Como reduzir as solicitações de criação e manutenção de contas do AD e a carga de trabalho

Question

Onde eu trabalho, quase 40% das solicitações de suporte são para tarefas de gerenciamento de contas:

• Crie uma nova conta e atribua em grupos
• Desbloquear uma conta
• Redefinir uma senha
• Alterar os grupos de uma conta após uma mudança de tarefas, responsabilidades ou localização de um usuário

Quais são os meios e / ou ferramentas disponíveis para meus colegas de trabalho para reduzir a carga para gerenciar contas?

Alguns exemplos possíveis:

• Uma ferramenta para permitir que as pessoas desbloqueiem e redefinam sua conta / senha
• Delegue algum poder aos usuários avançados em locais externos para permitir o gerenciamento da conta
• Uma ferramenta simples para pessoas não técnicas gerenciarem a conta com um mecanismo de aprovação da TI.

Answer 1

Existem muitas ferramentas para permitir a redefinição de senha de autoatendimento dos usuários. Estamos usando o SSRPM que fornece um msgina.dll substituição, que instalamos em todas as estações clientes, bem como acesso baseado na web. As perguntas de redefinição são personalizáveis e você pode criar perfis para diferentes UOs ou grupos.

A delegação da atividade de administração do usuário é altamente recomendada. É bastante simples (implementação-sábio) depois de ter feito o seu planejamento e design.

1. Divida seus mapeamentos de grupo de contas de usuário.
   • por exemplo, Finanças de gerenciamento de usuários, Vendas de gerenciamento de usuários, Redefinição de senha de gerenciamento de usuários, etc .
2. Crie grupos do AD que representam essas delegações de gerenciamento.
3. Delegar acesso às respectivas UOs / grupos para os grupos de gerenciamento.
4. Preencha grupos de gerenciamento com contas de usuários aprovadas.

A maior economia de tempo para nós foi a conexão do AD aos nossos sistemas de gestão de RH e estudantes. Como somos um cliente do produto SSRPM acima, nosso diretor comprou outro de seus produtos - URMA . Eu não posso recomendar este produto específico, pois é muito doloroso para alguém que já está mais do que confortável com o script. Mas o alvo do produto é mais importante. Você quer descobrir como obter dados de seu sistema de RH e script / hackear algo para importar isso para o AD de forma cíclica.

    

Answer 2

Isso depende muito da estrutura da sua empresa. Se você tem um departamento de TI que consiste em vários grupos, é comum conceder esses tipos de funções a uma seção de Suporte Técnico, geralmente consistindo de técnicos de nível inferior a médio.

Também é possível delegar esses direitos a indivíduos dentro dos departamentos. Selecione uma ou duas pessoas em cada departamento para ser seu "Ajudante de TI" (escolha um nome melhor) para o qual você pode delegar esse tipo de acesso. Isso é especialmente fácil de gerenciar se você já tiver sua estrutura de AD dividida em departamento, de modo que possa atribuir essas pessoas a suas próprias UOs sem poder modificar as pessoas fora desses departamentos.

Esses links devem ajudar:

• Implementação da delegação de administração do Active Directory
• Práticas recomendadas para delegar o Active Directory