Inhalt

Frage

Frage

Wie erstelle ich Zugriffsrichtliniengruppen, die Active Directory-Gruppen (AD) entsprechen?

Der erste Schritt besteht in der Konfiguration eines Authentifizierungsbereichs (NT LAN Manager (NTLM)) und einer Identität, die den Authentifizierungsbereich verwendet.

—

1. Erstellen Sie einen NTLM-Bereich auf der Web Security Appliance (WSA) unter Netzwerk > Authentifizierung.

2. Wenn Sie Ihren NTLM-Bereich konfiguriert haben, wählen Sie Websicherheits-Manager > Identitäten aus, und klicken Sie dann auf Identität hinzufügen.

3. Gehen Sie folgendermaßen vor, um eine Identität zu erstellen:

1. Name: Auth.ID

2. Oben einfügen: 1

3. Mitglieder nach Authentifizierung definieren: <NTLM-Bereichsname>

4. Schema: Verwenden von Basic oder NTLMSSP oder NTLMSSP

5. Lassen Sie alle anderen Einstellungen als Standard.

Wenn Sie die Authentifizierung mit ausgewählten Clients testen möchten, verwenden Sie Create Members By Subnet (Member definieren nach Subnetz), und geben Sie die IP des anfordernden Clients an. Dadurch kann die WSA nur für diese ausgewählten Clients eine Authentifizierung anfordern.

6. Klicken Sie auf Senden.

An diesem Punkt sollten Sie nur zwei Identitäten haben: Auth.Id und Globale Identitätsrichtlinie, wobei die Authentifizierung auf Auth.IdIdentity aktiviert ist.

Im nächsten Schritt wird die Auth.Id-Identität verwendet und Zugriffsrichtlinien auf der Grundlage dieser Identität erstellt. In den Zugriffsrichtlinien können Sie erforderliche AD-Gruppen oder -Benutzer angeben.

—

1. Wählen Sie GUI > Web Security Manager > Access Policies aus.

2. Klicken Sie auf Policy hinzufügen.

3. Gehen Sie folgendermaßen vor, um eine Zugriffsrichtlinie zu erstellen:

1. Policy-Name: Sales.Policy

2. Oben stehende Richtlinie einfügen: 1

3. Identitätsrichtlinie: Auth.Id - Auth-Gruppen und Benutzer angeben

4. Geben Sie die Gruppennamen manuell ein, oder klicken Sie auf Verzeichnis aktualisieren, um die Liste der Benutzer in Ihrem AD anzuzeigen. Wenn Sie die Benutzer ausgewählt haben, klicken Sie auf Hinzufügen.

5. Klicken Sie abschließend auf Senden.

Wenn Sie eine andere Zugriffsrichtlinie erstellen müssen, klicken Sie auf Richtlinie hinzufügen und erstellen Sie eine andere Zugriffsrichtlinie für die neue AD-Gruppe.

Sie sollten keine neuen Identitäten für denselben Authentifizierungsbereich erstellen. Verwenden Sie die vorhandene Identität (Auth.Id) erneut, und erstellen Sie neue Zugriffsrichtlinien für verschiedene AD-Gruppen, solange die Identität nicht an Proxy-Ports, URL-Kategorien, Benutzer-Agents oder Member nach Subnetz definieren ist.

Für mehrere Zugriffsrichtlinien, die verschiedene AD-Gruppen verwenden, sollte die Konfiguration wie folgt aussehen:

—

Identität

"Auth.Id"

"Globale Identitätsrichtlinie"

Zugriffsrichtlinie

"Sales.Policy" mithilfe von "Auth.Id"

"Support.Policy" mit "Auth.Id"

"Manager.Policy" mit "Auth.Id"

"Admin.Policy" mit "Auth.Id"

"Globale Richtlinie" mit "Alle"