Domanda:
Perché non è possibile trovare i gruppi AD per i domini trusted durante una ricerca nella directory nei criteri di accesso?
Ambiente: Cisco Web Security Appliance (WSA), autenticazione NTLM, domini trusted
Sintomi:
- L'utente sta tentando di cercare un "Gruppo di Active Directory" da utilizzare come definizione del membro dei criteri in uno dei criteri di accesso e il gruppo non è visualizzato nella ricerca nella directory.
- Il gruppo appartiene a un dominio Active Directory trusted e non al dominio a cui è stato aggiunto WSA.
Questo comportamento è intenzionale. Durante la configurazione dei gruppi nei criteri di accesso, i gruppi dei domini trusted non verranno visualizzati nella ricerca nella directory.
In tutte le versioni AsyncOS, WSA è in grado di autenticare gli utenti di un dominio diverso e di far corrispondere i rispettivi gruppi AD se l'altro dominio ha un trust bidirezionale con il dominio aggiunto da WSA.
In uno scenario di questo tipo, è possibile aggiungere i gruppi del dominio trusted nei criteri di accesso eseguendo la procedura seguente:
- Selezionare GUI —> Web Security Manager —> Criteri di accesso —> <Nome criterio> —> Gruppi e utenti selezionati —> Gruppi
- Digitare manualmente il nome dell'intero gruppo, insieme al nome del dominio, nel campo 'Ricerca nelle directory'.
- Fare clic sul pulsante "Add"
- Fare clic su Fine, quindi su Invia e conferma le modifiche
Si noti che il WSA non corrisponderà ai gruppi configurati manualmente se l'altro dominio non ha una relazione di trust bidirezionale con il dominio aggiunto da WSA
Nota: In AsyncOS versione 7.7 e successive, WSA supporta più realm NTLM e per gli scenari in cui non esiste una relazione di trust tra i due domini, è possibile creare un nuovo realm NTLM per il secondo dominio. Con più realm NTLM, WSA può cercare gruppi da domini diversi all'interno dei criteri di accesso.
Feedback