Gestione autorizzazioni

Gestione autorizzazioni fornisce un'infrastruttura flessibile per l'integrazione del controllo di accesso basato sui ruoli nelle applicazioni. Consente agli amministratori che utilizzano tali applicazioni di fornire l'accesso tramite l'assegnazione di ruoli utente associati a qualifiche professionali.

Nelle applicazioni di Gestione autorizzazioni vengono archiviati i criteri di autorizzazione sotto forma di archivi di autorizzazioni memorizzati in Servizi di dominio Active Directory, in Active Directory Lightweight Directory Services, in file XML o in database di Microsoft SQL Server. Tali criteri vengono applicati in fase di esecuzione.

  • Panoramica di Gestione autorizzazioni

  • Novità di Gestione autorizzazioni

  • Elenco di controllo: letture consigliate prima dell'utilizzo di Gestione autorizzazioni

  • Utilizzare e gestire lo snap-in Gestione autorizzazioni

  • Gestire archivi autorizzazioni

  • Gestire applicazioni e ambiti

  • Gestire gruppi, ruoli e attività

  • Controllare le autorizzazioni tramite le regole di autorizzazione e le regole business

  • Risolvere i problemi relativi a Gestione autorizzazioni

  • Risorse per Gestione autorizzazioni

  • Interfaccia utente: Gestione autorizzazioni


Panoramica di Gestione autorizzazioni

Il controllo di accesso basato sui ruoli consente di assegnare utenti a ruoli e di tenere traccia delle autorizzazioni assegnate a ogni ruolo. È inoltre possibile applicare controlli molto specifici tramite script denominati regole di autorizzazione, che consentono di controllare la relazione tra il controllo di accesso e la struttura dell'organizzazione.

Gestione autorizzazioni consente di controllare in modo efficace l'accesso alle risorse in numerose situazioni. Le due categorie che traggono maggiore vantaggio dall'amministrazione basata sui ruoli sono: i ruoli di autorizzazione utente e i ruoli di configurazione dei computer.

  • I ruoli di autorizzazione utente sono basati sulla funzione professionale dell'utente. e possono essere utilizzati per consentire l'accesso, delegare privilegi amministrativi o gestire l'interazione con le risorse dei computer. È possibile, ad esempio, definire un ruolo di Tesoriere che includa il diritto ad autorizzare le spese e a controllare le transazioni contabili.

  • I ruoli di configurazione dei computer sono basati sulla funzione dei computer e possono essere utilizzati per selezionare le funzionalità da installare, per attivare dei servizi e selezionare delle opzioni. È possibile, ad esempio, configurare ruoli server per server Web, controller di dominio, file server e configurazioni server personalizzate appropriate per l'organizzazione.

Utilizzo delle modalità sviluppatore e amministratore in Gestione autorizzazioni

Con Gestione autorizzazioni è possibile utilizzare le due modalità illustrate di seguito.

  • Modalità sviluppatore. Nella modalità sviluppatore è possibile creare, distribuire e gestire le applicazioni, disponendo di accesso illimitato a tutte le funzionalità di Gestione autorizzazioni.

  • Modalità amministratore. È la modalità predefinita e consente di distribuire e gestire le applicazioni. Sebbene fornisca l'accesso a tutte le funzionalità di Gestione autorizzazioni, non consente di creare nuove applicazioni o definire delle operazioni.

Gestione autorizzazioni è in genere utilizzato mediante applicazioni personalizzate scritte per scopi specifici nell'ambiente in uso. Tali applicazioni consentono in genere di creare, gestire e utilizzare un archivio di autorizzazioni chiamando le API di Gestione autorizzazioni. In questo caso, non è necessario utilizzare la modalità sviluppatore. Per ulteriori informazioni sull'utilizzo di Gestione autorizzazioni a livello di programmazione, vedere Risorse per Gestione autorizzazioni.

Quando si utilizza la modalità sviluppatore, è consigliabile eseguire Gestione autorizzazioni in questa modalità solo per la creazione e la configurazione dell'archivio autorizzazioni, dell'applicazione e degli altri oggetti necessari. Una volta completata la configurazione iniziale, eseguire Gestione autorizzazioni in modalità amministratore. Per ulteriori informazioni sull'utilizzo delle modalità sviluppatore e amministratore, vedere Impostare opzioni di Gestione autorizzazioni.

Confronto tra Gestione autorizzazioni e altri strumenti di gestione

È possibile utilizzare Gestione autorizzazioni per implementare contemporaneamente più modifiche alla configurazione e alle autorizzazioni. È possibile utilizzare altri strumenti di gestione disponibili in questa versione di Windows per configurare le autorizzazioni di accesso, talvolta in modo simile a Gestione autorizzazioni. Ad esempio:

  • Elenchi di controllo di accesso. Gli elenchi di controllo di accesso disponibili nella scheda delle proprietà Sicurezza possono essere utilizzati per gestire i criteri di controllo di accesso per oggetti archiviati in Servizi di dominio Active Directory e Active Directory Lightweight Directory Services, nonché per oggetti Windows. Gestione autorizzazioni differisce da questa scheda in quanto consente di basare su regole il controllo di accesso (basato in genere su attività processo specifiche) e non solo sull'appartenenza ai gruppi e in quanto consente di tenere traccia delle autorizzazioni concesse.

  • Delega guidata del controllo. Anche la Delega guidata del controllo consente di impostare automaticamente più autorizzazioni, ma, a differenza di Gestione autorizzazioni, non offre alcun metodo per tenere traccia delle autorizzazioni concesse o per rimuoverle.

Ulteriori riferimenti

  • Risorse per Gestione autorizzazioni

  • Novità di Gestione autorizzazioni

  • Elenco di controllo: letture consigliate prima dell'utilizzo di Gestione autorizzazioni


Novità di Gestione autorizzazioni

In Windows Server 2008 sono state introdotte diverse nuove funzionalità in Gestione autorizzazioni. Ad esempio:

  • Gli archivi di Gestione autorizzazioni possono essere archiviati in database di Microsoft SQL Server, in Servizi di dominio Active Directory, in Active Directory Lightweight Directory Services o in file XML. Per ulteriori informazioni, vedere Stabilire una connessione a un archivio autorizzazioni basato su SQL.

  • È disponibile il supporto per gruppi di regole business, ovvero gruppi la cui appartenenza è determinata in fase di esecuzione tramite uno script. Per ulteriori informazioni, vedere Creare un gruppo di applicazioni in un archivio autorizzazioni.

  • È disponibile il supporto per selettori oggetti personalizzati che consentono agli amministratori delle applicazioni di utilizzare Gestione autorizzazioni per le applicazioni che utilizzano account utente Active Directory Lightweight Directory Services o SQL. Per ulteriori informazioni sull'utilizzo di un selettore oggetti personalizzato, vedere Scegliere utenti o gruppi con un selettore oggetti personalizzato.

Sono stati inoltre apportati numerosi miglioramenti e modifiche a Gestione autorizzazioni. Ad esempio:

  • Miglioramenti all'API (Application Programming Interface) di Gestione autorizzazioni, tra cui l'ottimizzazione di funzioni comuni e l'introduzione di versioni più semplici e rapide di metodi di uso frequente, ad esempio AccessCheck.

  • Le query LDAP non sono limitate ai soli oggetti utente.

  • Se il controllo è attivo, nel registro vengono memorizzati più eventi.

  • L'utilizzo di regole business e di autorizzazione viene controllato mediante un'impostazione del Registro di sistema. In Windows Server 2008 R2 e Windows Server 2008 le regole sono disattivate per impostazione predefinita. Nelle versioni precedenti di Windows le regole sono invece attivate per impostazione predefinita.


Elenco di controllo: letture consigliate prima dell'utilizzo di Gestione autorizzazioni

Prima di utilizzare Gestione autorizzazioni, esaminare gli elementi seguenti.

Passaggio Riferimenti

Rivedere i concetti fondamentali relativi alla sicurezza.

Per ulteriori informazioni sui dati di sicurezza per sviluppatori, vedere la pagina relativa allo sviluppo di applicazioni sicure (http://go.microsoft.com/fwlink/?LinkId=65843).

Per ulteriori informazioni generali sulla sicurezza, visitare il sito Web relativo alla sicurezza (http://go.microsoft.com/fwlink/?LinkId=64028).

Leggere le informazioni di carattere generale su Gestione autorizzazioni.
  • Panoramica di Gestione autorizzazioni

  • Novità di Gestione autorizzazioni

  • Risorse per Gestione autorizzazioni

Esaminare la differenza tra la modalità amministratore e la modalità sviluppatore in Gestione autorizzazioni.

Impostare opzioni di Gestione autorizzazioni

Consultare le informazioni relative agli archivi di autorizzazioni e alle applicazioni e analizzare le differenze tra gli archivi autorizzazioni memorizzati come file XML, quelli archiviati in Servizi di dominio Active Directory o Active Directory Lightweight Directory Services e quelli archiviati in un database di Microsoft SQL Server.

Informazioni sugli archivi di Gestione autorizzazioni

(Per gli sviluppatori) Esaminare le informazioni più aggiornate su Gestione autorizzazioni e sulle interfacce API (Application Programming Interface) relative all'autorizzazione in Platform SDK.

Per ulteriori informazioni, visitare la pagina relativa all'autorizzazione (http://go.microsoft.com/fwlink/?LinkId=64031).

Prima di utilizzare Gestione autorizzazioni per gli archivi autorizzazioni archiviati in Servizi di dominio Active Directory, è necessario aumentare il livello di funzionalità del dominio a Windows Server 2003 o versioni successive.

L'aumento del livello di funzionalità del dominio è un'operazione irreversibile.

Per ulteriori informazioni, vedere la pagina relativa all'aumento del livello di funzionalità del dominio (http://go.microsoft.com/fwlink/?linkid=64029).

Avviare Gestione autorizzazioni.

Avviare Gestione autorizzazioni


Utilizzare e gestire lo snap-in Gestione autorizzazioni

La console Gestione autorizzazioni è uno snap-in MMC (Microsoft Management Console) che può essere eseguito come console autonoma oppure aggiunto a qualsiasi console MMC.

In questa sezione vengono descritti gli argomenti seguenti:

  • Aggiungere lo snap-in Gestione autorizzazioni a MMC

  • Avviare Gestione autorizzazioni

  • Impostare opzioni di Gestione autorizzazioni

  • Sincronizzare la console Gestione autorizzazioni


Aggiungere lo snap-in Gestione autorizzazioni a MMC

La console Gestione autorizzazioni è uno snap-in MMC (Microsoft Management Console) che può essere eseguito come console autonoma oppure aggiunto a qualsiasi console MMC.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Aggiungere lo snap-in Gestione autorizzazioni a MMC

  1. Fare clic sul pulsante Start, digitare mmc nella casella Avvia ricerca e quindi premere INVIO.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, verificare le informazioni visualizzate e quindi immettere l'autorizzazione o le credenziali richieste.

  3. Scegliere Aggiungi/Rimuovi snap-in dal menu File.

  4. Nella casella di riepilogo Snap-in disponibili fare clic su Gestione autorizzazioni e quindi su Aggiungi.

  5. Fare clic su OK.

Ulteriori considerazioni

  • A seconda della configurazione del computer, la finestra di dialogo Controllo account utente potrebbe essere o non essere visualizzata. Il messaggio non verrà visualizzato se è stato effettuato l'accesso con l'account Administrator predefinito (l'account Administrator locale è disabilitato per impostazione predefinita in questa versione di Windows).

  • Per impostazione predefinita, i membri del gruppo Administrators locale dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti non amministratori.

  • Se Controllo dell'account utente è abilitato, è possibile configurarlo per consentire agli utenti non amministratori di immettere le credenziali di un amministratore allo scopo di eseguire attività amministrative senza dover essere un membro del gruppo Administrators.

Ulteriori riferimenti

  • Avviare Gestione autorizzazioni

  • Impostare opzioni di Gestione autorizzazioni


Avviare Gestione autorizzazioni

È possibile eseguire Gestione autorizzazioni come console autonoma oppure come snap-in aggiunto a MMC (Microsoft Management Console).

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per avviare Gestione autorizzazioni

  1. Fare clic sul pulsante Start, digitare azman.msc nella casella Avvia ricerca e quindi premere INVIO.

  2. Se viene visualizzata la finestra di dialogo Controllo account utente, immettere l'autorizzazione o le credenziali richieste.

Ulteriori considerazioni

  • Gestione autorizzazioni viene aperto senza un archivio autorizzazioni predefinito. Per utilizzare Gestione autorizzazioni è necessario creare o aprire un archivio autorizzazioni.

  • È possibile configurare una console MMC personalizzata che includa Gestione autorizzazioni. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

  • Gestione autorizzazioni verrà aperto con la medesima configurazione con cui la console è stata chiusa l'ultima volta.

  • A seconda della configurazione del computer, la finestra di dialogo Controllo account utente potrebbe essere o non essere visualizzata. Il messaggio non verrà visualizzato se è stato effettuato l'accesso con l'account Administrator predefinito (l'account Administrator locale è disabilitato per impostazione predefinita in questa versione di Windows).

  • Per impostazione predefinita, i membri del gruppo Administrators locale dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti non amministratori.

  • Se Controllo account utente è abilitato, è possibile configurarlo per consentire agli utenti non amministratori di immettere le credenziali di un amministratore allo scopo di eseguire attività amministrative senza dover essere membri del gruppo Administrators.

Ulteriori riferimenti

  • Aggiungere lo snap-in Gestione autorizzazioni a MMC


Impostare opzioni di Gestione autorizzazioni

Gestione autorizzazioni può utilizzare due modalità diverse, ovvero la modalità sviluppatore e la modalità amministratore.

La modalità amministratore è quella predefinita, tuttavia per poterla utilizzare in modo efficiente, è necessario definire un'applicazione che includa tutte le definizioni di gruppo, ruolo, operazione e attività necessarie. A tale scopo, viene utilizzata la modalità sviluppatore.

Dopo che un'applicazione è stata configurata in modalità sviluppatore, non è necessario eseguire Gestione autorizzazioni in questa modalità per utilizzare l'applicazione.

Per completare le attività seguenti, è necessario operare in modalità sviluppatore:

  • Creare nuovi archivi autorizzazioni

  • Creare nuove applicazioni

  • Definire o modificare delle operazioni

  • Cambiare il nome di un'applicazione

  • Modificare le informazioni sulla versione di un'applicazione

Per passare dalla modalità amministratore alla modalità sviluppatore e viceversa, utilizzare la finestra di dialogo Opzioni.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Impostare le opzioni di Gestione autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Nell'albero della console selezionare il nodo Gestione autorizzazioni (nodo radice).

  3. Scegliere Opzioni dal menu Azione.

  4. Fare clic su Modalità sviluppatore o Modalità amministratore.

  5. Fare clic su OK.

Ulteriori considerazioni

  • Per impostazione predefinita, i membri del gruppo Administrators locale dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti non amministratori.

Ulteriori riferimenti

  • Avviare Gestione autorizzazioni


Sincronizzare la console Gestione autorizzazioni

Se un archivio autorizzazioni viene modificato da più utenti o processi contemporaneamente, le modifiche non verranno rese immediatamente effettive in tutte le istanze della console Gestione autorizzazioni, poiché quest'ultima mantiene un copia archiviata nella cache dell'archivio autorizzazioni in memoria.

Sono disponibili due comandi che consentono di sincronizzare la visualizzazione nella console Gestione autorizzazioni, ovvero Aggiorna e Ricarica.

  • Il comando di aggiornamento consente di sincronizzare la visualizzazione della console con la copia archiviata nella cache.

  • Il comando di ricaricamento consente di sincronizzare la copia archiviata nella cache con l'archivio autorizzazioni effettivo e quindi la visualizzazione della console con la nuova copia nella cache.

Questa attività può essere completata con qualsiasi account a cui è consentito eseguire la console Gestione autorizzazioni.

Aggiornare la console Gestione autorizzazioni

  • Nell'albero della console fare clic con il pulsante destro del mouse sull'elemento che si desidera aggiornare e quindi scegliere Aggiorna.
Ricaricare un archivio autorizzazioni

  • Nell'albero della console fare clic con il pulsante destro del mouse sul nome dell'archivio autorizzazioni e quindi scegliere Ricarica.

Ulteriori riferimenti

  • Elenco di controllo: letture consigliate prima dell'utilizzo di Gestione autorizzazioni

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Avviare Gestione autorizzazioni


Gestire archivi autorizzazioni

Per poter utilizzare Gestione autorizzazioni ai fini del controllo di accesso alle risorse, è necessario creare le definizioni appropriate per descrivere l'ambiente desiderato. Tutte le impostazioni vengono mantenute in uno o più archivi di autorizzazioni.

Gli archivi di autorizzazioni vengono talvolta denominati archivi di criteri oppure archivi di criteri di autorizzazione.

In questa sezione vengono descritti gli argomenti seguenti:

  • Creare un archivio autorizzazioni

  • Modificare le proprietà di un archivio autorizzazioni

  • Consentire ad altri utenti di amministrare un archivio autorizzazioni

  • Attivare il controllo di un archivio autorizzazioni

  • Stabilire una connessione a un archivio autorizzazioni basato su SQL

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Informazioni sui limiti degli archivi di Gestione autorizzazioni


Creare un archivio autorizzazioni

Per poter utilizzare Gestione autorizzazioni ai fini del controllo di accesso alle risorse, è necessario creare un archivio autorizzazioni.

Per completare questa procedura, è necessaria almeno l'appartenenza al gruppo Administrators. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per creare un archivio autorizzazioni

  1. Aprire Gestione autorizzazioni.

  2. Se necessario, passare alla modalità sviluppatore modificando le opzioni di Gestione autorizzazioni.

  3. Nell'albero della console fare clic con il pulsante destro del mouse su Gestione autorizzazioni e quindi scegliere Nuovo archivio autorizzazioni.

  4. Nella finestra di dialogo Nuovo archivio autorizzazioni fare clic su Active Directory, File XML o Microsoft SQL.

  5. Nella casella di testo Nome archivio digitare il nome dell'archivio autorizzazioni oppure fare clic su Percorsi per trovare l'archivio. Non è possibile utilizzare Percorsi per individuare un computer che esegue Microsoft SQL Server. Per creare un archivio in SQL Server è necessario conoscere il percorso da utilizzare.

  6. (Facoltativo) Nella casella di testo Descrizione digitare una descrizione del nuovo archivio autorizzazioni.

  7. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario operare in modalità sviluppatore.

  • Per creare un archivio autorizzazioni archiviato in Servizi di dominio Active Directory, utilizzare il nome LDAP (Lightweight Directory Access Protocol), ad esempio CN=Archivio,CN=Dati programmi,DN=nwtraders,DN=com. Un archivio può essere creato in una partizione di Servizi di dominio Active Directory o di Active Directory Lightweight Directory Services. Active Directory Lightweight Directory Services era noto in precedenza come ADAM (Active Directory/Application Mode).

  • Qualsiasi utente o gruppo assegnato al ruolo Amministratore criteri, Lettore criteri o Utente delegato criteri a qualsiasi livello (archivio, applicazione o ambito) per un archivio di Gestione autorizzazioni memorizzato in una partizione di Active Directory Lightweight Directory Services deve inoltre essere aggiunto al ruolo Lettore di tale partizione.

  • Per creare un archivio autorizzazioni basato su XML, utilizzare un nome file e un percorso validi in fase di esecuzione, ad esempio C:\ArchiviAut\Archivio.xml.

  • Per creare un archivio autorizzazioni basato su SQL, utilizzare un URL che inizi con il prefisso di protocollo MSSQL://. Per informazioni dettagliate sul formato URL di una stringa di connessione SQL, vedere la sezione "Ulteriori riferimenti".

  • Per impostazione predefinita, i membri del gruppo Administrators locale dispongono di diritti e privilegi sufficienti per completare questa attività. È possibile che nell'ambiente in uso la sicurezza sia gestita in modo da assegnare diritti aggiuntivi agli utenti non amministratori.

  • Se Controllo account utente è abilitato, è possibile configurarlo per consentire agli utenti non amministratori di immettere le credenziali di un amministratore allo scopo di eseguire attività amministrative senza dover essere membri del gruppo Administrators.

  • Se si crea l'archivio in un altro computer, è necessario accertarsi di disporre di autorizzazioni sufficienti per accedervi e crearvi il tipo di risorse appropriato.

Ulteriori riferimenti

  • Avviare Gestione autorizzazioni

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Impostare opzioni di Gestione autorizzazioni

  • Stabilire una connessione a un archivio autorizzazioni basato su SQL


Modificare le proprietà di un archivio autorizzazioni

A ogni archivio di autorizzazioni sono associate diverse proprietà che è possibile modificare. Per visualizzare o modificare le proprietà di un archivio autorizzazioni, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per modificare le proprietà di un archivio autorizzazioni

  1. Aprire Gestione autorizzazioni.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sull'archivio autorizzazioni che si desidera modificare e quindi scegliere Proprietà.

  3. Nella finestra di dialogo Proprietà modificare le impostazioni desiderate. Per ulteriori informazioni sull'impostazione di ogni proprietà, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Finestra delle proprietà - <Nome archivio>: scheda Generale

  • Finestra delle proprietà - <Nome archivio>: scheda Limiti

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Finestra delle proprietà - <Nome archivio o applicazione>: scheda Controllo

  • Avviare Gestione autorizzazioni


Consentire ad altri utenti di amministrare un archivio autorizzazioni

È possibile consentire ad altri utenti di gestire l'archivio autorizzazioni senza concedere loro diritti aggiuntivi nel sistema operativo. A tale scopo, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Consentire ad altri utenti di amministrare un archivio di autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio autorizzazioni.

  3. Nell'albero della console fare clic con il pulsante destro del mouse sull'archivio autorizzazioni e quindi scegliere Proprietà.

  4. Nella finestra di dialogo Proprietà fare clic sulla scheda Sicurezza.

  5. In Ruolo utente Gestione autorizzazioni fare clic su Amministratore.

  6. In Utenti e gruppi assegnati a questo ruolo fare clic su Aggiungi o Rimuovi per aggiungere o rimuovere utenti e gruppi a cui assegnare il ruolo di amministratore.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

  • Qualsiasi utente o gruppo assegnato al ruolo Amministratore criteri, Lettore criteri o Utente delegato criteri a qualsiasi livello (archivio, applicazione o ambito) per un archivio di Gestione autorizzazioni memorizzato in una partizione di Active Directory Lightweight Directory Services deve inoltre essere aggiunto al ruolo Lettore di tale partizione. Active Directory Lightweight Directory Services era noto in precedenza come ADAM (Active Directory/Application Mode).

Ulteriori riferimenti

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Informazioni sulle applicazioni di Gestione autorizzazioni

  • Avviare Gestione autorizzazioni


Attivare il controllo di un archivio autorizzazioni

Per determinare le azioni e le attività di Gestione autorizzazioni da controllare, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Attivare il controllo di un archivio autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sull'archivio autorizzazioni che si desidera controllare e quindi scegliere Proprietà.

  3. Nella finestra di dialogo Proprietà fare clic sulla scheda Controllo e quindi eseguire una delle operazioni seguenti o entrambe:

    • Per controllare l'inizializzazione dell'applicazione in fase di esecuzione, selezionare la casella di controllo Controllo inizializzazione applicazione in fase di esecuzione.

    • Per controllare le modifiche apportate all'archivio autorizzazioni, selezionare la casella di controllo Controllo modifiche archivio autorizzazioni.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Finestra delle proprietà - <Nome archivio o applicazione>: scheda Controllo

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Avviare Gestione autorizzazioni


Stabilire una connessione a un archivio autorizzazioni basato su SQL

È possibile utilizzare un database di Microsoft SQL Server per memorizzare l'archivio autorizzazioni. Per connettersi a un archivio di SQL Server, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Stabilire una connessione a un archivio di autorizzazioni basato su SQL

Quando si crea o si apre un archivio autorizzazioni, digitare un URL che inizi con il prefisso di protocollo MSSQL://.

La sintassi dell'URL è:

mssql://<stringa di connessione>/<nome database>/<nome archivio criteri>

in cui:

  • <stringa di connessione> corrisponde a una qualsiasi stringa di connessione valida a SQL Server,

  • <nome database> corrisponde al nome del database in cui l'archivio verrà salvato e

  • <nome archivio criteri> corrisponde al nome dell'archivio specifico.

Esempi

mssql://dsn=MyTestDataSource;/AzManDB/MyTestStore

mssql://Driver={SQL Server};Server={server1-test};/AzManDB/MyTestStore

Nota

Le connessioni a un archivio SQL non sono crittografate, a meno che non venga impostata in modo esplicito la crittografia SQL per la connessione o la crittografia del traffico di rete che utilizza IPSec (Internet Protocol Security). Per informazioni sulla configurazione della crittografia SQL o di IPsec, vedere la pagina relativa alla documentazione di SQL Server (http://go.microsoft.com/fwlink/?LinkId=131607).

Ulteriori considerazioni

  • Se nell'istanza di SQL Server non è disponibile il database denominato di Gestione autorizzazioni, verrà creato un nuovo database con il nome indicato. In caso contrario, il nuovo archivio verrà creato nel database con lo stesso nome.

  • L'amministratore di database responsabile del computer che esegue SQL Server deve configurare la sicurezza di tale computer in modo da consentire la creazione e la gestione del database di Gestione autorizzazioni.

  • Se non si ha familiarità con la sintassi delle stringhe di connessione, vedere la documentazione di Microsoft SQL Server 2008 o Microsoft SQL Server 2005 oppure visitare la pagina relativa alla sintassi delle stringhe di connessione nel sito Web Microsoft (http://go.microsoft.com/fwlink/?LinkId=69663).

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Novità di Gestione autorizzazioni


Informazioni sugli archivi di Gestione autorizzazioni

Gestione autorizzazioni consente di fornire agli amministratori servizi di autorizzazione mediante la creazione di applicazioni di Gestione autorizzazioni in grado di accedere agli archivi autorizzazioni.

In Gestione autorizzazioni non sono disponibili applicazioni né archivi di autorizzazioni predefiniti. Per creare un archivio autorizzazioni è necessario utilizzare Gestione autorizzazioni in modalità sviluppatore. Per ulteriori informazioni sull'utilizzo della modalità sviluppatore, vedere Impostare opzioni di Gestione autorizzazioni.

È possibile archiviare gli archivi autorizzazioni in file XML, in Servizi di dominio Active Directory, in Active Directory Lightweight Directory Services o in database di Microsoft SQL Server.

Nella tabella seguente vengono confrontati i diversi tipi di archivi di autorizzazioni.

Tipo di archivio autorizzazioni Supporto della delega Modalità di specifica dell'archivio autorizzazioni Requisiti

Servizi di dominio Active Directory o Active Directory Lightweight Directory Services

Supportata a livello di archivio autorizzazioni, di applicazione e di ambito.

Un URL che inizia con il prefisso di protocollo MSLDAP:// o con un nome distinto LDAP, ad esempio CN=Archivio,CN=Dati Programmi,DN=industrieharper,DN=com.

Il livello di funzionalità del dominio deve essere impostato su Windows Server 2003 o versione successiva.

Nota

In Windows 2000 Active Directory non supporta gli archivi autorizzazioni.

XML

Non supportato

Il file XML viene protetto globalmente dalle voci di controllo di accesso (ACE) del relativo file system NTFS.

Un URL che inizia con il prefisso di protocollo MSXML:// o un percorso, ad esempio C:\Temp\Archivio.xml o \\NomeServer\NomeCondivisione\Archivio.xml.

Qualsiasi partizione NTFS

SQL Server

Supportata a livello di archivio autorizzazioni, di applicazione e di ambito

Un URL che inizia con il prefisso di protocollo MSSQL:// seguito da una stringa di connessione, un nome di database e il nome dell'archivio dei criteri, nel formato MSSQL://<stringa di connessione>/<nome database>/<nome archivio di criteri>

Almeno Microsoft SQL Server 2000

Un'applicazione è specifica di un archivio autorizzazioni ed è sempre situata nel rispettivo archivio autorizzazioni padre in Gestione autorizzazioni. Per ulteriori informazioni, vedere Creare un'applicazione di Gestione autorizzazioni.

Gli ambiti, i ruoli e le attività sono sempre specifici di un'applicazione. Per ulteriori informazioni, vedere Informazioni sugli ambiti di Gestione autorizzazioni e Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni.

Utilizzo di gruppi di applicazioni

Un gruppo di applicazioni è costituito da un gruppo di utenti di un'applicazione di Gestione autorizzazioni. È possibile creare gruppi di applicazioni in tutti e tre i livelli della console di Gestione autorizzazioni. Nella tabella riportata di seguito sono elencati i diversi livelli di Gestione autorizzazioni in cui è possibile creare gruppi di applicazioni.

Livello | Contesto di utilizzo del gruppo di applicazioni
Archivio autorizzazioni | Archivio autorizzazioni e applicazioni e ambiti sottostanti
Applicazione | Applicazione e ambiti sottostanti
Ambito | Ambito

Per ulteriori informazioni sui gruppi di applicazioni, vedere Informazioni sui gruppi di applicazioni di Gestione autorizzazioni.

Delega di archivi autorizzazioni e applicazioni

Gli archivi autorizzazioni archiviati in Servizi di dominio Active Directory, Active Directory Lightweight Directory Services o SQL Server supportano la delega. Di conseguenza, è possibile autorizzare altri utenti ad amministrare tali archivi autorizzazioni o le applicazioni in essi contenute.

Per ulteriori informazioni sulla delega, vedere Consentire ad altri utenti di amministrare un archivio autorizzazioni.


Informazioni sui limiti degli archivi di Gestione autorizzazioni

È possibile configurare ogni archivio di Gestione autorizzazioni con diversi limiti specifici. Ciò consente di ottimizzare le prestazioni di Gestione autorizzazioni nell'ambiente in uso. È consigliabile utilizzare i valori predefiniti a meno che non sia necessario soddisfare requisiti specifici.

È possibile configurare limiti per le regole di autorizzazione e per i timeout delle query LDAP (Lightweight Directory Access Protocol).

Limiti delle regole di autorizzazione

È possibile scegliere di disattivare tutte le regole di autorizzazione. Se le regole sono attivate, è possibile specificare un valore di timeout per limitare il tempo di attesa consentito nel sistema per il completamento di uno script di regole business o di regole di autorizzazione.

L'eventuale disattivazione delle regole di autorizzazione tramite questa impostazione interesserà tutti i client che utilizzano l'archivio di Gestione autorizzazioni. I singoli client sono inoltre interessati dall'impostazione del Registro di sistema descritta in Informazioni sulle regole di autorizzazione e sulle regole business.


Gestire applicazioni e ambiti

È possibile utilizzare applicazioni e ambiti di Gestione autorizzazioni per raggruppare definizioni correlate e limitare la modalità di applicazione di determinati criteri.

In questa sezione vengono descritti gli argomenti seguenti:

  • Creare un gruppo di applicazioni in un archivio autorizzazioni

  • Modificare le proprietà di un gruppo in un archivio autorizzazioni

  • Creare un'applicazione di Gestione autorizzazioni

  • Informazioni sulle applicazioni di Gestione autorizzazioni

  • Informazioni sugli ambiti di Gestione autorizzazioni

  • Informazioni sul controllo di Gestione autorizzazioni


Creare un gruppo di applicazioni in un archivio autorizzazioni

Per poter utilizzare in modo efficiente Gestione autorizzazioni ai fini del controllo di accesso alle risorse, è necessario definire gruppi di utenti. Per definire un gruppo di applicazioni, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Per creare un gruppo in un archivio autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Nell'albero della console fare clic con il pulsante destro del mouse su Gruppi e quindi scegliere Nuovo gruppo applicazioni.

  3. Nella casella di testo Nome della finestra di dialogo Nuovo gruppo applicazioni digitare un nome da assegnare al gruppo.

  4. Nella casella di testo Descrizione digitare una descrizione del gruppo.

  5. In Tipo gruppo fare clic su Gruppo applicazioni di base, Gruppo applicazioni query LDAP o Gruppo applicazioni regole business. Per ulteriori informazioni sui tipi di gruppi che è possibile creare, vedere la sezione "Ulteriori riferimenti".

  6. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità.

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Avviare Gestione autorizzazioni


Modificare le proprietà di un gruppo in un archivio autorizzazioni

Le proprietà di un gruppo ne costituiscono la definizione e ne determinano l'appartenenza. Per visualizzare o modificare le proprietà di un gruppo, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Modificare le proprietà di un gruppo in un archivio di autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Nell'albero della console fare clic con il pulsante destro del mouse sul gruppo che si desidera modificare e quindi scegliere Proprietà.

  3. Nella finestra di dialogo Proprietà modificare le impostazioni desiderate. Per ulteriori informazioni sulle proprietà che è possibile modificare, vedere la sezione "Ulteriori riferimenti".

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità.

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Finestra delle proprietà - <Nome gruppo>: scheda Generale

  • Finestra delle proprietà - <Nome gruppo>: scheda Esclusioni

  • Finestra delle proprietà - <Nome gruppo>: scheda Membri

  • Finestra delle proprietà - <Nome gruppo>: scheda Query


Creare un'applicazione di Gestione autorizzazioni

Un archivio autorizzazioni può contenere informazioni sui criteri di autorizzazione per più applicazioni in un unico archivio di criteri. Tutte le applicazioni incluse in un archivio di autorizzazioni possono accedere a tutti i gruppi definiti a livello di archivio.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Creare un'applicazione di Gestione autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni.

  3. Se Gestione autorizzazioni è in modalità amministratore, passare alla modalità sviluppatore.

  4. Nell'albero della console fare clic con il pulsante destro del mouse sul nome dell'archivio autorizzazioni e quindi scegliere Nuova applicazione.

  5. Nella casella di testo Nome digitare un nome per l'applicazione.

  6. Se lo si desidera, digitare una descrizione e le informazioni sulla versione.

  7. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio di autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere Consentire ad altri utenti di amministrare un archivio autorizzazioni.

Ulteriori riferimenti

  • Informazioni sulle applicazioni di Gestione autorizzazioni

  • Finestra delle proprietà - <Nome applicazione>: scheda Generale


Informazioni sulle applicazioni di Gestione autorizzazioni

Con Gestione autorizzazioni è possibile gestire le attività delle applicazioni e l'accesso ai dati creando applicazioni di Gestione autorizzazioni che accedono agli archivi autorizzazioni.

Un'applicazione è specifica di un archivio autorizzazioni ed è sempre situata nel rispettivo archivio autorizzazioni padre in Gestione autorizzazioni.

Un singolo archivio autorizzazioni può contenere informazioni sui criteri di autorizzazione per numerose applicazioni. Tutte le applicazioni incluse in un archivio di autorizzazioni possono accedere a tutti i gruppi definiti a livello dell'archivio.

In un archivio di criteri di autorizzazione deve essere presente almeno un'applicazione. È ad esempio possibile creare un'applicazione per controllare l'accesso a un sito Web e un'altra per controllare l'accesso alle funzioni disponibili in un determinato prodotto software line-of-business. Poiché entrambe le applicazioni vengono utilizzate nella stessa società e possono condividere requisiti analoghi, può essere consigliabile includerle entrambe in un unico archivio autorizzazioni.

È possibile gestire il controllo a livello di applicazione. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Creare un'applicazione di Gestione autorizzazioni

  • Informazioni sul controllo di Gestione autorizzazioni


Informazioni sugli ambiti di Gestione autorizzazioni

Un ambito corrisponde a una suddivisione virtuale all'interno di un'applicazione che separa alcune risorse da altre risorse utilizzate dall'applicazione. È possibile utilizzare gli ambiti per impedire la condivisione accidentale di risorse e per supportare il controllo e la delega. L'utilizzo di ambiti non è obbligatorio.

Un ambito può essere costituito da una cartella, un contenitore in Servizi di dominio Active Directory o Active Directory Lightweight Directory Services, un insieme filtrato di file, ad esempio *.doc, un URL o qualsiasi elemento accessibile dall'applicazione o dall'archivio autorizzazioni sottostante. Gli ambiti rappresentano comunque astrazioni, ovvero definizioni create in Gestione autorizzazioni che non costituiscono una cartella fisica nel file system o un contenitore effettivo di Servizi di dominio Active Directory, ad esempio.

Se non si desidera applicare determinati gruppi, assegnazioni di ruolo, definizioni di ruolo o di attività di Gestione autorizzazioni a un'intera applicazione, è possibile crearli a livello di ambito. L'applicazione contenente l'ambito deve essere in grado di riconoscerne il nome. Nelle applicazioni basate su file, ad esempio, i nomi degli ambiti possono includere nomi o percorsi di file. Nelle applicazioni basate sul Web, i nomi degli ambiti possono essere basati su URL. Nelle applicazioni del Registro di sistema, i nomi degli ambiti possono essere basati su hive del Registro di sistema, mentre in Active Directory possono specificare unità organizzative. Non è possibile definire operazioni a livello di ambito.

Controllo degli ambiti

Non è possibile eseguire il controllo in fase di esecuzione di Gestione autorizzazioni a livello di ambito. È invece possibile eseguire il controllo delle modifiche all'archivio autorizzazioni di Gestione autorizzazioni negli ambiti contenuti in archivi autorizzazioni archiviati in Active Directory. Per ulteriori informazioni, vedere Informazioni sul controllo di Gestione autorizzazioni.

Delega degli ambiti

È possibile delegare l'amministrazione di ambiti ad altri utenti se entrambe le condizioni seguenti vengono soddisfatte:

  • L'archivio autorizzazioni deve essere archiviato in Servizi di dominio Active Directory, Active Directory Lightweight Directory Services o SQL Server.

  • Le regole di autorizzazione non vengono utilizzate in alcuna definizione di ruolo o attività creata all'interno dell'ambito di cui si desidera delegare l'amministrazione.


Informazioni sul controllo di Gestione autorizzazioni

Il monitoraggio dell'accesso alle risorse controllate e delle eventuali modifiche apportate ai criteri di autorizzazione consente di tenere traccia di possibili problemi di sicurezza, di garantire l'affidabilità dell'utente e di offrire prove in caso di violazione della sicurezza.

Tipi di controllo

Con Gestione autorizzazioni è possibile utilizzare due tipi di controllo: il controllo in fase di esecuzione e il controllo delle modifiche all'archivio autorizzazioni.

Controllo in fase di esecuzione

Il controllo in fase di esecuzione include due aspetti:

  • Controllo dell'inizializzazione delle applicazioni in fase di esecuzione, che genera controlli all'apertura di un'applicazione.

  • Controllo di verifica dell'accesso e del contesto client in fase di esecuzione, che genera controlli alla creazione di un contesto client e ogni volta che il client richiede un controllo di accesso. Le verifiche di accesso sono basate sul metodo AccessCheck descritto nella sezione relativa all'autorizzazione di Platform SDK. Per ulteriori informazioni sulle API correlate alle autorizzazioni, vedere la pagina relativa all'autorizzazione (http://go.microsoft.com/fwlink/?linkid=64031).

È possibile configurare il controllo in fase di esecuzione per la registrazione delle operazioni riuscite, delle operazioni non riuscite o di entrambi i tipi.

Controllo delle modifiche all'archivio autorizzazioni

Se si abilita il controllo delle modifiche all'archivio autorizzazioni, i controlli vengono generati ogni volta che viene modificato l'archivio autorizzazioni. Il controllo comprende la registrazione di tutti gli eventi, sia in caso di operazioni riuscite che non riuscite.

Per il controllo delle modifiche all'archivio autorizzazioni, Gestione autorizzazioni supporta il file system NTFS (per gli archivi autorizzazioni basati su XML), Servizi di dominio Active Directory, Active Directory Lightweight Directory Services e Microsoft SQL Server.

Individuare gli eventi di controllo

Per visualizzare gli eventi di controllo generati da Gestione autorizzazioni, aprire i registri eventi nel computer appropriato:

  • Gli eventi di controllo in fase di esecuzione vengono registrati nel registro sicurezza del computer client in cui viene eseguita l'applicazione.

  • Gli eventi di controllo delle modifiche all'archivio autorizzazioni vengono registrati nel registro sicurezza in cui si trova l'archivio stesso.

    • Nel caso di un archivio autorizzazioni basato su XML, i record di controllo sono disponibili nel Visualizzatore eventi del computer in cui è fisicamente archiviato il file XML.

    • Nel caso di un archivio autorizzazioni che utilizza Servizi di dominio Active Directory o Active Directory Lightweight Directory Services, i record si trovano nel Visualizzatore eventi del controller di dominio o del server Active Directory Lightweight Directory Services a cui è stato effettuato l'accesso.

    • Nel caso di un archivio autorizzazioni basato su SQL, i record si trovano nel Visualizzatore eventi del computer che ospita SQL Server.

Disponibilità del controllo

La disponibilità del controllo dipende dai seguenti fattori:

  • Se l'archivio autorizzazioni è basato su Servizi di dominio Active Directory, Active Directory Lightweight Directory Services, XML o SQL.

  • Se il controllo viene configurato a livello di archivio di autorizzazioni, di applicazione o di ambito.

Nella tabella riportata di seguito è descritta la disponibilità dei due tipi di controllo.

Livello Controllo in fase di esecuzione disponibile in Controllo in fase di esecuzione configurabile a questo livello in Controllo delle modifiche all'archivio autorizzazioni disponibile in

Archivio autorizzazioni
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server

Applicazione
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server
  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server

Ambito
  • XML

  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server

Non disponibile (configurato a livello di applicazione)
  • Servizi di dominio Active Directory e Active Directory Lightweight Directory Services

  • SQL Server

Per utilizzare il controllo è necessario selezionare la casella di controllo appropriata nella scheda Controllo. Per attivare il controllo in fase di esecuzione, selezionare la casella di controllo Controllo inizializzazione applicazione in fase di esecuzione. Per attivare il controllo delle modifiche all'archivio autorizzazioni, selezionare la casella di controllo Controllo contesto client e verifica accesso in fase di esecuzione.

Configurare il sistema per consentire il controllo

Prima di implementare il controllo, è necessario stabilire un criterio di controllo. Un criterio di controllo specifica le categorie di eventi di sicurezza che si desidera controllare. Per impostazione predefinita, quando si installa Windows per la prima volta tutte le categorie di controllo sono disabilitate.

Per determinare le applicazioni e gli ambiti da controllare, è necessario disporre del privilegio Gestione file registro di controllo e di sicurezza nel computer in cui si trova l'archivio di autorizzazioni. A tale scopo, è in genere necessario effettuare l'accesso come membro del gruppo Administrators predefinito oppure specificare la password di un amministratore quando viene richiesta.

Se l'archivio autorizzazioni è basato su XML, è necessario specificare il controllo dell'accesso agli oggetti. Se l'archivio autorizzazioni è basato su Servizi di dominio Active Directory o Active Directory Lightweight Directory Services, è necessario specificare il controllo dell'accesso al servizio di directory.

Per generare controlli di verifica dell'accesso e del contesto client in fase di esecuzione, gli utenti di applicazioni che utilizzano Gestione autorizzazioni devono disporre del privilegio Generazione di controlli di sicurezza. Se l'utente dell'applicazione non dispone di tale privilegio, non verrà registrato alcun evento di controllo.

Abilitare il controllo dell'accesso agli oggetti

Per impostazione predefinita, il controllo dell'accesso agli oggetti è disattivato. Per attivare questo tipo di controllo, è necessario utilizzare Criteri di gruppo a livello del dominio, del controller di dominio o di un'altra unità organizzativa applicabile in Servizi di dominio Active Directory o Active Directory Lightweight Directory Services. È inoltre possibile utilizzare i criteri di sicurezza locale.

Se l'archivio autorizzazioni basato su XML risiede in un controller di dominio, la posizione più appropriata per l'attivazione del controllo dell'accesso agli oggetti è l'oggetto Criteri di gruppo Criterio controller di dominio predefiniti. Se l'archivio autorizzazioni basato su XML si trova in una workstation o in un server membro, è possibile modificare l'oggetto Criteri di gruppo locale del computer in modo da impostare il criterio di sicurezza locale, ma tali impostazioni saranno valide soltanto fino al successivo aggiornamento delle impostazioni di sicurezza di Criteri di gruppo. Questo può rivelarsi utile se si generano i controlli una sola volta. Se invece si prevede di generare controlli di sicurezza con regolarità, è consigliabile modificare un altro oggetto Criteri di gruppo applicabile al computer tramite Servizi di dominio Active Directory.

Per abilitare il controllo dell'accesso agli oggetti, configurare gli oggetti seguenti:

  • Per un computer locale

    1. Aprire l'Editor Criteri di gruppo locali.

    2. Nell'albero della console fare doppio clic su Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza, Criteri locali e Criteri controllo.

    3. Fare clic su Controlla accesso agli oggetti.

    4. Nel riquadro dei dettagli selezionare le caselle di controllo Definisci le impostazioni relative ai criteri, Operazioni riuscite e Operazioni non riuscite.

  • Solo per i controller di dominio

    1. Fare clic sul pulsante Start, scegliere Tutti i programmi, Strumenti di amministrazione e quindi fare doppio clic su Criterio di sicurezza del controller di dominio.

    2. Nell'albero della console fare doppio clic su Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza, Criteri locali e Criteri controllo.

    3. Fare clic su Controlla accesso agli oggetti.

    4. Nel riquadro dei dettagli selezionare le caselle di controllo Definisci le impostazioni relative ai criteri, Operazioni riuscite e Operazioni non riuscite.

  • Per un dominio o un'unità organizzativa

    1. Aprire la Console Gestione Criteri di gruppo.

    2. Fare clic con il pulsante destro del mouse sull'oggetto Criteri di gruppo che si desidera controllare e quindi scegliere Modifica.

    3. Nell'albero della console fare doppio clic su Configurazione computer, Criteri, Impostazioni sicurezza, Criteri locali e Criteri controllo.

    4. Fare clic su Controlla accesso agli oggetti.

    5. Nel riquadro dei dettagli selezionare le caselle di controllo Definisci le impostazioni relative ai criteri, Operazioni riuscite e Operazioni non riuscite.

Ulteriori considerazioni

  • Per poter modificare le impostazioni dei criteri basati sul dominio è necessario installare la Console Gestione Criteri di gruppo. Tale console è una funzionalità aggiuntiva di Windows Server 2008 che può essere installata utilizzando Server Manager.

  • Se si modifica l'oggetto Criteri di gruppo locale, la casella di controllo Definisci le impostazioni relative ai criteri non verrà visualizzata nell'Editor Criteri di gruppo locali. Verrà visualizzata solo se si modificano oggetti Criteri di gruppo archiviati in Servizi di dominio Active Directory.

  • Se le caselle di controllo Operazioni riuscite e Operazioni non riuscite non sono disponibili, è probabile che la casella di controllo Definisci le impostazioni relative ai criteri sia stata selezionata tramite criteri di sicurezza operanti a un livello superiore nella struttura di Servizi di dominio Active Directory. In questo caso, è necessario individuare il punto in cui è stata selezionata la casella di controllo Definisci le impostazioni relative ai criteri e deselezionarla. Per trovare questa impostazione, esaminare gli oggetti Criteri di gruppo relativi al computer in questione.

Abilitare il controllo dell'accesso al servizio di directory

Per impostazione predefinita, il controllo dell'accesso al servizio di directory è disattivato. Per attivarlo, è necessario utilizzare Criteri di gruppo a livello del dominio, del controller di dominio o di un'altra unità organizzativa applicabile in Servizi di dominio Active Directory.

Per abilitare il controllo dell'accesso agli oggetti, espandere i nodi seguenti: Configurazione computer, Impostazioni di Windows, Impostazioni sicurezza, Criteri locali, Criteri controllo e quindi fare doppio clic su Controlla accesso al servizio directory.

Selezionare le caselle di controllo Definisci le impostazioni relative ai criteri, Operazioni riuscite e quindi Operazioni non riuscite.

Ulteriori considerazioni

  • Se le caselle di controllo Operazioni riuscite e Operazioni non riuscite non sono disponibili, è probabile che la casella di controllo Definisci le impostazioni relative ai criteri sia stata selezionata tramite criteri di sicurezza operanti a un livello superiore in Servizi di dominio Active Directory. In questo caso, è necessario individuare il punto in cui è stata selezionata la casella di controllo Definisci le impostazioni relative ai criteri e deselezionarla. Per trovare questa impostazione, esaminare gli oggetti Criteri di gruppo relativi al controller di dominio.

  • Dopo avere modificato gli oggetti Criteri di gruppo, eseguire il comando gpupdate per rendere immediatamente effettive le modifiche.

Controllo abilitato per ereditarietà

Qualsiasi controllo impostato per ereditarietà viene eseguito indipendentemente dall'impostazione locale. Nel caso di un archivio autorizzazioni memorizzato in Servizi di dominio Active Directory, ad esempio, i criteri di controllo possono essere ereditati da un'unità organizzativa padre di Servizi di dominio Active Directory. Nel caso di un archivio autorizzazioni basato su XML, vengono applicati i criteri di controllo della cartella contenente il file XML.


Gestire gruppi, ruoli e attività

Per utilizzare Gestione autorizzazioni in modo efficiente ai fini del controllo di accesso basato sui ruoli, è necessario acquisire familiarità con gruppi, ruoli, attività e operazioni.

In questa sezione vengono descritti gli argomenti seguenti:

  • Assegnare un utente o un gruppo di Windows a un ruolo

  • Assegnare un gruppo di applicazioni a un ruolo

  • Scegliere utenti o gruppi con un selettore oggetti personalizzato

  • Definire un'operazione in Gestione autorizzazioni

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

  • Informazioni sulle assegnazioni di ruolo di Gestione autorizzazioni


Assegnare un utente o un gruppo di Windows a un ruolo

Per utilizzare Gestione autorizzazioni in modo efficiente ai fini del controllo di accesso alle risorse, è necessario definire l'associazione dei gruppi di utenti ai ruoli. Per assegnare un gruppo o un utente di Windows a un ruolo, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Assegnare un utente o un gruppo di Windows a un ruolo

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni.

  3. Nell'albero della console fare clic con il pulsante destro del mouse su Assegnazioni ruolo relativamente a un'applicazione o un ambito e scegliere Nuova assegnazione ruolo. La cartella Assegnazioni ruolo viene utilizzata come contenitore per il collegamento dei gruppi ai ruoli. Non vengono associati gruppi a tutti i ruoli perché è possibile combinare i ruoli in altri ruoli più ampi.

  4. Selezionare il ruolo a cui si desidera assegnare i gruppi facendo clic sulla casella di controllo accanto al nome della definizione di ruolo appropriata e quindi su OK. È possibile aggiungere la stessa definizione di ruolo al contenitore Assegnazioni ruolo più volte. Ciò garantisce una maggiore flessibilità nella gestione delle assegnazioni.

  5. Se lo si desidera, è possibile modificare il nome visualizzato dell'assegnazione di ruolo. A tale scopo, fare clic con il pulsante destro del mouse sul nome nell'elenco delle assegnazioni, scegliere Proprietà e digitare il nuovo nome visualizzato.

  6. Nell'elenco delle assegnazioni di ruolo fare clic con il pulsante destro del mouse sull'assegnazione di ruolo creata nei passaggi precedenti, scegliere Assegna utenti e gruppi e quindi Da Windows e Active Directory.

  7. Nella casella Immettere i nomi degli oggetti da selezionare digitare i nomi utente dei membri desiderati. In alternativa, è possibile eseguire una ricerca in Servizi di dominio Active Directory facendo clic sul pulsante Avanzate.

  8. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Informazioni sulle assegnazioni di ruolo di Gestione autorizzazioni

  • Assegnare un gruppo di applicazioni a un ruolo

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Assegnare un gruppo di applicazioni a un ruolo

Per utilizzare Gestione autorizzazioni in modo efficiente ai fini del controllo di accesso alle risorse, è necessario definire l'associazione dei gruppi di utenti ai ruoli. Per assegnare un gruppo di applicazioni a un ruolo, eseguire la procedura seguente.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Assegnare un gruppo di applicazioni a un ruolo

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni.

  3. Nell'albero della console fare clic con il pulsante destro del mouse su Assegnazioni ruolo relativamente a un'applicazione o un ambito e scegliere Nuova assegnazione ruolo. La cartella Assegnazioni ruolo viene utilizzata come contenitore per il collegamento dei gruppi ai ruoli. Non vengono associati gruppi a tutti i ruoli perché è possibile combinare i ruoli in altri ruoli più ampi.

  4. Selezionare il ruolo a cui si desidera assegnare i gruppi facendo clic sulla casella di controllo accanto al nome delle definizioni di ruolo desiderate e quindi su OK. È possibile aggiungere la stessa definizione di ruolo al contenitore Assegnazioni ruolo più volte. Ciò garantisce una maggiore flessibilità nella gestione delle assegnazioni.

  5. Se lo si desidera, è possibile modificare il nome visualizzato dell'assegnazione di ruolo. A tale scopo, fare clic con il pulsante destro del mouse sul nome nell'elenco delle assegnazioni, scegliere Proprietà e digitare il nuovo nome visualizzato.

  6. Nell'elenco delle assegnazioni di ruolo fare clic con il pulsante destro del mouse sull'assegnazione di ruolo creata nei passaggi precedenti, scegliere Assegna utenti e gruppi e quindi Da Gestione autorizzazioni.

  7. Selezionare i membri desiderati nella finestra di dialogo Aggiungi gruppi facendo clic sulle caselle di controllo corrispondenti.

  8. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Informazioni sulle assegnazioni di ruolo di Gestione autorizzazioni

  • Assegnare un utente o un gruppo di Windows a un ruolo

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Scegliere utenti o gruppi con un selettore oggetti personalizzato

Gestione autorizzazioni consente di includere utenti e gruppi da qualsiasi origine che è possibile definire o a cui può essere fatto riferimento nell'API (Application Programming Interface) di Gestione autorizzazioni. Per includere utenti e gruppi di origini esterne, è necessario scrivere o ottenere un selettore oggetti personalizzato. Si tratta di un componente software che può essere installato nel sistema in uso per consentire all'amministratore di Gestione autorizzazioni di accedere ai dati archiviati in un'applicazione esterna.

Per ulteriori informazioni, vedere la pagina relativa al modello di Gestione autorizzazioni (http://go.microsoft.com/fwlink/?linkid=64027).

Le autorizzazioni necessarie per eseguire questa attività dipendono dal selettore oggetti personalizzato scelto.

Scegliere utenti o gruppi con un selettore oggetti personalizzato

  1. Installare il selettore oggetti personalizzato in base alle istruzioni fornite con il software non Microsoft.

  2. Il selettore oggetti personalizzato verrà aggiunto alle opzioni del menu Assegna utenti e gruppi nel nodo Assegnazioni ruolo e all'elenco a discesa disponibile nelle schede Membri ed Esclusioni della finestra delle proprietà relativa ai gruppi di applicazioni di base. Scegliere la voce inserita durante il processo di installazione del selettore oggetti personalizzato.

  3. Selezionare gli utenti dall'origine esterna in base alle istruzioni fornite con il selettore oggetti personalizzato.

Ulteriori riferimenti

  • Risorse per Gestione autorizzazioni


Definire un'operazione in Gestione autorizzazioni

Un'operazione è un'azione o un accesso particolare che deve essere controllato o limitato mediante Gestione autorizzazioni. Le operazioni vengono definite a livello delle applicazioni e combinate in attività definite a livello di applicazione o di ambito.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Definire un'operazione in Gestione autorizzazioni

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni contenente un'applicazione.

  3. Nell'albero della console espandere l'applicazione e quindi Definizioni.

  4. Fare clic con il pulsante destro del mouse su Definizioni operazione e quindi scegliere Definizione nuova operazione.

  5. Definire l'operazione specificandone il nome, la descrizione e il numero. Il nome e la descrizione vengono indicati solo come riferimento per l'utente. Il numero di operazione deve invece essere utilizzato dal programma chiamante. Il numero di operazione è denominato OperationID nell'API (Application Programming Interface). Il numero deve essere un valore intero positivo, maggiore di zero (0). Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

  6. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere Consentire ad altri utenti di amministrare un archivio autorizzazioni.

  • Per definire un'operazione tramite la console Gestione autorizzazioni, è necessario utilizzare la modalità sviluppatore.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

  • Impostare opzioni di Gestione autorizzazioni

  • Finestra di dialogo Definizione nuova operazione


Informazioni sui gruppi di applicazioni di Gestione autorizzazioni

In Gestione autorizzazioni, i destinatari dei criteri di autorizzazione sono rappresentati dai tipi di gruppi riportati di seguito.

  • Utenti e gruppi di Windows: includono utenti, computer e gruppi predefiniti per le identità di sicurezza. Gli utenti e i gruppi di Windows non vengono utilizzati solo in Gestione autorizzazioni, bensì in tutto il sistema.

  • Gruppi di applicazioni: includono i gruppi di applicazioni di base e i gruppi di query LDAP (Lightweight Directory Access Protocol). I gruppi di applicazioni sono specifici dell'amministrazione basata sui ruoli di Gestione autorizzazioni.

Importante

Un gruppo di applicazioni è costituito da un gruppo di utenti, computer o altre identità di sicurezza. Un gruppo di applicazioni non rappresenta un insieme di diverse applicazioni.

  • Gruppi di query LDAP: l'appartenenza a tali gruppi viene calcolata in modo dinamico in base alle query LDAP. Un gruppo di query LDAP costituisce un tipo di gruppo di applicazioni.

  • Gruppi di applicazioni di base: vengono definiti in termini di gruppi di query LDAP, di utenti e gruppi di Windows e di altri gruppi di applicazioni di base. Un gruppo di applicazioni di base costituisce un tipo di gruppo di applicazioni.

  • Gruppi di applicazioni regole business: vengono definiti tramite uno script scritto in VBScript o Jscript in modo che l'appartenenza ai gruppi sia determinata in modo dinamico in fase di esecuzione in base ai criteri definiti.

Utenti e gruppi di Windows

Per ulteriori informazioni sui gruppi in Servizi di dominio Active Directory, vedere la pagina relativa al controllo di accesso basato sui ruoli per applicazioni multilivello tramite Gestione autorizzazioni (http://go.microsoft.com/fwlink/?LinkId=64287). Per ulteriori informazioni sulle identità di sicurezza non archiviate in Servizi di dominio Active Directory, visitare il sito Web contenente la documentazione tecnica relativa alle identità di sicurezza (http://go.microsoft.com/fwlink/?LinkId=129213).

Gruppi di applicazioni

Quando si crea un nuovo gruppo di applicazioni è necessario stabilire se deve corrispondere a un gruppo di query LDAP o a un gruppo di applicazioni di base. Per le applicazioni di Gestione autorizzazioni basate sui ruoli, è possibile assegnare ai gruppi di applicazioni qualsiasi autorizzazione che può essere concessa a utenti e gruppi di Windows.

Non sono consentite definizioni di appartenenza circolari, che determinano la restituzione del messaggio di errore "Impossibile aggiungere <Nome gruppo>. Si è verificato il seguente problema: Rilevato un loop".

Gruppi di query LDAP

In Gestione autorizzazioni è possibile utilizzare query LDAP per trovare oggetti in Servizi di dominio Active Directory, in Active Directory Lightweight Directory Services e in altre directory compatibili con LDAP.

Per specificare un gruppo di query LDAP mediante una query LDAP, digitare la query LDAP desiderata nello spazio apposito disponibile nella scheda Query della finestra di dialogo Proprietà del gruppo di applicazioni.

Gestione autorizzazioni supporta due tipi di query LDAP, che possono essere utilizzati per definire un gruppo di query LDAP: query di Gestione autorizzazioni versione 1 e query di URL LDAP.

  • Query LDAP di Gestione autorizzazioni versione 1

    Questo tipo di query offre supporto limitato per la sintassi delle query di URL LDAP descritta in RFC 2255. Tali query consentono solo di interrogare l'elenco di attributi dell'oggetto utente specificato nel contesto client corrente.

    La query riportata di seguito consente, ad esempio, di trovare tutti gli utenti ad eccezione di Andy:

    (&(objectCategory=person)(objectClass=user)(!cn=andy))

    Questa query valuta se il client è un membro dell'alias StatusReports in northwindtraders.com:

    (memberOf=CN=DogLovers,OU=Distribution Lists,DC=nwtraders,DC=com)

    Gestione autorizzazioni supporta comunque le query della versione 1 per consentire di aggiornare in modo semplice le soluzioni sviluppate tramite le versioni precedenti di Gestione autorizzazioni.

  • Query di URL LDAP

    Allo scopo di rimuovere le limitazioni relative a oggetti e attributi che è possibile cercare, in Gestione autorizzazioni è ora supportata la sintassi delle query di URL LDAP in base a RFC 2255. Ciò consente di creare gruppi di query LDAP che utilizzano oggetti directory diversi dall'oggetto utente corrente come radice della ricerca.

    Gli URL LDAP iniziano con il prefisso di protocollo "ldap" e seguono il formato seguente:

Nota

Il nome distinto è denominato anche DN.

ldap://<server:porta>/<DNoggettobas>?<attributi>?<AmbitoQuery>?<Filtro>

In particolare, è supportata la grammatica seguente:

       ldapurl    = scheme "://" [hostport] ["/"
                    [dn ["?" [attributes] ["?" [scope]
                    ["?" [filter]]]]]]
       scheme     = "ldap"
       attributes = attrdesc *("," attrdesc)
       scope      = "base" / "one" / "sub"
       dn         = distinguishedName
       hostport   = hostport
       attrdesc   = AttributeDescription
       filter     = filter

La query seguente, ad esempio, restituisce gli utenti il cui attributo company è impostato su "FabCo" dal server LDAP eseguito nella porta 389 in un host denominato "fabserver":

ldap://fabserver:389/OU=Customers,DC=FABCO-PN,DC=com?*?sub?(&(company=FabCo)(objectClass=user)(objectCategory=user))

Quando si utilizza una query di URL LDAP, è possibile utilizzare il valore di segnaposto speciale %AZ_CLIENT_DN%. Questo segnaposto viene sostituito dal nome distinto del client che esegue la verifica dell'accesso. In questo modo, è possibile creare query che restituiscano oggetti dalla directory in base alla relazione con il nome distinto del client che effettua la richiesta.

In questo esempio la query LDAP verifica se l'utente è un membro dell'unità organizzativa "Customers":

ldap://server:<port>/OU=Customers,DC=FABCO-PN,DC=com?(objectclass=*)?sub?(& (objectClass=user)(objectCategory=user) (distinguishedName= %AZ_CLIENT_DN% ))

In questo esempio la query LDAP verifica se l'utente riferisce direttamente a un manager denominato "SomeManager" e se "searchattribute" di SomeManager è uguale al valore specifico di "searchvalue":

ldap://server:port/Cn=SomeManager,OU=Users,DC=FABCO-PN,DC=com?(objectclass=*)?base?(&(searchattribute= searchvalue) (directreports = %AZ_CLIENT_DN%))

Per ulteriori informazioni sulla sintassi di una query di URL LDAP, fare riferimento al testo di RFC 2255 (http://go.microsoft.com/fwlink/?linkid=65973).

Importante

Se la query LDAP inizia con "ldap", viene considerata una query di URL LDAP. Se inizia in qualsiasi altro modo, viene considerata una query della versione 1.

Gruppi di applicazioni di base

I gruppi di applicazioni di base sono specifici di Gestione autorizzazioni.

Per definire l'appartenenza a gruppi di applicazioni di base è necessario effettuare le seguenti operazioni:

  1. Definire i membri.

  2. Definire gli utenti e i gruppi non membri.

Per completare entrambi i passaggi è necessario

  • Specificare innanzitutto zero o più utenti e gruppi di Windows, in precedenza definiti gruppi di applicazioni di base, o gruppi di query LDAP.

  • L'appartenenza al gruppo di applicazioni di base viene quindi calcolata rimuovendo dal gruppo gli utenti e i gruppi non membri. Questa operazione viene eseguita automaticamente da Gestione autorizzazioni in fase di esecuzione.

Importante

La non appartenenza a un gruppo di applicazioni di base ha la precedenza rispetto all'appartenenza.

Gruppi di applicazioni regole business

I gruppi di applicazioni regole business sono specifici di Gestione autorizzazioni.

Per definire l'appartenenza a un gruppo di applicazioni regole business, è innanzitutto necessario scrivere uno script in VBScript o Jscript. Il codice sorgente dello script viene caricato da un file di testo nella pagina Proprietà del gruppo di applicazioni regole business.


Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

Per utilizzare Gestione autorizzazioni in modo efficiente ai fini del controllo di accesso alle risorse, è innanzitutto necessario definire ruoli, task e operazioni.

  • Un ruolo è costituito dall'insieme di autorizzazioni che un utente deve avere per poter svolgere un lavoro. I ruoli correttamente definiti devono corrispondere a una categoria o a una qualifica professionale (ad esempio centralinista, responsabile del personale o archivista) e avere un nome significativo. Gestione autorizzazioni consente di aggiungere utenti a un ruolo per autorizzarli allo svolgimento di un determinato lavoro.

  • Un'attività è costituita da un'insieme di operazioni ed eventualmente da altre attività. Le attività definite correttamente devono essere in grado di rappresentare elementi di lavoro riconoscibili (ad esempio, "cambia password" o "invia spese").

  • Un'operazione è costituita da un insieme di autorizzazioni associate a procedure di sicurezza a livello di sistema o di API, ad esempio WriteAttributes o ReadAttributes. Le operazioni vengono utilizzate come componenti di attività.

È possibile definire ruoli, attività e operazioni solo in modalità sviluppatore e non in modalità amministratore. Per impostare la modalità sviluppatore, vedere Impostare opzioni di Gestione autorizzazioni.

Definizioni di ruolo

Le definizioni di ruolo appropriate dipendono dalla struttura e dagli obiettivi dell'organizzazione. I ruoli supportano l'ereditarietà da altri ruoli.

Per definire un ruolo, è necessario specificare un nome, una descrizione e alcune attività, operazioni e ruoli specifici che fanno parte del ruolo. Questo fornisce un meccanismo per l'ereditarietà dei ruoli. Un ruolo Helpdesk, ad esempio, può includere un ruolo Supporto tecnico.

È inoltre possibile specificare una regola di autorizzazione VBScript o JScript. Per ulteriori informazioni vedere le pagine relative a VBScript (http://go.microsoft.com/fwlink/?linkid=65964) e JScript (http://go.microsoft.com/fwlink/?LinkId=65963).

Se a una definizione di ruolo sono associate molte regole di autorizzazione, ad esempio se sono presenti più sottoruoli e attività, le regole di autorizzazione vengono eseguite in modo sincrono. In Gestione autorizzazioni, l'ordine non influisce sull'autorizzazione.

Definizioni di attività

Una definizione di attività, più limitata rispetto a una definizione di ruolo, può essere utilizzata per definire ruoli e altre attività.

Con Gestione autorizzazioni, l'associazione tra attività e ruoli può essere eseguita in modo intuitivo. Il ruolo di Responsabile assunzioni, ad esempio, può includere l'attività Colloquio.

Come i ruoli, anche le attività vengono definite in base alle caratteristiche e alle esigenze dell'organizzazione. Per definire un'attività, è necessario specificare un nome, una descrizione e alcune attività e operazioni specifiche che fanno parte dell'attività. È inoltre possibile specificare una regola di autorizzazione VBScript o JScript.

Definizioni di operazione

Le operazioni costituiscono azioni limitate a livello di computer utilizzate per definire attività e generalmente non rilevanti per un amministratore. Le operazioni vengono definite esclusivamente in modalità sviluppatore.

È possibile impostare definizioni di operazione a livello di applicazione, ma non a livello di archivio autorizzazioni o di ambito.

Una definizione di operazione include un nome, una descrizione e un numero di operazione. Il numero di operazione X deve essere un numero intero compreso tra 1 e 2.147.483.647, ovvero 1 ≤ X ≤ 2^31 - 1, e viene utilizzato dall'applicazione per identificare l'operazione. L'immissione di un numero di operazione non valido determina pertanto un errore nella concessione o nel rifiuto dell'accesso. Ciò può a sua volta determinare violazioni della sicurezza o comportamenti indesiderati da parte dell'applicazione client.


Informazioni sulle assegnazioni di ruolo di Gestione autorizzazioni

Un'assegnazione di ruolo costituisce un contenitore virtuale per gruppi di applicazioni i cui membri sono autorizzati per il ruolo. Un'assegnazione di ruolo è basata su una singola definizione di ruolo, mentre una singola definizione di ruolo può rappresentare la base di più assegnazioni di ruolo.

La procedura eseguita più di frequente dagli amministratori è l'assegnazione di gruppi di applicazioni o utenti e gruppi di Windows a un ruolo. Per istruzioni dettagliate, vedere Assegnare un utente o un gruppo di Windows a un ruolo oppure Assegnare un gruppo di applicazioni a un ruolo.

Nota

Se è stato installato un selettore oggetti personalizzato, risulteranno disponibili ulteriori opzioni. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Ulteriori riferimenti

  • Assegnare un utente o un gruppo di Windows a un ruolo

  • Assegnare un gruppo di applicazioni a un ruolo

  • Scegliere utenti o gruppi con un selettore oggetti personalizzato


Controllare le autorizzazioni tramite le regole di autorizzazione e le regole business

Gestione autorizzazioni consente di utilizzare le regole di autorizzazione nell'ambito della strategia di controllo delle autorizzazioni basato sui ruoli.

In questa sezione vengono descritti gli argomenti seguenti:

  • Aggiungere una regola di autorizzazione a una definizione di attività

  • Aggiungere una regola di autorizzazione a una definizione di ruolo

  • Informazioni sulle regole di autorizzazione e sulle regole business


Aggiungere una regola di autorizzazione a una definizione di attività

È possibile utilizzare le regole di autorizzazione per definire un'attività o un ruolo. Per informazioni sull'utilizzo delle regole, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Aggiungere una regola di autorizzazione a una definizione di attività

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni contenente un'applicazione.

  3. Nell'albero della console espandere l'applicazione, espandere la cartella Definizioni e quindi fare clic su Definizioni attività. È possibile utilizzare le regole sia con attività a livello di applicazione sia con attività a livello di ambito.

  4. Nell'elenco di attività fare clic con il pulsante destro del mouse su un'attività e quindi scegliere Proprietà.

  5. Nella finestra delle proprietà fare clic sulla scheda Definizione.

  6. Fare clic su Regola autorizzazione.

  7. Nella casella di testo Percorso script digitare il percorso e il nome di un file di testo contenente il codice sorgente dello script che si desidera caricare oppure fare clic su Sfoglia per selezionare il file.

  8. Fare clic su VBScript o Jscript come Tipo di script.

  9. Fare clic su Ricarica regola nell'archivio.

  10. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere Consentire ad altri utenti di amministrare un archivio autorizzazioni.

  • Per eseguire questa procedura mediante lo snap-in Gestione autorizzazioni, è necessario utilizzare la modalità sviluppatore.

Ulteriori riferimenti

  • Informazioni sulle regole di autorizzazione e sulle regole business

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Aggiungere una regola di autorizzazione a una definizione di ruolo

È possibile utilizzare le regole di autorizzazione per definire un'attività o un ruolo. Per informazioni sull'utilizzo delle regole, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Per completare questa procedura, è necessario appartenere al ruolo utente Administrator di Gestione autorizzazioni. Per impostazione predefinita, Administrators è l'appartenenza ai gruppi di Windows minima assegnata a questo ruolo. Esaminare i dettagli nella sezione "Ulteriori considerazioni" in questo argomento.

Aggiungere una regola di autorizzazione a una definizione di attività

  1. Se necessario, aprire Gestione autorizzazioni.

  2. Se necessario, aprire o creare un archivio di autorizzazioni contenente un'applicazione.

  3. Nell'albero della console espandere l'applicazione, espandere la cartella Definizioni e quindi fare clic su Definizioni ruolo. È possibile utilizzare le regole sia con ruoli a livello di applicazione sia con ruoli a livello di ambito.

  4. Nell'elenco di attività fare clic con il pulsante destro del mouse su un ruolo e quindi scegliere Proprietà.

  5. Nella finestra delle proprietà fare clic sulla scheda Definizione.

  6. Fare clic su Regola autorizzazione.

  7. Nella casella di testo Percorso script digitare il percorso e il nome di un file di testo contenente il codice sorgente dello script che si desidera caricare oppure fare clic su Sfoglia per selezionare il file.

  8. Fare clic su VBScript o Jscript come Tipo di script.

  9. Fare clic su Ricarica regola nell'archivio.

  10. Fare clic su OK.

Ulteriori considerazioni

  • Per eseguire questa procedura è necessario avere accesso a un archivio autorizzazioni. Per impostazione predefinita, i membri del gruppo Administrators dispongono dei diritti di accesso necessari, ma Gestione autorizzazioni consente di delegare le responsabilità. Per ulteriori informazioni, vedere Consentire ad altri utenti di amministrare un archivio autorizzazioni.

  • Per eseguire questa procedura mediante lo snap-in Gestione autorizzazioni, è necessario utilizzare la modalità sviluppatore.

Ulteriori riferimenti

  • Informazioni sulle regole di autorizzazione e sulle regole business

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Informazioni sulle regole di autorizzazione e sulle regole business

Le regole di autorizzazione sono script scritti in VBScript o JScript che è possibile includere nelle definizioni di ruolo e di attività. Una regola di autorizzazione determina se l'attività o il ruolo è consentito.

Utilizzando le regole di autorizzazione è possibile basare le decisioni relative alle autorizzazioni su qualsiasi condizione verificabile mediante uno script, ad esempio su privilegi e autorizzazioni, nonché sull'ora del giorno, sui limiti di spesa fatturabili, sui bilanci e su altri criteri.

Gestione autorizzazioni non è progettato per la scrittura o il debug di regole di autorizzazione. È possibile scrivere script in un editor di testo, ad esempio il Blocco note, in un ambiente di sviluppo integrato come Visual Studio .NET o in un'altra applicazione. Le regole di autorizzazione vengono in genere scritte dagli sviluppatori professionisti.

Per ulteriori informazioni sulla creazione di regole di autorizzazione e sull'utilizzo delle API (Application Programming Interface) di Gestione autorizzazioni, vedere la pagina relativa al modello di Gestione autorizzazioni (http://go.microsoft.com/fwlink/?linkid=64027). Per ulteriori collegamenti consigliati, vedere Risorse per Gestione autorizzazioni.

Controllare l'utilizzo di regole business e regole di autorizzazione

Controllare l'utilizzo su ogni client

A partire da Windows Server 2008, è possibile controllare l'utilizzo di regole business e regole di autorizzazione tramite un'impostazione del Registro di sistema. Le regole sono disabilitate per impostazione predefinita. Nelle versioni precedenti di Windows tale funzionalità non è supportata.

Per abilitare le regole di autorizzazione e le regole business eventualmente utilizzate nell'ambiente si utilizza in genere un programma di configurazione oppure uno script eseguito dal sistema operativo.

Importante

Tale impostazione viene controllata individualmente per ogni applicazione di Gestione autorizzazioni su ogni client.

Nell'esempio seguente viene illustrato uno script che consente di abilitare o disabilitare le regole business e le regole di autorizzazione per un'applicazione:

'

' Enabling or disabling BizRules for an application

' This script uses Authorization Manager Administrative interfaces to enable or disable

' BizRules for a specified Authorization Manager application in a specified Authorization Manager policy store

On Error Resume Next

Set objArgs = WScript.Arguments

If objArgs.count <> 3 then

wscript.echo "Usage: SetBizRule ""AzManStoreURL"" ""AzApplicaitonName"" True/False"

wscript.echo "Example: SetBizRule ""msxml://d:\inetpub\wwwroot\AzStore.xml"" ""MyApp"" True"

wscript.echo "Run with 'cscript' command in cmd.exe to avoid msg boxes"

Else

' VBScript source code

Dim AzStoreObj

Dim AzManStoreURL : AzManStoreURL = objArgs(0)

Dim AzManAppName : AzManAppName = objArgs(1)

Dim BizRulesEnabled : BizRulesEnabled = objArgs(2)

' create azman object

Set AzStoreObj = CreateObject("AzRoles.AzAuthorizationStore")

If Err.Number > 0 Then

WScript.Echo "Can not create AzRoles.AzAuthorizationStore. Check Authorization Manager installation"

WScript.Quit

End If

' initialize store for Administration

' assumes store exists - if store is being created (e.g. an installing applicaion)

' use the value 3 instead of 2 in the call to IAzAuthorizationStore::initialize

Err.Clear

AzStoreObj.Initialize 2, AzManStoreURL

If Err.Number <> 0 Then

WScript.Echo "AzRoles.AzAuthorizationStore failed to initialize. Check store URL"

WScript.Quit

End If

' open applicaion

set AzApp = AzStoreObj.OpenApplication(AzManAppName)

If Err.Number <> 0 Then

WScript.Echo "AzRoles.AzAuthorizationStore failed to open application: " + AzManAppName + ". Check application Name."

WScript.Quit

End If

' set BizRulesEnabled property

WSCript.Echo "App BizRule Before:" & AzApp.BizRulesEnabled

AzApp.BizRulesEnabled = BizRulesEnabled

WSCript.Echo "App BizRule After:" & AzApp.BizRulesEnabled

If Err.Number = 0 Then

WScript.Echo "BizRulesEnabled is updated successfully."

Else

WScript.Echo "BizRulesEnabled is NOT updated successfully."

End If

End if

Controllare l'utilizzo per l'intero archivio autorizzazioni

La configurazione di limiti per le regole di autorizzazione nella scheda Limiti della finestra delle proprietà dell'archivio autorizzazioni consente di eseguire le operazioni seguenti:

  • Disattivare le regole di autorizzazione e le regole business per l'archivio.

  • Impostare un valore di timeout per limitare la durata massima consentita per l'esecuzione di uno script.

  • Consentire l'esecuzione di script senza alcun timeout.

Per ulteriori informazioni, vedere Informazioni sui limiti degli archivi di Gestione autorizzazioni

Esempio di VBScript

Di seguito è riportata una regola di autorizzazione VBScript che concede sempre l'autorizzazione.

AzBizRuleContext.BusinessRuleResult = True

Per ulteriori informazioni su VBScript, vedere la pagina relativa a VBScript (http://go.microsoft.com/fwlink/?linkid=65964).

Esempio di JScript

Di seguito è riportata una regola di autorizzazione JScript che concede sempre l'autorizzazione.

AzBizRuleContext.BusinessRuleResult = true;

Per ulteriori informazioni su JScript, vedere la pagina relativa a JScript (http://go.microsoft.com/fwlink/?linkid=65963).


Risolvere i problemi relativi a Gestione autorizzazioni

Gestione autorizzazioni viene utilizzato in combinazione con codice personalizzato appositamente creato per l'ambiente in uso. La risoluzione dei problemi relativi a Gestione autorizzazioni consiste essenzialmente nel procedere alla risoluzione dei problemi e al debug dell'applicazione.

Per ulteriori informazioni sulle specifiche interfacce disponibili e il relativo funzionamento, vedere i riferimenti elencati in Risorse per Gestione autorizzazioni.


Risorse per Gestione autorizzazioni

Il livello di complessità della distribuzione di Gestione autorizzazione può variare. Nella maggior parte dei casi, Gestione autorizzazioni viene utilizzato in combinazione con codice personalizzato scritto appositamente per gli scopi desiderati.

Per la creazione di una soluzione personalizzata, è possibile fare riferimento ad alcune delle risorse seguenti:

  • Pagina relativa al controllo di accesso basato sui ruoli per applicazioni multilivello tramite Gestione autorizzazioni (http://go.microsoft.com/fwlink/?LinkId=64287)

  • Pagina relativa al modello di Gestione autorizzazioni (http://go.microsoft.com/fwlink/?linkid=64027)

  • Pagina relativa all'utilizzo di regole business dinamiche in Gestione autorizzazioni di Windows Server 2003 (http://go.microsoft.com/fwlink/?LinkId=65965)

  • Pagina Web relativa ai gruppi dinamici in Gestione autorizzazioni di Windows Server 2003 (http://go.microsoft.com/fwlink/?linkid=16262)

  • Pagina relativa all'utilizzo della sicurezza basata sui ruoli in applicazioni .NET di livello intermedio con Gestione autorizzazioni (http://go.microsoft.com/fwlink/?LinkId=65966)


Interfaccia utente: Gestione autorizzazioni

  • Finestra di dialogo Aggiungi definizione: scheda Ruoli

  • Finestra di dialogo Aggiungi definizione: scheda Attività

  • Finestra di dialogo Aggiungi definizione: scheda Operazioni

  • Finestra di dialogo Aggiungi gruppi

  • Finestra delle proprietà - <Nome applicazione>: scheda Generale

  • Finestra delle proprietà - <Nome archivio o applicazione>: scheda Controllo

  • Finsetra delle proprietà - <Regola di autorizzazione o regola business>

  • Finestra delle proprietà - <Nome gruppo>: scheda Generale

  • Finestra delle proprietà - <Nome gruppo>: scheda Esclusioni

  • Finestra delle proprietà - <Nome gruppo>: scheda Membri

  • Finestra delle proprietà - <Nome gruppo>: scheda Query

  • Finestra di dialogo Nuova applicazione

  • Finestra di dialogo Nuovo gruppo applicazioni

  • Finestra di dialogo Nuovo archivio autorizzazioni

  • Finestra di dialogo Definizione nuova operazione

  • Finestra di dialogo Nuova definizione ruolo

  • Finestra di dialogo Nuovo ambito

  • Finestra di dialogo Nuova attività

  • Finestra di dialogo Apri archivio autorizzazioni: esplorazione di Active Directory

  • Finestra di dialogo Apri archivio autorizzazioni

  • Finestra di dialogo delle proprietà - <Nome operazione>

  • Finestra di dialogo Opzioni

  • Finestra delle proprietà - <Nome ruolo>: scheda Generale

  • Finestra delle proprietà - <Nome ruolo>: scheda Definizione

  • Finestra delle proprietà - <Assegnazione ruolo>

  • Finestra delle proprietà - <Nome ambito>

  • Finestra delle proprietà - <Nome archivio>: scheda Generale

  • Finestra delle proprietà - <Nome archivio>: scheda Limiti

  • Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

  • Finestra delle proprietà di definizione - <Nome attività>: scheda Generale

  • Finestra delle proprietà di definizione - <Nome attività>: scheda Definizione


Finestra di dialogo Aggiungi definizione: scheda Ruoli

In un ruolo possono essere inclusi altri ruoli. Nel ruolo "forme", ad esempio, può essere incluso il ruolo "quadrato" insieme ai ruoli "triangolo" e "cerchio".

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Selezionare le definizioni di ruolo da aggiungere

Elenca i ruoli definiti nell'archivio di autorizzazioni.

Per includere un ruolo definito, selezionare la casella di controllo corrispondente a una definizione di ruolo esistente.

Nota

Non è possibile aggiungere un ruolo a se stesso, né direttamente né indirettamente. Se si tenta di aggiungere un ruolo a se stesso, verrà visualizzato un messaggio di errore.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Aggiungi definizione: scheda Attività

In un ruolo possono essere incluse attività contenenti a loro volta altre attività. In questa scheda vengono indicate le attività definite nell'archivio applicazioni.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Selezionare le definizioni delle attività da aggiungere

Elenca le attività definite nell'archivio di autorizzazioni.

Per includere un'attività definita, selezionare la casella di controllo corrispondente a una definizione di attività esistente.

Nota

Non è possibile aggiungere un'attività a se stessa, né direttamente né indirettamente. Se si tenta di aggiungere un'attività a se stessa, verrà visualizzato un messaggio di errore.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Aggiungi definizione: scheda Operazioni

In un ruolo o un'attività possono essere incluse operazioni. In questa scheda vengono indicate le operazioni definite nell'archivio applicazioni.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Selezionare le definizioni delle operazioni da aggiungere | Elenca le operazioni definite nell'archivio di autorizzazioni. Per includere un'operazione definita, selezionare la casella di controllo corrispondente a una definizione di operazione esistente.

Per includere operazioni, selezionare la casella di controllo corrispondente a una definizione esistente.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Aggiungi gruppi

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Selezionare i gruppi da aggiungere

Elenca i gruppi disponibili che è possibile aggiungere.

Nota

Non è possibile aggiungere un gruppo a se stesso, né direttamente né indirettamente. Se si tenta di aggiungere un gruppo a se stesso, si riceverà un messaggio di errore.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

  • Interfaccia utente: Gestione autorizzazioni


Finestra delle proprietà - <Nome applicazione>: scheda Generale

Questa finestra di dialogo consente di visualizzare e configurare le proprietà dell'applicazione di Gestione autorizzazioni.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra delle proprietà.

Elemento | Descrizione
Nome | Specifica il nome dell'applicazione e fornisce uno spazio in cui digitarlo (ad esempio, nota spese o gestione delle informazioni). Questo nome verrà utilizzato per inizializzare Gestione autorizzazioni. Il nome dell'applicazione deve essere univoco nell'archivio autorizzazioni e non può contenere i caratteri \ / : * ? " < > | e [TAB]. Il nome dell'applicazione può avere una dimensione massima di 512 byte.
Descrizione | Specifica la descrizione dell'applicazione e fornisce uno spazio in cui digitarla. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.
Informazioni sulla versione | Specifica la versione dell'applicazione e fornisce uno spazio in cui digitarla. La versione è un testo facoltativo che specifica la versione dell'applicazione.

Ulteriori riferimenti

  • Informazioni sulle applicazioni di Gestione autorizzazioni


Finestra delle proprietà - <Nome archivio o applicazione>: scheda Controllo

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo che è possibile attivare se si configura il controllo di un archivio di Gestione autorizzazioni.

Elemento | Descrizione
Controllo inizializzazione applicazione in fase di esecuzione | Specifica se il controllo in fase di esecuzione è abilitato. Quando si seleziona questa casella di controllo, le applicazioni all'interno dell'archivio generano sia i controlli riusciti che quelli non riusciti quando utilizzano il criterio dell'archivio.
Controllo modifiche archivio autorizzazioni | Specifica se il controllo delle modifiche all'archivio di criteri è abilitato. Se si seleziona questa casella di controllo, vengono controllate solo le modifiche apportate all'archivio autorizzazioni stesso. L'utilizzo del criterio non comporta la generazione di un controllo. Sono richiesti sia controlli riusciti che non riusciti.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo che è possibile attivare se si configura il controllo di un'applicazione di Gestione autorizzazioni.

Elemento | Descrizione
Controllo contesto client e verifica accesso in fase di esecuzione | Specifica se il controllo in fase di esecuzione è abilitato. Se si seleziona questa casella di controllo, Gestione autorizzazioni richiede che l'applicazione generi sia controlli riusciti sia controlli non riusciti per ogni inizializzazione o eliminazione di contesti client, nonché per ogni richiesta di controllo di accesso da parte di un'applicazione client.

Ulteriori riferimenti

  • Informazioni sul controllo di Gestione autorizzazioni


Finsetra delle proprietà - <Regola di autorizzazione o regola business>

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Codice sorgente script | Indica il codice sorgente per la regola. Non è possibile modificare il codice in questo campo, pertanto è necessario scrivere gli script in un editor di testo e quindi caricarli.
Percorso script | Casella in cui digitare il percorso del file contenente il codice script per la regola. Dopo aver caricato lo script nell'archivio di autorizzazioni, il relativo codice sorgente verrà visualizzato.
Sfoglia | Consente di aprire la finestra di dialogo Sfoglia in modo da selezionare il file contenente lo script per la regola.
Tipo di script | Consente di specificare il linguaggio di script utilizzato per creare la regola. VBScript Consente di specificare che viene utilizzato il linguaggio VBScript per la regola. Ad esempio, il codice VBScript seguente concede sempre l'autorizzazione: AzBizRuleContext.BusinessRuleResult = True JScript Consente di specificare che viene utilizzato il linguaggio JScript per la regola. Ad esempio, la seguente stringa JScript concede sempre l'autorizzazione: AzBizRuleContext.BusinessRuleResult = true;
Ricarica regola nell'archivio | Consente di ricaricare la regola nell'archivio dal file specificato in Percorso script e ne visualizza il codice sorgente.
Cancella regola dall'archivio | Consente di rimuovere la regola dall'archivio.

Ulteriori considerazioni

  • Uno script utilizzato per definire i membri di un gruppo di applicazioni viene denominato regola business. Uno script utilizzato per definire un ruolo o un'attività viene denominato regola di autorizzazione.

  • L'utilizzo di regole business e di autorizzazione viene controllato in ogni computer client mediante un'impostazione del Registro di sistema. In questa versione di Windows le regole sono disattivate per impostazione predefinita, mentre sono attivati per impostazione predefinita nelle versioni di Windows precedenti a Windows Server 2008. Per ulteriori informazioni, vedere Controllare le autorizzazioni tramite le regole di autorizzazione e le regole business.

  • È inoltre possibile disattivare completamente le regole per un archivio autorizzazioni nella scheda Limiti della finestra delle proprietà dell'archivio stesso. Per ulteriori informazioni, vedere Informazioni sui limiti degli archivi di Gestione autorizzazioni

Ulteriori riferimenti

  • Informazioni sulle regole di autorizzazione e sulle regole business

  • Controllare le autorizzazioni tramite le regole di autorizzazione e le regole business

  • Informazioni sui limiti degli archivi di Gestione autorizzazioni


Finestra delle proprietà - <Nome gruppo>: scheda Generale

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra delle proprietà.

Elemento Descrizione

Nome

Specifica il nome del gruppo di applicazioni e fornisce uno spazio in cui digitarlo.

Un gruppo di applicazioni è un gruppo di utenti dell'applicazione. Può essere composto da gruppi di sicurezza, gruppi di query LDAP (Lightweight Directory Access Protocol) e altri gruppi di applicazioni.

Il nome del gruppo di applicazioni deve essere univoco nell'archivio autorizzazioni e non può contenere i caratteri \ / : * ? " < > | e [TAB]. Il nome di un gruppo può avere una dimensione massima di 64 byte.

Descrizione

Specifica la descrizione del gruppo di applicazioni e fornisce uno spazio in cui digitarla.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.

Tipo gruppo

Consente di specificare il tipo di gruppo di applicazioni:

  • Il gruppo di base viene definito da un elenco di membri e di non membri escluso dal gruppo di applicazioni.

  • Un gruppo di query LDAP viene generato da una query in Servizi di dominio Active Directory o Active Directory Lightweight Directory Services.

  • L'appartenenza a un gruppo di applicazioni di regole business viene definita tramite uno script scritto in VBScript o JScript.

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Finestra delle proprietà - <Nome gruppo>: scheda Esclusioni

È possibile utilizzare questa pagina delle proprietà per escludere in modo esplicito utenti o gruppi da un gruppo di Gestione autorizzazioni.

Nota

Questa scheda è disponibile per i gruppi di base.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra delle proprietà.

Elemento Descrizione

Utenti e gruppi esclusi da questo gruppo

Elenca tutti gli utenti e i gruppi esclusi da questo gruppo di applicazioni. Ogni utente e gruppo è incluso nell'elenco con nome, tipo e descrizione.

Importante

L'esclusione ha la precedenza sull'inclusione.

Rimuovi

Per rimuovere un utente o un gruppo dall'elenco di esclusione, selezionare l'utente o il gruppo desiderato e fare clic su Rimuovi.

Importante

La rimozione di un utente dall'elenco di esclusione ne determinerà l'aggiunta al gruppo solo se è incluso nella scheda Membri. Se si fa clic su Rimuovi l'utente verrà rimosso dall'elenco di esclusione, non dal gruppo.

Selezionare membri aggiuntivi da

Consente di specificare l'origine dei membri:

  • Entità di sicurezza dal computer o da Servizi di dominio Active Directory

  • Altri gruppi definiti in Gestione autorizzazioni

Seleziona

Fare clic per aprire una finestra di dialogo in cui è possibile selezionare oggetti membri specifici

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Finestra delle proprietà - <Nome gruppo>: scheda Membri

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra delle proprietà.

Elemento Descrizione

Utenti e gruppi membri di questo gruppo

Contiene un elenco degli utenti e dei gruppi membri del gruppo in base al nome, al tipo e alla descrizione.

Rimuovi

Consente di rimuovere l'utente, il gruppo o il gruppo di applicazioni selezionato.

Per rendere disponibile il pulsante Rimuovi selezionare una voce nell'elenco.

Selezionare membri aggiuntivi da

Consente di specificare l'origine dei membri:

  • Entità di sicurezza dal computer o da Servizi di dominio Active Directory

  • Altri gruppi definiti in Gestione autorizzazioni

Nota

Se è stato installato un selettore oggetti personalizzato, saranno disponibili ulteriori opzioni. Per ulteriori informazioni, vedere la sezione "Ulteriori riferimenti" in questo argomento.

Seleziona

Fare clic per aprire una finestra di dialogo in cui è possibile selezionare oggetti membri specifici

Ulteriori riferimenti

  • Scegliere utenti o gruppi con un selettore oggetti personalizzato

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Finestra delle proprietà - <Nome gruppo>: scheda Query

È possibile utilizzare questa scheda delle proprietà per definire la query LDAP (Lightweight Directory Access Protocol) utilizzata da un gruppo LDAP in Gestione autorizzazioni.

Nota

La scheda Query è disponibile solo per i gruppi LDAP.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra delle proprietà.

Elemento | Descrizione
Query LDAP che definisce i membri di questo gruppo | Elenca la query o le query LDAP che definiscono i membri di questo gruppo di applicazioni. È possibile digitare o incollare una query LDAP in questa casella.

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Finestra di dialogo Nuova applicazione

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome della nuova applicazione (ad esempio, "nota spese" o "gestione delle informazioni"). Questo nome verrà utilizzato per inizializzare Gestione autorizzazioni e dovrà essere il nome che l'applicazione gestita utilizzerà durante il processo di inizializzazione. Il nome dell'applicazione può avere una dimensione massima di 512 byte. Il nome dell'applicazione deve essere univoco nell'archivio di autorizzazioni e non può contenere i caratteri \ / : * ? " < > | e [TAB].

Nota

Il nome dell'applicazione specificato in questa casella deve coincidere con quello che verrà utilizzato dall'applicazione gestita per l'inizializzazione di Gestione autorizzazioni.

Descrizione

Casella in cui digitare una descrizione della nuova applicazione. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

La descrizione può avere una dimensione massima di 1.024 byte.

Informazioni sulla versione

Casella in cui digitare la versione della nuova applicazione. La versione è una stringa di testo facoltativa che consente di specificare versioni diverse.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

  • Interfaccia utente: Gestione autorizzazioni


Finestra di dialogo Nuovo gruppo applicazioni

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome del nuovo gruppo di applicazioni. Un gruppo di applicazioni è un gruppo di utenti dell'applicazione (ad esempio, utenti dell'edificio 40).

Il nome scelto non deve essere già presente nell'archivio autorizzazioni. Il nome può avere una dimensione massima di 512 byte e non può contenere i caratteri \ / : * ? " < > | e [TAB].

Descrizione

Casella in cui digitare la descrizione del nuovo gruppo di applicazioni. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.

Tipo gruppo

Gruppo applicazioni di base

Specifica che il nuovo gruppo di applicazioni è del tipo di base. Il gruppo di applicazioni del tipo di base è basato su utenti e gruppi di Windows, che possono includere gruppi locali e gruppi globali o universali archiviati in Servizi di dominio Active Directory.

Gruppo applicazioni query LDAP

Specifica che il nuovo gruppo di applicazioni è definito da una query LDAP (Lightweight Directory Access Protocol). Le query LDAP vengono utilizzate per trovare oggetti in Servizi di dominio Active Directory e in altre directory compatibili con LDAP. La query (&(objectCategory=person)(objectClass=user)(!cn=andy)) cerca ad esempio tutti gli utenti ad eccezione di Andy, mentre la query (memberOf=CN= StatusReports,OU=Distribution Lists,DC=northwindtraders,DC=com) cerca tutti i membri dell'alias StatusReports in northwindtraders.com.

Gruppo applicazioni regole business

Specifica che il nuovo gruppo di applicazioni verrà definito da una regola business. Le regole business vengono create tramite uno script scritto in VBScript o JScript.

Ulteriori riferimenti

  • Informazioni sui gruppi di applicazioni di Gestione autorizzazioni


Finestra di dialogo Nuovo archivio autorizzazioni

Questa finestra di dialogo consente di creare un nuovo archivio dei criteri di autorizzazione.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Selezionare il tipo di archivio di autorizzazioni

Active Directory

Specifica che il nuovo archivio autorizzazioni si trova in Servizi di dominio Active Directory. Gli archivi di autorizzazioni di questo tipo vengono specificati con un nome distinto LDAP (Lightweigt Directory Access Protocol), ad esempio CN=Archivio,CN=Dati programmi,DN=nwtraders,DN=com. È inoltre possibile utilizzare un URL che inizia con MSLDAP:// o MSXML://.

File XML

Specifica che il nuovo archivio autorizzazioni si trova in un file XML.

Nota

Gli archivi XML non supportano la delega.

Microsoft SQL

Specifica che l'archivio si trova in un database di Microsoft SQL Server. Gli archivi dei database SQL vengono specificati con un URL che inizia con il prefisso di protocollo MSSQL:// seguito da una stringa di connessione, il nome del database e il nome dell'archivio dei criteri nel formato seguente:

MSSQL://<stringa di connessione>/<nome database>/<nome archivio di criteri>

Selezionare lo schema dell'archivio autorizzazioni

Consente di selezionare tra lo schema della versione 1.0 e quello della versione 2.0. Se si dispone di applicazioni client scritte per la versione 1, è consigliabile selezionare Schema della versione 1.0. Per ulteriori informazioni sulle differenze tra gli schemi, vedere Novità di Gestione autorizzazioni.

Nome archivio

Casella in cui digitare il nome dell'archivio.

  • Se l'archivio è un file XML, viene visualizzata la directory di lavoro corrente (ad esempio, C:\Documenti) ed è possibile digitare il resto del nome. Se non si digita l'estensione xml, quest'ultima viene aggiunta al momento del salvataggio.

  • Se l'archivio si trova in Servizi di dominio Active Directory, digitare il nome distinto LDAP, ad esempio CN=Archivio,CN=Dati programmi,OU=sales,DC=northwindtraders,DC=com). Il nome distinto deve essere valido in Servizi di dominio Active Directory. È inoltre possibile utilizzare un URL che inizia con MSLDAP:// o MSXML://.

  • Se l'archivio si trova in un database di SQL Server, digitare l'URL utilizzato per accedervi nel formato seguente:

    mssql://<stringa di connessione>/<nome database>/<nome archivio di criteri>

Percorsi…

Fare clic per selezionare un percorso dell'archivio autorizzazioni.

Ulteriori riferimenti

  • Creare un archivio autorizzazioni

  • Stabilire una connessione a un archivio autorizzazioni basato su SQL

  • Informazioni sugli archivi di Gestione autorizzazioni


Finestra di dialogo Definizione nuova operazione

Questa finestra di dialogo consente di definire una nuova operazione. Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome della nuova definizione di operazione (ad esempio, Lettura attributi).

Le operazioni sono autorizzazioni associate alle procedure di sicurezza. Le operazioni sono fondamentali per gli sviluppatori delle applicazioni di autorizzazione, ma non sono altrettanto significative per gli amministratori.

Non è consentito immettere un nome già esistente in questo ambito o troppo lungo. Il nome di un'operazione può avere una dimensione massima di 64 byte. La descrizione dell'operazione non può contenere i caratteri \ / : * ? " < > | e [TAB].

Descrizione

Casella in cui digitare la descrizione della nuova definizione di operazione.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

Non è consentito digitare una descrizione troppo lunga. La descrizione può avere una dimensione massima di 1.024 byte. La descrizione non può contenere i caratteri \ / : * ? " < > | e [TAB].

Numero operazione

Casella in cui digitare il numero di operazione della nuova definizione di operazione.

L'intervallo valido dei valori è compreso tra 0 e 2.147.483.647. L'applicazione utilizza il numero di operazione per la relativa identificazione.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Nuova definizione ruolo

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Nome | Casella in cui digitare il nome della nuova definizione di ruolo (ad esempio, Gestione account). La definizione di ruolo è una raccolta di autorizzazioni in attività e operazioni. Non è consentito immettere un nome già esistente in questo ambito. Il nome non può contenere i caratteri \ / : * ? " < > | e [TAB]. Il nome di un ruolo può avere una dimensione massima di 64 byte.
Descrizione | Casella in cui digitare la descrizione della nuova definizione di ruolo. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.
Aggiungi | Consente di aggiungere un'attività alla definizione di ruolo (ad esempio, Cambia password). Un'attività è una raccolta di operazioni necessaria per eseguire specifici tipi di lavoro fondamentali per l'amministratore.
Rimuovi | Consente di rimuovere l'attività o il ruolo selezionato dalla definizione. Per rendere disponibile questo pulsante, fare clic su una voce dell'elenco.
Attività e ruoli di livello inferiore che definiscono questo ruolo | Elenca le attività e i ruoli specifici che definiscono questo ruolo. Un'attività denominata "Reimpostazione password" potrebbe ad esempio essere parte di un ruolo denominato "Gestione account".
Regola di autorizzazione | Fare clic per creare una regola di autorizzazione per la definizione di ruolo. La regola di autorizzazione è scritta in VBscript o Jscript e adotta una decisione relativa alle autorizzazioni in base all'appartenenza al gruppo applicazioni e ai dati specifici dell'applicazione correnti e pertinenti quando viene eseguito lo script.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Nuovo ambito

L'ambito è una raccolta di oggetti o risorse con un proprio criterio di autorizzazione e viene utilizzato all'interno di un'applicazione per limitare tale criterio.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome del nuovo ambito (ad esempio, *.txt, C:\temp o Computer nel Reparto vendite).

Il nome del criterio deve essere riconosciuto dall'applicazione e risolvibile mediante la stessa al momento della verifica di accesso. Il nome deve contenere solo caratteri stampabili.

I nomi degli ambiti possono avere una dimensione massima di 64 KB. Poiché non è possibile nidificare gli ambiti, alcuni sviluppatori utilizzano convenzioni di denominazione che generano nomi lunghi.

Se, tuttavia, si tenta di immettere un nome di dimensioni maggiori di 64 KB, si riceverà un errore. Il nome non deve inoltre corrispondere a un nome già utilizzato dall'applicazione.

Descrizione

Casella in cui digitare la descrizione del nuovo criterio.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

La descrizione può avere una dimensione massima di 1.024 byte.

Ulteriori riferimenti

  • Informazioni sugli ambiti di Gestione autorizzazioni


Finestra di dialogo Nuova attività

L'attività è una raccolta di operazioni o di altre attività fondamentali per l'amministratore come unità di lavoro che richiede l'autorizzazione. Al contrario, le operazioni possono risultare fondamentali solo per gli sviluppatori di applicazioni.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Nome | Casella in cui digitare il nome della nuova attività. Non è consentito immettere un nome già esistente in questo ambito. Il nome non può contenere i caratteri \ / : * ? " < > | e [TAB]. Il nome di un'attività può avere una dimensione massima di 64 byte.
Descrizione | Casella in cui digitare la descrizione della nuova attività. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.
Operazioni e attività di livello inferiore che definiscono questa attività | Elenca le operazioni e le attività specifiche che definiscono questa attività.
Aggiungi | Consente di aggiungere un'attività all'elenco.
Rimuovi | Consente di rimuovere l'attività o l'operazione selezionata dall'elenco. Per rendere disponibile questo pulsante, selezionare una voce nell'elenco.
Regola di autorizzazione | Fare clic per impostare la regola di autorizzazione per la definizione dell'attività. La regola di autorizzazione determina se l'attività è consentita o meno. Ad esempio, la seguente stringa VBScript concede sempre l'autorizzazione: AzBizRuleContext.BusinessRuleResult = True

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Apri archivio autorizzazioni: esplorazione di Active Directory

In questa finestra di dialogo vengono visualizzati gli archivi di Gestione autorizzazioni disponibili in Servizi di dominio Active Directory.

Nota

In Gestione autorizzazioni non sono disponibili applicazioni né archivi di autorizzazioni predefiniti.

Selezionare l'archivio desiderato e fare clic su OK.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni


Finestra di dialogo Apri archivio autorizzazioni

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Selezionare il tipo di archivio di autorizzazioni | Consente di specificare il formato dell'archivio di criteri di autorizzazione da aprire. Gestione autorizzazioni supporta l'utilizzo di archivi di criteri di autorizzazione basati su Servizi di dominio Active Directory, Active Directory Lightweight Directory Services, file XML o database di Microsoft SQL Server.
Nome archivio | Consente di specificare l'URL o il percorso di file system dell'archivio di criteri di autorizzazione da aprire.
Sfoglia | Consente di individuare o selezionare un archivio, se il tipo di archivio supporta tale funzionalità.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni


Finestra di dialogo delle proprietà - <Nome operazione>

Le operazioni sono autorizzazioni associate alle procedure di sicurezza. Esse sono fondamentali per gli sviluppatori delle applicazioni di autorizzazione, ma non sono altrettanto significative per gli amministratori (ad esempio, per leggere o scrivere gli attributi di un oggetto).

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Nome | Casella in cui digitare il nome della definizione di operazione. Il nome dell'operazione deve essere univoco nell'archivio autorizzazioni. Il nome di un'operazione può avere una dimensione massima di 64 byte.
Descrizione | Casella in cui digitare la descrizione dell'operazione. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.
Numero operazione | Casella in cui digitare il numero di operazione della definizione di operazione. L'applicazione utilizza tale numero per identificare l'operazione. Il valore può essere compreso tra 1 e 2.147.483.647.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra di dialogo Opzioni

La console Gestione autorizzazioni funziona sia in modalità sviluppatore sia in modalità amministratore. La modalità amministratore costituisce l'impostazione predefinita.

Per poter utilizzare la modalità amministratore, è necessario disporre di un'applicazione che supporti i ruoli, che includa tutte le definizioni di attività e di operazione necessarie e un proprio archivio autorizzazioni e che possa essere utilizzata direttamente in Gestione autorizzazioni.

Dopo che un'applicazione è stata configurata in modalità sviluppatore, non è necessario eseguire Gestione autorizzazioni in questa modalità per utilizzare l'applicazione.

Modalità sviluppatore

In modalità sviluppatore è possibile creare, distribuire e gestire le applicazioni, disponendo di accesso illimitato a tutte le funzionalità.

Per eseguire le attività seguenti è necessario essere in modalità sviluppatore:

  • Creare nuovi archivi autorizzazioni

  • Creare nuove applicazioni

  • Definire o modificare operazioni

  • Cambiare il nome di un'applicazione

  • Modificare le informazioni sulla versione di un'applicazione

  • Eliminare un'applicazione

Modalità amministratore

In modalità amministratore è possibile distribuire e gestire le applicazioni.

Ulteriori riferimenti

  • Impostare opzioni di Gestione autorizzazioni

  • Panoramica di Gestione autorizzazioni


Finestra delle proprietà - <Nome ruolo>: scheda Generale

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome della definizione di regola.

Non è consentito immettere un nome già esistente in questo ambito o troppo lungo. Il nome del ruolo può avere una dimensione massima di 64 byte.

Descrizione

Casella in cui digitare la descrizione della definizione di regola.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

La descrizione può avere una dimensione massima di 1.024 byte. Non è consentito digitare una descrizione troppo lunga.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra delle proprietà - <Nome ruolo>: scheda Definizione

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Attività e ruoli di livello inferiore che definiscono questo ruolo | Elenca le attività e i ruoli specifici che definiscono questo ruolo.
Aggiungi | Consente di aggiungere un'attività all'elenco.
Rimuovi | Consente di rimuovere l'attività o il ruolo selezionato dall'elenco. Per rendere disponibile questo pulsante, fare clic su una voce dell'elenco.
Regola di autorizzazione | Consente di impostare la regola di autorizzazione per la definizione del ruolo. Il ruolo di autorizzazione determina se il ruolo è consentito o meno. La stringa VBscript seguente, ad esempio, concede sempre l'autorizzazione: AzBizRuleContext.BusinessRuleResult = True

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra delle proprietà - <Assegnazione ruolo>

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome dell'assegnazione ruolo.

Tale nome non influisce sulla funzionalità di Gestione autorizzazioni. Immettere il nome scelto.

Il nome dell'assegnazione ruolo può avere una dimensione massima di 64 byte. Non è consentito immettere un nome troppo lungo.

Descrizione

Casella in cui digitare la descrizione dell'assegnazione ruolo.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

La descrizione può avere una dimensione massima di 1.024 byte. Non è consentito digitare una descrizione troppo lunga.

Ulteriori riferimenti

  • Informazioni sulle assegnazioni di ruolo di Gestione autorizzazioni


Finestra delle proprietà - <Nome ambito>

L'ambito viene utilizzato all'interno di un'applicazione per limitare il criterio di autorizzazione, se tale criterio non può essere utilizzato al di fuori dell'ambito.

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Casella in cui digitare il nome dell'ambito (ad esempio, *.txt, C:\temp e Computer nel Reparto vendite).

Il nome del criterio deve essere riconosciuto dall'applicazione e risolvibile mediante la stessa al momento della verifica di accesso. Il nome deve contenere solo caratteri stampabili.

I nomi degli ambiti possono avere una dimensione massima di 64 KB.

Poiché non è possibile nidificare gli ambiti, alcuni sviluppatori utilizzano convenzioni di denominazione che generano nomi lunghi. Se, tuttavia, si tenta di immettere un nome di dimensioni maggiori di 64 KB, si riceverà un errore.

ll nome non deve inoltre essere già utilizzato nell'applicazione.

Descrizione

Casella in cui digitare la descrizione dell'ambito.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.

Ulteriori riferimenti

  • Informazioni sugli ambiti di Gestione autorizzazioni


Finestra delle proprietà - <Nome archivio>: scheda Generale

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Nome

Indica il nome e il percorso dell'archivio autorizzazioni.

Se l'archivio è un file XML, viene visualizzato il percorso completo. Se l'archivio è in Servizi di dominio Active Directory, viene visualizzato il nome distinto LDAP dell'archivio. Se l'archivio è un archivio di Microsoft SQL Server, il percorso viene visualizzato come URL che inizia con MSSQL://.

Descrizione

Casella in cui digitare una descrizione dell'archivio autorizzazioni.

Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta.

Tipo di archivio

Indica il tipo di archivio.

  • Gli archivi XML sono basati su file e non supportano la delega.

  • Gli archivi di Servizi di dominio Active Directory consentono di mantenere i dati in Servizi di dominio Active Directory e vengono specificati con un nome distinto LDAP oppure con un URL che inizia con MSLDAP://.

  • Gli archivi basati su SQL consentono di mantenere i dati in un database di Microsoft SQL Server e vengono specificati con un URL che inizia con MSSQL://

Versione dello schema dell'archivio

Indica la versione dello schema dell'archivio. La versione 2.0 è stata introdotta in Windows Server 2008.

Le applicazioni scritte per la versione 1.0 non sono in grado di utilizzare archivi di autorizzazioni con schema della versione 2.0.

Le applicazioni scritte per la versione 2.0 possono utilizzare gli schermi precedenti.

Se la versione dell'archivio è 1.0, è possibile aggiornarne lo schema alla versione 2.0.

Aggiorna versione schema

Consente di aggiornare lo schema dell'archivio alla versione 2.0.

Attenzione

Non è possibile annullare l'aggiornamento di uno schema.

Nota

Questo pulsante non è disponibile se l'archivio dispone già di uno schema versione 2.0.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Novità di Gestione autorizzazioni

  • Modificare le proprietà di un archivio autorizzazioni


Finestra delle proprietà - <Nome archivio>: scheda Limiti

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Regole di autorizzazione

Consente di specificare il funzionamento delle regole di autorizzazione definite nell'archivio.

È possibile scegliere di disattivare tutte le regole di autorizzazione. Se le regole sono attivate, è possibile specificare un valore di timeout per limitare il tempo di attesa consentito nel sistema per il completamento di uno script di regole di autorizzazione. Sono disponibili le istruzioni seguenti:

  • Disabilita

  • Abilita senza valore di timeout

  • Abilita con il valore di timeout specificato

Timeout regole di autorizzazione

Specifica il timeout della regola di autorizzazione e include uno spazio in cui digitarlo.

Il valore è espresso in millisecondi e può variare da 5000 a 2.147.483.647. È consigliabile impostare il valore predefinito di 45.000 millisecondi (45 secondi).

Nota

Se si imposta il timeout della regola di autorizzazione su 0, in Gestione autorizzazioni non verrà utilizzata alcuna regola di autorizzazione.

Numero massimo di regole autorizzazione memorizzati nella cache

Specifica il numero massimo di regole di autorizzazione nella cache e fornisce uno spazio in cui digitarlo. Il valore può variare da 0 a 2.147.483.647. È consigliabile impostare il valore predefinito 120.

Timeout query LDAP

Specifica il timeout della query LDAP e include uno spazio in cui digitarlo. Il valore è espresso in millisecondi e può variare da 500 a 2.147.483.647. È consigliabile impostare il valore predefinito di 15.000 millisecondi (15 secondi).

Utilizza valori predefiniti

Consente di impostare il timeout della query LDAP, il timeout della regola di autorizzazione e il numero massimo di regole di autorizzazione memorizzate nella cache sui rispettivi valori predefiniti.

Ulteriori riferimenti

  • Informazioni sugli archivi di Gestione autorizzazioni

  • Informazioni sui limiti degli archivi di Gestione autorizzazioni


Finestra delle proprietà - <Nome archivio>: scheda Sicurezza

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento Descrizione

Ruolo utente Gestione autorizzazioni

Fare clic sulla freccia per scegliere Amministratore o Lettore. Nella finestra delle proprietà verranno quindi indicati gli utenti e i gruppi a cui è assegnato il ruolo Amministratore o Lettore per l'archivio.

I lettori possono leggere l'archivio e i relativi attributi e possono eseguire le verifiche di accesso utilizzando i dati contenuti nell'archivio autorizzazioni.

Gli amministratori possono svolgere le stesse operazioni consentite ai lettori ed inoltre possono modificare il contenuto dell'archivio autorizzazioni e i relativi attributi.

Utenti e gruppi assegnati a questo ruolo

Elenca gli utenti e i gruppi assegnati a questo ruolo.

Aggiungi

Fare clic per aggiungere utenti o gruppi.

È possibile selezionare entità di sicurezza, ovvero utenti, gruppi di sicurezza e computer, del computer locale, la foresta di Active Directory o altri domini trusted.

Rimuovi

Fare clic qui per rimuovere l'utente o il gruppo selezionato.

Per rendere disponibile il pulsante Rimuovi fare clic su una voce nell'elenco.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni

  • Interfaccia utente: Gestione autorizzazioni


Finestra delle proprietà di definizione - <Nome attività>: scheda Generale

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Nome | Casella in cui digitare il nome dell'attività. Non è possibile immettere un nome già esistente in questo ambito. Il nome di un'attività può avere una dimensione massima di 64 byte.
Descrizione | Casella in cui digitare la descrizione dell'attività. Tale descrizione non influisce sulla funzionalità di Gestione autorizzazioni. Immettere la descrizione scelta. La descrizione può avere una dimensione massima di 1.024 byte.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Finestra delle proprietà di definizione - <Nome attività>: scheda Definizione

Nella tabella seguente vengono descritti gli elementi dell'interfaccia utente disponibili in questa finestra di dialogo.

Elemento | Descrizione
Operazioni e attività di livello inferiore che definiscono questa attività | Elenca le operazioni e le attività specifiche che definiscono questa attività.
Aggiungi | Fare clic per aggiungere un'attività. L'attività è una raccolta di operazioni necessarie per svolgere lavori che richiedono l'autorizzazione.
Rimuovi | Fare clic qui per rimuovere l'attività o l'operazione selezionata. Per rendere disponibile il pulsante Rimuovi fare clic su una voce nell'elenco.
Regola di autorizzazione | Fare clic per impostare la regola di autorizzazione per l'attività.
OK | Fare clic per chiudere la finestra di dialogo e salvare le eventuali modifiche apportate.
Annulla | Fare clic per chiudere la finestra di dialogo senza salvare le eventuali modifiche apportate.
Applica | Fare clic per salvare tutte le modifiche apportate senza chiudere la finestra di dialogo.

Ulteriori riferimenti

  • Informazioni sulle definizioni di ruolo, attività e operazione di Gestione autorizzazioni


Notazione di sintassi della riga di comando

Nella tabella seguente viene descritta la notazione utilizzata per indicare la sintassi della riga di comando.

Notazione | Descrizione
Testo senza parentesi quadre o graffe | Elementi da digitare come indicato
<Testo tra parentesi acute> | Segnaposto per il quale è necessario fornire un valore
[Testo tra parentesi quadre] | Elementi facoltativi
{Testo tra parentesi graffe} | Serie di elementi richiesti: effettuare una selezione
Barra verticale (|) | Separatore per elementi che si escludono a vicenda: effettuare una selezione
Puntini di sospensione (...) | Elementi che possono essere ripetuti