Meilleures méthodes

Utilisez ces conseils pour configurer le système
FactoryTalk
 afin d'assurer une gestion efficace de l'authentification et de l'autorisation des utilisateurs.
Comptes administrateurs
  • Disposez toujours de plusieurs comptes utilisateurs membres du groupe
    FactoryTalk
     Administrators. Si le mot de passe d'un compte administrateur est perdu, vous pouvez utiliser un deuxième compte administrateur pour réinitialiser le mot de passe du premier. S'il est perdu, un mot de passe de compte utilisateur ne peut pas être récupéré. Un deuxième compte administrateur empêche de ne plus avoir accès au système
    FactoryTalk
     en cas de perte du premier mot de passe administrateur.
  • Il est recommandé de toujours avoir au moins un compte d'utilisateur lié à
    Windows
     qui est membre du groupe
    FactoryTalk
     Administrateurs. Si le compte administrateur lié à
    Windows
     est verrouillé parce que l'utilisateur a dépassé le nombre maximal de tentatives de connexion par exemple, l'administrateur du domaine
    Windows
     peut réinitialiser le compte. Sans quoi, l'utilisateur peut patienter le temps que
    Windows
     se réinitialise automatiquement et libère le compte verrouillé. Le temps d'attente dépend de la police de durée de verrouillage des comptes de
    Windows
    .
Comptes liés à
Windows
FactoryTalk ne met pas en cache les informations d'identification pour les utilisateurs ou les groupes liés à Windows. Par défaut, cependant, le système d'exploitation Windows met en cache le jeton de sécurité Windows pour les dix ouvertures de session valides les plus récentes de chaque utilisateur. Pour plus d'informations sur les informations d'identification de sécurité mises en cache, consultez Microsoft.com. Ce vérificateur mis en cache permet d'authentifier les comptes d'utilisateurs liés à Windows même lorsque le contrôleur de domaine n'est pas connecté ou en mesure de fournir une authentification. Windows est responsable du chiffrement de ce vérificateur mis en cache. Toutefois, cette mise en cache ne s'applique pas aux groupes liés à Windows. Ni le système FactoryTalk Directory ni le système d'exploitation Windows ne mettent en cache les informations des groupes de domaine Windows ; le système FactoryTalk n'a aucun moyen de déterminer quels comptes de domaine sont membres d'un groupe lié à Windows lorsqu'ils sont déconnectés du domaine. Si vous souhaitez utiliser des groupes dans le système FactoryTalk et que vous prévoyez d'être déconnecté du domaine, nous vous suggérons d'utiliser des groupes d'utilisateurs FactoryTalk contenant des utilisateurs liés à Windows.
Permissions
  • Affectez des autorisations aux groupes plutôt qu'aux utilisateurs.
  • Attribuez qu'exceptionnellement des autorisations aux comptes utilisateurs. Il n'est pas efficace de maintenir des comptes utilisateurs directement.
  • Si possible, il est préférable de supprimer les autorisations
    Autoriser
     plutôt que d'attribuer des autorisations
    Refuser
     explicites. L'ordre de priorité des autorisations explicites sur les autorisations héritées simplifie l'administration et les autorisations
    Refuser
     sont prioritaires sur les autorisations
    Autoriser
    .
  • Utilisez l'autorisation
    Refuser
     pour :
    • Exclure un sous-ensemble d'un groupe qui dispose des autorisations
      Autoriser
    • Exclure une autorisation spéciale lorsque le contrôle total est déjà octroyé à un utilisateur ou à un groupe
Fournir une réponse
Vous avez des questions ou des commentaires sur cette documentation ? Veuillez envoyer vos commentaires ici.
Normal