如何配置WSA以执行LDAP身份验证组策略？

下载选项

  • PDF     (300.2 KB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (80.3 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (61.6 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2014 年 7 月 15 日
文档 ID:117937

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

目录

问题：

问题：

环境：思科网络安全设备(WSA)，所有AsyncOS版本

此知识库文章引用不是由思科维护或支持的软件。  提供该信息只是为了方便您使用。  如需进一步协助，请联系软件供应商。


为使“身份验证组”正常工作，我们首先需要在“GUI >网络>身份验证”下配置身份验证领域。

  1. 首先将“Authentication Protocol”设置为“LDAP”，然后导航至“Group Authorization”（组授权）（其他部分已正确配置）。
  2. 指定您的“组名属性”。此属性保存在“网络安全管理器”>“Web访问策略”>“单击添加组”>“选择身份验证组的组类型”>“目录查找”表下显示的值。此属性需要是唯一的，并且此属性表示的枝叶节点需要包含其组中的用户列表。
  3. 接下来，指定“Group Filter Query”。这是WSA用于查找LDAP目录中所有GROUP的搜索过滤器。
  4. 现在，指定“Group Membership Attribute”，这是枝叶节点中保存成员唯一值的属性。由于此属性是该GROUP的成员，因此您会看到多个条目。请确保此属性中包括的值与同一页上“用户名属性”中包含的值相对应。

以下是WSA如何使用LDAP领域配置来将用户名与LDAP组进行匹配的示例：

  1. 例如，我们将“组过滤器查询”设置为“objectClass=group”
  2. WSA将首先使用此过滤器并搜索LDAP目录，然后查找结果。
  3. 然后，WSA将使用结果查找“组成员属性”中指定的属性。假定这是一个名为“member”的属性。
  4. 现在，如果用户通过WSA代理以“USERNAME_A”身份登录，WSA将在LDAP服务器中查找用户帐户，如果存在匹配，它将使用“用户名属性”(User Name Attribute)下指定的属性（例如：uid），并检查“uid”是否与上面收集的“成员”属性中列出的用户匹配。
  5. 如果存在匹配，用户将使用配置的策略，如果没有，则WSA将评估行中的下一个策略。

要查看需要使用LDAP服务器配置哪些属性，请参阅“Softerra LDAP Browser” http://www.ldapbrowser.com

修订历史记录

版本 发布日期 备注
1.0
15-Jul-2014
初始版本
TAC Authored

由思科工程师提供

  • Kei Ozaki and Siddharth Rajpathak
    Cisco TAC Engineers.

此文档是否有帮助?

Feedback反馈

联系我们

本文档适用于以下产品