تكوين مجال FMC ؛وصول المستخدم ودوره

مسألة

يوضح هذا المستند كيفية تكوين أذون مستخدم مختلفة لعدة مستخدمين في FMC عبر المجالات العامة والفرعية.

البيئة

• مركز إدارة جدار الحماية الآمن (FMC) من Cisco - 7.6.4 (قابل للتطبيق على جميع وحدات التحكم في الوصول عن بعد (FMC)
• نشر متعدد المجالات مع المجال العام والنطاقات الفرعية
• أجهزة FTD متعددة تم تعيينها إلى مجالات فرعية مختلفة
• المستخدمون المتعددون الذين يحتاجون إلى مستويات أذون مختلفة

قرار

يحدد هذا المستند كيفية تكوين أذون مستخدم مختلفة لعدة مستخدمين في FMC عبر المجالات العالمية والفرعية، مع إمكانية تقييد الوصول بين المجالات والحد من وصول المجال العمومي لمستخدمين محددين. يدعم Cisco FMC تعيين دور المستخدم متعدد المستويات عبر مجالات متعددة مع إمكانية تقييد الوصول بين المجالات. يتضمن التكوين إنشاء مستخدمين في مجالات محددة وتعيين أدوار مناسبة للتحكم في مستويات الوصول.

إنشاء سلوك وصول المستخدم والمجال

يعمل نظام إدارة مستخدمي FMC بشكل مختلف بناء على المكان الذي يتم فيه إنشاء المستخدمين:

المستخدمون الذين تم إنشاؤهم في المجالات الفرعية

• يكون المستخدمون الذين تم إنشاؤهم مباشرة في مجال فرعي مرئيين فقط ضمن المجال المحدد:

inline_image_0.png

inline_image_1.png

• يجب على هؤلاء المستخدمين تسجيل الدخول باستخدام تنسيق مواصفات المجال: subdomain\username.

• تم تقييد الوصول تلقائيا إلى المجال الذي تم إنشاء المستخدم فيه:

inline_image_2.png

• يتم تطبيق الأدوار المخصصة التي تم إنشاؤها في المجال الفرعي فقط على هذا المجال.

المستخدمون الذين تم إنشاؤهم في مجال عمومي:

• يمكن للمستخدمين الذين تم إنشاؤهم من المجال العمومي تسجيل الدخول باستخدام اسم المستخدم الخاص بهم فقط، حتى إذا كانت أدوارهم موجودة فقط في المجالات الفرعية.

• ويظل هؤلاء المستخدمون مرئيين في قائمة مستخدمي المجال العمومي:

inline_image_3.png

• يمكن إجراء تعيينات الأدوار لأي مجال تابع:

inline_image_4.png

• يمكن تقييد الوصول إلى مجالات فرعية معينة من خلال تعيين الدور:

inline_image_5.png

خطوات التكوين لتقييد مستخدم المجال الفرعي

• انتقل إلى المجال الفرعي المحدد حيث يجب تقييد الوصول وإنشاء حساب المستخدم ضمن النظام / المستخدمين.

inline_image_6.png

inline_image_7.png

inline_image_8.png

• قم بإنشاء أدوار مخصصة داخل المجال الفرعي ضمن النظام / أدوار المستخدم. تتوفر أدوار المستخدم المخصصة التي تم إنشاؤها في مجال فرعي فقط داخل ذلك المجال ولا يمكن الوصول إليها من مجالات أخرى.

inline_image_9.png

• قم بتعيين الدور المخصص للمستخدم. يرث المستخدم الأذونات فقط للمجال الذي تم فيه إنشاء كل من المستخدم والدور.

inline_image_10.png

• تنسيق تسجيل دخول المستخدم لمستخدمي المجال الفرعي. يجب على المستخدمين الذين تم إنشاؤها في المجالات الفرعية إستخدام تنسيق تسجيل الدخول هذا:

اسم المستخدم: المجال الفرعي\اسم المستخدم

كلمة المرور: [كلمة مرور المستخدم]

inline_image_11.png

خطوات التكوين الخاصة بمستخدمي المجال العمومي مع قيود المجال الفرعي

• قم بإنشاء المستخدم في المجال العمومي ضمن System / Users. أستخدم حسابا إداريا مع Global Domain Access لإنشاء المستخدم.

inline_image_12.png

• قم بتعيين الأدوار فقط للمجالات الفرعية المحددة ضمن "النظام / المستخدمون". في تكوين المستخدم، قم بتعيين الأدوار بشكل حصري للمجال (المجالات) الفرعي الهدف دون توفير أي أذونات مجال عمومي.

inline_image_3.png

inline_image_14.png

• يمكن لهؤلاء المستخدمين تسجيل الدخول باستخدام اسم المستخدم الخاص بهم فقط، دون مواصفات المجال:

username: username

كلمة المرور: [كلمة مرور المستخدم]

inline_image_15.png

• للمستخدم فقط حق الوصول إلى المجالات الفرعية حيث تم تعيين الأدوار بشكل محدد، مع عدم الوصول إلى المجال العمومي أو مجالات فرعية أخرى.

inline_image_16.png

مرونة تعيين الدور

يمكن للمستخدمين الحصول على امتيازات مختلفة في كل مجال:

• امتيازات القراءة فقط في المجال العمومي مع امتيازات المسؤول في مجال تابع

• لا يوجد وصول مجال عمومي بأذونات مسؤول كاملة في مجالات فرعية محددة

• أذونات محرر النهج في مجال فرعي واحد بدون وصول إلى مجالات فرعية أخرى

اعتبارات المستخدم الخارجي

للمستخدمين الخارجيين (مصادقة LDAP أو RADIUS):

• إذا تم تعيين أدوار المستخدم من خلال عضوية المجموعة أو سمات المستخدم، لا يمكن إزالة الحد الأدنى من حقوق الوصول.

• يمكن تعيين نطاق حقوق إضافية أكبر من دور المستخدم الافتراضي.

• لا تتوفر كائنات المصادقة الخارجية إلا في المجال الذي تم إنشاؤها فيه.

• يجب تكوين أذونات المستخدم الفردية في نطاق أكبر من دور المستخدم الافتراضي للتقييد المناسب.

القيود والاعتبارات

• لا يمكن تحرير أدوار المستخدم المخصصة التي تم إنشاؤها في مجالات الأصل من مجالات التابع.

• تتوفر مصادقة Shell فقط في المجال العمومي، وليس في المجالات الفرعية.

• يتم تطبيق تفضيلات المستخدم وإعدادات لوحة المعلومات على كافة المجالات التي يتوفر فيها للحساب حق الوصول.

• يتم تكوين تعديلات الأذونات للمستخدمين بشكل فردي وليس في مجموعات أو أساليب مجمعة.

السبب

وينبع هذا الشرط من الحاجة إلى تنفيذ التحكم في الوصول متعدد المستويات في عمليات نشر FMC متعددة المجالات حيث يتطلب المستخدمون مستويات مختلفة من الوصول إلى المجالات العالمية والفرعية، مع قيود محددة بين المجالات للحفاظ على حدود الأمان.

المحتوى ذي الصلة

• دليل إدارة مركز إدارة جدار الحماية الآمن من Cisco، الإصدار 7.6: المستخدمون
• دليل إدارة مركز إدارة جدار الحماية الآمن من Cisco، الإصدار 7.6: إنشاء أدوار مستخدم مخصصة
• دليل إدارة مركز إدارة جدار الحماية الآمن من Cisco، الإصدار 7.6: إضافة مستخدم داخلي أو تحريره
• دليل إدارة مركز إدارة جدار الحماية الآمن من Cisco، الإصدار 7.6: المستخدمون والمجالات
• الدعم الفني والتنزيلات من Cisco