×

新手716814 发表于 2024-3-30 20:40
  
感谢楼主分享,学习一下
不想上班 发表于 2024-8-21 09:33
  
打卡学习,感谢大佬分享!
新手537797 发表于 2024-9-2 09:57
  
感谢分享,学习一下~
不想上班 发表于 2024-9-28 09:33
  
感谢分享,学习一下~
【天逸出品】【第四十期】对接LDAP的权限控制,搜不到的猛料
  

常鸿 2469714人觉得有帮助

{{ttag.title}}
本帖最后由 常鸿 于 2022-12-20 14:22 编辑


羊了个羊这个小游戏,能瞬间火爆全国,一定是有什么原因的

我也刚从阳性的高烧中冷静下来

或许这场疫情,这次的高温,是给忙碌的大家一个休息的机会,也可以检测我们身体是否有基础问题

所以让我们,无畏新冠,浴火重生



为了证明高烧没有烧坏脑子,我决定来一篇猛料

这是2022年度的最后一篇啦

对于LDAP认证对接,相信大家已经太熟悉了,外部认证,组织架构导入,是运用程度最高的认证对接之一

但是,有这样一个问题。

例如VPN,或者桌面云,客户LDAP架构中的的用户,并不是全部用户都开放使用权限。客户经常会有这样一个要求:

认证对接到LDAP上面,默认全部不允许登录,管理员去手动放行指定用户的登录使用权限。

本期涉及产品:OSM、SSLVPN、ATRUST、VDI

需求看上去是不是很简单,来想一想,该怎么实现呢,问问400?


首先说个通用的解决方案,就是编辑LDAP上的用户,给用户加一个字段属性,来标明哪些用户有产品的使用权限,然后,在产品跟LDAP做对接的时候,用户过滤那里,加上针对于该字段的筛选条件,直接筛选出用户
但是我实际上碰到的用户,他们并不愿意去配置LDAP,所以更多的还是通过咱们产品来控制权限

堡垒机 OSM  

堡垒机LDAP对接过程见上一期帖子,而且堡垒机本身对接的机制就复合上面那种模式,所以这里就不再重复赘述了。直接跳过

零信任 ATRUST

零信任对接LDAP以后,如果不做这个登录的限制,用户随便登录还会占据授权数目

零信任在用户管理--编辑用户目录那里,可以配置未导入的用户禁止登录


乍一看,这个功能可以呀,未导入到本地的就不让他登录,但是呢
零信任有同步用户的功能,可以配置时间周期,但是不能关闭

这就意味着,虽然我禁止了未导入用户 来登录零信任,但是只要达到用户同步周期了,我就会自动去给你把用户导入过来
想通过手动导入来控制用户使用权限的方法是行不通了。



不过还好还有plan B

如果零信任是高级版授权,就可以用一个增强功能叫上线准入策略

实现这个功能的思路是这样的,首先所有用户都导入到本地

然后创建一个上线注入策略

创建的时候,要写一个不可能实现的条件,比如说主机上必须运行一个abcdefgh.exe的进程
满足这个条件的时候呢,就允许登录零信任
当然没人能满足

这个条件的适用用户,直接选择LDAP目录下的所有用户
这下好了,所有人都登录不上去了


然后呢,在适用用户下面还有一个列表叫排除用户,在这个排除用户列表里,把真正需要登录使用零信任的用户选上



注意:排除用户的数目最多是1000个用户,如果说客户的用户量比较庞大,那么就多创建几个上线准入策略,慢慢梳理

SSLVPN

SSL设备的话,要实现这个功能,版本至少要7.6.3以上
实现方法也比较简单
首先编辑LDAP映射的用户组
将账号可用关闭

7.6.3以后的版本,组里的用户的 可用状态,可以随着用户组的改变一起继承改变
之前的版本,更改用户组的配置,用户的状态不会变

用户组可用状态关闭后,哪些用户需要使用VPN,再去他的账号下面打开就行


话说理论上应该可行,还没有去验证


桌面云 VDI

桌面云关于用户权限的控制配置都在VDC上,VDC的架构跟SSLvpn是很像的,所以SSLvpn可以用的方法在VDC上面也可以用

不过呢 VDC上也有一些SSL上没有的配置

我这边有个真实案例,某客户 LDAP里面的用户数量有2W多人,实际需要用到桌面云的用户不到2Q人
限制权限的同时,还要方便去查看和管理

最终规划的方案
首先LDAP对接,但是用户不导入到VDC。勾选上 上图框选的 只有导入到本地的用户才能LDAP认证

然后通过 梳理用户情况,把LDAP里面的用户创建同名的账号 手动导入到本地用户里

然后编辑导入的用户组,把认证方式改成LDAP


要注意的是,导入的用户名需要和LDAP里面的用户名保持一致,密码可以随便填,认证方式选择LDAP就行
这样其他LDAP里面的用户是没法登录的,VDC上也不会看到太多的用户,影响后期运维

以上就是今天的全部内容

打赏鼓励作者,期待更多好文!

打赏
85人已打赏

发表新帖
热门标签
全部标签>
安全效果
西北区每日一问
技术盲盒
技术笔记
干货满满
【 社区to talk】
每日一问
信服课堂视频
GIF动图学习
新版本体验
技术咨询
2023技术争霸赛专题
功能体验
产品连连看
自助服务平台操作指引
标准化排查
秒懂零信任
技术晨报
安装部署配置
原创分享
排障笔记本
玩转零信任
排障那些事
SDP百科
技术争霸赛
深信服技术支持平台
通用技术
以战代练
升级&主动服务
社区新周刊
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版达人

新手68983...

本周分享达人

零和一网络

本周提问达人