windows 集成身份验证 - 深信服.pdf

windows集成身份验证 深信服电子科技有限公司 2014年04月26 日 深信服科技 提升带宽价值 第1章 需求分析 windows集成身份验证，启用成功后，内网用户登录到域并访问web 页面，即可登录到 深信服设备,无需通过AC/SG再次认证。 第2章 准备工作 1、一台AC/SG 5.3或以上版本设备 2、LDAP域服务器server2003或者server2008 第3章 配置步骤及效果 3.1 windows集成身份认证过程 AC SG设备当作内网一台pc加入域，并成为域中资源，当登陆域的电脑打开网页时， 会被强制要求访问设备资源 （http://计算机名:100），此时电脑会提交票据 （包含有域用户 信息）给设备，即可自动通过AC SG 的认证 3.2 配置步骤 1、启用windows集成身份验证功能 1）登录sangfor网关设备的控制台页面 2）点击左侧导航栏：用户与策略管理-用户认证-认证选项 3）点击单点登录选项-AD域 4）勾选 “启用域单点登录”和 “启用windowcs集成身份验证” 深信服科技 提升带宽价值 2、配置windows集成身份验证 1）填写计算机名、域名、域DNS服务器、域账号以及域账号密码 2）点击 “测试有效性”，检测各个参数是否有效，测试通过之后点击 “提交” 3）10s之后会在右下方，弹出小喇叭并提示加入域成功 注：（1）若测试有效性失败，页面会弹出错误框提示具体原因，并给出修改建议 深信服科技 提升带宽价值 （2）若提交之后，设备加入域失败，10s之后会在右下方弹出小喇叭，提示错误原因， 给出修改建议 （3）加入域成功后，会重启一次web服务器，此时与服务器的通信会中断，可能会看不到右 下方小喇叭成功加入域的提示 深信服科技 提升带宽价值 (4)若设备已经成功加入域，在配置选项不变的情况下，重复提交，不再执行加入域操作 参数解释： 计算机名：定义AC SG设备加入域时使用的名称 域名：ACSG设备加入的域，支持父子域。如父域,子域 和，则此处的域名应该填写 域DNS服务器：填写可以解析域名的内网dns服务器，一般是域本身。 域帐号：加入域使用的帐号，任意域帐号都可以。 域帐号密码：加入域时，使用的域帐号的密码。 3、新建MS AD域服务器 1）填写计算机名、域名、域DNS服务器、域账号以及域账号密码； 2）点击 “测试有效性”，检测各个参数是否有效，测试通过之后点击 “提交”； 3）10s之后会在右下方，弹出小喇叭并提示加入域成功。 深信服科技 提升带宽价值 4、创建用户自动同步，并手动进行一次同步，如下 5、查看用户组织结构，用户已经正常同步过来 6、配置认证策略，设置默认认证策略为密码认证或单点登陆，然后点击提交 深信服科技 提升带宽价值 3.3 效果展示 1、使用域账号登陆pc，打开浏览器，访问外网（如淘宝网），若访问成功，则执行下一步； 2、打开控制台页面，依次点击实时状态-在线用户管理，查看是否有刚登陆的域账号上线 以及上线时的认证方式是否为单点登陆。若在线用户里存在刚登陆的域用户同时认证方式为 单点登陆，则说明windows 集成身份验证启用成功。 深信服科技 提升带宽价值 第4章 注意事项 1、如下图所示： “启用集成windows身份认证” 并配置相关的参数，点击测试有效性，可 以看到相应的ACSG是否可以成功加入域，以及不能成功加入域的相关报错信息。 2、在DNS 服务器上注册失败 ACSG加入域，PC加入域，当登陆域的电脑打开网页时，会被强制要求访问设备资源 （http://计算机名:100），ACSG加入域成功会在dns服务器上注册dns，现在出现注册不成功， PC访问不到设备资源。 解决方法： 手动在DNS 服务器