Unités et comptes d'administration

Pour gérer les unités et les comptes d'administration, dans la console Web Cyber Protect, accédez à Paramètres > Comptes. Le volet Comptes affiche le groupe Organisation avec l'arborescence des unités (le cas échéant), ainsi que la liste des comptes d'administration au niveau hiérarchique sélectionné.

Unités

Le groupe Organisation est créé automatiquement quand vous installez le serveur d'administration. Avec la licence Acronis Cyber Protect Advanced, vous pouvez créer des groupes enfant appelés unités, qui correspondent généralement à des unités ou des services de l'organisation, et y ajouter des comptes d'administration. Ainsi, vous pouvez déléguer la gestion de la protection à d'autres personnes dont les droits d'accès seront strictement limités aux unités correspondantes. Pour en savoir plus sur la manière de créer une unité, consultez Création d'unités.

Chaque unité peut disposer d'unités enfant. Les comptes d'administration d'une unité parent disposent des mêmes droits dans toutes ses unités enfant. Le groupe Organisation est l'unité parent de plus haut niveau, et tous les comptes d'administration à ce niveau disposent des mêmes droits dans toutes ses unités.

Comptes d'administration

Tout compte pouvant se connecter à la console Web Cyber Protect est un compte d'administration.

Dans la console Web Cyber Protect, tout compte d'administration peut afficher ou gérer tous les éléments situés à un niveau hiérarchique inférieur ou égal à celui de son unité. Par exemple, un compte d'administration au niveau organisation a accès à ce premier niveau et donc à toutes les unités de cette organisation. Un compte d'administration dans une unité spécifique peut uniquement accéder à cette unité et à ses unités enfant.

Quels comptes peuvent être des comptes d'administration ?

Si le serveur de gestion est installé sur un ordinateur Windows inclus dans un domaine Active Directory, vous pouvez octroyer des droits d'administration à des utilisateurs locaux, ou à des utilisateurs et groupes d'utilisateurs au sein de la forêt du domaine Active Directory.

Par défaut, le serveur de gestion établit une connexion protégée par SSL/TSL avec le contrôleur de domaine Active Directory. Si c'est impossible, aucune connexion ne sera établie. Vous pouvez néanmoins autoriser les connexions non sécurisées en modifiant le fichier auth-connector.json5.

Pour utiliser une connexion sécurisée, assurez-vous que le LDAP sur SSL (LDAPS) est configuré pour votre Active Directory.

Pour configurer le LDAPS pour Active Directory

Sur le contrôleur de domaine, créez et installez un certificat LDAP qui répond aux exigences de Microsoft.

Pour en savoir plus sur la façon de réaliser ces opérations, reportez-vous à Activer LDAP sur SSL avec une autorité de certification tierce dans la documentation Microsoft.
Sur le contrôleur de domaine, ouvrez la Console de gestion Microsoft et vérifiez que le certificat existe sous Certificats (ordinateur local) > Personnel > Certificats.
Redémarrez le contrôleur de domaine.
Vérifiez que le LDAPS est activé.

Pour autoriser les connexions non sécurisées au contrôleur de domaine

Connectez-vous à la machine sur laquelle le serveur de gestion est installé.
Ouvrez le fichier auth-connector.json5 pour modification.

Le fichier auth-connector.json5 se situe dans %ProgramFiles%\Acronis\AuthConnector.
Accédez à la section sync et, à chaque ligne « connectionMode », remplacez « ssl_only » par « auto ».

Dans le mode auto, une connexion non sécurisée est établie si une connexion TLS est impossible.
Redémarrez le service Acronis Service Manager comme décrit dans Pour redémarrer le service Acronis Service Manager.

Si le serveur de gestion n'est pas inclus dans un domaine Active Directory ou s'il est installé sur une machine Linux, vous pouvez octroyer des droits d'administration uniquement à des utilisateurs locaux et à des groupes.

Pour savoir comment ajouter un compte d'administration au serveur de gestion, consultez la section Ajout de comptes d'administration.

Rôles de compte d'administration

Un rôle est affecté à chaque compte d'administration, avec des droits d'accès prédéfinis, nécessaires à des tâches spécifiques. Les rôles de compte d'administration sont les suivants :

Administrateur
Ce rôle donne un accès administratif complet à l'organisation ou à une unité.

Lecture seule
Ce rôle donne un accès en lecture seule à la console Web Cyber Protect. Il permet uniquement de collecter des données de diagnostic, comme les rapports système. Le rôle lecture seule ne permet pas de consulter les sauvegardes ni de parcourir le contenu des boîtes aux lettres sauvegardées.

Auditeur
Ce rôle donne un accès en lecture seule à l'onglet Activités de la console Web Cyber Protect. Pour plus d'informations sur cet onglet, reportez-vous à la section Onglet Activités. Ce rôle ne permet pas la collecte ni l'exportation de données, quelles qu'elles soient, notamment les informations système du serveur de gestion.

Toute modification apportée aux rôles s'affiche dans l'onglet Activités.

Héritage des rôles

Les rôles dans une unité parent sont hérités par ses unités enfant. Si le même compte utilisateur possède différents rôles attribués dans l'unité parent et dans une unité enfant, il disposera des deux rôles.

De même, les rôles peuvent être attribués explicitement à un compte utilisateur spécifique, ou bien hérités depuis un groupe d'utilisateurs. Par conséquent, un compte utilisateur peut disposer à la fois d'un rôle attribué de façon spécifique et d'un rôle hérité.

Si un compte utilisateur possède différents rôles (attribués et/ou hérités), il peut accéder effectuer les actions et accéder aux objets autorisés dans n'importe lequel de ces rôles. Par exemple, un compte utilisateur auquel le rôle lecture seule a été affecté et qui a hérité d'un rôle administrateur aura les droits d'un administrateur.

Dans la console Web Cyber Protect, seuls les rôles explicitement attribués pour l'unité actuelle sont affichés. Toute différence potentielle par rapport aux rôles hérités n'est pas affichée. Nous vous recommandons fortement d'attribuer des rôles administrateur, lecture seule et auditeur à des comptes ou groupes séparés, afin d'éviter les problèmes potentiels avec les rôles hérités.

Administrateurs par défaut

Sous Windows

Lors de l’installation du serveur de gestion sur une machine, vous obtenez les résultats suivants :

Le groupe d'utilisateurs Acronis Centralized Admins est créé sur l'ordinateur.

Sur un contrôleur de domaine, le groupe est appelé DCNAME $ Acronis Centralized Admins. Ici, DCNAME représente le nom du NetBIOS du contrôleur de domaine.
Tous les membres du groupe Administrateurs seront ajoutés au groupe Acronis Centralized Admins. Si la machine est dans un domaine mais n'est pas un contrôleur de domaine, les utilisateurs locaux (hors domaine) sont alors exclus. Dans un contrôleur de domaine, il n'y a pas d'utilisateurs hors domaine.
Les groupes Administrateurs centralisés Acronis et Administrateurs seront ajoutés au serveur de gestion en tant qu'administrateurs de l'organisation. Si la machine est dans un domaine mais n'est pas un contrôleur de domaine, le groupe Administrateurs n'est pas ajouté, de sorte que les utilisateurs locaux (hors domaine) ne deviennent pas administrateurs de l'organisation.

Vous pouvez supprimer le groupe Administrateurs de la liste des administrateurs de l'organisation. Toutefois, le groupe Acronis Centralized Admins ne peut pas être supprimé. Dans le cas peu probable où tous les administrateurs de l'organisation auraient été supprimés, vous pouvez ajouter un compte au groupe Acronis Centralized Admins dans Windows, puis vous connecter à la console Web Cyber Protect à l'aide de ce compte.

Sous Linux

Lors de l’installation du serveur de gestion sur une machine, l'utilisateur root est ajouté au serveur de gestion comme un administrateur de l'organisation.

Vous pouvez ajouter d'autres utilisateurs Linux dans la liste des administrateurs du serveur de gestion comme décrit ultérieurement, puis supprimer l'utilisateur root de cette liste. Dans le cas peu probable où tous les administrateurs de l'organisation auraient été supprimés, vous pouvez redémarrer le service acronis_asm. En conséquence, l'utilisateur root sera automatiquement rajouté comme administrateur de l'organisation.

Compte d'administration dans plusieurs unités

Des droits d'administration peuvent être accordés à un compte dans n'importe quel nombre d'unités. Pour un tel compte, ainsi que pour les comptes d'administration au niveau de l'organisation, le sélecteur d'unité s'affiche dans la console Web Cyber Protect. Grâce à ce sélecteur, ce compte peut voir et gérer chaque unité indépendamment.

Un compte ayant les droits nécessaires pour toutes les unités d'une organisation n'a pas nécessairement les droits nécessaires pour l'organisation. Les comptes d'administration au niveau de l'organisation doivent être ajoutés explicitement au groupe Organisation.

Comment peupler les unités avec des machines

Quand un administrateur ajoute une machine via l'interface Web, elle est ajoutée à l'unité gérée par l'administrateur. Si l'administrateur gère plusieurs unités, la machine est ajoutée à l'unité choisie dans le sélecteur d'unités. De ce fait, l'administrateur doit choisir l'unité avant de cliquer sur Ajouter.

Lors de l'installation locale d'agents, l'administrateur fournit ses accréditations. La machine est ajoutée à l'unité gérée par l'administrateur. Si l'administrateur gère plusieurs unités, le programme d'installation invite à choisir une unité à laquelle la machine sera ajoutée.