管理中心的

管理中心包括用于 Web 和 CLI 访问的默认 管理员 账户。本章介绍如何创建自定义用户帐户。有关使用用户帐户登录管理中心的详细信息，请参阅登录到管理中心。

关于用户

您可以在托管设备上作为内部用户添加自定义用户账号，也可以作为 LDAP 或 RADIUS 服务器上的外部用户添加自定义用户账号。每个托管设备单独维护用户账号。例如，将某个用户添加到管理中心时，该用户只能访问管理中心；您不能使用该用户名直接登录受管设备。您必须单独在受管设备上添加用户。

内部和外部用户

托管设备支持两种用户类型：

内部用户 - 设备在本地数据库中检查用户。
外部用户 - 如果本地数据库中没有用户，则系统会查询外部 LDAP 或 RADIUS 身份验证服务器。

Web 接口和 CLI 访问

管理中心具有 Web 接口、CLI（可从控制台（串行端口或键盘和显示器）访问或使用 SSH 访问管理界面）和 Linux 外壳。有关管理 UI 的详细信息，请参阅Firepower 系统用户界面。

请参阅以下有关 FMC 用户类型及其可以访问的 UI 的信息：

管理员用户- 管理中心支持两种不同的内部 管理员 用户：一种用于 Web 接口，另一种用于 CLI 访问。系统初始化过程会同步这两个 管理员 账户的密码，因此它们开始时相同，但由不同的内部机制跟踪，并且在初始配置后可能会出现分歧。有关系统初始化的详细信息，请参阅您的型号的入门指南。（要更改 Web 接口 管理员密码，请使用系统（） > 用户 (Users) > 用户。要更改 CLI 管理员密码，请使用管理中心 CLI 命令 configure password 。）
内部用户 - 在 Web 界面中添加的内部用户仅具有 Web 接口访问权限。
外部用户 - 外部用户具有 Web 接口访问权限，您可以选择配置 CLI 访问权限。
SSO 用户 - SSO 用户仅具有 Web 接口访问权限。

小心	CLI 用户可以使用 expert 命令访问 Linux 外壳。强烈建议您不要使用 Linux 外壳，除非 Cisco TAC 或管理中心文档明确说明需要这样做。CLI 用户可以获得 Linux 外壳中的 `sudoers` 权限，带来安全风险。出于系统安全原因，我们强烈建议：限制具有 CLI 访问权限的用户列表。请勿在 Linux 外壳中直接添加用户；请仅使用本章中的这些程序。

用户角色

CLI 用户角色

管理中心上的 CLI 外部用户没有用户角色；他们可以使用所有可用命令。

Web 界面用户角色

用户权限以分配的用户角色为基础。例如，可以授予分析师预定义角色（如“安全分析师”和“发现管理员”），并为管理设备的安全管理员保留“管理员”角色。也可以创建具有根据贵组织需求定制的访问权限的自定义用户角色。

管理中心包括以下预定义的用户角色：

注	出于并发会话限制的目的，系统将其视为只读的预定义用户角色在系统（） > 用户 > 用户和系统（） > 用户 > 用户角色下的角色名称中标记为（只读）。如果用户角色的角色名称中不包含（只读）(Read Only) ，则系统认为该角色为读/写。有关并发会话限制的详细信息，请参阅用户配置。

访问管理员

提供对策略 (Policies) 菜单中访问控制策略和关联功能的访问权限。“访问管理员”(Access Admin) 无法部署策略。

管理员

“管理员”有权访问所有产品信息；其会话如果受攻击会有更高安全风险，因此不能使其免于登录会话超时。

出于安全原因，应限制“管理员”(Administrator) 角色的使用。

发现管理员

提供对策略 (Policies) 菜单中网络发现、应用检测和关联功能的访问权限。“发现管理员”(Discovery Admin) 无法部署策略。

外部数据库用户（只有读取权限）

使用支持 JDBC SSL 连接的应用对数据库提供只读访问权限。如果第三方应用要向应用进行身份验证，必须在系统设置中启用数据库访问权限。在 Web 界面上，“外部数据库用户”(External Database User) 仅有权访问帮助 (Help) 菜单中与联机帮助相关的选项。由于此角色的功能不涉及 Web 界面，因此提供访问只是为便于支持和密码更改。

入侵管理员 (Intrusion Admin)

提供对策略 (Policies) 和对象 (Objects) 中所有入侵策略、入侵规则和网络分析策略功能的访问权限。“入侵管理员”(Intrusion Admin) 无法部署策略。

维护用户

提供对监控和维护功能的访问权限。“维护用户”(Maintenance User) 有权访问运行状况 (Health) 和系统 (System) 菜单中与维护相关的选项。

网络管理员

提供对策略 (Policies) 菜单中访问控制、SSL 检查、DNS 策略和身份策略功能以及设备 (Devices) 菜单中设备配置功能的访问权限。“网络管理员”(Network Admin) 可对设备部署配置更改。

安全分析师

提供对概述 (Overview)、分析 (Analysis)、运行状况 (Health) 和系统 (System) 菜单中安全事件分析功能的访问权限，以及对其中运行状况事件的只读访问权限。

Security Analyst (Read Only)

提供对概述 (Overview)、分析 (Analysis)、运行状况 (Health) 和系统 (System) 菜单中安全事件分析功能和运行状况事件的只读访问权限。

具有此角色的用户还可以：

从特定设备的运行状况监控页面，生成并下载故障排除文件。
在用户首选项下，设置文件下载首选项。
在用户首选项下，设置事件视图的默认时间段（ 审核日志时间窗口除外）。

安全审批人

提供对策略 (Policies) 菜单中访问控制和关联策略以及网络发现策略的访问权限。“安全审批人”(Security Approver) 可以查看和部署这些策略，但不能进行策略更改。

威胁情报导向器 (TID) 用户

提供对情报菜单中威胁情报导向器配置的访问。威胁情报导向器 (TID) 用户可以查看和配置 TID。

用户密码

以下规则适用于管理中心上启用或禁用无人值守管理 (LOM) 的内部用户账户的密码。不同的密码要求适用于外部身份验证的账户或启用了安全认证合规性的系统。有关详细信息，请参阅为管理中心配置外部身份验证和安全认证合规性。

在管理中心初始配置期间，系统要求管理员用户设置账户密码，以满足下表中所述的强密码要求。对于物理管理中心，使用启用 LOM 的强密码要求；对于虚拟管理中心，使用未启用 LOM 的强密码要求。此时，系统会同步 Web 界面管理员 和 CLI 访问 管理员的密码。初始配置后，Web 界面管理员可以删除强密码要求，但 CLI 访问管理员必须始终遵守强密码要求，且未启用 LOM。


	未启用 LOM	已启用 LOM
密码强度检查开启	密码必须包含：至少八个字符，或管理员为用户配置的字符数，以较大者为准。连续的重复字符数不超过两个至少一个小写字母至少一个大写字母至少一位至少一个特殊字符，例如！@ # * - _ + 系统会将您的密码与密码破解词典进行比较，该词典不仅会检查许多英语词典单词，还会检查其他容易被常用密码破解技术破解的字符串。	密码必须包含：介于 8 到 20 个字符之间（在 MC 1000、MC 2500 和 MC 4500 上，上限为 14 个字符，而不是 20 个字符。）连续的重复字符数不超过两个至少一个小写字母至少一个大写字母至少一位至少一个特殊字符，例如！@ # * - _ + 不同系列的物理管理中心之间的特殊字符规则有所不同。我们建议您只选择上面最后一项中列出的特殊字符。请勿在密码中包含用户名。系统会将您的密码与密码破解词典进行比较，该词典不仅会检查许多英语词典单词，还会检查其他容易被常用密码破解技术破解的字符串。
密码强度检查关闭	密码必须包含管理员为用户配置的最小字符数。（有关详细信息，请参阅添加内部用户。）	密码必须包含：介于 8 到 20 个字符之间（在 MC 1000、MC 2500 和 MC 4500 上，上限为 14 个字符，而不是 20 个字符。）至少包含四种以下类别的字符：大写字母小写字母数字特殊字符，例如！@ # * - _ + 不同系列的物理管理中心之间的特殊字符规则有所不同。我们建议您只选择上面最后一项中列出的特殊字符。请勿在密码中包含用户名。

管理中心用户帐户的指南和限制

管理中心包括一个 管理员 用户用于所有形式的访问；您无法删除 管理员 用户。默认初始密码为 Admin123；系统会强制您在初始化过程中更改此设置。有关系统初始化的详细信息，请参阅您的型号的入门指南。
默认情况下，以下设置适用于管理中心上的所有用户账户：
- 重复使用密码方面没有限制。
- 系统不会跟踪成功登录。
- 系统不会为输入错误登录凭证的用户强制执行定时临时锁定。
- 对可以同时打开的只读和读/写会话的数量没有用户定义的限制。
您可以将所有用户的这些设置更改为系统配置。(系统（） > 配置 > 用户配置) 请参阅用户配置。
在初始设置时向用户分配默认访问角色时，请确保遵循最小权限原则。当用户首次使用其凭证登录系统时，他们的账户将被分配此默认访问角色。我们建议将默认访问角色设置为任何人登录系统所需的最低权限。例如，可以为常见用户提供“安全分析师（只读）”角色作为默认访问角色，并且可以将管理员添加到单独的管理员组以授予他们完全管理员权限。如果在分配默认访问角色时不遵循最小权限原则，则在后续登录时可能会为用户分配意外的权限级别。这可能会导致用户拥有超出其所需访问角色的权限。请注意，此准则适用于所有用户 - 内部、外部或 CAC 用户。

如果使用默认访问角色登录的用户需要临时提升其权限，则具有管理权限的用户可以通过为其分配具有更高权限的角色来临时为其提供所需的更高级别的访问权限。此权限将在 24 小时不活动后撤销，并且用户将返回其默认访问角色。

如果用户需要将永久访问角色重新分配到更高权限级别（例如系统管理员），请使用“组控制访问角色”方法为用户提供管理员访问权限。此方法可确保提供的访问角色持续超过 24 小时，并且用户将根据组分配具有正确的权限级别。有关配置组控制访问角色的详细信息，请参阅为管理中心添加 LDAP 外部身份验证对象部分。

FMC 用户帐户的必备条件和要求

型号支持

管理中心

支持的域

SSO 配置 - 仅全局。
所有其他功能 - 任意。

用户角色

SSO 配置 - 只有通过内部或通过 LDAP 或 RADIUS 进行身份验证的具有管理员角色的用户才能配置 SSO。
所有其他功能-具有管理员角色的任何用户。
使用 LDAP 配置通用访问卡身份验证还支持网络管理员角色。

添加内部用户

此程序介绍如何为管理中心的 Web 界面中添加自定义内部用户账号。

系统 (System) > 用户 (Users) > 用户 (Users) 显示您手动添加的内部用户，以及用户使用 LDAP 或 RADIUS 身份验证登录时自动添加的外部用户。对于外部用户，如果分配具有较高权限的角色，可以在此屏幕上修改用户角色；不能修改密码设置。

在管理中心上的多域部署中，用户仅在创建它们的域中可见。请注意，如果您在全局域中添加了一个用户，但为其分配了分叶域的用户角色，则该用户仍显示在添加其的全局用户页面，尽管该用户“属于”分叶域。

如果在设备上启用安全认证合规性或无人值守管理 (LOM)，则适用不同的密码限制。有关安全认证合规性的详细信息，请参阅安全认证合规性。

当您在分叶域中添加用户时，该用户在全局域中不可见。

注	避免让多个管理员用户同时在管理中心上创建新用户，因为这可能会因用户数据库访问冲突而导致错误。

过程

步骤 1	选择系统（） > 用户 (Users)。
步骤 2	点击创建用户。
步骤 3	输入用户名 (User Name)。用户名必须符合以下限制：最多 32 个字母数字字符，外加连字符 (-) 和下划线 (_)。字母可以是大写或小写。不能包含除句号 (.) 、连字符 (-)和下划线 (_)和以外的任何标点或特殊字符。
步骤 4	真实名称 (Real Name)：输入描述性信息，以标识账户所属的用户或部门。
步骤 5	对于使用 LDAP 或 RADIUS 登录时自动添加的用户，使用外部身份验证方法复选框已选中。无需预配置外部用户，因此您可以忽略此字段。对于外部用户，通过取消选中此复选框，可以将此用户恢复为内部用户。
步骤 6	在密码和确认密码字段中输入值。这些值必须符合您为此用户设置的密码选项。
步骤 7	设置最大失败登录次数。输入不含空格的整数，用于确定每个用户在登录尝试失败后且帐户锁定之前可以尝试的最大次数。默认设置为五次尝试；使用 `0` 可允许无限次的登录失败。除非已启用安全认证合规性，否则管理员帐户将在最大失败登录次数之后被免除锁定。
步骤 8	设置最大密码长度。输入不含空格的整数，用于确定用户密码的最小所需长度（以字符数为单位）。默认设置为 `8`。值为 `0` 指示无需最小长度。
步骤 9	设置密码到期前天数。输入用户密码到期之前经过的天数。默认设置为 `0`，指示密码永不过期。如果更改默认值，则用户列表的密码生存期列指示每个用户密码的剩余有效天数。
步骤 10	设置密码过期前警告天数。输入在用户密码实际到期之前警告用户必须更改其密码的警告天数。默认设置为 `0` 天。
步骤 11	设置用户选项。登录时强制密码重置 - 强制用户在下次登录时更改密码。检查密码强度 - 需要强密码。启用密码强度检查时，密码必须符合用户密码中所述的强密码要求。免除浏览器会话超时 - 免除用户的登录会话因不活动而终止。具有管理员角色的用户无法获得豁免。
步骤 12	在用户角色配置区域，分配用户角色。有关用户角色的详细信息，请参阅自定义 Web 界面的用户角色。对于外部用户，如果通过组或列表成员身份用户角色，则无法删除最低访问权限。但是，可以分配其他权限。如果用户角色是您在设备上设置的默认用户角色，则可以在用户帐户中不受限制地修改角色。修改用户角色时，用户选项卡上的身份验证方法列提供外部 - 本地修改的状态。显示的选项视设备在单域还是多域部署中而定。单域 - 查看要为用户分配的用户角色。多域 - 在多域部署中，可以在已为您分配管理员访问权限的任何域中创建用户账号。用户在每个域中可拥有不同的权限。可以同时分配祖先域和后代域中的用户角色。例如，可以在全局域中为用户分配只读权限，但在后代域中分配管理员权限。请参阅以下步骤：点击添加域。从域 (Domain) 下拉列表中选择域。选中要为用户分配的用户角色。单击保存。
步骤 13	（可选，仅适用于物理管理中心。）如果您为用户分配了管理员角色，系统将显示管理员选项 (Administrator Options) 。您可以选择允许无人值守管理访问 (Allow Lights-Out Management Access) 以向用户授予无人值守管理访问权限。有关无人值守管理的详细信息，请参阅无人值守管理概述。
步骤 14	点击保存 (Save)。

为管理中心配置外部身份验证

要启用外部身份验证，您需要添加一个或多个外部身份验证对象。

关于管理中心外部身份验证

在为管理用户启用外部身份验证时，管理中心会使用 外部身份验证对象中指定的 LDAP 或 RADIUS 服务器验证用户凭证。

您可以为 Web 界面访问配置多个外部身份验证对象。例如，如果您有 5 个外部身份验证对象，则其中任意对象的用户均可通过身份验证来访问 Web 界面。对于 CLI 访问，仅可使用一个外部身份验证对象。如果您启用了多个外部身份验证对象，用户仅可使用列表中的第一个对象进行身份验证。

管理中心和威胁防御设备可使用外部身份验证对象。不同应用/设备可共享同一个对象，也可以为它们创建不同的对象。

注	威胁防御和管理中心的超时范围不同，因此，如果共享对象，请确保不要超过威胁防御的较小超时范围（对于 LDAP 为 1-30 秒，对于 RADIUS 为 1-300 秒）。如果将超时设置为更高的值，则威胁防御外部身份验证配置将不起作用。

对于管理中心，请直接在系统 > 用户 > 外部身份验证选项卡上启用外部身份验证对象；此设置仅会影响管理中心的使用情况，无需在此选项卡上为了受管设备的使用而启用此设置。对于威胁防御设备，必须在部署到设备的平台设置中启用外部身份验证对象。

Web 界面用户由外部身份验证对象中的 CLI 用户单独定义。对于 RADIUS 上的 CLI 用户，您必须预配置外部身份验证对象中的 RADIUS 用户名列表。对于 LDAP，您可以指定过滤器来匹配 LDAP 服务器上的 CLI 用户。

您无法将同时配置用于 CAC 身份验证的 LDAP 对象用于 CLI 访问。

注	具有配置层级访问权限的用户可以使用 CLI expert 命令访问 Linux 外壳程序。Linux 外壳用户可以获得 root 权限，带来安全风险。确保：限制具有 CLI 或 Linux 外壳访问权限的用户列表。请勿创建 Linux 外壳用户。

关于 LDAP

通过轻量级目录访问协议 (LDAP)，可以在网络上设置一个目录，用于在一个集中位置组织对象，如用户凭证。然后，多个应用可以访问这些凭证和用于描述凭证的信息。如果需要更改用户凭证，则可以在一个位置进行更改。

Microsoft 已宣布 Active Directory 服务器将在 2020 年开始实施 LDAP 绑定和 LDAP 签名。Microsoft 将这些作为一项要求，因为在使用默认设置时，Microsoft Windows 中存在一个权限提升漏洞，该漏洞可能允许中间人攻击者将身份验证请求成功转发到 Windows LDAP 服务器。有关详细信息，请参阅 Microsoft 支持站点上的 Windows 2020 LDAP 通道绑定和 LDAP 签名要求。

如果您尚未执行此操作，我们建议您开始使用 TLS / SSL 加密对 Active Directory 服务器进行身份验证。

关于 RADIUS

远程身份验证拨入用户服务 (RADIUS) 是用于验证/授权和说明用户对网络资源的访问的一种身份验证协议。可以为符合 RFC 2865 的任何 RADIUS 服务器创建身份验证对象。

Firepower 设备支持使用 SecurID 令牌。使用 SecurID 通过服务器来配置身份验证时，利用该服务器进行身份验证的用户会将 SecurID 令牌追加到其 SecurID PIN 的末尾，并使用此代码作为其登录密码。在 Firepower 设备上无需配置任何其他信息来支持 SecurID。

添加管理中心的 LDAP 外部身份验证对象

添加 LDAP 服务器以支持外部用户执行设备管理。

在多域部署中，外部身份验证对象仅在创建对象的域中可用。

开始之前

您必须在设备上指定 DNS 服务器用于域名查找。即使您在此程序中为 LDAP 服务器指定了 IP 地址而非主机名，LDAP 服务器也可能返回可能包括主机名的身份验证 URI。解析主机名需要进行 DNS 查询。请参阅修改管理中心管理接口来添加 DNS 服务器。
如果是配置用于 CAC 身份验证的 LDAP 身份验证对象，请勿移除在计算机中插入的 CAC。启用用户证书后，必须一直插入 CAC。

过程

步骤 1

选择系统（系统齿轮图标） > 用户 (Users)。

步骤 2

点击 External Authentication 选项卡。

步骤 3

点击添加图标（）添加外部身份验证对象 (Add External Authentication Object)。

步骤 4

将身份验证方法设置为 LDAP 。

步骤 5

(可选) 如果计划将此身份验证对象用于 CAC 身份验证和授权，请勾选 CAC 的对应复选框。

此外，还必须遵循使用 LDAP 配置通用访问卡身份验证中的程序，才能完全配置 CAC 身份验证和授权。不能将此对象用于 CLI 用户。

步骤 6

输入名称和可选说明。

步骤 7

从下拉列表中选择服务器类型。

提示	如果点击设置默认值 (Set Defaults)，设备将使用服务器类型的默认值填充用户名模板 (User Name Template)、UI 访问属性 (UI Access Attribute)、CLI 访问属性 (CLI Access Attribute)、组成员属性 (Group Member Attribute) 和组成员 URL 属性 (Group Member URL Attribute) 字段。

步骤 8

对于主服务器，输入主机名/IP 地址。

如果是使用证书通过 TLS 或 SSL 进行连接，则证书中的主机名必须与此字段中使用的主机名匹配。此外，加密连接不支持 IPv6 地址。

步骤 9

(可选) 更改端口使用的默认值。

步骤 10

(可选) 输入备份服务器参数。

步骤 11

输入 LDAP 特定参数。

在基础 DN 中为要访问的 LDAP 目录输入基础 DN。例如，要对 Example 公司的 Security 组织中的名称进行身份验证，请输入 ou=security,dc=example,dc=com。或者，点击获取 DN (Fetch DNs)，然后从下拉列表中选择相应的基本可分辨名称。
(可选) 输入基本过滤器。例如，如果目录树中的用户对象具有 physicalDeliveryOfficeName 属性，并且 New York 办公室中的用户对于该属性具有属性值 NewYork，要仅检索 New York 办公室中的用户，请输入 (physicalDeliveryOfficeName=NewYork)。

如果使用 CAC 身份验证，要仅过滤活动用户账号（禁用的用户账号除外），请输入 (!(userAccountControl:1.2.840.113556.1.4.803:=2))。此条件检索 AD 中属于 ldpgrp 组且 userAccountControl 属性值不为 2 （已禁用）的用户账户。
为有足够凭证浏览 LDAP 服务器的用户输入用户名。例如，如果是连接到 OpenLDAP 服务器，其中用户对象具有 uid 属性，并且 Example 公司 Security 部门的管理员对象的 uid 值为 NetworkAdmin，则您可以输入 uid=NetworkAdmin,ou=security,dc=example,dc=com。
在密码和确认密码字段中输入用户密码。

(可选) 点击显示高级选项配置以下高级选项。

加密 (Encryption) - 点击无 (None)、TLS 或 SSL。

如果在指定端口后更改加密方法，则会将端口重置为该方法的默认值。对于无或 TLS，端口将重置为默认值 389。如果选择 SSL 加密，端口将重置为 636。

SSL 证书上传路径 (SSL Certificate Upload Path) - 对于 SSL 或 TLS 加密，必须通过点击选择文件 (Choose File) 选择一个证书。

如果之前已上传证书并要将其替换，请上传新证书并将该配置重新部署到设备，以复制转移新证书。

注	TLS 加密要求所有平台上均有证书。但我们建议您始终上传 SSL 证书以防中间人攻击。

用户名模板 - 提供与您的 UI 访问属性对应的模板。例如，要通过连接到 UI 访问属性为 uid 的 OpenLDAP 服务器来对 Example 公司的 Security 组织中工作的所有用户进行身份验证，可在用户名模板字段中输入 uid=%s,ou=security,dc=example,dc=com。对于 Microsoft Active Directory Server，可以输入 %s@security.example.com。

CAC 身份验证需要使用此字段。
外壳用户名模板 (Shell User Name Template) - 提供与您的 CLI 访问属性 (CLI Access Attribute) 对应的模板以进行 CLI 用户身份验证。例如，要通过连接到 CLI 访问属性为 sAMAccountName 的 OpenLDAP 服务器来对 Security 组织中工作的所有用户进行身份验证，可在外壳用户名模板 (Shell User Name Template) 字段中输入 %s 。

超时（秒）-输入滚动到备份连接之前等待的秒数（1-1024 秒）。默认值为 30。

注	威胁防御和管理中心的超时范围不同，因此，如果共享对象，请确保不要超过威胁防御的较小超时范围（1-30 秒）。如果将超时设置为更高的值，则威胁防御 LDAP 配置将不起作用。

步骤 12

配置属性映射 (Attribute Mapping) 以基于属性检索用户。

输入 UI 访问属性或点击获取属性，以检索可用属性的列表。例如，在 Microsoft 活动目录服务器上，可能要使用 UI 访问属性检索用户，因为在 Active 目录服务器用户对象上可能没有 uid 属性。相反，可以通过在 UI 访问属性 (UI Access Attribute) 字段中输入 userPrincipalName 来搜索 userPrincipalName 属性。

CAC 身份验证需要使用此字段。
如果要使用用户可分辨类型之外的外壳访问属性，请设置 CLI 访问属性 (CLI Access Attribute) 。例如，在 Microsoft 活动目录服务器上，通过键入 sAMAccountName 可使用 sAMAccountName CLI 访问属性来检索外壳访问用户。

步骤 13

(可选) 配置组控制的访问角色。

如果不使用组控制的访问角色配置用户权限，则用户仅具有外部身份验证策略默认授予的权限。

(可选) 在与用户角色对应的字段中，输入包含应向其分配这些角色的用户的 LDAP 组的可分辨名称。

引用的任何组都必须存在于 LDAP 服务器上。可以引用静态 LDAP 组或动态 LDAP 组。静态 LDAP 组是成员身份由指向特定用户的组对象属性确定的组，动态 LDAP 组是通过创建根据用户对象属性检索组用户的 LDAP 搜索来确定成员身份的组。角色的组访问权限仅影响身为组成员的用户。

如果使用动态组，则完全按照 LDAP 查询在 LDAP 服务器上的配置来使用 LDAP 查询。因此，Firepower 设备将搜索的递归数限制为 4，以防搜索语法错误导致无限循环。
示例:

在管理员字段中输入以下内容，以便对 Example 公司信息技术部门中的名称进行身份验证：
```
cn=itgroup,ou=groups, dc=example,dc=com
```
对于不属于任何指定组的用户，选择默认用户角色。
如果使用静态组，请输入组成员属性 (Group Member Attribute)。

示例:

如果使用 member 属性指示默认“安全分析师”访问权限静态组中的成员身份，请输入 member。
如果使用动态组，请输入组成员 URL 属性 (Group Member URL Attribute)。

示例:

如果 memberURL 属性包含用于检索为默认“管理员”访问权限指定的动态组成员的 LDAP 搜索，请输入 memberURL。

如果更改用户的角色，必须保存/部署更改的外部身份验证对象，并从用户屏幕中移除该用户。该用户下次登录时会自动被重新添加。

步骤 14

(可选) 设置 CLI 访问过滤器 (Shell Access Attribute) 以允许 CLI 用户。

为防止对 CLI 访问进行 LDAP 身份验证，请将此字段留空。要指定 CLI 用户，请选择以下方法之一：

要使用配置身份验证设置时指定的同一过滤器，请选中与基本过滤器相同复选框。
要根据属性值检索管理用户条目，请输入要用作过滤器的属性名、比较运算符和属性值（用括号括起来）。例如，如果所有网络管理员都具有属性值为 shell 的 manager 属性，则可以设置基本过滤器 (manager=shell)。

用户名必须对 Linux 有效：

最多 32 个字母数字字符，外加句号 (.)、连字符 (-) 和下划线 (_)
全部小写
不能以连字符 (-) 开头；不能全部是数字；不能包含 at 符号 (@) 或斜线 (/)

注	具有配置层级访问权限的用户可以使用 CLI expert 命令访问 Linux 外壳程序。Linux 外壳用户可以获得 root 权限，带来安全风险。请确保限制具有 CLI 或 Linux 外壳访问的用户列表。

注	请勿创建与包括在 CLI 访问过滤器 (CLI Access Filter) 中的用户具有相同用户名的任何内部用户。唯一的内部管理中心用户应为 admin；请勿在 CLI 访问过滤器 (CLI Access Filter) 中包含管理员用户。

步骤 15

(可选) 点击测试以测试与 LDAP 服务器的连接状况。

测试输出列出有效和无效的用户名。有效用户名是唯一的，并且可以包含下划线 (_)、句号 (.)、连字符 (-) 和字母数字字符。请注意，受 UI 页面大小限制，测试与具有 1000 个以上用户的服务器的连接仅会返回 1000 个用户。如果测试失败，请参阅LDAP 身份验证连接故障排除。

步骤 16

(可选) 此外，还可以输入其他测试参数来测试应可以执行身份验证的用户的用户凭证：输入用户名 uid 和密码，然后点击测试。

如果是连接到 Microsoft Active Directory Server 并提供 UI 访问属性来代替 uid，请使用该属性的值作为用户名。还可以为用户指定完全限定的可分辨名称。

提示	如果测试用户的名称或密码键入不正确，即使服务器配置正确，测试也会失败。要验证服务器配置是否正确，请点击测试，而无需首先在其他测试参数字段中输入用户信息。如果成功，请提供要通过特定用户进行测试的用户名和密码。

示例:

要测试是否可以在 Example 公司检索到 JSmith 用户凭证，请输入 JSmith 和正确的密码。

步骤 17

单击保存。

步骤 18

启用此服务器。请参阅为管理中心上的用户启用外部身份验证。

示例

基本示例

下图说明 Microsoft Active Directory Server 的 LDAP 登录身份验证对象的基本配置。此示例中的 LDAP 服务器的 IP 地址为 10.11.3.4。此连接使用端口 389 进行访问。

此示例显示对于示例公司的信息技术领域中的安全组织使用基本可分辨名称 OU=security,DC=it,DC=example,DC=com 的连接。

但是，由于此服务器是 Microsoft Active Directory 服务器，因此其使用 sAMAccountName 属性存储用户名而不是 uid 属性。选择 MS Active Directory 服务器类型并点击设置默认值 (Set Defaults) 会将“UI 访问属性”(UI Access Attribute) 设置为 sAMAccountName。因此，当用户尝试登录系统时，系统会检查各对象的 sAMAccountName 属性以查找匹配的用户名。

此外，当用户登录到设备上的 CLI 账户中时， sAMAccountName 的 CLI会导致检查目录中所有对象的 sAMAccountName 属性以查找匹配项。

请注意，由于未对此服务器应用基本过滤器，因此系统会检查目录中基本可分辨名称所指示的所有对象的属性。经过默认时间段（或 LDAP 服务器上设置的超时期）后，与服务器的连接将超时。

高级示例

此示例说明 Microsoft Active Directory Server 的 LDAP 登录身份验证对象的高级配置。此示例中的 LDAP 服务器的 IP 地址为 10.11.3.4。此连接使用端口 636 进行访问。

此示例显示对于示例公司的信息技术领域中的安全组织使用基本可分辨名称 OU=security,DC=it,DC=example,DC=com 的连接。但请注意，此服务器具有基本过滤器 (cn=*smith)。该过滤器将从服务器检索到的用户限制为公用名称以 smith 结尾的用户。

与服务器的连接使用 SSL 进行加密，并且会为该连接使用一个名为 certificate.pem 的证书。此外，由于超时（秒）设置，与服务器的连接在 60 秒后将超时。

由于此服务器是 Microsoft Active Directory 服务器，因此其使用 sAMAccountName 属性存储用户名而不是 uid 属性。请注意，配置包括 sAMAccountName的 UI 访问属性 (UI Access Attribute)。因此，当用户尝试登录系统时，系统会检查各对象的 sAMAccountName 属性以查找匹配的用户名。

此外，当用户登录到设备上的 CLI 账户中时， sAMAccountName 的 CLI 访问属性会导致检查目录中所有对象的 sAMAccountName 属性以查找匹配项。

此示例还具有相应的组设置。“维护用户”角色将被自动分配给具有成员组属性且基本域名为 CN=SFmaintenance,DC=it,DC=example,DC=com 的组的所有成员。

CLI 访问过滤器设置为与基本过滤器相同，因此相同用户可以通过 CLI 访问设备，如同通过 web 接口进行访问一样。

添加管理中心的 RADIUS 外部身份验证对象

添加 RADIUS 服务器以支持外部用户执行设备管理。

在多域部署中，外部身份验证对象仅在创建对象的域中可用。

过程

步骤 1

选择系统（系统齿轮图标） > 用户 (Users)。

步骤 2

点击外部身份验证 (External Authentication)。

步骤 3

点击添加图标（）添加外部身份验证对象。

步骤 4

将身份验证方法设置为 RADIUS。

步骤 5

输入名称和可选说明。

步骤 6

对于主服务器，输入主机名/IP 地址。

步骤 7

(可选) 更改端口使用的默认值。

步骤 8

输入 RADIUS 服务器密钥。

步骤 9

(可选) 输入备份服务器参数。

步骤 10

(可选) 输入 RADIUS 特定参数。

在超时中输入重试主服务器之前允许的秒数（介于 1 和 1024 之间）。默认值为 30。

注	威胁防御和管理中心的超时范围不同，因此，如果共享对象，请确保不要超过威胁防御的较小超时范围（1-300 秒）。如果将超时设置为更高的值，则威胁防御 RADIUS 配置将不起作用。

输入滚动到备份服务器之前允许的重试次数。默认值为 3。
在与用户角色对应的字段中，输入各用户的名称或确定应分配给这些角色的属性-值对。

将用户名和属性-值对以逗号分隔。

示例:

如果您知道所有本应为“安全分析师”的用户的 User-Category 属性值为 Analyst，则可以在安全分析师字段中输入 User-Category=Analyst，以将该角色授予这些用户。

示例:

要将“管理员”角色授予用户 jsmith 和 jdoe，请在管理员字段中输入 jsmith, jdoe。

示例:

要将“维护用户”角色授予 User-Category 值为 Maintenance 的所有用户，请在维护用户字段中输入 User-Category=Maintenance。
对于不属于任何指定组的用户，请选择默认用户角色。

如果更改用户的角色，必须保存/部署更改的外部身份验证对象，并从用户屏幕中移除该用户。该用户下次登录时会自动被重新添加。

步骤 11

(可选) 定义自定义 RADIUS 属性。

如果 RADIUS 服务器返回 /etc/radiusclient/ 中 dictionary 文件内不包含的属性值，并且您计划使用这些属性来设置具有这些属性的用户的角色，则需要定义这些属性。可以通过查看 RADIUS 服务器上的用户配置文件来查找为用户返回的属性。

输入属性名称。

定义属性时，请提供属性的名称，其中包含字母数字字符。请注意，属性名称中的单词应以破折号而不是空格进行分隔。
以整数形式输入属性 ID。

属性 ID 应为整数且不应与 etc/radiusclient/dictionary 文件中的任何现有属性 ID 冲突。
从下拉列表中选择属性类型。

还请指定属性的类型：字符串、IP 地址、整数或日期。
点击添加以添加自定义属性。

在创建 RADIUS 身份验证对象时，系统会在设备上的 /var/sf/userauth 目录中创建该对象的新目录文件。添加的所有自定义属性都会添加到字典文件。

示例:

如果在含有思科路由器的网络上使用 RADIUS 服务器，则可能要使用 Ascend-Assign-IP-Pool 属性向从特定 IP 地址池登录的所有用户授予特定角色。Ascend-Assign-IP-Pool 是一个整数属性，用于定义允许用户登录的地址池，其中整数指示已分配的 IP 地址池的编号。

要声明自定义属性，请创建一个自定义属性，使其属性名称为 Ascend-IP-Pool-Definition，属性 ID 为 218，并且属性类型为 integer。

然后，可以在安全分析（只读）(Security Analyst [Read Only]) 字段中输入 Ascend-Assign-IP-Pool=2，将只读安全分析师权限授予 Ascend-IP-Pool-Definition 属性值为 2 的所有用户。

步骤 12

(可选) 在 CLI 访问过滤器区域管理员 CLI 用户列表字段中，输入应具有外壳访问权限的用户名并以逗号分隔。

请确保这些用户名匹配 RADIUS 服务器上的用户名。名称必须是 Linux 有效的用户名：

最多 32 个字母数字字符，外加句号 (.)、连字符 (-) 和下划线 (_)
全部小写
不能以连字符 (-) 开头；不能全部是数字；不能包含 at 符号 (@) 或斜线 (/)

为防止对 CLI 访问进行 RADIUS 身份验证，请将此字段留空。

注	具有配置层级访问权限的用户可以使用 CLI expert 命令访问 Linux 外壳程序。Linux 外壳用户可以获得 root 权限，带来安全风险。请确保限制具有 CLI 或 Linux 外壳访问的用户列表。

注	删除与包括在外壳访问过滤器中的用户具有相同用户名的任何内部用户。对于管理中心，唯一的内部 CLI 用户是管理员，因此请勿同时创建管理员外部用户。

步骤 13

(可选) 点击测试以测试与 RADIUS 服务器的管理中心连接。

步骤 14

(可选) 此外，还可以输入其他测试参数来测试应可以执行身份验证的用户的用户凭证：输入用户名和密码，然后点击测试。

提示	如果测试用户的名称或密码键入不正确，即使服务器配置正确，测试也会失败。要验证服务器配置是否正确，请点击测试，而无需首先在其他测试参数字段中输入用户信息。如果成功，请提供要通过特定用户进行测试的用户名和密码。

示例:

要测试是否可以在 Example 公司检索到 JSmith 用户凭证，请输入 JSmith 和正确的密码。

步骤 15

单击保存。

步骤 16

启用此服务器。请参阅为管理中心上的用户启用外部身份验证。

示例

简单的用户角色指定

下图说明端口 1812 上 IP 地址为 10.10.10.98 的运行 Cisco Identity Services Engine (ISE) 的服务器的示例 RADIUS 登录身份验证对象。未定义备份服务器。

以下示例显示 RADIUS 特定参数，包括超时（30 秒）和 Firepower 系统尝试联系备份服务器（如有）之前的失败重试次数。

此示例说明 RADIUS 用户角色配置的重要方面：

授予用户 ewharton 和 gsand Web 界面管理权限。

授予用户 cbronte Web 界面“维护用户”权限。

授予用户 jausten Web 界面“安全分析师”权限。

用户 ewharton 可以使用 CLI 帐户登录到设备中。

下图说明示例的角色配置：

匹配属性-值对的用户角色

可以使用属性-值对识别应接收特定用户角色的用户。如果使用的属性是自定义属性，必须定义该自定义属性。

下图说明与前一示例中相同的 ISE 服务器的示例 RADIUS 登录身份验证对象中的角色配置和自定义属性定义。

但是，在此示例中，由于正在使用 Microsoft 远程访问服务器，因此为一个或多个用户返回了 MS-RAS-Version 自定义属性。请注意，MS-RAS-Version 自定义属性为字符串。在此示例中，通过 Microsoft v. 5.00 远程访问服务器登录 RADIUS 的所有用户都应得到“安全分析师（只读）”(Security Analyst [Read Only]) 角色，因此请在安全分析师（只读）(Security Analyst [Read Only] 字段中输入属性-值对 MS-RAS-Version=MSRASV5.00。

为管理中心上的用户启用外部身份验证

在为管理用户启用外部身份验证时，管理中心会使用外部身份验证对象中指定的 LDAP 或 RADIUS 服务器验证用户凭证。

开始之前

根据添加管理中心的 LDAP 外部身份验证对象和添加管理中心的 RADIUS 外部身份验证对象中所述，添加一个或多个外部身份验证对象。

过程

步骤 1

选择系统（系统齿轮图标） > 用户 (Users)。

步骤 2

点击外部身份验证 (External Authentication)。

步骤 3

为外部 Web 界面用户设置默认用户角色。

没有角色的用户无法执行任何操作。外部身份验证对象中定义的任何用户角色将覆盖此默认用户角色。

点击默认用户角色值（默认为未选定）。

在默认用户角色配置对话框中，选中要使用的角色。
单击保存。

步骤 4

点击要使用的每个外部身份验证对象旁边的滑块已启用（）。如果启用多个对象，系统会按指定顺序参照服务器比较用户。请参阅后续步骤对服务器重新排序。

如果启用外壳身份验证，则必须启用包括CLI 访问过滤器 (CLI Access Filter) 的外部身份验证对象。另外，CLI 访问用户只能参照其身份验证对象在列表中排在第一位的服务器进行身份验证。

步骤 5

(可选) 拖放服务器可更改出现身份验证请求时访问身份验证的顺序。

步骤 6

如果要允许外部用户执行 CLI 访问，请选择外壳身份验证 (Shell Authentication) > 已启用 (Enabled) 。

注	CLI 中不支持多域功能。因此，外壳身份验证选项仅在全局域中可用，在子域中不可用。

第一个外部身份验证对象名称显示在已启用 (Enabled) 选项旁边，提醒您只有第一个对象用于 CLI。

步骤 7

点击保存并应用。

使用 LDAP 配置通用访问卡身份验证

如果您的组织使用通用访问卡 (CAC)，您可以配置 LDAP 身份验证来验证登录 Web 接口的管理中心用户。使用 CAC 身份验证，用户可以选择直接登录，而不用为设备提供单独的用户名和密码。

CAC 身份验证用户通过其电子数据交换个人标识符 (EDIPI) 号码进行识别。

在非活动状态持续 24 小时之后，设备会删除用户选项卡中的 CAC 身份验证用户。每次后续登录后系统会重新添加用户，但必须重新配置对其用户角色的任何手动更改。

小心

使用 LDAP 配置 CAC 身份验证时，请确保在向用户分配默认访问角色时遵循最小权限原则。当用户首次使用其 CAC 凭证登录系统时，将为其账户分配此默认访问角色。

如果在分配默认访问角色时不遵循最小权限原则，则在后续登录时可能会为用户分配意外的权限级别。这可能会导致用户拥有超出其所需访问角色的权限。

如果使用默认访问角色登录的用户需要临时提升其权限，则具有管理权限的用户可以通过为其分配具有更高权限的角色来临时为其提供所需的更高级别的访问权限。此权限将在 24 小时不活动后撤销，并且用户将返回其默认访问角色。

如果用户需要将永久访问角色重新分配到更高权限级别（例如系统管理员），请使用组控制访问角色方法为用户提供管理员访问权限。此方法可确保提供的访问角色持续超过 24 小时，并且用户将根据组分配具有正确的权限级别。有关配置组控制访问角色的详细信息，请参阅为管理中心添加 LDAP 外部身份验证对象部分。

开始之前

您必须在浏览器中具有有效的用户证书（在这种情况下，即通过您的 CAC 传递至您的浏览器的证书），才能在 CAC 配置流程中启用用户证书。配置 CAC 身份验证和授权之后，网络上的用户必须在其浏览会话的持续时间内维持 CAC 连接。如果在会话期间移除或替换 CAC，则网络浏览器会终止该会话，并且系统会注销网络界面。

过程

步骤 1	按照您的组织的指示插入 CAC。
步骤 2	将浏览器定向到 https://ipaddress_or_hostname/，其中 ipaddress 或 hostname 对应您的设备。
步骤 3	如有提示，请输入与步骤 1 中插入的 CAC 关联的 PIN。
步骤 4	如有提示，请从下拉列表中选择相应的证书。
步骤 5	在“登录”(Login) 页面的用户名 (Username) 和密码 (Password) 字段中，以具备管理员权限的用户身份登录。您还不能使用 CAC 凭证登录。
步骤 6	依次选择系统 > 用户 > 外部身份验证。
步骤 7	遵循添加管理中心的 LDAP 外部身份验证对象中的程序，专门为 CAC 创建一个 LDAP 身份验证对象。必须配置以下内容： CAC 复选框。 LDAP 特定参数 > 显示高级选项 > 用户名模板。属性映射 > UI 访问属性。
步骤 8	单击保存。
步骤 9	启用外部身份验证和 CAC 身份验证，如为管理中心上的用户启用外部身份验证所述。
步骤 10	选择系统（） > 配置，然后点击 HTTPS 证书。
步骤 11	如有必要，请遵循导入 HTTPS 服务器证书中概括的过程导入 HTTPS 服务器证书。您计划使用的 HTTPS 服务器证书和 CAC 用户证书必须由同一个证书颁发机构 (CA) 签发。
步骤 12	在 HTTPS 客户端证书设置 (HTTPS Client Certificate Settings) 下，选择启用客户端证书 (Enable Client Certificates)。有关详细信息，请参阅需要有效的 HTTPS 客户端证书。
步骤 13	根据使用 CAC 凭证登录 Cisco Secure Firewall Management Center登录设备。

配置 SAML 单点登录

您可以将管理中心配置为使用单点登录，即中央身份提供程序 (IdP) 为登录管理中心的用户以及组织内的其他应用提供身份验证和授权的系统。配置为参与此类 SSO 安排的应用称为联合服务提供商应用。SSO 用户只需登录一次即可访问属于同一联盟的所有服务提供商应用。

关于 SAML 单点登录

为 SSO 配置的管理中心在登录页面上显示单点登录链接。配置为进行 SSO 访问的用户点击此链接，将被重定向到 IdP 进行身份验证和授权，而不是在管理中心登录页面上提供用户名和密码。IdP 成功通过身份验证后，SSO 用户将被重定向回管理中心 Web 界面并登录。管理中心与 IdP 之间的所有通信都是通过浏览器作为中介来完成的；因此，管理中心不需要网络连接即可直接访问身份提供程序。

管理中心支持使用符合用于身份验证和授权的安全断言标记语言 (SAML) 2.0 开放标准的任何 SSO 提供程序。

Note

管理中心无法签署 SAML 身份验证请求消息。因此，如果 IdP 要求服务提供商对身份验证请求进行签名，则管理中心上的 SSO 将失败。

管理中心 Web 界面为以下 SSO 提供程序提供配置选项：

Okta
OneLogin
Azure
面向客户云解决方案的 PingID 的 PingOne
其他

Note

Cisco Secure Sign On SSO 产品不会将管理中心识别为预先集成的服务提供商。

管理中心的 SSO 指南

将管理中心配置为 SSO 联合的成员时，请记住以下几点：

管理中心一次只能支持一个 SSO 提供程序，例如，您不能将管理中心配置为同时使用 Okta 和 OneLogin 进行 SSO。
高可用性配置中的管理中心可以支持 SSO，但必须牢记以下注意事项：
- 高可用性对的成员之间未同步 SSO 配置；您必须在 SSO 对的每个成员上单独配置 SSO。
- 高可用性对中的两个管理中心必须使用相同的 IdP 进行 SSO。您必须在 IdP 上为每个管理中心配置的 SSO 配置服务提供商应用。
- 在均配置为支持 SSO 的管理中心高可用性对中，在用户首次使用 SSO 访问辅助管理中心之前，该用户必须首先使用 SSO 至少登录一次主管理中心。
- 为高可用性对中的管理中心配置 SSO 时：
  - 如果在主管理中心上配置 SSO，则不需要在辅助管理中心上配置 SSO。
  - 如果在辅助管理中心上配置 SSO，则还需要在主管理中心上配置 SSO。（这是因为 SSO 用户必须在登录辅助管理中心之前至少登录一次主管理中心。）
在使用多租户的管理中心中，SSO 配置只能在全局域级别应用，并且适用于全局域和所有子域。
只有通过内部或通过 LDAP 或 RADIUS 进行身份验证的具有管理员角色的用户才能配置 SSO。
管理中心不支持从 IdP 发起的 SSO。
管理中心不支持使用 SSO 账户的 CAC 凭证登录。
请勿使用 CC 模式在部署中配置 SSO。
SSO 活动记录在管理中心审核日志中，并在子系统字段中指定登录或注销。

SSO 用户账户

身份提供程序可以直接支持用户和组配置，也可以从其他用户管理应用（例如 Active Directory、RADIUS 或 LDAP）导入用户和组。本文档重点介绍如何配置管理中心与 IdP 配合使用，以支持 SSO（假设已建立 IdP 用户和组）；要配置 IdP 以支持来自其他用户管理应用的用户和组，请参阅 IdP 供应商文档。

SSO 用户的大多数账户特征（包括用户名和密码）都是在 IdP 上建立的。在这些账户首次登录之前，这些账户不会显示在管理中心 Web 接口用户页面上。

Note

系统要求 SSO 帐户的用户名以及 IdP 在 SAML 登录过程中发送给管理中心的 NameID 属性都必须是有效的邮箱地址。许多 IdP 会自动使用尝试登录的用户的用户名作为 NameID 属性，但您应确认您的 IdP 是否是这种情况。在 IdP 处配置服务提供商应用以及创建将被授予对管理中心的 SSO 访问权限的 IdP 用户帐户时，请记住这一点。

可以从管理中心 Web 接口的系统（系统齿轮图标） > 系统 > 编辑用户下配置 SSO 用户的以下账户特征：

实际名称
豁免浏览器会话超时

SSO 用户的用户角色映射

默认情况下，系统会为所有被授予 SSO 访问管理中心权限的用户分配安全分析师（只读）角色。您可以更改此默认值，也可以为具有 用户角色映射的特定 SSO 用户或组覆盖此默认值。建立并成功测试管理中心 SSO 配置后，您可以配置用户角色映射，以建立 SSO 用户在登录时分配的管理中心用户角色。

用户角色映射需要将管理中心上的配置设置与 SSO IdP 应用上的设置进行协调。可以将用户角色分配给 IdP 应用中定义的用户或组。用户可能是组的成员，也可能不是，并且用户或组定义可能会或可能不会从组织内的其他用户管理系统（例如 Active Directory）导入到 IdP。因此，要有效配置管理中心 SSO 用户角色映射，您必须熟悉 SSO 联合的组织方式，以及如何在 SSO IdP 应用中分配用户、组及其角色。本文档重点介绍如何配置管理中心与 IdP 配合使用的用户角色映射；要在 IdP 中创建用户或组，或者从用户管理应用将用户或组导入 IdP，请参阅 IdP 供应商文档。

在用户角色映射中，IdP 维护管理中心服务提供商应用的角色属性，并且每个用户或组都配置管理中心有角色属性的字符串或表达式（每个 IdP 的属性值要求不同）。在管理中心该角色属性的名称是 SSO 配置的一部分。管理中心 SSO 配置还包含分配给管理中心用户角色列表的表达式列表。当用户使用 SSO 登录管理中心时，管理中心会将该用户（或该用户的组，具体取决于配置）的角色属性值与每个管理中心用户角色的表达式进行比较。管理中心为用户分配表达式与用户提供的属性值匹配的所有角色。

Note

您可以根据个人用户权限或组权限配置要映射的管理中心角色，但单个管理中心应用不能同时支持组和个人用户的角色映射。

在管理中心启用单点登录

Before you begin

在 SAML SSO 管理应用中，为管理中心配置服务提供商应用，并将用户或组分配给服务提供商应用：
- 要为 Okta 配置管理中心服务提供商应用，请参阅为 Okta 配置管理中心服务提供商应用。
- 要为 OneLogin 配置管理中心服务提供商应用，请参阅为 OneLogin 配置管理中心服务提供商应用。
- 要为 Azure 配置管理中心服务提供商应用，请参阅为 Azure 配置管理中心服务提供商应用。
- 要为 PingID 的 PingOne 客户云解决方案配置管理中心服务提供商应用，请参阅为客户配置 PingID PingOne 的管理中心服务提供商应用。
- 要为任何符合 SAML 2.0 的 SSO 提供程序配置管理中心服务提供程序应用，请参阅为任何 SAML 2.0 兼容的 SSO 提供程序配置 FMC 服务提供程序应用。

Procedure

Step 1	选择系统（） > 用户 > 单点登录。
Step 2	点击单点登录 (SSO) 配置滑块以启用 SSO。
Step 3	点击配置 SSO (Configure SSO) 按钮。
Step 4	在选择防火墙管理中心 SAML 提供程序对话框中，点击所选 SSO IdP 的单选按钮，然后点击下一步。

What to do next

继续执行适合您选择的 SSO 提供商的说明：

为 Okta SSO 配置管理中心；请参阅为 Okta SSO 配置管理中心。
使用 PingID 的 PingOne 客户云解决方案为 SSO 配置管理中心；请参阅为客户使用 PingID PingOne 为 SSO 配置管理中心。
为 Azure SSO 配置管理中心；请参阅为 Azure SSO 配置管理中心。
为 OneLogin SSO 配置管理中心；请参阅为 OneLogin SSO 配置管理中心。
使用任何符合 SAML 2.0 的提供程序为 SSO 配置管理中心；请参阅为使用任何 SAML 2.0 兼容 SSO 提供程序的 SSO 配置管理中心。

通过 Okta 配置单点登录

请参阅以下任务以使用 Okta 配置 SSO：


	Okta UI 管理控制台	查看 Okta 组织
	Okta UI 管理控制台	为 Okta 配置管理中心服务提供商应用
	管理中心	在管理中心启用单点登录
	管理中心	为 Okta SSO 配置管理中心
	管理中心	在管理中心上为 Okta 配置用户角色映射
	Okta UI 管理控制台	在 Okta IdP 上配置用户角色映射

查看 Okta 组织

在 Okta 中，包含用户可以使用同一 SSO 账户访问的所有联合设备和应用的实体称为组织。在将管理中心添加到 Okta 组织之前，请熟悉其配置；思考以下问题：

有多少用户可以访问管理中心？
Okta 组织中的用户是否是组的成员？
用户和组定义是 Okta 本地的还是从用户管理应用（例如 Active Directory、RADIUS 或 LDAP）导入的？
您是否需要将更多用户或组添加到 Okta 组织以支持管理中心上的 SSO？
您要分配哪种类型的用户角色？（如果您选择不分配用户角色，管理中心会自动为所有 SSO 用户分配可配置的默认用户角色。）
必须如何组织 Okta 组织内的用户和组，以支持所需的用户角色映射？

请记住，您可以根据个人用户权限或组权限配置要映射的管理中心角色，但单个管理中心应用不能同时支持组和个人用户的角色映射。

本文档假设您已经熟悉 Okta 经典 UI 管理控制台，并且拥有可以执行需要超级管理员权限的配置功能的账户。如果您需要更多信息，请参阅 Okta 的在线文档。

为 Okta 配置管理中心服务提供商应用

使用 Okta 经典 UI 管理控制台中的这些说明在 Okta 中创建管理中心服务提供商应用，并将用户或组分配给该应用。您应该熟悉 SAML SSO 概念和 Okta 管理控制台。本文档并未介绍建立功能齐全的 SSO 组织所需的所有 Okta 功能；例如，要创建用户和组，或从其他用户管理应用导入用户和组定义，请参阅 Okta 文档。

Note

如果您计划将用户组分配给管理中心应用，则不要将这些组中的用户作为个人进行分配。

Note

管理中心不能支持使用多个 SSO 属性的角色映射；您必须选择用户角色映射或组角色映射，并配置单个属性以将用户角色信息从 OneLogin 传送到管理中心。