Delegated administration

注意：

You can manage your Citrix Virtual Apps and Desktops™ deployment using two management consoles: Web Studio (web-based) and Citrix Studio (Windows-based). This article covers only Web Studio. For information about Citrix Studio, see the equivalent article in Citrix Virtual Apps and Desktops 7 2212 or earlier.

委派管理模型提供了灵活性，能够根据组织的需求，通过基于角色和对象的控制来委派管理活动。委派管理适用于各种规模的部署，并且随着部署复杂性的增加，它允许您配置更细致的权限粒度。委派管理涉及三个核心概念：管理员、角色和作用域。

• 管理员： 管理员代表由其 Active Directory 帐户标识的个人或人群。每个管理员都与一个或多个角色和范围对相关联。

• 角色： 角色代表一项工作职能，并具有与之关联的已定义权限。例如，交付组管理员角色具有“创建交付组”和“从交付组中删除桌面”等权限。一个管理员可以为一个站点拥有多个角色，因此一个人可以是交付组管理员和计算机目录管理员。角色可以是内置的或自定义的。

  内置角色包括：

  角色	权限管理
  完全管理员	可以执行所有任务和操作。完全管理员始终与“全部”范围结合使用。
  只读权限管理员	除了全局信息之外，还可以查看指定范围内的所有对象，但不能更改任何内容。例如，范围为伦敦的只读管理员可以查看所有全局对象（例如配置日志记录）和任何伦敦范围内的对象（例如伦敦交付组）。但是，该管理员无法查看纽约范围内的对象（假设伦敦和纽约范围不重叠）。
  技术支持管理员	可以查看交付组，并管理与这些组关联的会话和计算机。可以查看受监控交付组的计算机目录和主机信息。还可以对这些交付组中的计算机执行会话管理和计算机电源管理操作。
  计算机目录管理员	可以创建和管理计算机目录，并将计算机预配到其中。可以从虚拟化基础结构、预配服务和物理机构建计算机目录。此角色可以管理基础映像和安装软件，但不能将应用程序或桌面分配给用户。
  交付组的管理员	可以交付应用程序、桌面和计算机；还可以管理关联的会话。还可以管理应用程序和桌面配置，例如策略和电源管理设置。
  主机管理员	可以管理主机连接及其关联的资源设置。不能向用户交付计算机、应用程序或桌面。

  在某些产品版本中，您可以创建自定义角色以匹配您的组织要求，并更详细地委派权限。您可以使用自定义角色以控制台中操作或任务的粒度分配权限。

• 作用域： 作用域表示对象的集合。作用域用于以与您的组织相关的方式（例如，销售团队使用的交付组集）对对象进行分组。对象可以存在于多个作用域中；您可以将对象视为带有一个或多个作用域标签。有一个内置作用域：“所有”，其中包含所有对象。完全管理员角色始终与所有作用域配对。

示例

XYZ 公司决定根据部门（会计、销售和仓库）及其桌面操作系统（Windows 7 或 Windows 8）管理应用程序和桌面。管理员创建了五个作用域，然后为每个交付组标记了两个作用域：一个用于它们所使用的部门，另一个用于它们所使用的操作系统。

以下是已创建的管理员：

• Fred 是完全管理员，可以查看、编辑和删除系统中的所有对象。
• Rob 可以查看站点中的所有对象，但无法编辑或删除它们。
• Heidi 可以查看所有对象，并可以在销售范围内的交付组上执行技术支持任务。这使她能够管理与这些组关联的会话和计算机；她无法对交付组进行更改，例如添加或删除计算机。
• 任何属于 warehouseadmin Active Directory 安全组的成员都可以在仓库范围内的计算机上查看和执行技术支持任务。
• Peter 是一名 Windows 7 专家，可以管理所有 Windows 7 计算机目录，并可以交付 Windows 7 应用程序、桌面和计算机，无论它们属于哪个部门范围。管理员曾考虑将 Peter 设为 Win7 范围的完全管理员。但是，她决定不这样做，因为完全管理员还对所有未限定范围的对象（例如“站点”和“管理员”）拥有完全权限。

如何使用委派管理功能

通常情况下，管理员的数量以及其权限的精细程度，取决于部署的规模和复杂性。

• 在小型或概念验证部署中，一个或几个管理员负责所有事务。没有委派。在这种情况下，使用内置的完全管理员角色（具有所有范围）创建每个管理员。
• 在具有更多计算机、应用程序和桌面的大型部署中，需要更多的委派。一些管理员可能具有更具体的职能职责（角色）。例如，两名是完全管理员，其他是技术支持管理员。此外，管理员可能只管理某些对象组（范围），例如计算机目录。在这种情况下，创建新范围，并创建具有内置角色之一和相应范围的管理员。
• 更大的部署可能需要更多（或更具体）的范围，以及具有非常规角色的不同管理员。在这种情况下，编辑或创建更多范围，创建自定义角色，并使用内置或自定义角色以及现有和新范围创建每个管理员。

为了提高灵活性和易于配置，您可以在创建管理员时创建范围。您还可以在创建或编辑计算机目录或连接时指定范围。

创建和管理管理员

当您以本地管理员身份创建站点时，您的用户帐户会自动成为完全管理员，对所有对象拥有完全权限。站点创建后，本地管理员没有特殊权限。

完全管理员角色始终具有所有范围；您无法更改此设置。

默认情况下，管理员处于启用状态。如果您现在正在创建管理员，但该人员稍后才开始管理职责，则可能需要禁用管理员。对于现有已启用的管理员，您可能希望在重新组织对象/范围时禁用其中几个，然后在准备好使用更新的配置上线时重新启用它们。如果禁用完全管理员会导致没有已启用的完全管理员，则无法禁用该完全管理员。在创建、复制或编辑管理员时，可以使用启用/禁用复选框。

当您在复制、编辑或删除管理员时，如果删除了一个角色/范围对，这只会删除该管理员的角色与范围之间的关联关系。它既不会删除角色本身，也不会删除范围本身。此外，它也不会对任何其他已配置该角色/范围对的管理员产生影响。

要创建和管理管理员，请执行以下步骤：

1. 登录 Web Studio，在左侧窗格中单击管理员，然后单击管理员选项卡。

2. 按照要完成的任务的说明进行操作：

   • 创建管理员： 在操作栏中单击创建管理员。键入或浏览到用户帐户名称，选择或创建范围，然后选择角色。新管理员默认启用；您可以更改此设置。
   • 复制管理员： 选择管理员，然后在操作栏中单击复制管理员。键入或浏览到用户帐户名称。您可以选择并编辑或删除任何角色/范围对，并添加新的角色/范围对。新管理员默认启用；您可以更改此设置。
   • 编辑管理员： 选择管理员，然后在操作栏中单击编辑管理员。您可以编辑或删除任何角色/范围对，并添加新的角色/范围对。
   • 删除管理员： 选择管理员，然后在操作栏中单击删除管理员。如果删除完全权限管理员会导致没有启用的完全权限管理员，则无法删除该管理员。

上方窗格显示您创建的管理员。选择一个管理员以在下方窗格中查看其详细信息。警告列指示与管理员关联的角色和范围对是否包含不可用的角色或范围。如果关联的角色和范围对包含不可用的角色或范围，则会出现以下警告消息：

• 关联的角色或范围不可用

重要：

仅当关联的角色和范围对包含不可用的角色或范围或两者都包含时，才会显示警告消息。

要从管理员中删除角色和范围对，请完成以下步骤之一：

• 删除角色和范围对。
  1. 在操作栏中，单击编辑管理员。
  2. 在管理员名称和详细信息窗口中，选择角色和范围对，然后单击删除。
  3. 点击 保存 退出。
• 删除该管理员。
  1. 在操作栏中，点击 删除管理员。
  2. 在确认窗口中，点击 删除。

创建和管理角色

当管理员创建或编辑角色时，他们只能启用自己所拥有的权限。这样做可以防止管理员创建权限超出其当前所拥有权限的角色，并将其分配给自己（或者编辑一个他们已被分配的角色）。

角色名称最多可包含 64 个 Unicode 字符；不能包含：反斜杠、正斜杠、分号、冒号、井号、逗号、星号、问号、等号、左箭头或右箭头、管道符、左括号或右括号、左圆括号或右圆括号、引号或撇号。描述最多可包含 256 个 Unicode 字符。

您无法编辑或删除内置角色。如果有任何管理员正在使用自定义角色，则无法删除该角色。

注意：

只有某些产品版本支持自定义角色。只有支持自定义角色的版本才会在操作栏中显示相关条目。

要创建和管理角色，请执行以下步骤：

1. 登录 Web Studio，在左侧窗格中点击 管理员，然后点击 角色 选项卡。

2. 按照您要完成的任务的说明进行操作：

   • 查看角色详细信息： 选择角色。下部窗格列出了该对象的类型和关联权限。点击下部窗格中的 管理员 选项卡可查看当前拥有此角色的管理员列表。
   • 创建自定义角色： 在操作窗格中点击 创建角色。输入名称和描述。选择对象类型和权限。
   • 复制角色： 选择角色，然后单击操作栏中的复制角色。根据需要更改名称、描述、对象类型和权限。
   • 编辑自定义角色： 选择角色，然后单击操作栏中的编辑角色。根据需要更改名称、描述、对象类型和权限。
   • 删除自定义角色： 选择角色，然后单击操作栏中的删除角色。出现提示时，确认删除。

创建和管理范围

创建站点时，唯一可用的范围是“所有”范围，该范围无法删除。

您可以使用以下过程创建范围。您还可以在创建管理员时创建范围；每个管理员必须至少与一个角色和范围对关联。在创建或编辑桌面、计算机目录、应用程序或主机时，您可以将它们添加到现有范围。如果您不将它们添加到范围中，它们将保留在“所有”范围中。

站点创建不能限定范围，也不能是委派管理对象（范围和角色）。但是，无法限定范围的对象包含在“所有”范围中。（完全管理员始终拥有“所有”范围。）计算机、电源操作、桌面和会话不直接限定范围。管理员可以通过关联的计算机目录或交付组获得对这些对象的权限。

创建和管理范围的规则：

• 范围名称最多可包含 64 个 Unicode 字符。范围名称不能包含：反斜杠、正斜杠、分号、冒号、井号、逗号、星号、问号、等号、左箭头、右箭头、管道符、左方括号或右方括号、左括号或右括号、引号或撇号。

• 范围描述最多可包含 256 个 Unicode 字符。

• 复制或编辑范围时，请记住，从范围中删除对象可能会导致管理员无法访问这些对象。如果编辑的范围与一个或多个角色配对，请确保范围更新不会导致任何角色/范围对无法使用。

要创建和管理范围，请执行以下步骤：

1. 登录 Web Studio，在左侧窗格中单击管理员，然后单击范围选项卡。

2. 按照您要完成的任务的说明进行操作：

   • 创建范围： 在操作栏中单击创建新范围。输入名称和描述。要包含特定类型的所有对象（例如，交付组），请选择对象类型。要包含特定对象，请展开类型，然后选择单个对象（例如，销售团队使用的交付组）。
   • 复制范围： 选择范围，然后单击操作栏中的复制范围。输入名称和描述。根据需要更改对象类型和对象。
   • 编辑范围： 选择范围，然后单击操作栏中的编辑范围。根据需要更改名称、描述、对象类型和对象。
   • 删除范围： 选择范围，然后单击操作栏中的删除范围。出现提示时，确认删除。

设置租户管理

设置租户管理可在单个 Citrix Virtual Apps and Desktops 站点中创建管理分区。每个租户都有独立的资源和配置，例如计算机目录和交付组。有权访问特定租户的管理员只能管理与该租户相关的资源和配置。示例用例包括在单个站点中拥有不同业务孤岛（独立部门或独立的 IT 管理团队）的公司。

概括而言，设置租户管理的工作流程包括：

1. 创建租户
2. 为租户添加管理员

创建租户

通过创建租户范围来创建租户。详细步骤如下：

1. 登录到 Web Studio，在左侧窗格中单击管理员，然后单击范围选项卡。
2. 单击创建范围以开始创建租户。
3. 输入租户范围的以下详细信息：
   1. 为范围键入一个描述性名称。此名称也用作租户的标识符。
   2. （可选）输入简要说明。
   3. 选择“租户范围”。
   4. 如有必要，选择与租户关联的对象。您还可以在创建或管理对象时将对象添加到租户范围。
   5. 单击“确定”以完成创建。

完成后，您可以看到：

• 新的租户范围记录将显示在“范围”列表中，在“类型”列中标识为“租户”。
• 范围名称显示在 Web Studio 右上角的“所有租户”下拉列表中。

使用租户范围时，请记住以下注意事项：

• 租户属性遵循分层分配顺序：托管 > 计算机目录 > 交付组 > 应用程序。较低级别的对象从较高级别的对象继承租户属性。例如，为租户范围选择交付组时，请确保同时选择关联的托管和计算机目录。否则，交付组无法继承租户的属性。
• 创建租户范围后，可以通过修改对象来编辑租户分配。更改租户分配时，它仍然受限于必须分配给相同租户或这些租户的子集。但是，当租户分配更改时，较低级别的对象不会重新评估。更改租户分配时，请确保对象受到适当的限制。例如，如果计算机目录可用于 TenantA 和 TenantB，则可以为 TenantA 创建一个交付组，为 TenantB 创建一个交付组。（TenantA 和 TenantB 都与该计算机目录关联。）然后，您可以将计算机目录更改为仅与 TenantA 关联。因此，与 TenantB 关联的交付组将变为无效。

为租户添加管理员

通过分配具有管理员角色和租户的用户帐户来为租户添加管理员。

要为租户添加管理员，请按照以下步骤操作：

1. 登录到 Web Studio，在左侧窗格中单击“管理员”，然后单击“管理员”选项卡。
2. 单击“添加管理员”，然后按照以下步骤完成：
   1. 键入或浏览到用户帐户名称，然后单击“下一步”。
   2. 选择 自定义访问，然后根据需要选择一个或多个角色（例如，计算机目录管理员）。
   3. 单击每个角色旁边的 编辑范围，将范围从 所有 更改为所需的租户范围，然后单击 保存。
3. 单击 下一步。
4. 在 查看和确认 页面上，单击 发送邀请。

创建报告

您可以创建两种类型的委派管理报告：

• 一个 HTML 报告，其中列出了与管理员关联的角色/范围对，以及每种对象类型（例如，交付组和计算机目录）的单独权限。您可以从 Web Studio 生成此报告。

  要创建此报告，请执行以下步骤：

  1. 登录 Web Studio，在左侧窗格中单击 管理员
  2. 选择一个管理员，然后在操作栏中单击 创建报告。

  您也可以在创建、复制或编辑管理员时请求此报告。

• 一个 HTML 或 CSV 报告，它将所有内置和自定义角色映射到权限。您可以通过运行名为 OutputPermissionMapping.ps1 的 PowerShell 脚本来生成此报告。

  To run this script, you must be a Full Administrator, a Read Only Administrator, or a custom administrator with permission to read roles. The script is located in: Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts.

  语法：

  OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]

  参数名称	描述信息
  -Help	显示脚本帮助。
  -Csv	指定 CSV 输出。默认值 = HTML
  -Path string	输出写入位置。默认值 = stdout
  -AdminAddress string	用于连接到交付控制器™ 的 IP 地址或主机名。默认值为本地主机。
  -Show	(仅当同时指定了 -Path 参数时有效) 当您将输出写入文件时，-Show 会导致输出在适当的程序（例如 Web 浏览器）中打开。
  通用参数	Verbose、Debug、ErrorAction、ErrorVariable、WarningAction、WarningVariable、OutBuffer 和 OutVariable。有关详细信息，请参阅 Microsoft 文档。

以下示例将 HTML 表写入名为 Roles.html 的文件，并在 Web 浏览器中打开该表。

& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
-Path Roles.html –Show
<!--NeedCopy-->

以下示例将 CSV 表写入到名为 Roles.csv 的文件。该表不会显示。

& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
–CSV -Path Roles.csv
<!--NeedCopy-->

在 Windows 命令提示符下，前面的示例命令为：

powershell -command "& '%ProgramFiles%\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1'
-CSV -Path Roles.csv"
<!--NeedCopy-->