Implementar Administração Baseada em Funções

Pode utilizar uma administração baseada em funções para organizar administradores de ACs (autoridades de certificação) por funções de AC predefinidas, distintas, cada qual com o respectivo conjunto de tarefas. As funções são atribuídas utilizando as definições de segurança de cada utilizador. Uma função é atribuída a um utilizador através da atribuição ao utilizador de definições de segurança específicas que estão associadas à função. Um utilizador com um tipo de permissão, como a permissão Gerir AC, pode efectuar tarefas de AC específicas que um outro utilizador com outro tipo de permissão, como a permissão Emitir e Gerir Certificados, não poderá efectuar.

A tabela que se segue descreve as funções, utilizadores e grupos que podem ser utilizados para implementar uma administração baseada em funções. Para atribuir uma função a um utilizador ou grupo, tem de atribuir as permissões de segurança, associações de grupos ou direitos de utilizador correspondentes à função ao utilizador ou grupo. Estas permissões de segurança, associações de grupos e direitos de utilizador são utilizados para determinar as funções dos utilizadores.

Todas as funções de AC são atribuídas e modificadas por membros dos grupos Administradores locais, Admins da Empresa ou Admins do Domínio. Em ACs empresariais, os administradores locais, administradores empresariais e administradores do domínio são administradores de ACs por predefinição. Apenas os administradores locais são administradores de ACs, por predefinição, numa AC autónoma. Se tiver uma AC autónoma instalada num servidor que está associado a um domínio do Active Directory, os administradores do domínio também são administradores de ACs.

As funções de administrador de AC e gestor de certificados podem ser atribuídas a utilizadores ou utilizadores locais do Active Directory no SAM (Gestor de Contas de Segurança) do computador local, que é a base de dados de contas de segurança locais. Como procedimento recomendado, deve atribuir funções a contas de grupos em vez de a contas de utilizadores individuais.

Apenas o administrador de AC, gestor de certificados, auditor e operador de cópias de segurança são funções de AC. Os outros utilizadores descritos na tabela são relevantes para a administração baseada em funções e deverão ser tidos em consideração antes de atribuir funções de AC.

Apenas os administradores de AC e gestores de certificados são atribuídos através do snap-in Autoridade de Certificação. Para alterar as permissões de um utilizador ou grupo, tem de alterar as permissões de segurança, associação a grupos ou direitos de utilizador do utilizador.

Para definir permissões de segurança do administrador de AC e do gestor de certificados para uma AC

Funções e actividades

Atribuir funções

Preocupações do administrador

A predefinição de instalação de uma AC autónoma consiste em ter membros do grupo Administradores locais como administradores de ACs. A predefinição de instalação de uma AC empresarial consiste em ter membros dos grupos Administradores locais, Admins da empresa e Admins do Domínio como administradores de ACs. Para limitar o poder destas contas, as mesmas deverão ser removidas das funções de administrador de AC e gestor de certificados quando todas as funções de ACs estiverem atribuídas.

Como procedimento recomendado, as contas de grupos com funções de administrador de AC ou gestor de certificados atribuídas não deverão ser membros do grupo Administradores locais. Do mesmo modo, as funções de AC só deverão ser atribuídas a contas de grupos e não a contas de utilizadores individuais.

	Nota
	É necessário ser membro do grupo Administradores locais na AC para renovar um certificado de AC. Os membros deste grupo podem assumir uma autoridade administrativa sobre todas as outras funções de AC.