Lync Server 2013 での役割ベースのアクセス制御の計画

スコープ付きロールの作成

スコープが制限されたロール (スコープ付きロール) を作成する場合は、スコープと、それが基になっている既存のロール、およびロールを割り当てる Active Directory グループを指定します。 指定する Active Directory グループは、既に作成されている必要があります。 次のコマンドレットは、定義済みの管理ロールの 1 つの特権を持ち、スコープが制限されたロールを作成する例です。 という名前 Site01 Server Administratorsの新しいロールが作成されます。 このロールには、定義済みの CsServerAdministrator ロールの機能がありますが、Site01 サイト内のサーバーに対してのみ機能します。 このコマンドレットを機能させるには、Site01 サイトが既に定義されていて、名前付きの Site01 Server Administrators ユニバーサル セキュリティ グループが既に存在している必要があります。

New-CsAdminRole -Identity "Site01 Server Administrators" -Template CsServerAdministrator -ConfigScopes "site:Site01"

このコマンドレットを実行すると、グループの Site01 Server Administrators メンバーであるすべてのユーザーに、Site01 内のサーバーのサーバー管理者権限が付与されます。 さらに、後でこのユニバーサル セキュリティ グループに追加されたすべてのユーザーも、このロールの特権を取得します。 ロール自体と、割り当てられているユニバーサル セキュリティ グループの両方が呼び出 Site01 Server Administratorsされることに注意してください。

次の例では、サーバー スコープではなくユーザー スコープを制限します。 Sales 組織単位で Sales Users Administrator ユーザー アカウントを管理するロールが作成されます。 このコマンドレットを機能させるには、SalesUsersAdministrator ユニバーサル セキュリティ グループを既に作成する必要があります。

New-CsAdminRole -Identity "Sales Users Administrator " -Template CsUserAdministrator -UserScopes "OU:OU=Sales, OU=Lync Tenants, DC=Domain, DC=com"

新しいロールの作成

定義済みのロールの 1 つではなく、一連のコマンドレットまたは一連のスクリプトまたはモジュールにアクセスできるロールを作成するには、定義済みのロールの 1 つをテンプレートとして使用します。 ロールを実行できるようにするスクリプトとモジュールは、次の場所に格納する必要があることに注意してください。

• 既定では C:\Program Files\Common Files\Microsoft Lync Server 2013\Modules\Lync である Lync モジュール パス。

• 既定では C:\Program Files\Common Files\Microsoft Lync Server 2013\AdminScripts であるユーザー スクリプト パス。

新しいロールを作成するには、 New-CsAdminRole コマンドレットを使用します 。 New-CsAdminRole を実行する前に、このロールに関連付けられる基になるユニバーサル セキュリティ グループを最初に作成する必要があります。

次のコマンドレットは、新しいロールを作成する例として機能します。 という名前の新しいロールの種類を作成します MyHelpDeskScriptRole。 新しいロールには、定義済みの CsHelpDesk ロールの機能があり、さらに "testscript" という名前のスクリプトで関数を実行できます。

New-CsAdminRole -Identity "MyHelpDeskScriptRole" -Template CsHelpDesk -ScriptModules @{Add="testScript.ps1"}

このコマンドレットを機能させるには、最初にユニバーサル セキュリティ グループ MyHelpDeskScriptRole を作成しておく必要があります。

このコマンドレットを実行した後は、このロールに直接ユーザーを割り当てたり (その場合はグローバル スコープを持つ) ことができます。また、このロールに基づいてスコープ 付きロールを作成することもできます(このドキュメントの「スコープ付きロールの作成」で説明しました)。

ユーザーへのロールの割り当て

各 Lync Server ロールは、基になる Active Directory ユニバーサル セキュリティ グループに関連付けられます。 基になるグループに追加するすべてのユーザーは、そのロールの能力を得ています。

前のセクションの例では、どちらも新しいロールを作成し、既存のユニバーサル セキュリティ グループを新しいロールに割り当てます。 既存のロールを 1 人以上のユーザーに割り当てるには、そのユーザーをロールに関連付けられているグループに追加します。 これらのグループには、個々のユーザーとユニバーサル セキュリティ グループの両方を追加できます。

たとえば、 CsAdministrator ロールは、Active Directory の CS Administrators ユニバーサル セキュリティ グループに自動的に付与されます。 このユニバーサル セキュリティ グループは、Lync Server を展開するときに Active Directory に作成されます。 ユーザーまたはグループにこの特権を付与するには、ユーザーまたはグループを CS Administrators グループに追加するだけです。

ユーザーには、各ロールに対応する基になる Active Directory グループに追加することで、複数の RBAC ロールを割り当てることができます。

ロールを作成すると、後で基になる Active Directory グループに追加されたユーザーは、そのロールの機能を利用することに注意してください。

ロールのアビリティを変更する

ロールが実行できるコマンドレットとスクリプトの一覧を変更できます。 カスタム ロールを実行できるコマンドレットとスクリプトの両方を変更できますが、定義済みのロールのスクリプトのみを変更できます。 入力した各コマンドレットは、コマンドレットまたはスクリプトを追加、削除、または置き換えることができます。

ロールを変更するには、 Set-CsAdminRole コマンドレットを 使用します。 次のコマンドレットは、ロールから 1 つのスクリプトを削除します。

Set-CsAdminRole -Identity "MyHelpDeskScriptRole" -ScriptModules @{Remove="testScript.ps1"}