Wie erstelle ich Zugriffsrichtliniengruppen, die mit Active Directory-Gruppen übereinstimmen?

Frage

Wie erstelle ich Zugriffsrichtliniengruppen, die mit Active Directory (AD)-Gruppen übereinstimmen?

Der erste Schritt besteht darin, einen Authentifizierungsbereich (NT LAN Manager (NTLM)) und eine Identität zu konfigurieren, die den Authentifizierungsbereich verwendet.

1. Erstellen Sie auf der Web Security Appliance (WSA) unter Netzwerk > Authentifizierung einen NTLM-Bereich.
2. Wenn Sie Ihren NTLM-Bereich konfiguriert haben, wählen Sie Websicherheits-Manager > Identitäten aus, und klicken Sie dann auf Identität hinzufügen.
3. Gehen Sie folgendermaßen vor, um eine Identität zu erstellen:
   1. Name: Auth.ID
   2. Oben einfügen: 1
   3. Mitglieder nach Authentifizierung definieren: <Name des NTLM-Bereichs>
   4. Schema: Basic oder NTLMSSP verwenden oder NTLMSSP verwenden
   5. Belassen Sie alle anderen Einstellungen als Standard.
      Wenn Sie die Authentifizierung mit ausgewählten Clients testen möchten, verwenden Sie Member nach Subnetz definieren und geben Sie die IP-Adresse des anfordernden Clients an. Auf diese Weise kann die WSA nur für diese ausgewählten Clients eine Authentifizierung anfordern.
   6. Klicken Sie auf Senden.

An diesem Punkt sollten Sie nur über zwei Identitäten verfügen, Auth.Id und Global Identity Policy, wobei die Authentifizierung bei Auth.Id Identity aktiviert ist.

Der nächste Schritt besteht darin, die Auth.Id-Identität zu verwenden und Zugriffsrichtlinien auf Basis dieser Identität zu erstellen. Sie können erforderliche AD-Gruppen oder -Benutzer in den Zugriffsrichtlinien angeben.
-------------------------------------------------------------------------------------

1. Wählen Sie GUI > Web Security Manager > Access Policies (GUI > Websicherheits-Manager > Zugriffsrichtlinien).
2. Klicken Sie auf Richtlinie hinzufügen.
3. Führen Sie die folgenden Schritte aus, um eine Zugriffsrichtlinie zu erstellen:
   1. Policy-Name: Sales.Policy
   2. Oben stehende Richtlinie einfügen: 1
   3. Identitätsrichtlinie: Auth.Id - Autorisierte Gruppen und Benutzer angeben
   4. Geben Sie die Gruppennamen manuell ein, oder klicken Sie auf Verzeichnis aktualisieren, um die Liste der in Ihrem AD vorhandenen Benutzer abzurufen. Klicken Sie nach Auswahl der Benutzer auf Hinzufügen.
   5. Klicken Sie abschließend auf Senden.

Wenn Sie eine weitere Zugriffsrichtlinie erstellen müssen, klicken Sie auf Add Policy (Richtlinie hinzufügen) und erstellen Sie eine weitere Zugriffsrichtlinie für die neue AD-Gruppe.

Sie sollten keine neuen Identitäten für denselben Authentifizierungsbereich erstellen. Verwenden Sie die vorhandene Identität (Auth.Id) erneut, und erstellen Sie neue Zugriffsrichtlinien für verschiedene AD-Gruppen, solange die Identität nicht an Proxyports, URL-Kategorien, Benutzer-Agents gebunden ist oder Mitglieder nach Subnetz definiert.

Bei mehreren Zugriffsrichtlinien, die verschiedene AD-Gruppen verwenden, sollte die Einrichtung wie folgt aussehen:
-------------------------------------------------------------------------------------

Identität

"Auth.ID"
"Globale Identitätsrichtlinie"

Zugriffsrichtlinie

"Sales.Policy" mit "Auth.Id"
"Support.Policy" mit "Auth.Id"
"Manager.Policy" mit "Auth.Id"
"Admin.Policy" mit "Auth.Id"
"Globale Richtlinie" mit "Alle"