvertretungsregelung abzurufen, weil die Impersonierung fehlschlägt.

Zum Abruf von Stellvertretungsregeln sind weiterhin Impersonierungsrechte notwendig. Lesen Sie bitte hierzu weiter

unter: Exchange Web Service - Impersonation

2.5.1.2.4 Exchange 2010 und Throttling

Für den Abruf von Stellvertretungen wird auch in Exchange 2010 der Exchange Web Service verwendet. Der Scan orientiert

sich an den gegebenen Throttlingeinstellungen des Exchange Servers für den Scanaccount. Sie können den Scan also mit

einer optimalen Throttlingeinstellung beschleunigen. (Siehe auch: http://technet.microsoft.com/de-

de/library/dd298094(v=exchg.141).aspx) Interessant ist vorrangig die Einstellung „EWSMaxConcurrency“. Sie beeinflusst

die Anzahl der parallelen Abfragen, mit denen der Scan die Stellvertretungsregeln abruft. (Siehe auch: Fehler!

erweisquelle konnte nicht gefunden werden. und Fehler! Verweisquelle konnte nicht gefunden werden.)

Für detaillierte Informationen zum Exchange Web Service lesen Sie bitte unter: Exchange Web Service - Impersonation

2.5.1.2.5 Selbstversuch in der PowerShell

Falls Sie die Einstellungen einmal in der PowerShell direkt probieren wollen, verwenden Sie bitte folgende Vorgehensweise:

1. Starten Sie eine PowerShell Konsole (möglichst mit der Anmeldung die auch für die Remote Session verwendet

werden soll, sonst gibt’s unverständliche „Access Denied“ Meldungen)

http://technet.microsoft.com/de-de/library/dd298094(v=exchg.141).aspx

http://technet.microsoft.com/de-de/library/dd298094(v=exchg.141).aspx

53

2. Erzeugen Sie ein Credential Objekt mit

$cred = get-credential 3. Erzeugen Sie ein SessionOption Objekt (Ausschalten aller Checks für den Test) mit

$so = New-PSSessionOption -SkipCACheck -SkipCNCheck –SkipRevocationCheck 4. Erzeugen Sie eine Session (URI und Authentication (Authentifizierungsmechanismus) müssen Sie ggf. ändern,

eine https Verbindung wird empfohlen sollte aber nicht zwingend notwendig sein)

$session = New-PSSession -configurationname Microsoft.Exchange -connectionURI https://b-

labex59/exadmin/ -Credential $cred -SessionOption $so -Authentication Kerberos

5. Betreten der Session und Sie können cmdlets ausführen (welche ausführbar sind, ist von den

Rechten abhängig)

Enter-PSSession $session

2.5.1.2.6 Fehler bei Verbindungen mit der Remote PowerShell

Leider existieren ein paar Fallstricke, die die remote Verbindung mit dem Exchange Server nicht möglich machen. Neben

der bereits unter Die richtige Site erwähnten notwendigen Sprachunterstützung gibt es folgende:

1. Nicht aktivierte Authentifizierungsmechanismen:

8MAN versucht im Standardfall eine Verbindung mit dem Standard/Default Authentifizierungsmechanismus herzustellen.

Falls das nicht möglich ist, prüfen Sie bitte folgende Punkte:

a. Der Authentifizierungsmechanismus ist auf der IIS Site nicht aktiviert. Nach einer Aktivierung und

einem Neustart der Website sollte es keine Probleme geben.

b.

c. Wenn Sie diesen nicht aktivieren möchten, können Sie einen anderen Authentifizierungsmechanismus

verwenden. Passen Sie dazu die Einstellung in der Scankonfiguration an. (Siehe Zusatzeinstellungen in

der Scankonfiguration in Exchange 2010)

2. Der voll qualifizierte Servername ist nicht erreichbar

Manchmal ist der Client Access Server nicht über den voll qualifizierten Servernamen erreichbar, ggf. reicht es nur den

Servernamen zu verwenden, passen Sie dafür die Einstellung in der Scankonfiguration an. (Siehe Zusatzeinstellungen in der

Scankonfiguration in Exchange 2010)

54

Es ist möglich, dass eine Firewall die Verbindung mit dem Exchange Server verhindert. Bitte prüfen Sie auch die Firewall

Einstellungen.

3. „Kein Zugriff“ beim Verbinden

Wenn Sie einen solchen Fehler im Log des 8MAN bei den Verbindungsversuchen zu einem Client Access Server finden, liegt

es daran, dass der Scanaccount keinen Zugriff auf die Website hat. Ändern Sie hierzu auf dem IIS die Berechtigung an der

anzusprechenden Site (Standard „PowerShell“). Auf unserer Testumgebung funktionierten sogar nur direkte

Berechtigungen, jedoch keine indirekten Berechtigungen über die Gruppenmitgliedschaft in der Administratoren Gruppe

(Standardberechtigung auf diesen Websiten).

Im Bild oben sehen Sie beispielhaft die in unserer Testumgebung gesetzten Berechtigungen.

2.5.1.3 Exchange Web Service - Impersonation

Während über die PowerShell administrative Informationen (die Struktur selbst und Berechtigungen auf den Objekten) von

Exchange über Postfächer und Öffentliche Ordner abgerufen werden können, ist es möglich über den Exchange Web

Service auf die Inhalte zuzugreifen. Stellvertretungsregeln können bisher lediglich über den Exchange Web Service

abgerufen werden.

Achtung! Das Abrufen von Postfachinhalten kann mit Datenschutzrichtlinien in Ihrem Unternehmen kollidieren. Bereits aus

der Ordnerstruktur eines Postfachs lassen sich ggf. pikante Informationen ableiten. Bevor Sie sich entscheiden

Postfachordner abzurufen, sollten Sie prüfen, ob es rechtlich möglich ist, diese abzurufen und einzusehen.

Bitte beachten Sie, dass die Impersonierung nur auf aktiven Active Directory Accounts funktioniert.

Zugriffe auf den Exchange Web Service geschehen immer im Kontext des Postfachbenutzers, dazu benötigt der

Scanaccount das Recht zu impersonieren. Impersonierungsrechte werden in Exchange 2007 und 2010 unterschiedlich

verwaltet und konfiguriert. Für die Einrichtung der Impersonierung folgen Sie bitte diesen Links:

55

- Exchange 2007: http://msdn.microsoft.com/library/exchange/bb204095(v=exchg.80).aspx Zusammenfassung:

Die Impersonierung muss im ersten Schritt für jede einzelne Postfachdatenbank aktiviert warden. Im zweiten

Schritt muss die Scananmeldung das Impersonierungsrecht für explizit genannte oder alle Postfächer einer

Postfachdatenbank erhalten.

- Exchange 2010: http://msdn.microsoft.com/library/exchange/bb204095(v=exchg.140).aspx Zusammenfassung:

Unter Exchange 2010 muss dem Scanaccount nur eine Managementrolle zugewiesen werden, in der explizit das

Impersonierungsrecht vergeben wird.

Der Exchange Web Service muss nicht gesondert adressiert werden, der Zugriff erfolgt wie in Outlook über eine

Autodiscovery Funktion. Falls diese einmal hakt, könnte es an folgenden Problemen liegen:

1. Eine Firewall verhindert die Benutzung der Autodiscovery Funktion

Prüfen Sie hierfür ggf. auf verworfene Pakete in der Firewall

2. Der zuständige CAS Server ist nicht erreichbar

Führen Sie hierfür den Autodiscovertest in Outlook durch

Mit einem Rechtsklick bei gedrückter Strg-Taste auf das Outlook Icon im Informationsbereich erscheint obiges

Kontextmenü. Mit einem Klick auf „E-Mail-AutoKonfiguration testen“ kann die Autodiscovery Funktion direkt in Outlook

getestet werden.

3. Wenn die Beiden obigen Vorschläge keine Hinweise liefern, prüfen Sie bitte das Serverlog und schicken Sie es an

ihren Vertriebspartner bzw. an protected-networks.

2.5.2 Exchange Scankonfiguration

2.5.2.1 Exchange Server- und Kollektorauswahl

Im Exchange-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden

zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), den zu scannenden Exchange

Server und den Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im Kap. 2.1.2).

http://msdn.microsoft.com/library/exchange/bb204095(v=exchg.80).aspx

http://msdn.microsoft.com/library/exchange/bb204095(v=exchg.140).aspx

56

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble in der Sie

Exchange Scaneinstellungen vornehmen können.

2.5.2.2 Exchange Scaneinstellungen in der 8MAN Konfiguration

Die übliche Scangeschwindigkeit ist derzeit 10 Elemente pro Sekunde. Wenn Sie nur eine Teilmenge für zu lesende

Öffentliche Ordner festlegen, werden keine Statistikdaten abgerufen, weil das Auslesen dieser Daten dann extrem langsam

ist.



und

Scanoptionen

Exchange

(Kap. 2.5.2.2.1)

und

Exchange

Verbindungseinstellungen

(Kap. 2.5.2.2.3)

-Dialog nur für Exchange

2010-

Postfachdetails

(Kap. 2.5.2.2.2)

2.5.2.2.1 Scanoptionen Exchange

Im Scanoptionen-für-Exchange-Dialog können Sie Einstellungen für Postfächer und Öffentliche Ordner vornehmen.

57

2.5.2.2.2 Postfachdetails

Im Postfachdetails-Dialog kann aktiviert werden, dass der Exchange Web Service beim Scan für Stellvertretungen benutzt

wird (weitere Informationen zum Exchange Web Service – Impersonation Kap. Fehler! Verweisquelle konnte nicht

efunden werden.). Zu beachten sind hier insbesondere die möglichen Probleme mit dem Datenschutz. nach Aktivierung

des Abrufs von Postfachdetails können Sie auch den Abruf von Postfachordnern aktivieren. Beachten Sie hier benötigte

Impersonierungsrechte für den Scanaccount.

2.5.2.2.3 Exchange Verbindungseinstellungen

Im Exchange-Verbindungseinstellungen-Dialog können Sie die Verbindung zu Exchange 2010 konfigurieren (weitere

Informationen im Kap. Fehler! Verweisquelle konnte nicht gefunden werden.).

58

2.5.2.3 Exchange Scaneinstellungen in den Konfigurationsdateien

Verschiedene Einstellungen können nicht in der Scan Konfiguration in der 8MAN Konfiguraton vorgenommen werden. Um

doch Einfluss auf den Scan zu nehmen, gibt es ein paar Einstellungen die in den Konfigurationsdateien eingestellt werden

können.

2.5.2.3.1 Postfachkategorien - Attributdefinition

Im Standardfall sortiert der 8MAN die Postfächer ab 200 Postfächer in Kategorien anhand der Active Directory Eigenschaft

„sn“. Die zu verwendende Eigenschaft kann über die Konfigurationsdatei auf ein beliebiges Textfeld aus dem Active

Directory verändert werden. Dazu muss in der pnJob.config.xml auf dem Kollektor, auf dem der Scan durchgeführt wird,

folgende Einstellung im Bereich <config> vorgenommen werden:

<collector.scanner.exchange.sortingPropertytype="System.String">sn</ collector.scanner.exchange.sortingProperty>

2.5.2.3.2 Postfachkategorien - Kürzungsregeln

Im Standardfall werden Kategorienbezeichnungen mit 10 Zeichen für Anfang und Ende erzeugt, sollte es anders sein,

setzen sie folgende Einstellung in der pnServer.config.xml auf dem 8MAN Server im Bereich <config>:

<exchange.CategoryLength type="System.Int32">10</exchange.CategoryLength>

Der mögliche Wertebereich ist 1 bis 500.

2.5.2.3.3 Postfachkategorien verhindern

Im Standardfall werden ab einer Menge von 200 Postfächern Postfachkategorien erzeugt. Ein zu kleiner Scrollbalken auf

der Ressourcen-Ansicht sorgt nicht gerade für Übersicht. Wenn dies allerdings nicht gewünscht ist, setzen sie folgende

Einstellung in der pnServer.config.xml auf dem 8MAN Server im Bereich <config>:

<exchange.makeMailBoxCategories type="System.Boolean">false </exchange.makeMailBoxCategories>

Die beiden möglichen Einstellungen sind „true“ oder „false“. „true“ für die Erzeugung von Kategorien. „false“ für eine

flache Liste von Postfächern in der Ressourcen-Ansicht.

2.5.3 Exchange 2010 Throttling Factor

Im Standardfall verwendet der 8MAN beim Zugriff auf den Exchange Web Service die maximal durch die ThrottlingPolicy

möglichen parallelen Anfragen. Falls die ThrottlingPolicy unbegrenzt viele Anfragen zulässt wird die Anzahl der Prozessoren

mal 8 verwendet. Wenn dieser Faktor zu hoch oder zu niedrig ist, fügen Sie bitte folgende Einstellung in der

pnJob.config.xml auf dem Kollektor, auf dem der Scan durchgeführt wird, im Bereich <config> ein:

<collector.scanner.exchange.processormultiplierForUnlimitedThrottling type="System.Int32">8</

collector.scanner.exchange.processormultiplierForUnlimitedThrottling>

59

Ersetzen Sie “8” durch eine sinnvolle Zahl als Faktor. Die gegebene Zahl wird mit der Prozessoranzahl multipliziert, das

Ergebnis ist die Anzahl der verwendeten parallelen Abfragen auf den Exchange Web Service.

vSphere 2.6

2.6.1 vSphere Scanvorbereitung

2.6.1.1 Kollektorinstallation auf dem vSphere Server

Der 8MAN Kollektor muss auf dem vSphere-Server installiert werden (Teil A -Installation-). Über diesen lokalen Kollektor kommuniziert der 8MAN-Server später mit dem vSphere-Server und fragt alle benötigten Informationen ab.

2.6.1.2 Kollektorverbindung vSphere Server


Name des vSphere Servers mit installiertem Kollektor eingetragen werden.

2.6.2 vSphere Scankonfiguration

2.6.2.1 vSphere Server- und Kollektorauswahl

Im vSphere-Auswahldialog können Sie die für die Ressourcensuche zu verwendende Anmeldung (standardmäßig werden

zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), den zu scannenden vSphere

Server und den Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im Kap. 2.1.2).

60

Wird zur Ressource-Suche ein auf dem vSphere-Center berechtigtes Benutzerkonto verwendet, erscheinen nach einiger Zeit alle verfügbaren vSphere-Servernamen in der Liste als verfügbare vSphere-Ressourcen. Das unter „Verwendete Anmeldung“ aufgeführte Benutzerkonto muss auf dem vSphere-Center Lese-Rechte für alle Elemente (Bestandslisten und Netzwerk) und deren Berechtigungen besitzen. Ist dies nicht der Fall, wird keine vSphere-Ressource gefunden. Wir empfehlen hier die Verwendung eines Administrator-Kontos. Die Suche nach Ressourcen kann anfangs einige Minuten dauern, da der Verbindungsaufbau und die Initialisierung der vmWare-Kommunikationsschnittstelle einige Zeit in Anspruch nimmt.

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble in der Sie

Exchange Scaneinstellungen vornehmen können.

2.6.2.2 vSphere Scaneinstellungen


Konfigurations-Bubble[Kap. 2.1.3] aufweisen):

vSphere Scaneinstellungen (Kap. 2.6.2.2)

Im Auswahl-der-Sprache-für-die-vSphere-Scan-Dialog können Sie die Sprache für die Darstellung der Rollen und Privilegien

aus dem vCenter wählen.

61

Die Startphase eines Scans kann einige Minuten dauern, da der Verbindungsaufbau und die Initialisierung der vmWare-

Kommunikationsschnittstelle einige Zeit in Anspruch nimmt. Danach werden die einzelnen Informationen jedoch relativ

zügig ausgelesen und gespeichert.

Lokale Konten 2.7

Mit 8MAN ist es möglich die lokalen Konten von verschiedenen FileServern zu scannen, um diese bei den Berechnungen

von Gruppenmitgliedschaften mit zu verwenden.

2.7.1 Lokale Konten- und Kollektorauswahl

Im Auswahl-der-lokalen-Konten-Dialog können Sie die für die Ressourcensuche zu verwendende Anmeldung

(standardmäßig werden zum Lesen des AD die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen), den zu

scannenden Server mit lokalen Konten und den Kollektor für den Scan auswählen (weitere Informationen zum Kollektor im

Kap. 2.1.2).

Es ist möglich mehrere Ressourcen auszuwählen. Da die Liste sehr groß werden kann sind folgende Komfortfeatures

eingebaut worden:

Im Header der Ressourcenliste wird die Anzahl der ausgewählten Objekte angezeigt.

62

Ein Klick auf den Header sortiert die Liste sodass ganz oben alle ausgewählten Objekte stehen. Alle anderen

werden standardmäßig nach Namen sortiert. Ein weiterer Click auf das Kästchen ganz links (de)selektiert alle

Elemente aus der Liste.

Der Filter über der Liste wurde erweitert sodass er „Wildcard (*)“ Anfragen unterstützt. Man kann jetzt noch

komplexere Filterkriterien anwenden:

63

Die untere Kollektorliste enthält alle konfigurierten Kollektoren. Das Icon rechts zeigt ob der ausgewählte

Kollektor die geladenen Ressourcen scannen kann:

Es ist möglich mehrere Ressourcen auszuwählen. Da die Liste sehr groß werden kann sind folgende Komfortfeatures

eingebaut worden:

Im Header der Ressourcenliste wird die Anzahl der ausgewählten Objekte angezeigt. Ein Click auf den Header

sortiert die Liste sodass ganz oben alle ausgewählten Objekte stehen. Alle anderen werden standardmäßig nach

Namen sortiert. Ein weiterer Click auf das Kästchen ganz links (de)selektiert alle Elemente aus der Liste:

Wenn Sie alle Einstellungen vorgenommen haben „Anwenden”.Es erscheint eine Konfigurations-Bubble“ in der Sie

lokale Kontenscaneinstellungen vornehmen können.

2.7.2 Lokale Kontenscaneinstellungen

Für lokale Konten auf einem Window Fileserver werden mindestens die Anmeldedaten eines Domänenbenutzers benötigt.

Für lokale Konten auf nicht Windows Fileservern muss der Anmeldungsaccount Mitglied der lokalen Administratorgruppe

sein.



Lokale Kontenscaneinstellungen (Kap. 2.7.2)

Im Zusätzliche-Optionen-für-den-Scanner-der-lokalen-Konten-Dialog können Sie die Max. parallelen Anfragen einstellen

(Kap. 2.1.3.4.2).

64

Jobsliste 2.8

In der Jobsliste werden alle Scanaufträge der aktuellen Scankonfigurationen gruppiert in einer Baumansicht angezeigt.

Desweiteren werden die Ausführungzeiten für Datenbank-Bereinigungen (alte Datenstände [Kap. 7] werden dabei

gelöscht) angezeigt. Für einen detailiertere Ansicht und es öffnet sich die Jobliste-Details-Ansicht mit den

zusätzlichen Spalten Ausführungsdauer, Ergebnis und letzte Meldung.

In der Jobliste und Jobliste-Details sind Aktionen zum Starten, Löschen und Abbrechen von Scanaufträgen im Kontextmenü

(Rechtsklick) verfügbar und können gleich aus der Liste ausgeführt werden. Dabei gibt es folgende Einschränkungen:

Zeitgesteuerte Aufträge können gestartet, aber nicht gelöscht werden.

Zukünftige Berechtigungsänderungen können gelöscht und sofort ausgeführt werden.

Alle laufenden Aufträge können gestoppt werden.

65

3 KOLLEKTOREN

In der Kollektorenansicht können installierte Kollektoren (Teil A -Installation-) mit dem 8MAN Server verbunden werden.

Die Schaltflächen (teilweise aus dem Kontextmenü[Rechtsklick]) haben folgende Bedeutung:

und

Kollektorverbindung

(Kap. 3.1) und

Anmeldung für

Kollektorinstallation

(Kap. 3.3)

Kollektorinstallation

(Kap. 3.4)

Kollektorentfernung

(Kap. 3.5)

Kollektorverbindung 3.1

Für die Kollektorverbindung mit dem 8MAN Server tragen Sie den Namen oder die IP-Adresse des Computers, auf dem der

Kollektor installiert wurde, in das Kollektor-hinzufügen-Feld ein (Standard-Port ist 55555 und muss nicht angegeben

werden) Für den Vorgang des Kollektorhinzufügens können Sie optinal eine Anmeldung zur Fern-Administration des

Kollektors im Maschinen-Administratoren-Anmeldung-Bereich eingeben:

66

Diese wird beim hinzufügen des Kollektors in die Spalte „Administrator“ übernommen und kann manuell geändert werden

(Kap. 3.3). Eine Anmeldung sollte nur für die Dauer der Kollektorinstallation gesetzt werden, da es bei dauerhafter Angabe

einer Anmeldung zur unbeabsichtigten automatischen Kollektoraktualisierung kommen kann (diese könnte, z.B.

Systeminstabilitäten verursachen). bzw. „Keine Anmeldung“ im Active-Directory-Anmeldung-Dialog setzt die

Anmeldung im Maschinen-Administratoren-Anmeldung-Bereich wieder auf optinal.

„Nachdem Sie den Namen bzw. die IP-Adresse eingegeben haben . Nun wird eine Verbindung zwischen 8MAN Server

und Kollektor hergestellt und die Spalte „Zustand“ zeigt bei erfolgreicher Verbindung den Text „Verbunden“ an.

Kollektoraktualisierung 3.2

Der 8MAN-Server aktualisiert alle konfigurierten Kollektoren automatisch, sobald die erste Netzwerk-Verbindung

hergestellt werden kann. Bis zur Version 4.5 kamen zwei unterschiedliche Methoden zur Aktualisierung zum Einsatz. Beide

Varianten haben jedoch in der Praxis in bestimmten Konstellationen dazu geführt, dass die Kollektoren nicht aktualisiert

wurden. Aus diesem Grund wurde mit der Version 4.6 eine dritte Aktualisierungsmethode eingeführt, die in den

Fehlerfällen eingesetzt werden kann.

3.2.1 Beschreibung der Aktualisierungsmethoden

Im Folgenden nun eine kurze Beschreibung der einzelnen Aktualisierungsmethoden mit ihren Voraussetzungen sowie den

Vor- und Nachteilen.

Methode 1 Methode 2 Methode 3

Aktualisierungs-

technik

Der Server überträgt alle zu

aktualisierenden Dateien zum

Kollektor. Dieser spielt die

neuen Dateien ein und der

Kollektor wird wieder neu

gestartet.

Der Server überträgt das

komplette Installationspaket

zum Kollektor. Dieser startet

das Paket. Nach der

Installation wird der Kollektor

neu gestartet.

Der Server kopiert alle

benötigten Installationsdateien

in das Dateisystem der

Kollektormaschine unter

Verwendung eines

Administrator-Kontos. Der

Server startet die Installation.

Nach der Installation wird der

Kollektor neu gestartet.

Voraussetzungen Kollektor ist installiert und

läuft.

Kollektor-Version vor 4.4.

Kollektor ist installiert und

läuft.

Kollektor-Version 4.4. oder

neuer.

Benutzer-Konto, das direkt

oder indirekt in der lokalen

Administratoren-Gruppe der

Kollektor-Maschine Mitglied

ist.

67

Die Maschinen von Server und

Kollektor befinden sich in

Domänen mit vollen

Vertrauensstellungen.

Vorteile Kleines Aktualisierungs-Paket. Alle Dateien – inkl. Dienste und

Treiber – werden aktualisiert.

Alle Dateien – inkl. Dienste und

Treiber – werden aktualisiert.

Der Kollektor muss nicht

bereits installiert gewesen

sein.

Nachteile Dienste und Treiber werden

nicht aktualisiert.

Der Kollektor muss bereits

installiert sein und laufen.

In bestimmten Umgebungen

schlägt der Start Aktualisierung

fehl.

Der Kollektor muss bereits

installiert sein und laufen.

Ein Benutzer-Konto mit hohen

Berechtigungen ist

erforderlich.

3.2.2 Einsatzumgebungen der Aktualisierungsmethoden

Die sich anschließende Tabelle zeigt einzelne Einsatzumgebungen aus der hervorgeht, dass bei einer installierten 4.4 oder

4.5 unter Windows Server 2003 die Aktualisierung nicht automatisch erfolgen kann (orange hinterlegt). Die automatisch

ausgewählten Aktualisierungsmethoden, die fehlerfrei funktionieren, sind grün hinterlegt. Ist ein Administrator-Konto

hinterlegt, wird automatisch die Methode 3 verwendet (blau hinterlegt).

Betriebssystem Vertrauensstellung 8MAN-Version Methode 1 Methode 2 Methode 3

Windows Server 2003 Ja - Nein Nein Ja

Windows Server 2003 Nein - Nein Nein Nein

Windows Server 2003 Ja Vor 4.4. Ja Nein Ja

Windows Server 2003 Nein Vor 4.4. Ja Nein Nein

Windows Server 2003 Ja 4.4. oder 4.5 Nein Nein Ja

Windows Server 2003 Nein 4.4. oder 4.5 Nein Nein Nein

Windows Server 2003 Ja Ab 4.6. Nein Ja Ja

Windows Server 2003 Nein Ab 4.6. Nein Ja Nein

Windows Server 2008 oder später Ja - Nein Nein Ja

Windows Server 2008 oder später Nein - Nein Nein Nein

Windows Server 2008 oder später Ja Vor 4.4. Ja Nein Ja

Windows Server 2008 oder später Nein Vor 4.4. Ja Nein Nein

Windows Server 2008 oder später Ja 4.4. oder 4.5 Nein Ja Ja

Windows Server 2008 oder später Nein 4.4. oder 4.5 Nein Ja Nein

Windows Server 2008 oder später Ja Ab 4.6. Nein Ja Ja

Windows Server 2008 oder später Nein Ab 4.6. Nein Ja Nein

68

Anmeldung für Kollektorinstallation 3.3

Im Active-Directory-Anmeldung-Dialog können Sie die für die Kollektoraktualisierung benötigten Anmeldedaten

eingegeben. Sofern sie bereits Anmeldedaten bei der Kollektorverbindung (Kap. 3.1) eingegeben haben, werden diese in

der Spalte „Administrator“ angezeigt. Sollte Sie noch keine Anmeldedaten eingegeben können Sie dies im Active-Directory-

Anmeldung-Dialog (Kap. 3.1) tun. Eine Anmeldung sollte nur für die Dauer der Kollektorinstallation gesetzt werden, da es

bei dauerhafter Angabe einer Anmeldung zur unbeabsichtigten automatischen Kollektoraktualisierung kommen kann

(diese könnte, z.B. Systeminstabilitäten verursachen).

Kollektorinstallation 3.4

Wenn Sie einen Kollektor installieren wollen und noch kein Anmeldedaten eingegeben haben (Kap. 3.1 und 3.3), erscheint

folgender Dialog:

Nachdem die Angabe der Anmeldedaten erfolgt ist, wird der Kollektor installiert (weitere Informationen Kap. 3.2).

Kollektorentfernung 3.5

Bevor ein Kollektor gelöscht wird, erfolgt folgende Sicherheitsabfrage:

69

4 ÄNDERN-KONFIGURATION

AD-Ändern-Konfiguration 4.1

In der AD-Ansicht können Sie Vorgabewerten, die als Voreinstellungen für die eigentliche Benutzung der Funktion in 8MAN

(z. B. Benutzer anlegen) dienen, definieren (Kap. 4.1.1 Erforderliche Angaben und 4.1.2 Kap. Optionale Attribute) und Sie

können ein externes Programm an 8MAN anbinden (Kap. 4.1.3. Externes Programm). Die hier gesetzten Werte können in

8MAN auch nachträglich noch geändert werden. Um die Einstellungen zu speichern „Zurück“.

70

4.1.1 Erforderliche Angaben

Im Anmeldename-Bereich können Sie Bildungsregeln des Anmeldenamens für neu anzulegende Benutzer, Administratoren

oder Dienstkonten erstellen, wodurch eine Vorbelegung aufgrund von Vor- und Nachname sowie Typ des Benutzerkontos

generiert wird.

Im Kontooptionen-Bereich können Sie Kontooptionen, wie z.B.das Start-Kennwort das für neue Benutzer gelten soll,

einstellen.

4.1.2 Optionale Attribute

Im optionale-Attribute-Bereich können Sie Attribute (LDAP) auswählen, die Sie beim Erstellen von neuen Benutzern oder

Gruppen setzen möchten. Erforderliche Attribute sind hierbei nicht abwählbar (erkennbar an dem grünen Haken). Bitte

beachten Sie, dass Attribute, die Sie hier abwählen, nicht bei der Erstellung eines neuen Objektes in 8MAN verwendet

werden können.

4.1.3 Externes Programm

71

Im externes-Programm-Bereich können Sie einstellen das beim Anlegen eines neuen Benutzers ein externes Programm

ausgeführt werden soll.

Unterstützte Formate für externe Programme sind *.ps1, *.bat, *.cmd und *.vbs

Sie können einen Namen, den Pfad für das externe Programm und optional Kommandozeilen Argumente angeben. Bei den

Kommandozeilen Argumenten kann man, wie auch schon bei den Bildungsregeln für den Benutzeranmeldenamen,

gewünschte Attribute (LDAP) in geschweifte Klammern schreiben (z.B. {samaccountname}). Die dann ermittelten Werte für

die Attribute werden dem externen Programm übergeben. Falls man sich bei den Argumenten verschrieben hat und kein

Wert für dieses Argument ermittelt werden kann, so wird das Argument ohne Umsetzung (z.B. {unbekannt}) an das externe

Programm übergeben. Wenn für die Ausführung des Programms keine Anmeldedaten konfiguriert wurden, dann werden

automatisch bei der Programm-Ausführung die Anmeldedaten für das Ändern im AD benutzt.

Einschränkungen

Das externe Programm muss sich lokal auf dem 8MAN Server befinden. Bei Eingabe des Verzeichnisses und des

Dateinamens wird überprüft, ob das Programm verfügbar ist.

Wenn Sie die Checkbox zum Ausführen nicht angewählt haben, dann wird bei Benutzer anlegen diese

Konfiguration nicht berücksichtigt. Nur im Falle einer angewählten Checkbox wird die Konfiguration benutzt.

Wenn das Programm beim Anlegen eines Benutzers nicht mehr verfügbar ist oder die Konfiguration fehlerhaft

ist, dann wird eine Fehlermeldung ausgegeben. Das Benutzeranlegen ist weiterhin möglich, jedoch eine externe

Programmausführung nicht. Es wird dabei zusätzlich ein Hinweis ins Logbuch geschrieben, dass man den

Benutzer angelegt hat, das externe Programm aber nicht ausgeführt wurde.

Bei *.bat und *.cmd sollte beachtet werden, dass die Ausgabe nur mit dem ASCII Zeichensatz arbeitet.

Ausnahme dabei ist, wenn man die *.bat bzw. *.cmd Dateien mit einem einfachen Editor geschrieben hat.

Die Ausgaben des externen Programms werden im Erfolgsfall als Nachricht im Merkzettel hinterlegt und ebenfalls in das

Logbuch des neu erzeugten Benutzers geschrieben:

72

Im Fehlerfall innerhalb der externen Programausführung werden die Ausgaben bis zum Fehlerauftritt in das Serverlog

geschrieben, sodass es möglich ist, nachträglich die Fehler zu analysieren.

FS-Ändern-Konfiguration 4.2

In dieser Ansicht können Sie sämtliche Werte, die für die Ausführung des Gruppenassistenten und für

Berechtigungsänderungen auf dem FS notwendig sind, einstellen. Hierzu zählen die Grundeinstellungen (Kap. 4.2.1),

Zugriffskategorien (Kap. 4.2.2), 8MAN Gruppen (Kap. 4.2.3) und die FS-Blacklist (Kap. 4.2.4). Informationen zum Status der

Konfiguration finden Sie im Kap. 4.2.5.

4.2.1 Grundeinstellungen

73

Im Grundeinstellungen-Bereich können Sie den Gruppenassisent (Kap. 4.2.1.1), den Simulationsmodus (Kap. 4.2.1.2) und

Verzögertes Schreiben von ACEs (Kap. 4.2.1.3) aktivieren. Desweiteren können Sie die AD-Gruppenverwendung (Kap.

4.2.1.4) und den Initialer Test der Berechtigungsänderungen (Kap. 4.2.1.5) einstellen.

4.2.1.1 Gruppenassisent

Der Gruppenassistent bleibt nach der Installation von 8MAN auf einem neuen System zunächst inaktiv. Dies ist notwendig,

da es Einstellungen in Bezug auf AD und FS gibt, die auf Ihre Umgebung abgestimmt sein müssen. Setzen Sie einen Haken in

die Checkbox , um den Gruppenassistent zu aktivieren. Wenn Sie den Gruppenassistenten deaktivieren, kann er im 8MAN

nicht verwendet werden. Ist der Gruppenassistent aktiviert kann er im 8MAN bei Bedarf deaktiviert werden

4.2.1.2 Simulationsmodus

Mit Änderungen nur simulieren wird ein Simulationsmodus aktiviert, so dass Änderungen in den Berechtigungen nicht

wirksam werden, d. h. Sie werden nur simuliert und angezeigt.

4.2.1.3 Verzögertes Schreiben von ACEs

Aktivieren Sie diese Option und stellen Sie die Anzahl der Tage ein, um die eine Änderung von ACEs verzögert werden soll.

Dies ist sinnvoll, da in bestimmten Situationen Berechtigungsänderungen erst nach einer erneuten Anmeldung eines

Benutzers wirksam werden. Durch das Verzögerte Schreiben können Sie die Änderungen auf einen Zeitpunkt verschieben,

an dem keine oder nur wenige Benutzer angemeldet sind.

4.2.1.4 AD-Gruppenverwendung

74

Um eine entsprechende Standardisierung bei der Berechtigungsvergabe umzusetzen, bietet 8MAN an, lokale, globale,

universelle, sowie lokale und globale Berechtigungsgruppen anzulegen. Damit werden Direktberechtigungen vermieden

und eine einheitliche Vergabestruktur aufgesetzt. Es ist damit auch nicht notwendig, eigene Gruppenstrukturen für

Berechtigungen aufzusetzen. Es wird standardmäßig empfohlen, nur lokale Gruppen anzulegen.

Beachten Sie, dass eine Auswahl nur vorgenommen werden kann, wenn Sie bisher noch keine Auswahl getroffen und

gespeichert haben oder der Simulationsmodus aktiviert ist. Die Auswahl im Simulationsmodus ist dabei unabhängig von

der im „echten“ Betrieb. Sofern Sie noch keine Konfiguration angelegt haben und mit aktiviertem Simulationsmodus

speichern, haben Sie weiterhin die freie Wahl der Gruppenstrategie für den „echten“ Betrieb. Erst wenn Sie bei

ausgeschalteter Simulation speichern, wird die Strategie verbindlich festgelegt.

Wichtig: Beachten Sie bitte, dass diese Einstellung nur einmalig vorgenommen werden kann. Eine nachträgliche

Umstellung führt zu Inkonsistenzen.

4.2.1.5 Initialer Test der Berechtigungsänderungen

Sie können einen initialen Test aktivieren (der Simulationsmodus muß dafür ausgeschaltet werden), mit dem geprüft wird,

ob die Anmeldedaten ausreichend sind, um Änderungen im System durchführen zu können. Damit entfällt beim Ändern

von Verzeichnisberechtigungen in 8MAN der folgende Dialog:

4.2.2 Zugriffskategorien

75

Im Bereich der Rechtekennzeichen legen Sie zum einen fest, welche Zugriffskategorien im Gruppenassistenten zur

Verfügung stehen und zum anderen, welche Kürzel jede Kategorie besitzen soll. Soll auch eine Listgruppe angelegt werden,

muss „Ordnerinhalt auflisten“ angeklickt werden. Die hier aktivierten Zugriffskategorien erscheinen im Gruppenassistenten

als Spalten in die Sie zur Änderung von Zugriffsberechtigungen einzelne oder mehrere Benutzer hinein bzw. wieder heraus

schieben können. Die Kürzel werden analog zu den gruppenspezifischen Zeichen (Kap. 4.2.3.1) den Gruppennamen

hinzugefügt (Beispiel für Kürzel md in Vorschaufeld Kap. 4.2.3.3).

4.2.3 8MAN Gruppen

Der Gruppenassistent erstellt für die Zugriffsberechtigungen auf einem Verzeichnis eigene Gruppen, die einen einheitlichen

Aufbau besitzen. Im 8MAN-Gruppen-Bereich können Sie diesen Aufbau Ihren Erfordernissen anpassen: Gruppenspezifische

Zeichen (Kap. 4.2.3.1), Pfadverwendung in Gruppennamen (Kap. 4.2.3.2) und Namensformat (Kap. 4.2.3.3).

4.2.3.1 Gruppenspezifische Zeichen

Definieren Sie hier die Kürzel zur Kennzeichnung der verschiedenen Gruppentypen. Das Trennzeichen, das Sie hier

76

festlegen, kann zur Abgrenzung der einzelnen Namensbestandteile genutzt werden. Das hier aufgeführte Listgruppen-

Suffix wird im Rahmen der automatischen Listrechteverwaltung verwendet und kennzeichnet entsprechend automatisch

angelegte Listgruppen. Als Beispiel ist im Vorschaufeld das Kürzel g für globale Gruppenzu sehen.

4.2.3.2 Pfadverwendung in Gruppennamen

Hier können die Vorgaben für den Pfad gemacht werden, der im Gruppennamen auftaucht. Der Pfad ist wichtig, um bei

einem Verschieben oder Umbenennen die frühere Herkunft ggf. einfach wiederherstellen zu können. Auf der linken Seite

können Sie zwischen kompletten Pfad (\\Server\Freigabe\Verzeichnis\...), relativen Pfad zum Server

(\Freigabe\Verzeichnis\...) oder relativen Pfad zur Freigabe (\Verzeichnis\...) wählen. Auf der rechten Seite können Sie den

gewählten Pfad noch weiter auf bestimmte Pfadanteile beschränken. 8MAN wird ausgehend von dieser Vorgabe den

Namen für die 8MAN Gruppen anhand des aktuellen Pfades erstellen. Ein Beispiel Ihrer Pfadverwendung in Gruppennamen

sehen Sie im Vorschaufeld.

4.2.3.3 Namensformat

Sie bestimmen, welche Namensbestandteile und in welcher Reihenfolge diese zu einem Gruppennamen zusammengefügt

werden Das Format des Gruppennamens kann nahezu frei konfiguriert werden. Wählen Sie unter „Namensformat“ einfach

die Bestandteile und Trennzeichen aus, die sich an den jeweiligen Positionen befinden sollen. . Jede Information (Präfix,

Gruppenkennung, Pfad und Zugriffsrecht) kann nur einmal verwendet werden. Wird es an einer anderen Stelle

eingeschaltet, wird es an der vorherigen Stelle automatisch entfernt. Ein Beispiel Ihres Namensformats sehen Sie im

Vorschaufeld.

4.2.4 FS-Blacklist

Die FS-Blacklist erlaubt Ihnen Benutzer , Gruppen und SIDs auszuwählen, deren Berechtigungen durch 8MAN nicht

verändert werden sollen. Als Anmeldung für die Suche in AD werden standardmäßig die Anmeldedaten aus der

Basiskonfiguration [Kap. 1.2.1] übernommen).

77

Sie fügen einen Benutzer bzw. ein Gruppe hinzu, indem Sie in das Suchfeld den Namen bzw. Teilnamen eingeben und

anschließend in den Suchergebnissen den entsprechenden Eintrag auswählen. Per Drag-and-Drop, Doppelklick oder

wird die zugehörige SID in die FS-Blacklist eingefügt. Alternativ können Sie direkt eine SID in das Suchfeld eingeben und in

die FS-Blacklist einfügen. Neben dem Filterfeld gibt es noch die Möglichkeit interne Einträge (gesperrte Einträge) oder

eigene Einträge in der Blacklist ein- bzw. auszublenden. Zum Entfernen eines Eintrags aus der Blacklist, wählen Sie einen

Eintrag aus und . Desweiteren gibt es noch die Möglichkeit Standardeinträge wiederherzustellen

. Dabei werden alle Well-Known-SIDs in die Blacklist eingetragen die von 8MAN empfohlen werden

(Ihre selbstdifinierten Einträge bleiben hierbei erhalten).

4.2.5 Status der Konfiguration

Dieser Informationsbereich zeigt Ihnen den Zustand der aktuellen Konfiguration sowie Meldungen über den Abschluss von

Lade- und Speichervorgängen.Diese Analyse zeigt an, ob es zu Fehlern in der Konfiguration kam. Zur Aktivierung der neuen

oder geänderten Konfiguration muß diese mit „Übernehmen”. gespeichert werden.Sofern Sie eine Konfiguration

geändert haben, erscheint die folgende Sicherheitsabfrage:

78

Um die Konfiguration zu übernehmen „Ja”. Sofern die Konfiguration gültig ist und das Speichern erfolgreich war, werden

entsprechende Meldungen angezeigt:

Im Fall einer fehlerhaften oder unvollständigen Konfiguration, werden entsprechende Hinweise angezeigt und es erfolgt

keine Speicherung:

SharePoint- Ändern-Konfiguration 4.3

Die Durchführung von Änderungen mit 8MAN kann erst erfolgen, wenn eine Konfiguration des Änderungsmoduls für

SharePoint vorgenommen wurde und bereits mindestens einmal ein Scan des SharePoints erfolgt ist. Die Konfiguration von

SharePoint können Sie in folgenden Kapiteln vornehmen: Konfiguration (Kap. 4.3.1), Grundeinstellungen (Kap. 4.3.2),

Zugriffskategorien (Kap. 4.3.3), 8MAN-Gruppen (Kap. 4.3.4), SharePoint-Websitesammlung-Blacklist (Kap. 4.3.5),

SharePoint-Globale-Blacklist (Kap. 4.3.6). Die SharePointkonfiguration erfolgt pro Websitesammlung, das bedeutet, dass

jede Websitesammlung ihre eigene Konfiguration haben kann.

79

Einschränkungen bei der Konfiguration von SharePoint:

Der Gruppenassistent ist nur arbeitsfähig, wenn auf dem SharePoint ein 8MAN Kollektor installiert und

funktionsfähig ist.

Forderungsbasierte (claimbased) SharePoint Berechtigungen sind nur in der Art unterstützt, als dass die

Prinzipals Elemente der Domäne sein müssen, die den SharePoint beheimatet.

8MAN unterstützt momentan die Veränderung von Berechtigungen auf SharePoint Objekt Level beginnend mit

der Websitesammlung.

Die Modifikation von Farmadministratoren, Websitesammlungsadministratoren, Websitesammlungbesitzern

bzw. sekundären Besitzern wird im Moment nicht unterstützt, die Resourceansicht jedoch zeigt alle

Berechtigungsebenen komplett an.

Die Modifikation von Websitesammlungs-Policies wird in der Version nicht unterstützt, in der Resourceansicht

jedoch korrekt wiedergegeben.

Die Wiederherstellung der Vererbung wird nicht unterstützt.

4.3.1 Konfiguration

Im Konfiguration-Bereich können Sie entscheiden, ob die aktuelle Konfiguration für alle Websiten übernommen werden

soll (Kap. 4.3.1.1) und ob Konfigurationen gelöscht werden sollen (Kap. 4.3.1.2).

4.3.1.1 Übernehmen für alle Websitesammlungen

Im folgenden Dialog können Sie einstellen, dass die aktuelle Konfiguration für alle Websiten übernommen werden soll.

Bereits existierende Konfigurationen gehen damit verloren.

80

4.3.1.2 Lösche diese Konfiguration

Im folgenden Dialog können Sie die ausgewählte Konfiguration der ausgewählten Websitesammlung löschen.

4.3.2 Grundeinstellungen

Im Grundeinstellungen-Bereich können Sie den Gruppenassistenten (Kap. 4.3.2.1), den Simulationsmodus (Kap. 4.3.2.2),

die Initiale Prüfung der Änderung ohne Benutzer-Aufforderung (Kap. 4.3.2.3) und die Verwendung von (Kap. 4.3.2.4)

einstellen. Der Bereich Grundeinstellungen beinhaltet einige Optionen, die analog zum FS-Ändern-Grundeinstellungen-

Bereich (Kap. 4.2.1) sind.

4.3.2.1 Gruppenassistenten aktivieren

Diese Option sorgt dafür, dass der 8MAN für Berechtigungen auf SharePoint Objekten explizit SharePoint Gruppen anlegt.

4.3.2.2 Änderungen nur simulieren (Simulationsmodus)

Diese Option unterbindet die Möglichkeit der letztlichen Ausführung einer mit 8MAN vorgenommenen Änderung. Sobald

das System im produktiven Einsatz arbeiten soll, muss diese Option selbstverständlich deaktiviert werden.

81

4.3.2.3 Initiale Prüfung der Änderungen ohne Benutzer-Aufforderung

Hier können Sie einstellen ob eine initiale Prüfung der Konfiguration ohne Benutzer-Aufforderung durchgeführt werden

soll. Im Kapitel 4.2.1.5 wird dies für das Ändern von Verzeichnisberechtigungen auf FS in 8MAN beschrieben. Diese

Beschreibung gilt analog auch für Änderungen in Sharepoint.

4.3.2.4 Standardgruppen verwenden

Die Websitesammlungobjekte verfügen nach dem Neuanlegen über eine Anzahl von automatisch erzeugten Gruppen

(Owners Group, Visitors Group, Members Group,…). Die Aktivierung der Option bewirkt, dass im Fall des aktivierten

Gruppenassistenten vorzugsweise diese vordefinierten Gruppen zum Einsatz kommen.

4.3.2.5 SharePoint Anmeldung

Im SharePoint-Anmeldung-Dialog können Sie Anmeldedaten zum Schreiben in SharePoint eingeben.

4.3.3 Zugriffskategorien

82

Der Bereich ‚Zugriffskategorien‘ ermöglicht die Konfiguration von den Berechtigungen, die in der

Gruppenassistentenanzeige des 8MAN bereitgestellt werden sollen. Es besteht die Möglichkeit, zwischen der 8MAN-Rolle

‚Administratoren‘ und der Rolle ‚Alle Anderen‘ zu differenzieren. Die Grundidee ist dem ‚Alle Anderen‘-Benutzer nur einen

eingeschränkten Handlungsspielraum bei der Berechtigungsvergabe einzuräumen. Alle hier nicht ausgewählten

Berechtigungen und alle weiteren werden allerdings in der Kategorie ‚Sonstige Berechtigungen‘ zusammengefasst. Diese

Kategorie ermöglicht prinzipiell nur das Entfernen von Permissions. Die Kategorie ‚Limited Access‘ ist grundsätzlich als

schreibgeschützt zu betrachten, da der SharePoint ‚Listrechte‘ selber automatisch verwaltet. Es gibt keine Einschränkungen

für kundenspezifische Permission-Sets. Die Konfiguration bietet zusätzlich zu den Standardberechtigungen auch alle frei

definierten Permission-Sets zur Auswahl.

4.3.4 8MAN-Gruppen

Der Abschnitt ‚8MAN Gruppen‘ widmet sich der Namensbildung der automatisch erzeugten 8MAN Resourcegruppen

(weitere Informationen im Kap. 4.2.3). Es existiert eine Vielzahl von möglichen Kombinationen. Generell wird als Suffix das

Kennzeichen der Zugriffskategorien verwendet. Die Regeln sind nur von Bedeutung, wenn die Option „Gruppenassistent

verwenden“ aktiv ist.

83

4.3.5 SharePoint-Websitesammlung-Blacklist

Die Sharepoint-Websitesammlung-Blacklist erlaubt Ihnen Benutzer , Gruppen und SIDs für die ausgewählte

Websitesammlung auszuwählen, deren Berechtigungen durch 8MAN nicht verändert werden sollen.

Im Kapitel 4.2.4 wird die FS-Blacklis beschrieben. Diese Beschreibung gilt analog auch für den Sharepoint-

Websitesammlung-Blacklist, wobei es folgende Ergänzungen gibt. Anstelle des Anzeigens von eigenen Einträgen in der

globalen Blacklist gibt es hier die Option globale Blacklist-Einträge ein- bzw. auszublenden. Desweiteren können Sie

widerrufene (gelöschte) Blacklist-Einträge aus der globalen Blackliste bzw. lokale (Websitesammlung) Blacklist-Einträge ein-

bzw. ausblenden. Mit können Sie widerrufene Blacklist-Einträge aus der globalen Blacklist wiederherstellen.

4.3.6 SharePoint-Globale-Blacklist

Die Sharepoint-Globale-Blacklist ( ) erlaubt Ihnen Benutzer , Gruppen und SIDs für alle

Websitesammlungen auszuwählen, deren Berechtigungen durch 8MAN nicht verändert werden sollen.

84

Im Kapitel 4.2.4 wird die FS-Blacklist und im Kapitel 4.3.5 die Sharepoint-Websitesammlung-Blacklist beschrieben. Diese

Beschreibungen geltent analog auch für die Sharepoint-Globale-Blacklist, wobei es folgende Ergänzungen gibt. In der

globalen Blacklist gibt es noch die Option Blacklist-Einträge zu sperren ( ) bzw.entsperren ( )um Änderungen dieser

Blacklist-Einträge in den Websitesammlungen-Blacklists zu verhindern bzw. zu erlauben.

85

5 BENUTZERVERWALTUNG

Benutzermanagement 5.1

In der Benutzerverwaltung haben Sie die Möglichkeit den Zugriff auf den 8Man einzuschränken. Das Benutzermanagement

wird durch Hackensetzen bei „Benutzermanagement aktiv“ aktiviert. Als Anmeldung für die Suche in AD werden

standardmäßig die Anmeldedaten aus der Basiskonfiguration [Kap. 1.2.1] übernommen).

Sie haben die Möglichkeit auf der linken Seite Benutzer und Gruppen zu suchen und per Drag-and-Drop , Doppelklick oder

zur rechten Seite in die Liste der Benutzer, die 8MAN benutzen dürfen, hinzuzufügen. Es wird dabei in allen

verfügbaren Domänen gesucht. Wenn sie das Domänenkürzel voranstellen (z.B. „pn\“) wird nur in der Domäne „pn“

gesucht.

Die Benutzer die 8MAN benutzen dürfen, können veschiedene Rollen (Berechtigungen) zugewiesen werden, diese werden

in Form von Symbolen angezeigt:

Keine Berechtigung

Lesen und Reports erstellen

Lesen, Reports erstellen und Ändern (Data Owner)

86

Administrator

Um Benutzer aus der Liste zu löschen . Desweiteren können Sie in derunteren Hälfte des Benutzverwaltung-Bereichs

Erweiterte Benutzerverwaltung 5.2

Zum Aufklappen des Erweiterte-Benutzerverwaltung-Bereichs .

Verwenden Sie die “Erweiterte Benutzerverwaltung“ um zu definieren, welche Rolle welche Funktionen, in 8MAN

benutzen kann. Es gibt die Rollen Administrator, DataOwner und Alle Anderen. Die Funktionen werden durch bzw.

aktiviert bzw. deaktiviert. Wenn 8MAN Benutzern im Benutzermanagement eine Rolle zugewiesen wurde, können

diese 8MAN Benutzer alle im Erweiterte-Benutzerverwaltung-Bereich aktivierten Funktionen benutzen. Alle deaktivierten

Funktionen sind dann nicht sichtbar. Wenn Ihre Lizenz bestimmte Funktionen ausschließt (z.B. eine 8MAN-Visor- Lizenz)

können Sie diese Funktionen (grauer Hintergrund) auch nicht im Erweiterte-Benutzerverwaltung-Bereich aktivieren oder

deaktivieren.

87

6 DATENEIGENTÜMER

Die Dateneigentümer-Konfiguration ermöglicht eine Zuweisung von Ressourcen zu Dateneigentümern, aufbauend auf

individuell strukturierbaren Organisationskategorien. Das eigene Unternehmen kann so abgebildet werden und einzelnen

Organisationskategorien können Ressourcen bzw. Benutzer oder Gruppen zugeordnet werden.

Die Schaltflächen bzw. Bereiche haben folgende Bedeutung:

Organisationskategorieeinstellungen

(Kap. 6.1)

und

Verwendbare

Ressourcen

(Kap. 6.3)

und

Dateneigentümer hinzufügen

(Kap. 6.2)

Einstellungen für das Ändern

von Gruppenmitgliedschaften für

Dateneigentümer (Kap. 6.4)

Anzahl an Dateneigentümern bzw.

aller verwendaren Ressourcen

Einstellungen für 8MAN-

Gruppen (Einstellungen

Scankonfiguration Kap.

2.1.5.5 und 2.1.5.6)

Kap

88

Organisationskategorieeinstellungen 6.1


Hinzufügen

(Kap. 6.1.1)

Dateneigentümer CSV Import

(Kap. 6.1.5)

Umbenennen

(Kap. 6.1.2)

Dateneigentümer CSV Export

(Kap. 6.1.6)

Eintrag löschen

(Kap. 6.1.3)

Report der Konfiguration

(Kap. 6.1.7)

Alles zurücksetzen

(Kap. 6.1.4)

6.1.1 Hinzufügen

Im Name-der-Organisationskategorie-Dialog könnenn Sie den Namen einer neuen Organisationskategorie unterhalb der

ausgewählten Organisationskategorie eingeben.

6.1.2 Umbenennen

Im Organisationskategorie-umbennen-Dialog können Sie den Namen der Organisationskategorie ändern.

6.1.3 Eintrag löschen

Im Löschen-Dialog (Eintrag löschen) können Sie das Organisations Kriterium mit dazugehörigem Inhalt löschen.

89

6.1.4 Alles zurücksetzen

Im Löschen-Dialog (Alles zurücksetzen) können Sie alle bereits konfigurierten Organisationen löschen.

6.1.5 Dateneigentümer CSV Import

Voraussetzung für den Dateneigentümer CSV Import ist, dass sowohl das AD, in dem die Data Owner sind, als auch die

Fileserver, deren Zugriff gesetzt werden soll, bereits gescannt wurden. Desweiteren wird eine csv-Datei mit folgenden

Werten benötigt:

acht obligatorische Spalten mit folgenden Überschriften: „Server“, „Freigabe“ bzw. „Share“, „8ManUser“,

„Ressourcetype“ (AD,FS, SharePoint und Exchange), „Organisationseinheit“ (LDAP-Pfad der OU an, in der die

8MAN Gruppen des Dateneigentümers erstellt werden sollen), „Präfix“ (Zusatz Präfix beim Erstellen der 8MAN

Gruppen), „Schreibgeschützt“ (Wert 0 veränderbare Ressource und 1 Lese-Ressource) und „Level 1“

Spalten durch Semikolon oder Tab getrennt

optionale Spalte mit Überschift „Kollektor“ (wenn diese nicht erstellt wird der 8MAN Server wird als Kollektor

verwendet) oder „Level 2“ bis „Level 10“

weitere optinale Spalten (diese müssen nach dem Erstellen auch ausgefüllt werden) mit frei wählbaren

Überschriften

Beispiel einer csv-Datei:

im Import-Datei-Dialog können Sie die zu importierende csv-Datei auswählen und „Öffnen".Im

90

Dateneigentümer CSV-Import-Dialog werden die zu importierenden Daten aufbereitet und Sie erhalten eine Vorschau der

zu importierenden Organisationen:

Benutzer oder Freigaben die nicht importierbar sind, werden in extra Reitern angezeigt. Des Weiteren gibt es jetzt die

Möglichkeit beim Import zu entscheiden, ob man die bereits vorher konfigurierten Dateneigentümer aus der

Benutzerverwaltung beim Importieren der neuen Konfiguration entfernen möchte. Ist das Häkchen gesetzt, werden alle

vorher eingetragenen Dateneigentümer gelöscht und nur die neuen Dateneigentümer übernommen.Mit „Anwenden“

werden alle importierbaren Organisationskategorien als neue Organisationsstruktur übernommen. Vorhandene Strukturen

werden gelöscht.

6.1.6 Dateneigentümer CSV Export

Im Speichern-unter-Dialog können Sie die Dateneigentümerkonfiguration im csv-Format speichern. Dabei werden die im

Kap. 6.1.5 beschriebenen Werte verwendet.

91

6.1.7 Report der Konfiguration

Im Speichern-unter-Dialog können Sie einen Report über die Größe (Speicherplatzauslastung) der einzelnen Freigaben

eines Dateneigentümers im csv-Format speichern. Als Ergebnis wird eine neue Reportdatei im csv Format geöffnet.

Die Spalte User wird gefüllt, wenn als Data Owner eine Gruppe eingetragen wurde. Dann werden alle Mitglieder dieser

Gruppe aufgelistet.

Dateneigentümer hinzufügen 6.2

Dem Dateneigentümer-Bereich können Benutzer und Gruppen aus dem Benutzer & Gruppen-Auswahl-Bereich auf der

linken Seite per Drag & Drop, Doppelkklick oder über das Kontextmenü per rechter Maustaste hinzugefügt werden. Beim

Klicken auf einen Benutzer oder einer Gruppen im Dateneigentümer-Bereich erscheint , mit wird der Benutzer

oder die Gruppe gelöscht.

Verwendbare Ressourcen 6.3


Die Ressource ist veränderbar

(Kap. 6.3)

Die Ressource ist lesbar (

Kap. 6.3)

92

Als verwendbare Ressource für Dateneigentümer können AD, FS, SharePoint und Exchange verwendet werden. Im

verwendbare-Ressourcen-Bereich können einzelne Benutzer-, Gruppen- und Computer-Objekte, Organisationseinheiten

oder ganze Domänen enthalten sein. Einem Dateneigentümer können Ressourcen als veränderbare Ressourcen oder Lese-

Ressourcen zugeordnet werden. Dem verwendbare-Ressourcen-Bereich können Ressourcen aus dem Ressourcen-Auswahl-

Bereich auf der rechten Seite per Drag & Drop, Doppelkklick oder über das Kontextmenü per rechter Maustaste

hinzugefügt werden. Beim Klicken auf eine Ressource im verwendbare-Ressourcen-Bereich erscheint. bzw.

und Sie können die Ressourcen als Lese- bzw. veränderbare Ressource setzen oder löschen.

Standardmäßig werden die Elemente beim Hinzufügen als veränderbare Ressourcen eingestellt. Werden aber Domänen-

Unterelemente (z.B. eine OU oder eine Gruppe) hinzugefügt, dann wird die Domäne zur Lese- Ressource geändert und das

untergeordnete Element zur veränderbaren-Ressource. Sie können den Ressourcentyp nachträglich manuell umsetzen.

Für Dateneigentümer der verwendbaren Ressourcen gilt dann:

Neue Gruppen und Benutzer können innerhalb veränderbarer OUs erzeugt werden.

Innerhalb veränderbarer Gruppen darf er Änderungen vornehmen und veränderbare Mitglieder hinzufügen oder

entfernen.

Bei veränderbaren Objekten können Attributinhalte verändert werden.

Veränderbare Benutzer können deaktiviert und gelöscht bzw. wieder hergestellt werden.

Von veränderbaren Benutzern kann das Passwort zurückgesetzt werden.

Für veränderbare Gruppen und Benutzer können Berechtigungen auf den zugewiesenen veränderbaren

Fileserver-Ressourcen geändert, hinzugefügt oder entfernt werden.

Aufgrund des übergeordneten OU Kriteriums müssen neue/gelöschte Mitglieder in der Konfiguration nicht nachträglich

einfügt/entfernt werden (um die DO Konfiguration auf dem jeweils aktuellsten Stand zu halten), da die Abfragen der OU-

Zugehörigkeit immer erst zum Überprüfungszeitpunkt (z.B. AD Change) stattfinden.

Einstellungen Ändern von Gruppenmitgliedschaften für 6.4

Dateneigentümer

Im Ändern-von-Gruppenmitgliedschaften-Bereich können Sie festlegen, wie Sie mit Gruppenmitgliedschaften umgehen

wollen, die nicht explizit im eigenen Dateneigentümer-verwendbare-Ressourcen-Bereich enthalten sind. Die

Standardwerte sind dabei entfernen von Gruppenmitgliedern bzw. nicht hinzufügen von Gruppenmitgliedern.

Diese Einstellungen wirken sich nur auf das Ändern von Gruppenmitgliedschaften aus. Das Ändern von Berechtigungen auf

den Verzeichnissen wird wie bisher über Fileserver-Ressourcen-Einträge festgelegt. Wenn Sie ein Verzeichnis als

veränderbare Ressource eintragen, dann können Sie darauf Änderungen vornehmen. Diese Änderungen an

Verzeichnisrechten sind dann nur mit ihren eingetragenen veränderbaren-Domänenobjekten (Benutzer und Gruppen)

möglich.

93

7 SERVER

Die Bereiche in der Serveransicht finden Sie in folgenden Kapiteln beschrieben:

Autorisierung

(Kap. 7.1)

Server

Schwellwerte

(Kap. 7.5)

Kommentare

(Kap. 7.2)

Report

(Kap. 7.6)

E-Mail

(Kap. 7.3)

Server Ereignis

Protokollierung

(Kap. 7.7)

Datenstand

Speicherung

(Kap. 7.4)

Autorisierung 7.1

Im Autorisierung-Bereich können Sie einstellen ob alla Änderungen eines Dateneigentümers mit 8MAN durch einen 8MAN

Administrator autorisiert werden müssen.

94

Kommentare 7.2

Im Kommentare-Bereich können Sie die Anzahl der Tage einstellen, für die Kommentarzettel an Accounts und Ressourcen

angezeigt werden sollen.

E-Mail 7.3

Im E-Mail-Bereich können das Senden von E-Mails für Fehler, Alarme, Änderungsbenachrichtigungen oder

Reporteinstellungen aktivieren.

Datenstand Speicherung 7.4

Im Datenstand-Speicherung-Bereich können Sie das Scan-Archiv aktivieren, um alte und bereits in der Datenbank gelöschte

Datenstände zu laden. Desweiteren können Sie das automatische löschen alter Datenstände in der Datenbank aktivieren.

95

Server Schwellwerte 7.5

Im Server-Schwellwerte-Bereich können Sie Einstellungen für die Überprüfung der Server Schwellwerte vornehmen

(Überblick über die aktuellen Server Schwellwerte Kap. 1.4.2).

Report 7.6

Im Report-Bereich können Sie verschiedene Einstellungen für Reports vornehmen, z.B. können Sie einstellen, das

Gruppenmitglieder ab einer bestimmten Mitgliederzahl im Report nicht explizit aufgelistet werden sollen. Die Gruppe

selbst wird im Report weiterhin angezeigt, jedoch nur mit dem Vermerk über die Anzahl der enthaltenen Mitglieder.

96

Dies gilt für alle Reports des 8MAN. Sinnvoll ist es, z.B: die Gruppe Domänenbenutzer in die Liste der Gruppen mit

aufzunehmen.

Server Ereignis Protokollierung 7.7

Im Server-Ereignis-Protokollierung-Bereich können Sie Einstellungen für die Server Ereignis Protokollierung vornehmen.

97

8 SERVER-STATUS

Lizenzinformationen 8.1

Im Lizenzinformationen-Bereich können Sie durch „Lizenz laden“ eine Lizenz laden. Es erscheint folgender

Dateiauswahldialog:

Gehen Sie zum Verzeichnis das die Lizenzdatei enthält. Standardmäßig speichert 8MAN die Lizenzdatei unter

C:\ProgramData\protected-networks.com\8MAN\licenses. Wählen Sie die Lizensdatei aus und „Öffnen“.

98

Nun können Sie die Lizenzinformationen sehen:

„Zurück“ gelangen Sie wieder ins Mein 8MAN Dashboard. Nach dem erfolgreichen Laden einer Lizenz zeigt das Mein

8MAN Dashboard den Funktionsumfang der Lizenz an (Kap. 1.4). Für die Volllizenz sind je nach 8MAN Version verschiedene

Konfigurationspunkte verfügbar.

Übersicht der angemeldeten Benutzer am 8MAN Server 8.2

Im Server-Status-Bereich wird eine Liste aller angemeldeten Benutzer an das 8MAN System angezeigt. Es wird zwischen

8MAN, 8MAN Konfiguration und 8MAN Reports unterschieden.

99

9 8MAN STARTEN

8MAN kann nun gestartet werden . .

Ändern Sie den Port nur, wenn das gemeinsam mit dem Support von protected-networks.com in der Konfigurationsdatei

geändert wurde.

Fertig – Viel Spaß mit 8MAN!

Für Fragen erreichen Sie unseren Support unter +49(30)3906345-44.

8MAN benutzt die WPF Toolkit Bibliothek v.3.5.50211.1 , © Microsoft Corporation 2010

100

http://wpf.codeplex.com/license

Über uns:

protected-networks.com wurde 2009

in Berlin gegründet und entwickelt

seitdem 8MAN, eine Software für

Benutzer- und

Berechtigungsmanagement unter

dem Windows Betriebssystem.

www.8man.com

Deutschland (Hauptsitz) protected-networks.com GmbH Alt-Moabit 73 10555 Berlin Tel. +49 (030) 390 63 45 - 0 Fax +49 (030) 390 63 45 – 51 [email protected] www.protected-networks.com

UK protected-networks.com 1 Stanhope Gate Camberley, Surrey , GU15 3DW +44 (0) 1276 919 989 [email protected] www.8man.co.uk

USA

8MAN USA, Inc. +1 (855) TRY-8MAN [email protected] www.8man.com

http://wpf.codeplex.com/license

INSTALLATION UND KONFIGURATION Handbuch - … · 2 Haftungsausschluss Die in diesem Handbuch...

Documents

Transcript of INSTALLATION UND KONFIGURATION Handbuch - … · 2 Haftungsausschluss Die in diesem Handbuch...