目錄

問題

問題

如何建立與Active Directory(AD)組匹配的訪問策略組？

第一步是配置身份驗證領域(NT LAN Manager(NTLM)領域)和使用身份驗證領域的身份。

-------------------------------------------------------------------------------------

1. 在網路安全裝置(WSA)的網路>身份驗證下建立NTLM領域。

2. 配置NTLM領域後，請選擇Web Security Manager > Identities，然後按一下Add Identity。

3. 按照以下步驟建立身份：

1. 名稱:Auth.Id

2. 在上方插入：1

3. 通過身份驗證定義成員：<NTLM領域名稱>

4. 方案：使用基本或NTLMSSP或使用NTLMSSP

5. 將所有其他設定保留為預設值。

如果要針對選定的客戶端測試身份驗證，請使用Define Members By Subnet並指定請求客戶端的IP。這允許WSA僅為這些選定的客戶端請求身份驗證。

6. 按一下「Submit」。

此時，您應該只具有兩個身份：Auth.Id和Global Identity Policy，並在Auth.Id身份上啟用身份驗證。

下一步是使用Auth.Id身份並基於此身份建立訪問策略。您可以在訪問策略中指定所需的AD組或使用者。

-------------------------------------------------------------------------------------

1. 選擇GUI > Web Security Manager > Access Policies。

2. 按一下Add Policy。

3. 按照以下步驟建立訪問策略：

1. 策略名稱：Sales.Policy

2. 在策略上插入：1

3. 身份策略：Auth.Id — 指定授權組和使用者

4. 手動輸入組名，或按一下刷新目錄以獲取AD上存在的使用者清單。選擇使用者後，按一下Add。

5. 完成後按一下Submit。

如果需要建立其他訪問策略，請按一下Add Policy，然後為新的AD組建立其他訪問策略。

您不應為同一身份驗證領域建立新身份。只要身份未繫結到Proxy Ports、URL Categories、User Agents或Define Members by Subnet，即可重複使用現有身份(Auth.Id)並為不同的AD組建立新的訪問策略。

對於使用不同AD組的多個訪問策略，設定應如下所示：

-------------------------------------------------------------------------------------

身份

"Auth.Id"

"全域性身份策略"

訪問策略

使用「Auth.Id」的「Sales.Policy」

使用「Auth.Id」的「Support.Policy」

使用「Auth.Id」的「Manager.Policy」

使用「Auth.Id」的「Admin.Policy」

使用「All」的「Global Policy」