Administration déléguée
Remarque :
À partir de la version 2511, Citrix Web Studio (basé sur le Web) est la seule console de gestion pour Citrix Virtual Apps and Desktops™. Citrix Studio (basé sur MMC) a été supprimé de l’installateur. Cet article s’applique uniquement à Web Studio. Pour plus d’informations sur Citrix Studio, consultez l’article équivalent dans Citrix Virtual Apps and Desktops 7 2212 ou une version antérieure.
Le modèle d’administration déléguée offre la flexibilité nécessaire pour correspondre à la manière dont votre organisation souhaite déléguer les activités d’administration, en utilisant un contrôle basé sur les rôles et les objets. L’administration déléguée s’adapte aux déploiements de toutes tailles et vous permet de configurer une granularité de permissions plus fine à mesure que votre déploiement gagne en complexité. L’administration déléguée utilise trois concepts : les administrateurs, les rôles et les étendues.
-
Administrateurs : Un administrateur représente une personne ou un groupe de personnes identifié par son compte Active Directory. Chaque administrateur est associé à une ou plusieurs paires rôle et étendue.
-
Rôles : Un rôle représente une fonction de travail et possède des permissions définies qui lui sont associées. Par exemple, le rôle d’administrateur de groupe de mise à disposition possède des permissions telles que « Créer un groupe de mise à disposition » et « Supprimer un bureau d’un groupe de mise à disposition ». Un administrateur peut avoir plusieurs rôles pour un site, de sorte qu’une personne peut être à la fois administrateur de groupe de mise à disposition et administrateur de catalogue de machines. Les rôles peuvent être intégrés ou personnalisés.
Les rôles intégrés sont les suivants :
Rôle Permissions Administrateur complet Peut effectuer toutes les tâches et opérations. Un administrateur complet est toujours combiné avec l’étendue « Tous ». Administrateur en lecture seule Peut voir tous les objets dans les étendues spécifiées en plus des informations globales, mais ne peut rien modifier. Par exemple, un administrateur en lecture seule avec l’étendue = Londres peut voir tous les objets globaux (tels que la journalisation de la configuration) et tous les objets de l’étendue Londres (par exemple, les groupes de mise à disposition de Londres). Cependant, cet administrateur ne peut pas voir les objets de l’étendue New York (en supposant que les étendues Londres et New York ne se chevauchent pas). Administrateur du support technique Peut afficher les groupes de mise à disposition et gérer les sessions et les machines associées à ces groupes. Peut voir les informations de catalogue de machines et d’hôte pour les groupes de mise à disposition surveillés. Peut également effectuer des opérations de gestion de session et de gestion de l’alimentation des machines pour les machines de ces groupes de mise à disposition. Administrateur de catalogue de machines Peut créer et gérer des catalogues de machines et y provisionner les machines. Peut créer des catalogues de machines à partir de l’infrastructure de virtualisation, de Provisioning Services et de machines physiques. Ce rôle peut gérer les images de base et installer des logiciels, mais ne peut pas attribuer d’applications ou de bureaux aux utilisateurs. Administrateur de groupe de mise à disposition Peut mettre à disposition des applications, des bureaux et des machines ; peut également gérer les sessions associées. Peut également gérer les configurations d’applications et de bureaux telles que les stratégies et les paramètres de gestion de l’alimentation. Administrateur d’hôte Peut gérer les connexions d’hôte et leurs paramètres de ressources associés. Ne peut pas mettre à disposition des machines, des applications ou des bureaux aux utilisateurs. Administrateur des coûts Peut surveiller et afficher les détails des coûts pour les catalogues Azure MCS, en particulier le coût total encouru au cours des 30 derniers jours et une comparaison entre les périodes actuelles et précédentes de 30 jours. Dans certaines éditions du produit, vous pouvez créer des rôles personnalisés pour répondre aux exigences de votre organisation et déléguer des permissions avec plus de détails. Vous pouvez utiliser des rôles personnalisés pour allouer des permissions à la granularité d’une action ou d’une tâche dans une console.
-
Étendues : Une étendue représente une collection d’objets. Les étendues sont utilisées pour regrouper des objets d’une manière pertinente pour votre organisation (par exemple, l’ensemble des groupes de mise à disposition utilisés par l’équipe de vente). Les objets peuvent se trouver dans plusieurs étendues ; vous pouvez considérer que les objets sont étiquetés avec une ou plusieurs étendues. Il existe une étendue intégrée : « Tous », qui contient tous les objets. Le rôle d’administrateur complet est toujours associé à l’étendue Tous.
Exemple
La société XYZ a décidé de gérer les applications et les bureaux en fonction de leur département (Comptabilité, Ventes et Entrepôt) et de leur système d’exploitation de bureau (Windows 7 ou Windows 8). L’administrateur a créé cinq étendues, puis a étiqueté chaque groupe de mise à disposition avec deux étendues : une pour le département où ils sont utilisés et une pour le système d’exploitation qu’ils utilisent.
Les administrateurs suivants ont été créés :
| Administrateur | Rôles | Étendues |
|---|---|---|
| domain/fred | Administrateur complet | Tous (le rôle d’administrateur complet a toujours l’étendue Tous) |
| domain/rob | Administrateur en lecture seule | Tous |
| domain/heidi | Administrateur en lecture seule, Administrateur du support technique | Toutes les ventes |
| domain/warehouseadmin | Administrateur du support technique | Entrepôt |
| domain/peter | Administrateur de groupe de mise à disposition, Administrateur de catalogue de machines | Win7 |
- Fred est un administrateur complet et peut afficher, modifier et supprimer tous les objets du système.
- Rob peut afficher tous les objets du site mais ne peut pas les modifier ou les supprimer.
- Heidi peut afficher tous les objets et effectuer des tâches de support technique sur les groupes de mise à disposition de l’étendue Ventes. Cela lui permet de gérer les sessions et les machines associées à ces groupes ; elle ne peut pas apporter de modifications au groupe de mise à disposition, telles que l’ajout ou la suppression de machines.
- Toute personne membre du groupe de sécurité Active Directory warehouseadmin peut afficher et effectuer des tâches de support technique sur les machines de l’étendue Entrepôt.
- Peter est un spécialiste de Windows 7 et peut gérer tous les catalogues de machines Windows 7 et mettre à disposition des applications, des bureaux et des machines Windows 7, quelle que soit l’étendue du département auquel ils appartiennent. L’administrateur a envisagé de faire de Peter un administrateur complet pour l’étendue Win7. Cependant, elle a décidé de ne pas le faire, car un administrateur complet dispose également de tous les droits sur tous les objets qui ne sont pas soumis à une étendue, tels que « Site » et « Administrateur ».
Comment utiliser l’administration déléguée
En général, le nombre d’administrateurs et la granularité de leurs permissions dépendent de la taille et de la complexité du déploiement.
- Dans les déploiements de petite taille ou de preuve de concept, un ou quelques administrateurs font tout. Il n’y a pas de délégation. Dans ce cas, créez chaque administrateur avec le rôle intégré d’administrateur complet, qui a l’étendue Tous.
- Dans les déploiements plus importants avec plus de machines, d’applications et de bureaux, une plus grande délégation est nécessaire. Plusieurs administrateurs peuvent avoir des responsabilités fonctionnelles plus spécifiques (rôles). Par exemple, deux sont des administrateurs complets et d’autres sont des administrateurs du support technique. De plus, un administrateur peut gérer uniquement certains groupes d’objets (étendues), tels que les catalogues de machines. Dans ce cas, créez de nouvelles étendues, ainsi que des administrateurs avec l’un des rôles intégrés et les étendues appropriées.
- Les déploiements encore plus importants peuvent nécessiter davantage d’étendues (ou des étendues plus spécifiques), ainsi que différents administrateurs avec des rôles non conventionnels. Dans ce cas, modifiez ou créez plus d’étendues, créez des rôles personnalisés et créez chaque administrateur avec un rôle intégré ou personnalisé, ainsi que des étendues existantes et nouvelles.
Pour plus de flexibilité et de facilité de configuration, vous pouvez créer des étendues lorsque vous créez un administrateur. Vous pouvez également spécifier des étendues lors de la création ou de la modification de catalogues de machines ou de connexions.
Créer et gérer des administrateurs
Lorsque vous créez un site en tant qu’administrateur local, votre compte d’utilisateur devient automatiquement un administrateur complet avec toutes les permissions sur tous les objets. Une fois un site créé, les administrateurs locaux n’ont plus de privilèges spéciaux.
Le rôle d’administrateur complet a toujours l’étendue Tous ; vous ne pouvez pas modifier cela.
Par défaut, un administrateur est activé. La désactivation d’un administrateur peut être nécessaire si vous créez l’administrateur maintenant, mais que cette personne ne commencera ses fonctions d’administration que plus tard. Pour les administrateurs activés existants, vous pourriez vouloir en désactiver plusieurs pendant que vous réorganisez vos objets/étendues, puis les réactiver lorsque vous êtes prêt à déployer la configuration mise à jour. Vous ne pouvez pas désactiver un administrateur complet s’il n’y aurait alors plus aucun administrateur complet activé. La case à cocher d’activation/désactivation est disponible lorsque vous créez, copiez ou modifiez un administrateur.
Lorsque vous supprimez une paire rôle/étendue lors de la copie, de la modification ou de la suppression d’un administrateur, cela supprime uniquement la relation entre le rôle et l’étendue pour cet administrateur. Cela ne supprime ni le rôle ni l’étendue. Cela n’affecte pas non plus les autres administrateurs configurés avec cette paire rôle/étendue.
Pour créer et gérer des administrateurs, suivez ces étapes :
-
Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche, puis cliquez sur l’onglet Administrateurs.
-
Suivez les instructions pour la tâche que vous souhaitez effectuer :
- Créer un administrateur : Cliquez sur Créer un administrateur dans la barre d’actions. Saisissez ou recherchez le nom du compte utilisateur, sélectionnez ou créez une étendue, puis sélectionnez un rôle. Le nouvel administrateur est activé par défaut ; vous pouvez modifier ce paramètre.
- Copier un administrateur : Sélectionnez l’administrateur, puis cliquez sur Copier l’administrateur dans la barre d’actions. Saisissez ou recherchez le nom du compte utilisateur. Vous pouvez sélectionner, puis modifier ou supprimer l’une des paires rôle/étendue, et en ajouter de nouvelles. Le nouvel administrateur est activé par défaut ; vous pouvez modifier ce paramètre.
- Modifier un administrateur : Sélectionnez l’administrateur, puis cliquez sur Modifier l’administrateur dans la barre d’actions. Vous pouvez modifier ou supprimer l’une des paires rôle/étendue, et en ajouter de nouvelles.
- Supprimer un administrateur : Sélectionnez l’administrateur, puis cliquez sur Supprimer l’administrateur dans la barre d’actions. Vous ne pouvez pas supprimer un administrateur complet s’il n’y a plus d’administrateur complet activé.
Le volet supérieur affiche les administrateurs que vous avez créés. Sélectionnez un administrateur pour afficher ses détails dans le volet inférieur. La colonne Avertissements indique si les paires rôle/étendue associées à l’administrateur contiennent des rôles ou des étendues inutilisables. Le message d’avertissement suivant apparaît si une paire rôle/étendue associée contient des rôles ou des étendues inutilisables :
- Rôle ou étendue associé(e) non utilisable
Important :
Un message d’avertissement apparaît uniquement lorsqu’une paire rôle/étendue associée contient des rôles ou des étendues inutilisables, ou les deux.
Pour supprimer la paire rôle/étendue de l’administrateur, suivez l’une des étapes suivantes :
- Supprimez la paire rôle/étendue.
- Dans la barre d’actions, cliquez sur Modifier l’administrateur.
- Dans la fenêtre Nom et détails de l’administrateur, sélectionnez la paire rôle/étendue, puis cliquez sur Supprimer.
- Cliquez sur Enregistrer pour quitter.
- Supprimez l’administrateur.
- Dans la barre d’actions, cliquez sur Supprimer l’administrateur.
- Dans la fenêtre de confirmation, cliquez sur Supprimer.
Créer et gérer des rôles
Lorsque les administrateurs créent ou modifient un rôle, ils ne peuvent activer que les autorisations qu’ils possèdent eux-mêmes. Cela empêche les administrateurs de créer un rôle avec plus d’autorisations qu’ils n’en ont actuellement, puis de se l’attribuer (ou de modifier un rôle qui leur est déjà attribué).
Les noms de rôle peuvent contenir jusqu’à 64 caractères Unicode ; ils ne peuvent pas contenir : barre oblique inverse, barre oblique, point-virgule, deux-points, dièse, virgule, astérisque, point d’interrogation, signe égal, flèche gauche ou droite, barre verticale, crochet gauche ou droit, parenthèse gauche ou droite, guillemets ou apostrophe. Les descriptions peuvent contenir jusqu’à 256 caractères Unicode.
Vous ne pouvez pas modifier ou supprimer un rôle intégré. Vous ne pouvez pas supprimer un rôle personnalisé si un administrateur l’utilise.
Remarque :
Seules certaines éditions du produit prennent en charge les rôles personnalisés. Seules les éditions qui prennent en charge les rôles personnalisés ont des entrées associées dans la barre d’actions.
Pour créer et gérer des rôles, suivez ces étapes :
-
Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche, puis cliquez sur l’onglet Rôles.
-
Suivez les instructions pour la tâche que vous souhaitez effectuer :
- Afficher les détails du rôle : Sélectionnez le rôle. Le volet inférieur répertorie les types d’objets et les autorisations associées pour le rôle. Cliquez sur l’onglet Administrateurs dans le volet inférieur pour afficher la liste des administrateurs qui ont actuellement ce rôle.
- Créer un rôle personnalisé : Cliquez sur Créer un rôle dans le volet d’actions. Saisissez un nom et une description. Sélectionnez les types d’objets et les autorisations.
- Copier un rôle : Sélectionnez le rôle, puis cliquez sur Copier le rôle dans la barre d’actions. Modifiez le nom, la description, les types d’objets et les autorisations, si nécessaire.
- Modifier un rôle personnalisé : Sélectionnez le rôle, puis cliquez sur Modifier le rôle dans la barre d’actions. Modifiez le nom, la description, les types d’objets et les autorisations, si nécessaire.
- Supprimer un rôle personnalisé : Sélectionnez le rôle, puis cliquez sur Supprimer le rôle dans la barre d’actions. Lorsque vous y êtes invité, confirmez la suppression.
Créer et gérer des étendues
Lorsque vous créez un site, la seule étendue disponible est l’étendue « Tous », qui ne peut pas être supprimée.
Vous pouvez créer des étendues en suivant la procédure ci-dessous. Vous pouvez également créer des étendues lors de la création d’un administrateur ; chaque administrateur doit être associé à au moins une paire rôle et étendue. Lorsque vous créez ou modifiez des bureaux, des catalogues de machines, des applications ou des hôtes, vous pouvez les ajouter à une étendue existante. Si vous ne les ajoutez pas à une étendue, ils restent dans l’étendue « Tous ».
La création de sites ne peut pas être étendue, ni les objets d’administration déléguée (étendues et rôles). Cependant, les objets que vous ne pouvez pas étendre sont inclus dans l’étendue « Tous ». (Les administrateurs complets ont toujours l’étendue « Tous ».) Les machines, les actions d’alimentation, les bureaux et les sessions ne sont pas directement étendus. Les administrateurs peuvent se voir attribuer des autorisations sur ces objets via les catalogues de machines ou les groupes de mise à disposition associés.
Règles de création et de gestion des étendues :
-
Les noms d’étendue peuvent contenir jusqu’à 64 caractères Unicode. Les noms d’étendue ne peuvent pas inclure : barre oblique inverse, barre oblique, point-virgule, deux-points, dièse, virgule, astérisque, point d’interrogation, signe égal, flèche gauche, flèche droite, barre verticale, crochet gauche ou droit, parenthèse gauche ou droite, guillemets ou apostrophe.
-
Les descriptions d’étendue peuvent contenir jusqu’à 256 caractères Unicode.
-
Lorsque vous copiez ou modifiez une étendue, gardez à l’esprit que la suppression d’objets de l’étendue peut rendre ces objets inaccessibles à l’administrateur. Si l’étendue modifiée est associée à un ou plusieurs rôles, assurez-vous que les mises à jour de l’étendue ne rendent aucune paire rôle/étendue inutilisable.
Pour créer et gérer des étendues, suivez ces étapes :
-
Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche, puis cliquez sur l’onglet Étendues.
-
Suivez les instructions pour la tâche que vous souhaitez effectuer :
- Créer une étendue : Cliquez sur Créer une nouvelle étendue dans la barre d’actions. Saisissez un nom et une description. Pour inclure tous les objets d’un type particulier (par exemple, les groupes de mise à disposition), sélectionnez le type d’objet. Pour inclure des objets spécifiques, développez le type, puis sélectionnez des objets individuels (par exemple, les groupes de mise à disposition utilisés par l’équipe commerciale).
- Copier une étendue : Sélectionnez l’étendue, puis cliquez sur Copier l’étendue dans la barre d’actions. Saisissez un nom et une description. Modifiez les types d’objets et les objets, si nécessaire.
- Modifier une étendue : Sélectionnez l’étendue, puis cliquez sur Modifier l’étendue dans la barre d’actions. Modifiez le nom, la description, les types d’objets et les objets, si nécessaire.
- Supprimer une étendue : Sélectionnez l’étendue, puis cliquez sur Supprimer l’étendue dans la barre d’actions. Lorsque vous y êtes invité, confirmez la suppression.
Configurer la gestion des locataires
Configurez la gestion des locataires pour créer des partitions de gestion au sein d’un seul site Citrix Virtual Apps™ and Desktops. Chaque locataire dispose de ressources et de configurations séparées, telles que des catalogues de machines et des groupes de mise à disposition. Les administrateurs ayant accès à un locataire spécifique ne peuvent gérer que les ressources et les configurations associées à ce locataire. Les cas d’utilisation incluent les entreprises avec différents silos d’activité (divisions indépendantes ou équipes de gestion informatique distinctes) sur un seul site.
À un niveau élevé, le workflow de configuration de la gestion des locataires comprend :
Créer des locataires
Créez un locataire en créant une étendue de locataire. Les étapes détaillées sont les suivantes :
- Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche, puis cliquez sur l’onglet Étendues.
- Cliquez sur Créer une étendue pour commencer la création du locataire.
- Saisissez les détails suivants pour l’étendue du locataire :
- Saisissez un nom descriptif pour l’étendue. Ce nom sert également d’identifiant pour le locataire.
- (Facultatif) Saisissez une brève description.
- Sélectionnez Étendue du locataire.
- Si nécessaire, sélectionnez les objets associés au locataire. Vous pouvez également ajouter des objets aux étendues de locataire lors de la création ou de la gestion d’objets.
- Cliquez sur OK pour terminer la création.
Une fois terminé, vous pouvez voir :
- L’enregistrement de la nouvelle étendue de locataire apparaît dans la liste des étendues, identifié comme un Locataire dans la colonne Type.
- Le nom de l’étendue est affiché dans la liste déroulante Tous les locataires située dans le coin supérieur droit de Web Studio.
Lorsque vous travaillez avec une étendue de locataire, gardez ces considérations à l’esprit :
- La propriété du locataire suit un ordre d’affectation hiérarchique : Hébergement > Catalogues de machines > Groupes de mise à disposition > Applications. Les objets de niveau inférieur héritent de la propriété du locataire des objets de niveau supérieur. Par exemple, lors de la sélection d’un groupe de mise à disposition pour une étendue de locataire, assurez-vous de sélectionner également l’hébergement et le catalogue de machines associés. Sinon, le groupe de mise à disposition ne peut pas hériter de la propriété du locataire.
- Après avoir créé une étendue de locataire, vous pouvez modifier les affectations de locataires en modifiant des objets. Lorsqu’une affectation de locataire est modifiée, elle reste soumise à la contrainte qu’elle doit être affectée aux mêmes locataires ou à un sous-ensemble de ces locataires. Cependant, les objets de niveau inférieur ne sont pas réévalués lorsque les affectations de locataires changent. Assurez-vous que les objets sont correctement restreints lorsque vous modifiez les affectations de locataires. Par exemple, si un catalogue de machines est disponible pour
TenantAetTenantB, vous pouvez créer un groupe de mise à disposition pourTenantAet un pourTenantB. (TenantAetTenantBsont tous deux associés à ce catalogue de machines.) Vous pouvez ensuite modifier le catalogue de machines pour qu’il soit associé uniquement àTenantA. Par conséquent, le groupe de mise à disposition associé àTenantBdevient invalide.
Ajouter des administrateurs pour les locataires
Ajoutez des administrateurs pour un locataire en attribuant des comptes d’utilisateur avec des rôles d’administrateur et des locataires.
Pour ajouter un administrateur pour un locataire, suivez ces étapes :
- Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche, puis cliquez sur l’onglet Administrateurs.
- Cliquez sur Ajouter un administrateur, puis suivez ces étapes pour terminer :
- Saisissez ou recherchez le nom du compte d’utilisateur, puis cliquez sur Suivant.
- Sélectionnez Accès personnalisé, puis sélectionnez un ou plusieurs rôles (par exemple, Administrateur de catalogue de machines) selon les besoins.
- Cliquez sur Modifier les étendues à côté de chaque rôle, modifiez l’étendue de Tous à l’étendue de locataire souhaitée, puis cliquez sur Enregistrer.
- Cliquez sur Suivant.
- Sur la page Vérifier et confirmer, cliquez sur Envoyer l’invitation.
Créer des rapports
Vous pouvez créer deux types de rapports d’administration déléguée :
-
Un rapport HTML qui répertorie les paires rôle/étendue associées à un administrateur, ainsi que les autorisations individuelles pour chaque type d’objet (par exemple, les groupes de mise à disposition et les catalogues de machines). Vous générez ce rapport à partir de Web Studio.
Pour créer ce rapport, suivez ces étapes :
- Connectez-vous à Web Studio, cliquez sur Administrateurs dans le volet gauche
- Sélectionnez un administrateur, puis cliquez sur Créer un rapport dans la barre d’actions.
Vous pouvez également demander ce rapport lors de la création, de la copie ou de la modification d’un administrateur.
-
Un rapport HTML ou CSV qui mappe tous les rôles intégrés et personnalisés aux autorisations. Vous générez ce rapport en exécutant un script PowerShell nommé OutputPermissionMapping.ps1.
Pour exécuter ce script, vous devez être un administrateur complet, un administrateur en lecture seule ou un administrateur personnalisé avec l’autorisation de lire les rôles. Le script se trouve dans : Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts.
Syntaxe :
OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]Paramètre Description -HelpAffiche l’aide du script. -CsvSpécifie la sortie CSV. Par défaut = HTML -Path stringOù écrire la sortie. Par défaut = stdout -AdminAddress stringAdresse IP ou nom d’hôte du Delivery Controller™ auquel se connecter. Par défaut = localhost -Show(Valide uniquement lorsque le paramètre -Pathest également spécifié) Lorsque vous écrivez la sortie dans un fichier,-Showouvre la sortie dans un programme approprié, tel qu’un navigateur web.CommonParameters Verbose,Debug,ErrorAction,ErrorVariable,WarningAction,WarningVariable,OutBufferetOutVariable. Pour plus de détails, consultez la documentation Microsoft.
L’exemple suivant écrit une table HTML dans un fichier nommé Roles.html et ouvre la table dans un navigateur web.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
-Path Roles.html –Show
<!--NeedCopy-->
L’exemple suivant écrit une table CSV dans un fichier nommé Roles.csv. La table n’est pas affichée.
& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
–CSV -Path Roles.csv
<!--NeedCopy-->
À partir d’une invite de commandes Windows, la commande d’exemple précédente est :
powershell -command "& '%ProgramFiles%\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1'
-CSV -Path Roles.csv"
<!--NeedCopy-->