管理认证

功能

• 配置密码策略

• 管理访问策略

• 配置双因素认证

• 配置认证参数

配置密码策略

执行此任务以配置密码复杂度和密码有效期。当您向系统

添加操作员时,请为操作员选择适当的密码策略。密码策略定义了密码的最小长度、复杂度要求和有效期。

限制和指导原则

• 在 RBAC 模式下,只有安全管理员可以配置密码策略。

• 密码策略的修改立即生效,并在已注册操作员的密码到期后对其生效。

• 密码策略中最小密码长度和复杂度要求等参数的设置不对主机(包括服务主机和管理主机)的密码生效。

添加密码策略

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 密码策略。
单击添加按钮以创建新的密码策略。对于现有密码策略,单击编辑按钮进行更改。密码策略参数:

○ 最小长度:设置操作员密码的最小长度。在非安全模式下,取值范围为 1 到 14。在安全模式下,取值范围为 8 到 14。

○ 复杂度:设置操作员密码复杂度。选项包括:无限制、包含字母和数字、包含字母、数字和特殊字符,以及包含大小写字母、数字和特殊字符。默认为包含字母、数字和特殊字符。有关特殊字符,请参见特殊字符表。

○ 有效期:输入密码的有效期。在非安全模式下,默认值为 0,表示无限制。在安全模式下,默认值为 1。

○ 检查的最近密码数:指定新密码必须与之不同的先前密码数(包括当前密码)。例如,当您将此选项设置为 1 时,新密码不能与当前密码匹配。当您将此选项设置为 2 时,新密码不能与当前或先前密码匹配。特殊字符表(所有字符均为半角):字符名称字符名称~ 波浪号 ` 撇号! 感叹号 @ At 符号

井号 $ 美元符号

% 百分号 ^ 插入符号& 与号 * 星号() 圆括号 = 等号
- 加号 | 竖线
- 减号 N/A 下划线
[] 方括号 {} 花括号: 冒号 ; 分号

双\ 反斜杠 “引号

, 逗号 / 斜杠. 点 <> 尖括号? 问号空格
设置参数后,单击确定完成操作。

删除密码策略

在顶部导航栏上,单击系统。

管理访问策略

访问策略定义了操作员的访问控制设置。管理员可以引用

访问策略以允许或拒绝操作员登录管理平台。访问策略仅在被引用时生效。访问策略包括以下类型:

• IP 控制策略—限制操作员用于访问系统的 IP 地址。

• 访问时间和 IP 控制策略—同时限制操作员的访问时间和 IP 地址。

如果同时限制操作员的访问时间和 IP 地址,则适用以下规则:

• 对于使用生效访问策略规则中指定的 IP 地址的操作员:

○ 如果规则允许该 IP 地址,操作员可以在允许的时间段内访问系统。

○ 如果规则拒绝该 IP 地址,操作员无法访问系统。

• 对于使用未在生效访问策略任何规则中指定的 IP 地址的操作员:

○ 如果默认操作是允许,操作员可以在允许的时间段内访问系统。

○ 如果默认操作是拒绝,操作员无法访问系统。

限制和指导原则

• 在 RBAC 模式下,只有安全管理员可以配置访问策略。

• 访问策略规则中的操作不能与访问策略的默认操作相同。

• 正在被操作员使用的访问策略无法删除。

• 访问策略可以包含多个规则。

添加访问策略

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 访问策略。
单击添加。
按照"参数"中的描述配置参数。
单击添加规则。
配置参数,然后单击确定。要编辑或删除规则,请分别单击该规则的操作列中的编辑或删除。
单击确定。

编辑访问策略

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 访问策略。
选择目标访问策略并单击编辑。
按照"参数"中的描述配置参数。
单击添加规则。
配置参数,然后单击确定。要编辑或删除规则,请分别单击该规则的操作列中的编辑或删除。
单击确定。

删除访问策略

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 访问策略。
要删除单个访问策略,请单击该访问策略操作列中的删除。要批量删除访问策略,请选择目标访问策略并单击删除。
在打开的对话框中,单击确定。

显示访问策略的详细信息

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 访问策略。
选择目标访问策略,然后单击查看。

参数

• 名称:访问策略的名称。

• 描述:访问策略的描述。

• 默认操作:选择对不匹配任何访问策略规则的操作员采取的操作。选项包括允许和拒绝。

• 访问时间:配置匹配访问策略的操作员可以访问系统的时间。选项包括关闭、每周和每日。

○ 关闭:不限制操作员可以访问系统的时间。

○ 每周:设置每周允许/拒绝访问的日期(例如,周一到周五),并设置这些日期允许/拒绝访问的生效时间段(按小时配置,从 0 点到 23 点)。

○ 每日:设置每天允许/拒绝访问的生效时间段(按小时配置,从 0 点到 23 点)。

• 起始 IP:输入 IP 地址范围的起始 IP。如果操作员的 IP 地址在IP 地址范围内,则操作员匹配该规则。

• 结束 IP:输入 IP 地址范围的结束 IP。

• 操作:选择对匹配规则的操作员采取的操作。选项包括允许和拒绝。

配置双因素认证

执行此任务以使操作员能够通过证书认证、

一次性密码(OTP)或验证码登录系统。启用双因素认证后,操作员使用用户名、密码和 PIN 码、OTP 或验证码登录系统。

限制和指导原则

在 RBAC 模式下,只有安全管理员可以配置双因素认证。要启用证书认证,请确保上传的根证书正确且 USB key可用于正确登录系统。要启用 OTP 认证,请确保上传的代理配置文件正确。

过程

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 双因素认证。显示当前的双因素认证设置。
单击编辑。
要启用双因素认证,选择是,然后选择认证模式并配置相关参数,然后单击确定。
如果您选择短信验证码,单击短信验证码设置,然后选择启用验证码。有关更多信息,请参见"配置短信参数"
要清除双因素认证设置并恢复禁用状态,单击重置。

参数

• 启用双因素认证:启用双因素认证以配置操作员使用用户名、密码和 PIN 码、OTP 或验证码登录系统。

• 认证:选择认证模式。选项包括证书认证、OTP、验证码和短信验证码。

○ 如果启用证书认证,还必须配置以下参数:

▪ 厂商类型:选择厂商类型。选项为 InfoSec 和Jumborca Fisec。

▪ 根证书:选择用于验证 USB key 的根证书。所选根证书将自动上传到系统。根证书文件不能超过 5 MB。

▪ 定时更新 CRL:启用系统定期更新 CRL。如果启用此功能,还必须配置以下参数:

▪ URL:输入用于过滤 CRL 的网站地址。

▪ 频率:选择 CRL 更新频率。选项包括每月、每周和每日。

▪ 日期:指定 CRL 将被更新的日期。如果选择每月频率,请配置此参数。

▪ 天:指定 CRL 将被更新的天。如果选择每周频率,请配置此参数。

▪ 时间:指定 CRL 将被更新的时间。

○ 如果启用 OTP 认证,还必须配置以下参数:

▪ OTP 厂商:指定 OTP 厂商。选项包括 FEITIAN 和 AISEC。

配置认证参数

限制和指导原则

• 启用 RBAC 后,只有系统管理员和安全管理员可以配置认证服务器设置。

• 作为最佳实践,请勿同时启用 SSO 认证和双因素认证。

• 由于 OSS 认证设置不正确、系统与 OSS 服务器之间的连接失败或服务器故障,可能会发生登录失败。在这种情况下,您可以访问 http://{ip}?forceSkipSSO=1 或 https://{ip}?forceSkipSSO=1 在不使用 SSO 认证的情况下登录系统,然后更改 SSO 认证设置或禁用它。如果您仍然无法通过 http://{ip}?forceSkipSSO=1 或https://{ip}?forceSkipSSO=1 登录系统,请清除 Web 浏览器中的缓存并重新登录。

配置认证设置

企业网络通常包含办公自动化、财务信息过滤器、电子邮件以及网络设备和服务器管理应用程序。所有这些应用程序都需要身份认证,不同的应用程序需要不同的权限。管理平台提供 LDAP 认证支持,以对身份认证信息执行集中管理。执行此任务以配置 LDAP 认证服务器。当操作员通过LDAP 认证模式登录管理平台时,操作员必须通过服务器上的身份认证。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 认证参数设置。
在认证服务器区域中单击编辑。
按照"参数"中的描述配置参数。
要检查设置,单击连通性测试。
单击保存。

配置 SSO 认证

RBAC 模式下不支持 SSO 认证配置。

此功能是管理平台与中央认证服务(CAS)的协作,用于实现单点登录(SSO)认证。此认证方法是一种提供用户认证和授权服务的开源解决方案,允许用户在登录系统一次后无需重新输入其凭据即可访问多个应用程序。

在顶部导航栏上,单击系统。
从左侧导航面板中,选择 AuthN 管理 > 认证参数设置。
在 SSO 配置区域中单击编辑。
按照"参数"中的描述配置参数。
单击保存。
在打开的对话框中,单击确定。

参数

认证服务器:

• 服务器地址:输入 LDAP 服务器的 IP 地址或域名。

• 端口号:输入 LDAP 服务器的 TCP 端口号。

• 版本:选择 LDAP 版本。选项包括 2 和 3。

• 类型:选择 LDAP 服务器类型。选项包括通用 LDAP 服务器和 Microsoft Active Directory。

• 用户命名属性:输入用户命名属性。如果为类型参数选择通用 LDAP服务器,则默认用户命名属性为 cn。如果为类型参数选择Microsoft Active Directory,则默认用户命名属性为sAMAccountName。

• 管理员密码:输入用于访问 LDAP 服务器的密码。

• 管理员 DN:输入用于访问 LDAP 服务器的管理员 DN,例如 cn=Administrator,cn=users,dc=abc,dc=com。第一个 cn 代表LDAP 服务器管理员的用户名,第二个 cn 的值固定为 users,第一个 dc 和第二个 dc 分别代表服务器可分辨名称的第一部分和任何部分。

配置密码策略​

井号 $ 美元符号

管理访问策略​

配置双因素认证​

配置认证参数​

配置密码策略

管理访问策略

配置双因素认证

配置认证参数