Delegated administration

注意：

You can manage your Citrix Virtual Apps and Desktops™ deployment using two management consoles: Web Studio (web-based) and Citrix Studio (Windows-based). This article covers only Web Studio. For information about Citrix Studio, see the equivalent article in Citrix Virtual Apps and Desktops 7 2212 or earlier.

委派管理模型提供了灵活性，可根据您的组织希望如何使用基于角色和对象的控制来委派管理活动。委派管理适用于所有规模的部署，并允许您在部署复杂性增加时配置更精细的权限。委派管理使用三个概念：管理员、角色和作用域。

• 管理员： 管理员代表由其 Active Directory 帐户标识的个人或一组人员。每个管理员都与一个或多个角色和作用域对相关联。

• 角色： 角色代表一项工作职能，并具有与之关联的已定义权限。例如，“交付组管理员”角色具有“创建交付组”和“从交付组中删除桌面”等权限。管理员可以为一个站点拥有多个角色，因此一个人可以是交付组管理员，也可以是计算机目录管理员。角色可以是内置的，也可以是自定义的。

  内置角色包括：

  角色	访问权限
  完全管理员	可以执行所有任务和操作。完全管理员始终与“所有”作用域结合使用。
  只读权限管理员	除了全局信息外，可以查看指定作用域中的所有对象，但不能更改任何内容。例如，具有 Scope=London 的只读管理员可以查看所有全局对象（例如 Configuration Logging）和任何 London 作用域对象（例如 London Delivery Groups）。但是，该管理员无法查看 New York 作用域中的对象（假设 London 和 New York 作用域不重叠）。
  技术支持管理员	可以查看交付组，并管理与这些组关联的会话和计算机。可以查看正在监视的交付组的计算机目录和主机信息。还可以对这些交付组中的计算机执行会话管理和计算机电源管理操作。
  计算机目录管理员	可以创建和管理计算机目录，并将计算机预配到其中。可以从虚拟化基础结构、Provisioning Services 和物理机构建计算机目录。此角色可以管理基础映像和安装软件，但不能将应用程序或桌面分配给用户。
  负责交付组的管理员	可以交付应用程序、桌面和计算机；还可以管理关联的会话。还可以管理应用程序和桌面配置，例如策略和电源管理设置。
  主机管理员	可以管理主机连接及其关联的资源设置。不能向用户交付计算机、应用程序或桌面。

  在某些产品版本中，您可以创建自定义角色以满足您组织的要求，并更详细地委派权限。您可以使用自定义角色以控制台中操作或任务的粒度分配权限。

• 作用域： 作用域表示对象的集合。作用域用于以与您的组织相关的方式对对象进行分组（例如，销售团队使用的交付组集）。对象可以存在于多个作用域中；您可以将对象视为标记有一个或多个作用域。有一个内置作用域：“所有”，其中包含所有对象。完全管理员角色始终与所有作用域配对。

示例

XYZ 公司决定根据其部门（会计、销售和仓库）及其桌面操作系统（Windows 7 或 Windows 8）来管理应用程序和桌面。管理员创建了五个作用域，然后为每个交付组标记了两个作用域：一个用于它们所使用的部门，一个用于它们所使用的操作系统。

系统已创建以下管理员账户：

• Fred 是完全管理员，可以查看、编辑和删除系统中的所有对象。
• Rob 可以查看站点中的所有对象，但不能编辑或删除它们。
• Heidi 可以查看所有对象，并可以在销售范围内的交付组上执行帮助台任务。这使她能够管理与这些组关联的会话和计算机；她不能对交付组进行更改，例如添加或删除计算机。
• 任何属于 warehouseadmin Active Directory 安全组的成员都可以在仓库范围内的计算机上查看和执行帮助台任务。
• Peter 是一名 Windows 7 专家，可以管理所有 Windows 7 计算机目录，并可以交付 Windows 7 应用程序、桌面和计算机，无论它们属于哪个部门范围。管理员曾考虑将 Peter 设置为 Win7 范围的完全管理员。但是，她决定不这样做，因为完全管理员还对所有未限定范围的对象（例如“站点”和“管理员”）拥有完全权限。

如何使用委派管理功能

通常情况下，管理员的数量以及他们权限的粒度，都取决于部署的规模和复杂性。

• 在小型或概念验证部署中，一个或几个管理员负责所有工作。没有委派。在这种情况下，使用内置的“完全管理员”角色创建每个管理员，该角色具有“所有”范围。
• 在具有更多计算机、应用程序和桌面的大型部署中，需要更多的委派。一些管理员可能具有更具体的功能职责（角色）。例如，两名是完全管理员，其他是帮助台管理员。此外，管理员可能只管理某些对象组（范围），例如计算机目录。在这种情况下，创建新的范围，并创建具有内置角色之一和相应范围的管理员。
• 甚至更大的部署可能需要更多（或更具体）的范围，以及具有非常规角色的不同管理员。在这种情况下，编辑或创建更多范围，创建自定义角色，并使用内置或自定义角色以及现有和新范围创建每个管理员。

为了灵活性和易于配置，您可以在创建管理员时创建范围。您还可以在创建或编辑计算机目录或连接时指定范围。

创建和管理管理员

当您以本地管理员身份创建站点时，您的用户帐户会自动成为对所有对象拥有完全权限的完全管理员。站点创建后，本地管理员没有特殊权限。

完全管理员角色始终具有“所有”范围；您无法更改此设置。

默认情况下，管理员是启用的。如果您现在正在创建管理员，但该人员稍后才会开始管理职责，则可能需要禁用该管理员。对于现有已启用的管理员，您可能希望在重新组织对象/范围时禁用其中几个，然后在准备好使用更新的配置上线时重新启用它们。如果禁用完全管理员会导致没有启用的完全管理员，则无法禁用该完全管理员。在创建、复制或编辑管理员时，可以使用启用/禁用复选框。

当您在执行复制、编辑或删除管理员的操作时，如果删除了一个角色/范围对，这仅仅会删除该管理员所拥有的角色与范围之间的关联关系。它既不会删除角色实体本身，也不会删除范围实体本身。同时，它也不会对任何其他已经配置了该角色/范围对的管理员产生任何影响。

要创建和管理管理员，请按照以下步骤操作：

1. 登录 Web Studio，在左侧窗格中单击 管理员，然后单击 管理员 选项卡。

2. 按照您要完成的任务的说明进行操作：

   • 创建管理员： 在操作栏中单击 创建管理员。键入或浏览到用户帐户名称，选择或创建范围，然后选择角色。新管理员默认启用；您可以更改此设置。
   • 复制管理员： 选择管理员，然后在操作栏中单击 复制管理员。键入或浏览到用户帐户名称。您可以选择并编辑或删除任何角色/范围对，并添加新的角色/范围对。新管理员默认启用；您可以更改此设置。
   • 编辑管理员： 选择管理员，然后在操作栏中单击 编辑管理员。您可以编辑或删除任何角色/范围对，并添加新的角色/范围对。
   • 删除管理员： 选择管理员，然后在操作栏中单击 删除管理员。如果删除完全管理员会导致没有启用的完全管理员，则无法删除该完全管理员。

上部窗格显示您创建的管理员。选择一个管理员以在下部窗格中查看其详细信息。警告 列指示与管理员关联的角色和范围对是否包含不可用的角色或范围。如果关联的角色和范围对包含不可用的角色或范围，则会出现以下警告消息：

• 关联的角色或范围不可用

重要提示：

仅当关联的角色和范围对包含不可用的角色、不可用的范围或两者都包含时，才会显示警告消息。

要从管理员中删除角色和范围对，请完成以下步骤之一：

• 删除角色和范围对。
  1. 在操作栏中，单击 编辑管理员。
  2. 在 管理员名称和详细信息 窗口中，选择角色和范围对，然后单击 删除。
  3. 单击 保存 以退出。
• 删除该管理员。
  1. 在操作栏中，单击 删除管理员。
  2. 在确认窗口中，单击 删除。

创建和管理角色

当管理员创建或编辑角色时，他们只能启用自己拥有的权限。这可以防止管理员创建权限高于其当前权限的角色，然后将其分配给自己（或编辑已分配给他们的角色）。

角色名称最多可包含 64 个 Unicode 字符；它们不能包含：反斜杠、正斜杠、分号、冒号、井号、逗号、星号、问号、等号、左箭头或右箭头、管道符、左方括号或右方括号、左括号或右括号、引号或撇号。描述最多可包含 256 个 Unicode 字符。

您无法编辑或删除内置角色。如果任何管理员正在使用自定义角色，则无法删除该角色。

注意：

只有某些产品版本支持自定义角色。只有支持自定义角色的版本才会在操作栏中显示相关条目。

要创建和管理角色，请执行以下步骤：

1. 登录 Web Studio，在左窗格中单击 管理员，然后单击 角色 选项卡。

2. 请按照说明操作，以完成您要执行的任务：

   • 查看角色详细信息： 选择角色。下部窗格列出了该角色的对象类型和关联权限。单击下部窗格中的 管理员 选项卡以查看当前拥有此角色的管理员列表。
   • 创建自定义角色： 在操作窗格中单击 创建角色。输入名称和描述。选择对象类型和权限。
   • 复制角色： 选择角色，然后在操作栏中单击“复制角色”。根据需要更改名称、描述、对象类型和权限。
   • 编辑自定义角色： 选择角色，然后在操作栏中单击“编辑角色”。根据需要更改名称、描述、对象类型和权限。
   • 删除自定义角色： 选择角色，然后在操作栏中单击“删除角色”。出现提示时，确认删除。

创建和管理范围

创建站点时，唯一可用的范围是“所有”范围，该范围无法删除。

您可以使用以下过程创建范围。您还可以在创建管理员时创建范围；每个管理员必须至少与一个角色和范围对关联。在创建或编辑桌面、计算机目录、应用程序或主机时，您可以将它们添加到现有范围。如果您不将它们添加到范围，它们将保留在“所有”范围中。

站点创建不能限定范围，也不能是委派管理对象（范围和角色）。但是，无法限定范围的对象会包含在“所有”范围中。（完全管理员始终拥有“所有”范围。）计算机、电源操作、桌面和会话不直接限定范围。管理员可以通过关联的计算机目录或交付组获得对这些对象的权限。

创建和管理范围的规则：

• 范围名称最多可包含 64 个 Unicode 字符。范围名称不能包含：反斜杠、正斜杠、分号、冒号、井号、逗号、星号、问号、等号、左箭头、右箭头、管道符、左方括号或右方括号、左括号或右括号、引号或撇号。

• 范围描述最多可包含 256 个 Unicode 字符。

• 复制或编辑范围时，请记住，从范围中删除对象可能会导致管理员无法访问这些对象。如果编辑后的范围与一个或多个角色配对，请确保范围更新不会导致任何角色/范围对无法使用。

要创建和管理范围，请执行以下步骤：

1. 登录 Web Studio，在左侧窗格中单击“管理员”，然后单击“范围”选项卡。

2. 按照您要完成的任务的说明进行操作：

   • 创建范围： 在操作栏中单击“创建新范围”。输入名称和描述。要包含特定类型的所有对象（例如，交付组），请选择对象类型。要包含特定对象，请展开类型，然后选择单个对象（例如，销售团队使用的交付组）。
   • 复制作用域： 选择作用域，然后在操作栏中单击复制作用域。输入名称和描述。根据需要更改对象类型和对象。
   • 编辑作用域： 选择作用域，然后在操作栏中单击编辑作用域。根据需要更改名称、描述、对象类型和对象。
   • 删除作用域： 选择作用域，然后在操作栏中单击删除作用域。出现提示时，确认删除。

设置租户管理

设置租户管理以在单个 Citrix Virtual Apps and Desktops 站点中创建管理分区。每个租户都有独立的资源和配置，例如计算机目录和交付组。有权访问特定租户的管理员只能管理与该租户关联的资源和配置。示例用例包括在单个站点中拥有不同业务孤岛（独立部门或单独的 IT 管理团队）的公司。

从宏观层面来看，设置租户管理的工作流程包括：

1. 创建租户
2. 为租户添加管理员

创建租户

通过创建租户作用域来创建租户。详细步骤如下：

1. 登录 Web Studio，在左侧窗格中单击管理员，然后单击作用域选项卡。
2. 单击创建作用域以开始创建租户。
3. 输入租户作用域的以下详细信息：
   1. 键入作用域的描述性名称。此名称也用作租户的标识符。
   2. （可选）输入简要描述。
   3. 选择 租户范围。
   4. 如有必要，选择与租户关联的对象。您还可以在创建或管理对象时将对象添加到租户范围。
   5. 单击 确定 以完成创建。

完成后，您可以看到：

• 新的租户范围记录将显示在“范围”列表中，在“类型”列中标识为“租户”。
• 范围名称显示在 Web Studio 右上角“所有租户”下拉列表中。

使用租户范围时，请记住以下注意事项：

• 租户属性遵循分层分配顺序：托管 > 计算机目录 > 交付组 > 应用程序。较低级别的对象从较高级别的对象继承租户属性。例如，为租户范围选择交付组时，请确保同时选择关联的托管和计算机目录。否则，交付组将无法继承租户的属性。
• 创建租户范围后，可以通过修改对象来编辑租户分配。当租户分配发生更改时，它仍然受限于必须分配给相同租户或这些租户的子集的约束。但是，当租户分配更改时，较低级别的对象不会重新评估。更改租户分配时，请确保对象受到适当的限制。例如，如果计算机目录可用于 TenantA 和 TenantB，则可以为 TenantA 创建一个交付组，并为 TenantB 创建一个交付组。（TenantA 和 TenantB 都与该计算机目录关联。）然后，您可以将计算机目录更改为仅与 TenantA 关联。结果，与 TenantB 关联的交付组将变为无效。

为租户添加管理员

通过分配具有管理员角色和租户的用户帐户来添加租户管理员。

要添加租户管理员，请按照以下步骤操作：

1. 登录 Web Studio，在左侧窗格中单击“管理员”，然后单击“管理员”选项卡。
2. 单击“添加管理员”，并按照以下步骤完成：
   1. 键入或浏览到用户帐户名称，然后单击“下一步”。
   2. 选择 自定义访问，然后根据需要选择一个或多个角色（例如，计算机目录管理员）。
   3. 单击每个角色旁边的 编辑范围，将范围从 所有 更改为所需的租户范围，然后单击 保存。
3. 单击 下一步。
4. 在 查看并确认 页面上，单击 发送邀请。

创建报告

您可以创建两种类型的委派管理报告：

• 一份 HTML 报告，列出与管理员关联的角色/范围对，以及每种对象类型（例如，交付组和计算机目录）的单独权限。您可以从 Web Studio 生成此报告。

  要创建此报告，请按照以下步骤操作：

  1. 登录 Web Studio，在左侧窗格中单击 管理员
  2. 选择一个管理员，然后在操作栏中单击 创建报告。

  您也可以在创建、复制或编辑管理员时请求此报告。

• 一份 HTML 或 CSV 报告，将所有内置和自定义角色映射到权限。您可以通过运行名为 OutputPermissionMapping.ps1 的 PowerShell 脚本来生成此报告。

  To run this script, you must be a Full Administrator, a Read Only Administrator, or a custom administrator with permission to read roles. The script is located in: Program Files\Citrix\DelegatedAdmin\SnapIn\Citrix.DelegatedAdmin.Admin.V1\Scripts.

  语法：

  OutputPermissionMapping.ps1 [-Help] [-Csv] [-Path string] [-AdminAddress string] [-Show] [CommonParameters]

  参数名称	详细说明
  -Help	显示脚本帮助。
  -Csv	指定 CSV 输出。默认值 = HTML
  -Path string	输出写入位置。默认值 = stdout
  -AdminAddress string	要连接的交付控制器™ 的 IP 地址或主机名。默认值 = localhost
  -Show	(仅当也指定了 -Path 参数时有效) 当您将输出写入文件时，-Show 会使输出在适当的程序（例如 Web 浏览器）中打开。
  通用参数	Verbose、Debug、ErrorAction、ErrorVariable、WarningAction、WarningVariable、OutBuffer 和 OutVariable。有关详细信息，请参阅 Microsoft 文档。

以下示例将 HTML 表写入名为 Roles.html 的文件，并在 Web 浏览器中打开该表。

& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
-Path Roles.html –Show
<!--NeedCopy-->

以下示例将 CSV 表写入名为 Roles.csv 的文件。该表不显示。

& "$env:ProgramFiles\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1"
–CSV -Path Roles.csv
<!--NeedCopy-->

在 Windows 命令提示符下，前面的示例命令是：

powershell -command "& '%ProgramFiles%\Citrix\DelegatedAdmin\SnapIn\
Citrix.DelegatedAdmin.Admin.V1\Scripts\OutputPermissionMapping.ps1'
-CSV -Path Roles.csv"
<!--NeedCopy-->