Creazione di gruppi di criteri di accesso corrispondenti ai gruppi di Active Directory

Domanda

Come creare gruppi di criteri di accesso corrispondenti ai gruppi di Active Directory (AD)?

Il primo passaggio consiste nel configurare un realm di autenticazione (realm NT LAN Manager (NTLM)) e un'identità che utilizza il realm di autenticazione.

1. Creare un'area di autenticazione NTLM in Web Security Appliance (WSA) in Rete > Autenticazione.
2. Dopo aver configurato l'area di autenticazione NTLM, scegliere Web Security Manager > Identità, quindi fare clic su Aggiungi identità.
3. Per creare un'identità, attenersi alla procedura seguente:
   1. Nome: Auth.Id
   2. Inserisci sopra: 1
   3. Definisci membri per autenticazione: <nome area di autenticazione NTLM>
   4. Schema: utilizzare Basic o NTLMSSP oppure utilizzare NTLMSSP
   5. Lasciare tutte le altre impostazioni come predefinite.
      Se si desidera verificare l'autenticazione rispetto ai client selezionati, utilizzare Definisci membri per subnet e specificare l'indirizzo IP del client richiedente. In questo modo, il server WSA può richiedere l'autenticazione solo per i client selezionati.
   6. Fare clic su Invia.

A questo punto è necessario avere solo due identità, Auth.Id e Criteri di identità globali, con l'autenticazione abilitata per Auth.Id Identity.

Il passaggio successivo consiste nell'utilizzare l'identità Auth.Id e creare criteri di accesso basati su tale identità. È possibile specificare gli utenti o i gruppi AD richiesti nei criteri di accesso.
—

1. Scegliere GUI > Web Security Manager > Criteri di accesso.
2. Fare clic su Aggiungi criterio.
3. Per creare un criterio di accesso, eseguire la procedura seguente:
   1. Nome criterio: Sales.Policy
   2. Inserisci sopra criterio: 1
   3. Criterio di identità: Auth.Id - Specifica utenti e gruppi autorizzati
   4. Immettere manualmente i nomi dei gruppi oppure fare clic su Aggiorna directory per ottenere l'elenco degli utenti esistenti in Active Directory. Dopo aver selezionato gli utenti, fare clic su Add (Aggiungi).
   5. Al termine, fare clic su Submit (Invia).

Se è necessario creare un altro criterio di accesso, fare clic su Aggiungi criterio e creare un altro criterio di accesso per il nuovo gruppo AD.

Non è consigliabile creare nuove identità per lo stesso realm di autenticazione. Riutilizzare l'identità esistente (Auth.Id) e creare nuovi criteri di accesso per gruppi AD diversi, a condizione che l'identità non sia associata a Porte proxy, Categorie URL, Agenti utente o Definisci membri per subnet.

Per i criteri di accesso multipli che utilizzano gruppi AD diversi, l'impostazione dovrebbe essere simile alla seguente:
—

Identità

"Auth.Id"
"Politica d'identità globale"

Criteri di accesso

"Sales.Policy" con "Auth.Id"
"Support.Policy" con "Auth.Id"
"Manager.Policy" con "Auth.Id"
"Admin.Policy" con "Auth.Id"
"Criteri globali" con "Tutti"