APM-根据AD用户组分配访问权限.pptVIP

* * APM-Resource Assign based on AD “Member of” Attribute—V2 Version Name Date V1 杨保权 2011.5.1 V2 刘利 2012.9.5 主要内容 用户需求 配置步骤 验证及错误诊断 重要提示 用户的需求 通过APM实现基于AD的认证，并且根据AD qurey的某些属性返回值，例如member of属性，将相同组属性的用户分配的资源制定组中。 实现dynamic Webtop功能。并且基于用户的组属性，不同组用户登录后呈现不同的定制化webtop. 主要内容 用户需求 配置步骤 验证及错误诊断 重要提示 配置步骤 如果对APM上的对象逻辑很清楚的话，可以直接在GUI上定义对象，整体上分成两部分配置内容； （1）.配置对象资源及属性，包括AAA,least pool,connection profile等 （2）通过VPE配置业务逻辑，并且对上述对象进行调用。 如果初次配置，建议还是用Winzard 方式实现，然后实现dynamic portal功能。并且基于用户的组属性，不同组用户登录后呈现不同的定制化portal. 配置步骤 开始之前最好还是对你定义的访问类型所需要的对象以及各个对象之间的对应关系有所了解，如果不清楚的话，采用winzard方式会自动帮你完成这些工作.以下是一个web application的例子： 配置步骤 11.0 之前APM只支持两种访问方式及wizard定义，分别是web application和network access,11.0 增加了portal access的访问方式，这是我们期盼已久的功能。 配置步骤 最后的配置汇总： 配置步骤 通过wizard会形成一个非常简单的访问策略（业务逻辑），因此下一步就是对这个简单的访问策略进行调整和完善。 配置步骤 AD Query参数的定义 配置步骤 Branch Rules中定义不同AD返回值的不同去向 举例 该部分为VpnAccess组中成员才可进行VPN访问，其他用户进制访问 主要内容 用户需求 配置步骤 验证及错误诊断 重要提示 测试验证的主要步骤 Before you implement what customer wants I would suggest you to go through the following steps : ?1) Create all the necessary internal resources (Web Applications etc) and test their connectivity / resolve 2) Gather the AD structure 3) Gather a username /password for test along with the Administrator / password of the AD as it’s needed for the query . 4) adtest -t auth -h “domain controller” -r “domain” -u user -w password : to test Auth before query and verify that the user can successfully authenticate. 5) If the Authentication is successful proceed testing the AD query. 6) adtest -t query -h “domain controller” -r “domain”-A Administrator -W admin_password -u user -w user_password -f “memberOf=DN” 7) Then you can go apply your policies. After each query you will assign a resource depending on what you want to assign to that group /user etc. Lidfde-这个命令很重要！ 在域控上执行该命令，作用相当于LDAP browser.尤其是可以非常直观的拿到和组相关的primary gorup id 以及member of 属性。 ldifde -f outpputfile is the tool to get the AD structure or any other LDAP browser. This is a very important step