用户身份管理

如果移动设备的安全漏洞越来越多,并且移动设备的普及日益增加,则需要确保使用外部 Internet 符合企业策略,并且只有获得授权的用户才可以访问由以下各项预配的外部资源企业人员。身份管理可以通过验证个人或设备的身份来实现这一点。它不确定个人可以执行哪些任务或个人可以看到哪些文件。

SSL 转发代理部署在允许访问 Internet 之前识别用户。检查用户的所有请求和响应。将记录用户活动,并将记录导出到 Citrix Application Delivery Management (ADM) 以进行报告。在 Citrix ADM 中,可以查看与用户活动、事务和带宽占用量有关的统计信息。

默认情况下,只保存用户的 IP 地址,但您可以将功能配置为记录有关用户的更多详细信息,并使用此身份信息为特定用户创建更丰富的 Internet 使用策略。

Citrix ADC 设备支持以下身份验证模式进行显式代理配置。

  • 轻型目录访问协议 (LDAP)。通过外部 LDAP 身份验证服务器对用户进行身份验证。有关详细信息,请参阅LDAP 身份验证策略
  • 半径。通过外部 RADIUS 服务器对用户进行身份验证。有关详细信息,请参阅RADIUS 身份验证策略
  • 技术合作方案 +。通过外部端点访问控制器访问控制系统 (TACCS) 身份验证服务器对用户进行身份验证。有关详细信息,请参阅身份验证策略
  • 谈判。通过 Kerberos 身份验证服务器对用户进行身份验证。如果 Kerberos 身份验证中出现错误,设备将使用 NTLM 身份验证。有关详细信息,请参阅协商身份验证策略

对于透明代理,当前仅支持基于 IP 的 LDAP 身份验证。收到客户端请求时,代理会通过检查活动目录中客户端 IP 地址的条目对用户进行身份验证,并根据用户 IP 地址创建会话。但是,如果您在 LDAP 操作中配置 SSoname属性,则会通过使用用户名而不是 IP 地址创建会话。透明代理设置中的身份验证不支持经典策略。

注意

对于显式代理,您必须将 LDAP 登录名设置为 同一帐户名称。对于透明代理,必须将 LDAP 登录名称设置为 networkAddress ,并将 attribute1 设置为 sAMAccountName

显式代理示例

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName sAMAccountName

透明代理的示例

add authentication ldapAction swg-auth-action-explicit -serverIP 10.105.157.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword freebsd123$ -ldapLoginName networkAddress -authentication disable -Attribute1 sAMAccountName

使用 CLI 设置用户身份验证

在命令提示符处键入:

add authentication vserver <vserver name> SSL

bind ssl vserver <vserver name> -certkeyName <certkey name>

add authentication ldapAction <action name> -serverIP <ip_addr> -ldapBase <string> -ldapBindDn <string> -ldapBindDnPassword -ldapLoginName <string>

add authentication Policy <policy name> -rule <expression> -action <string>

bind authentication vserver <vserver name> -policy <string> -priority <positive_integer>

set cs vserver <name> -authn401 ON -authnVsName <string>

参数

虚拟服务器名称

要绑定策略的身份验证虚拟服务器的名称。

最大长度:127

服务类型

身份验证虚拟服务器的协议类型。始终是 SSL。

可能的值:SSL

默认值:SSL

操作名称

新 LDAP 操作的名称。必须以字母、数字或下划线字符 (_) 开头,并且必须仅包含字母、数字和连字符 (-)、句点 (.) (#)、空格 ()、位于 (@)、equals (=)、冒号 (:) 和下划线字符。添加 LDAP 操作后无法更改。以下要求仅适用于 CLI:

如果名称包含一个或多个空格,请将名称括在双引号或单引号中(例如,“我的身份验证操作”或“我的身份验证操作”)。

最大长度:127

服务器 IP

分配给 LDAP 服务器的 IP 地址。

ldapBase:

从中开始 LDAP 搜索的基数(节点)。如果 LDAP 服务器在本地运行,则基础的默认值为 dc = 网络扩展器,DC=com。最大长度:127

ldapBindDn:

用于绑定到 LDAP 服务器的完整可分辨名称 (DN)。

默认值:CN = 管理器,DC= 网络扩展器,DC=com

最大长度:127

最低限度应用程序密码

用于绑定到 LDAP 服务器的密码。

最大长度:127

LDAPLOGO 名称

LDAP 登录名属性。Citrix ADC 设备使用 LDAP 登录名来查询外部 LDAP 服务器或活动目录。最大长度:127

策略名称

高级身份验证策略的名称。必须以字母、数字或下划线字符 (_) 开头,并且必须仅包含字母、数字和连字符 (-)、句点 (.) (#)、空格 ()、位于 (@)、equals (=)、冒号 (:) 和下划线字符。创建身份验证策略后无法更改。以下要求仅适用于 CLI:

如果名称包含一个或多个空格,请将名称用双引号或单引号括起来(例如,“我的身份验证策略”或“我的身份验证策略”)。

最大长度:127

规则

策略用于确定是否尝试使用身份验证服务器对用户进行身份验证的规则名称或默认语法表达式。

最大长度:1499

操作

策略匹配时要执行的身份验证操作的名称。

最大长度:127

优先权

指定策略优先级的正整数。较低的数字指定了较高的优先级。策略将按其优先级顺序进行评估,并应用与请求匹配的第一个策略。必须在绑定到身份验证虚拟服务器的策略列表中唯一。

最小值:0

最大值:4294967295

示例

add authentication vserver swg-auth-vs SSL

Done

bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey

Done

add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzz -ldapLoginName sAMAccountName

Done

add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit
Done

bind authentication vserver swg-auth-vs -policy swg-auth-policy -priority 1

Done

set cs vserver testswg -authn401 ON -authnVsName swg-auth-vs

Done

使用 CLI 启用用户名记录

在命令提示窗口中,键入:

set appflow param -AAAUserName ENABLED

参数

AAAAuuser名称

启用 AppFlow AAA 用户名记录。

可能的值:ENABLED, DISABLED

默认值: DISABLED

示例

set appflow param -AAAUserName ENABLED