使用域的多租户
基于域的多租户是一种分段方式，
-
对受管设备、配置和事件的用户访问进行分段
-
允许在一个顶级全球域下最多可以创建 100 个子域，分为两个或三个级别，以及
-
要求用户登录到一个称为当前域的单个域。
域层次结构与访问控制
防火墙管理中心 允许您使用域实施多租户。当您登录到 防火墙管理中心时，将会登录到单个域，称为当前域。根据您的用户帐户，您或许可以切换到其他域。您在一个顶级全球域下最多可以创建 100 个子域，分为两个或三个级别。
当您登录到 防火墙管理中心 时，将会登录到单个域，称为当前域。根据您的用户帐户，您或许可以切换到其他域。
除了您的用户角色所施加的任何限制之外，您当前的域级别可能也会限制您修改各样配置的能力。 防火墙管理中心 会将大多数管理任务（例如系统软件更新）限制于全局域。
防火墙管理中心 会限制对 枝叶域（不含子域的域）的其他任务。例如，您必须将每个受管设备与一个枝叶域相关联，并从该枝叶域的情景执行设备管理任务。请注意，每台设备只能属于一个域。
根据每个枝叶域的设备收集的发现数据，该枝叶域可构建自己的网络映射。受管设备报告的事件（连接、入侵、恶意软件等）还会与设备的枝叶域相关联。
域部署级别包括：
-
一个域级别：全局 - 如果不配置多租户，则所有设备、配置和事件属于全局域，其在此情景下也是一个枝叶域。除了域管理之外，系统会隐藏特定域配置和分析选项，直到您添加子域。
-
两个域级别：全局和第二级 - 在两个级别的多域部署中，全局域只有直接的后代域。例如，托管安全运营商 (MSSP) 可以使用单一 防火墙管理中心来管理多个客户的网络安全。
-
三个域级别：全局、第二级和第三级 - 在三个级别的多域部署中，全局域拥有多个子域，且至少其中一个子域又拥有其自己的子域。
两级域部署场景
在管理多个客户的 MSSP 两级多域部署中：
-
MSSP 的管理员可以登录全局域，无法查看或编辑客户的部署。他们必须登录到相应的二级命名子域，才能管理客户的部署。
-
每个客户的管理员都可以登录第二级已命名子域，以便只管理适用于其组织的设备、配置和事件。这些本地管理员无法查看或影响 MSSP 的其他客户的部署。
三级域部署场景
在 MSSP 客户希望单独管理边缘与内部网络设备的三级多域部署中：
-
登录到二级子域的客户的管理员无法查看或编辑客户的边缘网络部署。他们必须登录到相应的枝叶域，才能管理部署在网络边缘的设备。
-
客户边缘网络的管理员可以登录第三级（枝叶）域，以便只管理部署在网络边缘的设备，以及适用的配置和事件。同样，客户内部网络的管理员可以登录第三级域来管理内部设备、配置和事件。边缘和内部管理员无法查看彼此的部署。
 注 |
在使用多租户的 防火墙管理中心 中，SSO 配置允许将 SAML 用户分配到特定子域。此配置只能在全局域级别进行。 |
域术语
本文档在介绍域和多域部署时使用这些术语：
域术语定义：
-
全局域：在多域部署中，是指顶级域。如果不配置多租户，则所有设备、配置和事件都属于全局域。全局域中的管理员可以管理整个 Secure Firewall 系统部署。
-
子域：第二或第三级域。
-
二级域：全域的子域。第二级域可以是枝叶域，也可以具有子域。
-
第三级域：第二级域的子级。第三级域始终是枝叶域。
-
叶域：没有子域的域。每台设备都必须属于枝叶域。
-
后代域：从层次结构中的当前域下传的域。
-
子域：域的直接后代。
-
祖先域：当前域从其下传的域。
-
父域：域的直接祖先。
-
同级域：具有相同父级的域。
-
当前域：您现在登录的域。在 Web 界面的右上角，系统在您的用户名之前显示当前域的名称。除非您的用户角色受限，否则可以编辑当前域中的配置。
域属性
要修改域的属性，您必须在该域的父域中具有管理员访问权限。
每个域都有可配置的属性，用于控制其行为和资源分配：
-
名称和描述：每个域在其所属层次结构中必须拥有唯一的名称。说明是可选的。
-
父域：二级和三级域拥有父域。在创建域后，无法更改该域的父级。
-
设备：仅叶域可包含设备。换句话说，域可以包含子域或设备，但不能同时包含两者。不能保存由非枝叶域直接控制设备的部署。在域编辑器中，Web 界面根据可用和所选设备在域层次结构中的当前位置来显示它们。
-
主机限制：防火墙管理中心 可监控并存储在网络映射中的主机数量取决于设备型号。在多域部署中，枝叶域共享受监控主机的可用池，但拥有单独的网络映射。要确保每个枝叶域都可以填充其网络映射，可以在每个子域级别设置主机限制。如果将域的主机限制设置为 0，则域在通用池中共享。
设置主机限制对每个域级别有着不同的影响：
-
枝叶 - 对于枝叶域，主机限制仅是对枝叶域可以监控的主机数量进行简单限制。
-
第二级 - 对于用于管理第三级枝叶域的第二级域，主机限制表示枝叶域可以监控的主机总数。枝叶域共享可用主机池。
-
全局 - 对于全局域，主机限制等于 防火墙管理中心 可以监控的主机总数。您无法进行更改
子域的主机限制总和加起来可超过其父域的主机限制。例如，如果全局域主机限制为 150,000，则可以配置多个子域，每个子域的主机限制为 100,000。这些域中的任一个（但并非总共）可监控 100,000 台主机。
网络发现策略控制在您达到主机限制后检测到新主机时发生的情况；您可以丢弃新主机或替代非活动时间最长的主机。由于每个枝叶域具有各自的网络发现策略，因此在系统发现新主机时，每个枝叶域会监管各自的行为。
如果您降低某个域的主机限制，且其网络映射包含比新限制更多的主机，则系统会删除处于非活动状态时间最长的主机。
反馈