Warum kann ich bei einer Verzeichnissuche in Zugriffsrichtlinien keine AD-Gruppen für vertrauenswürdige Domänen finden?

Frage:

Warum kann ich bei einer Verzeichnissuche in Zugriffsrichtlinien keine AD-Gruppen für vertrauenswürdige Domänen finden?

Umgebung: Cisco Web Security Appliance (WSA), NTLM-Authentifizierung, Trusted Domains

Symptome:

• Der Benutzer versucht, eine "Active Directory-Gruppe" zu suchen, die als Policy Member Definition in einer seiner Zugriffsrichtlinien verwendet wird, und die Gruppe wird nicht in der Verzeichnissuche angezeigt.
• Die Gruppe gehört zu einer vertrauenswürdigen AD-Domäne und nicht zu der Domäne, der die WSA beigetreten ist.

Dieses Verhalten ist von Absicht. Bei der Konfiguration von Gruppen in Zugriffsrichtlinien werden die Gruppen aus vertrauenswürdigen Domänen nicht in der Verzeichnissuche angezeigt.

Bei allen AsyncOS-Versionen kann die WSA Benutzer aus einer anderen Domäne authentifizieren und ihre jeweiligen AD-Gruppen zuordnen, wenn die andere Domäne eine bidirektionale Vertrauensstellung mit der Domäne hat, der die WSA beigetreten ist.

In einem solchen Szenario können Sie die Gruppen aus der vertrauenswürdigen Domäne mithilfe der folgenden Schritte in die Zugriffsrichtlinien einfügen:

1. Navigieren Sie zu GUI —> Web Security Manager —> Zugriffsrichtlinien —> <Policy Name> —> Ausgewählte Gruppen und Benutzer —> Gruppen
2. Geben Sie manuell den gesamten Gruppennamen zusammen mit dem Domänennamen in das Feld "Verzeichnissuche" ein.
3. Klicken Sie auf die Schaltfläche "Hinzufügen"
4. Klicken Sie auf "Fertig", und senden Sie die Änderungen, und bestätigen Sie sie.

Beachten Sie, dass die WSA nicht mit den manuell konfigurierten Gruppen übereinstimmt, wenn die andere Domäne keine bidirektionale Vertrauensstellung mit der Domäne hat, zu der die WSA gehört.

Anmerkung: Auf AsyncOS 7.7 und höher unterstützt WSA mehrere NTLM-Bereiche, und für Szenarien, in denen keine Vertrauensbeziehung zwischen den beiden Domänen besteht, können wir einen neuen NTLM-Bereich für die zweite Domäne erstellen. Bei mehreren NTLM-Bereichen kann die WSA innerhalb der Zugriffsrichtlinien Gruppen aus verschiedenen Domänen suchen.