委派管理

• 管理员： 管理员代表一个人或一群人，由其 Active Directory 帐户标识。每个管理员都与一个或多个角色和范围对相关联。
• 角色： 角色代表一项职能，并具有与之关联的已定义权限。例如，“交付组管理员”角色具有“创建交付组”和“从交付组中删除桌面”等权限。管理员可以为一个站点拥有多个角色，因此一个人可以是交付组管理员，也可以是计算机目录管理员。角色可以是内置的，也可以是自定义的。
  内置角色包括：

  角色	权限
  完全管理员	可以执行所有任务和操作。完全管理员始终与“所有”范围结合使用。
  只读管理员	除了全局信息外，可以查看指定范围内的所有对象，但不能更改任何内容。例如，具有“范围=伦敦”的只读管理员可以查看所有全局对象（例如配置日志记录）和任何伦敦范围的对象（例如伦敦交付组）。但是，该管理员无法查看纽约范围内的对象（假设伦敦和纽约范围不重叠）。
  帮助台管理员	可以查看交付组，并管理与这些组关联的会话和计算机。可以查看受监控交付组的计算机目录和主机信息。还可以对这些交付组中的计算机执行会话管理和计算机电源管理操作。
  计算机目录管理员	可以创建和管理计算机目录，并将计算机预配到其中。可以从虚拟化基础架构、Provisioning Services 和物理机构建计算机目录。此角色可以管理基础映像和安装软件，但不能将应用程序或桌面分配给用户。
  交付组管理员	可以交付应用程序、桌面和计算机；还可以管理关联的会话。还可以管理应用程序和桌面配置，例如策略和电源管理设置。
  主机管理员	可以管理主机连接及其关联的资源设置。不能向用户交付计算机、应用程序或桌面。
  成本管理员	可以监控和查看 Azure MCS 目录的成本详细信息，特别是过去 30 天内产生的总成本以及当前和前一个 30 天期间的比较。

  在某些产品版本中，您可以创建自定义角色以匹配您的组织要求，并更详细地委派权限。您可以使用自定义角色在控制台中以操作或任务的粒度分配权限。
• 作用域： 作用域表示对象的集合。作用域用于以与您的组织相关的方式对对象进行分组（例如，销售团队使用的交付组集）。对象可以存在于多个作用域中；您可以将对象视为带有一个或多个作用域标签。有一个内置作用域：“所有”，其中包含所有对象。完全管理员角色始终与“所有”作用域配对。

示例

• Fred 是完全管理员，可以查看、编辑和删除系统中的所有对象。
• Rob 可以查看站点中的所有对象，但无法编辑或删除它们。
• Heidi 可以查看所有对象，并可以在销售范围内的交付组上执行技术支持任务。这使她能够管理与这些组关联的会话和计算机；她无法对交付组进行更改，例如添加或删除计算机。
• 任何属于 warehouseadmin Active Directory 安全组的成员都可以查看并对仓库范围内的计算机执行技术支持任务。
• Peter 是一名 Windows 7 专家，可以管理所有 Windows 7 计算机目录，并可以交付 Windows 7 应用程序、桌面和计算机，无论它们属于哪个部门范围。管理员曾考虑将 Peter 设置为 Win7 范围的完全管理员。但是，她决定不这样做，因为完全管理员还对所有未限定范围的对象（例如“站点”和“管理员”）拥有完全权限。

如何使用委派管理

• 在小型或概念验证部署中，一两个管理员负责所有事务。没有委派。在这种情况下，使用内置的完全管理员角色（具有“所有”范围）创建每个管理员。
• 在具有更多计算机、应用程序和桌面的大型部署中，需要更多的委派。多个管理员可能具有更具体的功能职责（角色）。例如，其中两名是完全管理员，其他是技术支持管理员。此外，管理员可能只管理特定对象组（范围），例如计算机目录。在这种情况下，创建新范围，并创建具有内置角色之一和相应范围的管理员。
• 更大的部署可能需要更多（或更具体）的范围，以及具有非常规角色的不同管理员。在这种情况下，编辑或创建更多范围，创建自定义角色，并使用内置或自定义角色以及现有和新范围创建每个管理员。

创建和管理管理员

1. 登录到 Web Studio，在左侧窗格中单击管理员，然后单击管理员选项卡。
2. 按照您要完成的任务的说明进行操作：
   • 创建管理员： 在操作栏中单击创建管理员。键入或浏览到用户帐户名，选择或创建范围，然后选择角色。新管理员默认处于启用状态；您可以更改此设置。
   • 复制管理员： 选择管理员，然后在操作栏中单击复制管理员。键入或浏览到用户帐户名。您可以选择并编辑或删除任何角色/范围对，并添加新的角色/范围对。新管理员默认处于启用状态；您可以更改此设置。
   • 编辑管理员： 选择管理员，然后在操作栏中单击编辑管理员。您可以编辑或删除任何角色/范围对，并添加新的角色/范围对。
   • 删除管理员： 选择管理员，然后在操作栏中单击删除管理员。如果删除完全管理员会导致没有已启用的完全管理员，则无法删除该完全管理员。

• 关联的角色或范围不可用

• 删除角色和范围对。
  1. 在操作栏中，点击 编辑管理员。
  2. 在 管理员名称和详细信息 窗口中，选择角色和范围对，然后点击 删除。
  3. 点击 保存 退出。
• 删除管理员。
  1. 在操作栏中，点击 删除管理员。
  2. 在确认窗口中，点击 删除。

创建和管理角色

1. 登录 Web Studio，在左侧窗格中点击 管理员，然后点击 角色 选项卡。
2. 按照说明完成您要执行的任务：
   • 查看角色详细信息： 选择角色。下部窗格列出了该对象的类型以及与该角色关联的权限。点击下部窗格中的 管理员 选项卡以查看当前拥有此角色的管理员列表。
   • 创建自定义角色： 在操作窗格中单击创建角色。输入名称和描述。选择对象类型和权限。
   • 复制角色： 选择角色，然后在操作栏中单击复制角色。根据需要更改名称、描述、对象类型和权限。
   • 编辑自定义角色： 选择角色，然后在操作栏中单击编辑角色。根据需要更改名称、描述、对象类型和权限。
   • 删除自定义角色： 选择角色，然后在操作栏中单击删除角色。出现提示时，确认删除。

创建和管理范围

• 作用域名称最多可包含 64 个 Unicode 字符。作用域名称不能包含：反斜杠、正斜杠、分号、冒号、井号、逗号、星号、问号、等号、左箭头、右箭头、管道符、左方括号或右方括号、左括号或右括号、引号或撇号。
• 作用域描述最多可包含 256 个 Unicode 字符。
• 复制或编辑作用域时，请记住，从作用域中删除对象可能会导致管理员无法访问这些对象。如果编辑后的作用域与一个或多个角色配对，请确保作用域更新不会导致任何角色/作用域对无法使用。

1. 登录 Web Studio，在左侧窗格中单击管理员，然后单击作用域选项卡。
2. 按照您要完成的任务的说明进行操作：
   • 创建作用域： 在操作栏中单击创建新作用域。输入名称和描述。要包含特定类型的所有对象（例如，交付组），请选择对象类型。要包含特定对象，请展开类型，然后选择单个对象（例如，销售团队使用的交付组）。
   • 复制范围： 选择范围，然后在操作栏中单击复制范围。输入名称和描述。根据需要更改对象类型和对象。
   • 编辑范围： 选择范围，然后在操作栏中单击编辑范围。根据需要更改名称、描述、对象类型和对象。
   • 删除范围： 选择范围，然后在操作栏中单击删除范围。出现提示时，确认删除。

设置租户管理

1. 创建租户
2. 为租户添加管理员

创建报告

• 一份 HTML 报告，其中列出了与管理员关联的角色/范围对，以及每种对象类型（例如，交付组和计算机目录）的单独权限。您可以从 Web Studio 生成此报告。
  要创建此报告，请按照以下步骤操作：
  1. 登录 Web Studio，在左侧窗格中单击 管理员
  2. 选择一个管理员，然后在操作栏中单击 创建报告。
  您也可以在创建、复制或编辑管理员时请求此报告。
• 一份 HTML 或 CSV 报告，将所有内置和自定义角色映射到权限。您可以通过运行名为 OutputPermissionMapping.ps1 的 PowerShell 脚本来生成此报告。
  要运行此脚本，您必须是完全管理员、只读管理员或具有读取角色权限的自定义管理员。该脚本位于：Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts。
  语法：
  OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]

  参数	描述
  -Help	显示脚本帮助。
  -Csv	指定 CSV 输出。默认值 = HTML
  -Path string	输出写入位置。默认值 = stdout
  -AdminAddress string	要连接的 Delivery Controller™ 的 IP 地址或主机名。默认值 = localhost
  -Show	（仅当也指定了 -Path 参数时有效）当您将输出写入文件时，-Show 会导致输出在适当的程序（例如 Web 浏览器）中打开。
  通用参数	Verbose、Debug、ErrorAction、ErrorVariable、WarningAction、WarningVariable、OutBuffer 和 OutVariable。有关详细信息，请参阅 Microsoft 文档。