文档简介：
配置AD域远程认证
云堡垒机与AD服务器对接，认证登录系统的用户身份，AD认证的模式包括认证模式和同步模式两种。
- 认证模式
在此模式下，云堡垒机不会同步AD域服务器上的用户信息，需要管理员手工创建用户。当用户登录云堡垒机时，将由AD域服务器提供认证服务。
- 同步模式
在此模式下，云堡垒机可以同步AD域服务器的用户信息，无需管理员新建用户。当用户登录云堡垒机时，由AD域服务器提供认证服务，详细配置操作请参见：同步AD域用户。
前提条件
用户已获取“系统”模块管理权限。
已获取AD服务器相关信息。
操作步骤
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。
配置远程认证
3 在“AD认证配置”区域，单击“添加”，弹出AD认证配置窗口。
4 选择AD域认证“模式”为“认证模式”，其他参数的配置如表6-8。
配置AD域认证模式
AD域认证模式参数说明
| 参数 | 说明 |
|---|---|
| 服务器地址 | 输入AD域服务器地址。 |
| 状态 |
选择开启或关闭AD域远程认证，默认开启。 开启表示开启AD域认证。在配置信息有效情况下，登录系统时启动AD域认证，或同步AD域用户。 关闭表示关闭AD域认证。 |
| SSL |
选择开启或关闭SSL加密认证，默认。 ，表示禁用SSL加密认证。 ，表示启用SSL加密认证，将加密同步用户或认证用户所传输的数据。 |
| 模式 | 选择“认证模式”。 |
| 端口 | AD域远程服务器的接入端口，默认389端口。 |
| 域 | 输入AD域的域名。 |
5 单击“确认”，返回AD域认证服务器表中，即可查看和管理的AD认证配置信息。
AD域认证
后续管理
-
若需查看配置的AD域认证信息，可单击“详情”，在弹出的AD域详情窗口查看。
-
若需修改认证信息、关闭认证、更换认证模式等，可单击“编辑”，在弹出的AD认证配置窗口重新配置。
-
若不再需要该AD认证，可单击“删除”，删除认证信息。删除后认证信息不能找回，请谨慎操作。
配置LDAP远程认证
云堡垒机与LDAP服务器对接，认证登录系统的用户身份。
本小节主要介绍如何配置LDAP域认证模式。
约束限制
- 不支持一键同步LDAP服务器用户。
- 不能添加两个相同的LDAP配置，即“服务器IP地址+端口+用户OU”不能相同。
前提条件
- 用户已获取“系统”模块管理权限。
- 已获取LDAP服务器相关信息。
操作步骤
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。
配置远程认证
3 单击“确定”，返回LDAP认证服务器表中，即可查看和管理的LDAP认证配置信息。
后续管理
-
若需查看配置的LADP认证信息，可单击“详情”，在弹出的LDAP详情窗口查看。
-
若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的LDAP配置窗口重新配置。
-
若不再需要该LDAP认证，可在单击“删除”，删除认证信息。删除后认证信息不能找回，请谨慎操作。
配置RADIUS远程认证
云堡垒机与RADIUS服务器对接，认证登录系统的用户身份。
本小节主要介绍如何配置RADIUS域认证模式，并可对配置的RADIUS认证进行用户有效性测试。
前提条件
- 用户已获取“系统”模块管理权限。
- 已获取RADIUS服务器相关信息。
操作步骤
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。
配置远程认证
3 在“RADIUS认证配置”区域，单击“编辑”，弹出RADIUS认证配置窗口。
配置RADIUS认证
RADIUS域认证模式参数说明
| 参数 | 说明 |
|---|---|
| 服务器地址 | 输入RADIUS服务器地址。 |
| 状态 |
选择开启或关闭RADIUS远程认证，默认开启。 开启表示开启RADIUS认证。在配置信息有效情况下，登录系统时启动RADIUS认证。 关闭表示关闭RADIUS认证。 |
| 端口 | 输入RADIUS远程服务器的接入端口，默认1812端口。 |
| 认证协议 | 选择远程认证协议，可选择“PAP”和“CHAP”。 |
| 认证共享密钥 | 输入RADIUS远程服务器的认证密钥。 |
| 认证超时 | 输入RADIUS远程认证超时时间。 |
| 用户名 | 输入RADIUS服务器上用户名，用于测试配置的RADIUS服务器信息是否正确。 |
| 密码 | 输入RADIUS服务器上用户密码，用于测试配置的RADIUS服务器信息是否正确。 |
| 测试 | 单击测试，用于测试配置的RADIUS服务器信息是否正确。 |
4 单击“确认”，返回RADIUS认证服务器表中，即可查看和管理的RADIUS认证配置信息。
后续管理
若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的RADIUS配置窗口重新配置。
配置Azure AD远程认证
云堡垒机与Azure AD平台对接，认证登录系统的用户身份。
本小节主要介绍如何配置Azure AD认证模式。
前提条件
- 用户已获取“系统”模块管理权限。
- 已在Azure AD创建用户和添加企业应用程序，并获取Azure AD平台配置的相关信息。
操作步骤
1 登录云堡垒机系统。
2 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。
配置远程认证
3 在“Azure AD认证配置”区域，单击“编辑”，弹出Azure AD认证配置窗口。
配置Azure AD认证
Azure AD域认证参数说明
| 参数 | 说明 |
|---|---|
| 状态 |
选择开启或关闭Azure AD远程认证，默认开启。 关闭表示开启Azure AD认证。在配置信息有效情况下，登录系统时呈现Azure AD认证入口。 开启表示关闭Azure AD认证。 |
| 标识符（实体ID） | 输入企业名称或URL。 |
| 回复URL |
自动填写，默认为返回当前云堡垒机的跳转链接。 当云堡垒机IP或域名变更，需同时修改此链接中IP或域名。 |
| 应用联合元数据URL | 输入在Microsoft Azure中配置SAML签名证书后生成的应用联合元数据URL。 |
| 登录URL | 输入在Microsoft Azure中配置SAML单一登录后生成的登录URL。 |
| Azure AD标识符 | 输入在Microsoft Azure中配置SAML单一登录后生成的Azure AD标识符。 |
4 单击“确认”，提交配置数据验证可达后，返回Azure AD认证服务器表中，即可查看和管理的Azure AD认证配置信息。
Azure AD认证
后续管理
- 若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的Azure AD配置窗口重新配置。
- 成功配置Azure AD认证后，您还需在系统创建已加入到企业应用程序或已在Azure平台创建的用户，更多配置说明请参见6.2.1 新建用户并授权用户角色。
USBKey管理
用户帐号需配置了“USBKey”多因子认证，才能为用户帐号签发USBKey。
签发授权USBkey前，需提前申购USBKey，并在本地安装对应的USBKey驱动。不同的厂商USBKey不能相互识别登录认证，用户根据申购的USBKey6.6 USBKey管理厂商。
世纪龙脉GM3000
前提条件
-
已申购USBKey。
-
已获取“用户”模块管理权限。
-
已获取“USBKey”模块管理权限。
签发USBKey
一个USBKey只能签发给一个用户使用。
1 登录云堡垒机系统。
2 选择“用户 > USBKey”，进入USBKey列表页面。
3 单击“签发”，新建签发USBKey。
新建签发USBKey
4 配置“关联用户”，选择已经开启USBKey多因子认证的用户。
签发USBKey
| 参数 | 说明 |
|---|---|
| USBKey | USBKey商品标识码。 |
| 关联用户 | 选择已配置“USBKey”多因子认证的用户帐号。 |
| PIN码 | USBKey厂商提供，与“USBKey”一一对应的唯一识别码。 |
5 单击“确定”，在USBKey列表查看已签发USBKey信息。
关联用户登录云堡垒机系统时，插入签发的USBKey到本地主机，登录界面会自动识别USBKey，选择对应的USBKey，并输入对应的PIN码，即可完成USBKey认证方式登录。
吊销USBKey
1 登录云堡垒机系统。
2 选择“用户 > USBKey”，进入USBKey列表页面。
3 单击“操作”列的“吊销”，可吊销该USBKey。
吊销单个USBKey
4 勾选多个USBKey，单击列表下方的“吊销”，可批量吊销USBKey。
批量吊销USBKey
动态令牌管理
用户帐号需配置了“动态令牌”多因子认证，才能为用户帐号签发动态令牌。
动态令牌需要提前申购。目前云堡垒机支持坚石诚信ETZ201型号，外观如图6-51。
坚石诚信ETZ201示例
前提条件
-
已申购硬件令牌。
-
已获取“用户”模块管理权限。
-
已获取“动态令牌”模块管理权限。
签发动态令牌
一个动态令牌只能签发给一个用户使用。
1 登录云堡垒机系统。
2 选择“用户 > 动态令牌”，进入动态令牌列表页面。
3 单击“签发”，新建签发令牌标识。
新建签发动态令牌
4 配置令牌标识信息。
签发动态令牌
| 参数 | 说明 |
|---|---|
| 令牌标识 | 动态令牌条形码。 |
| 秘钥 | 动态令牌的厂商提供，与“令牌标识”一一对应的唯一“密钥”。 |
| 关联用户 | 选择已配置“动态令牌”多因子认证的用户帐号。 |
5 单击“确定”，返回动态令牌列表，即可查看已签发令牌标识。
关联用户登录云堡垒机系统时，在登录界面输入用户登录名、用户密码，以及动态令牌上动态口令，即可完成动态令牌方式登录。
导入动态令牌
1 登录云堡垒机系统。
2 选择“用户 > 动态令牌”，进入动态令牌列表页面。
3 单击“导入”，弹出批量导入动态令牌窗口。
导入动态令牌
4 单击“点击下载”，下载模板文件到本地。
5 按照模板文件中的配置项说明，填写需导入的动态令牌配置信息。
6 单击“点击上传”，选择已配置的模板文件。
支持上传的文件类型包括CSV、xls、xlsx。
勾选“覆盖已有令牌”。
- 勾选：当密钥、关联用户重复时，将覆盖令牌标识并更新现有令牌的标识信息，但不会删除令牌重新创建。
- 未勾选：当密钥、关联用户重复时，直接跳过密钥、关联用户重复的令牌。
7 单击“确定”，返回动态令牌列表，接口查看导入的动态令牌。
导出动态令牌
1 登录云堡垒机系统。
2 选择“用户 > 动态令牌”，进入动态令牌列表页面。
3 勾选需要导出的动态令牌。
若不勾选，默认导出全部动态令牌。
4 单击“导出”，保存文件到本地。
导出动态令牌
吊销动态令牌
动态令牌删除后，关联用户帐号将暂时不能通过动态令牌方式登录。
1 登录云堡垒机系统。
2 选择“用户 > 动态令牌”，进入动态令牌列表页面。
3 单击“操作”列的“吊销”，即可吊销该动态令牌。
删除动态令牌
4 在动态令牌列表中，同时选中多个动态令牌，单击列表下方的“吊销”按钮，可批量吊销动态令牌。
批量删除动态令牌
