文章验证政策
认证后策略是一组通用规则,用户设备必须满足这些规则才能保持会话活动。如果策略失败,则与Citrix Gateway的连接结束。在配置认证后策略时,可以为用户连接配置任何可设置为条件的设置。
注:
此功能仅适用于Citrix Gateway插件。如果用户使用Citrix工作区应用程序登录,终端分析扫描仅在登录时运行。
您可以使用会话策略来配置身份验证后策略。首先,创建应用策略的用户。然后,将用户添加到组中。接下来,将会话、流量策略和intranet应用程序绑定到组。
还可以指定组为授权组。这种类型的组允许您根据会话策略中的客户端安全表达式将用户分配给组。
如果用户设备不符合策略要求,还可以配置身份验证后策略,将用户放入隔离组。简单策略包括客户端安全表达式和客户端安全消息。当用户处于隔离组时,用户可以登录Citrix网关;但是,他们对网络资源的访问有限。
不能使用相同的会话配置文件和策略创建授权组和隔离组。创建后身份验证策略的步骤相同。创建会话策略时,请选择授权组或隔离组。您可以创建两个会话策略,并将每个策略绑定到组。
身份验证后策略也用于SmartAccess。有关SmartAccess的详细信息,请参阅在Citrix网关上配置SmartAccess.
配置认证后策略
您可以使用会话策略来配置身份验证后策略。简单策略包括客户端安全表达式和客户端安全消息。
使用GUI配置认证后策略
- 在配置实用程序中,在configuration选项卡上,在导航窗格中展开Citrix网关>策略然后点击会话.
- 在详细信息窗格中,在政策选项卡,单击添加.
- 在的名字,键入策略的名称。
- 旁边请求配置文件,点击新.
- 在的名字,键入概要文件的名称。
- 在Security选项卡上,单击高级设置.
- 在下面客户端安全,点击覆盖全球,然后点击新.
- 配置客户端安全表达式,然后单击创建.
- 在下面客户端安全,在“隔离组”中选择一个组。
- 在错误消息,键入您希望用户在身份验证后扫描失败时接收的消息。
- 在授权组下,单击覆盖全局,选择一个群组,单击添加,点击好吧,然后单击创建.
- 在创建会话策略对话框中,在命名表达式旁边,选择一般,选择“True value”,单击“Add Expression”,单击创建,然后单击关.
配置认证后扫描的频率
您可以配置“Citrix Gateway”以指定的时间间隔执行认证后策略。例如,您配置了客户端安全策略,并希望该策略每10分钟在用户设备上运行一次。您可以通过在策略中创建自定义表达式来配置此频率。
注:
身份验证后策略的频率检查功能仅适用于Citrix Gateway插件。如果用户使用Citrix工作区应用程序登录,终端分析扫描仅在登录时运行。
按照以下过程配置客户端安全策略时,可以设置频率(分钟)配置认证后策略. 下图显示了可以在中输入频率值的位置添加表情对话框。
隔离和授权组
用户登录Citrix Gateway时,需要将其分配到一个组中,该组可以在安全网络中的Citrix Gateway上配置,也可以在认证服务器上配置。如果用户身份验证后扫描失败,则可以将该用户分配给一个称为隔离组的受限制组,该组限制对网络资源的访问。
也可以使用授权组来限制用户对网络资源的访问。例如,您可能有一组合同人员只能访问您的电子邮件服务器和文件共享。当用户设备通过您在Citrix Gateway上定义的安全需求时,用户可以动态地成为组的成员。
您可以使用全局设置或会话策略来配置绑定到用户、组或虚拟服务器的隔离组和授权组。您可以根据会话策略中的客户端安全表达式将用户分配给组。当用户是组成员时,Citrix网关将根据组成员资格应用会话策略。
配置授权组织
在配置Endpoint Analysis扫描时,当用户设备通过扫描时,可以动态地将用户添加到授权组。例如,您创建一个端点分析扫描来检查用户设备域成员关系。在Citrix Gateway上,创建一个名为Domain-Joined Computers的本地组,并将其添加为通过扫描的任何人的授权组。当用户加入组时,用户继承与组关联的策略。
不能全局绑定授权策略,也不能绑定虚拟服务器。在Citrix Gateway上,当用户没有被配置为其他组的成员时,可以使用授权组提供默认的授权策略集。
使用会话策略配置授权组
- 在配置实用程序的“配置”选项卡上的导航窗格中,展开Citrix网关>策略,然后单击会话。
- 在详细信息窗格中,在Policies选项卡上,单击Add。
- 在“名称”中,键入策略的名称。
- 在请求配置文件旁边,单击新建。
- 在名称中,键入概要文件的名称。
- 在安全选项卡上,单击高级设置。
- 在“授权组”下,单击“覆盖全局”,从下拉列表中选择组,单击“添加”,单击“确定”,然后单击“创建”。
- 在“创建会话策略”对话框中,在“命名表达式”旁边,选择“常规”,选择“真值”,单击“添加表达式”,单击“创建”,然后单击“关闭”。
创建会话策略后,可以将会话策略与用户、组或虚拟服务器绑定。
配置全局授权组
- 在配置实用程序的“配置”选项卡上的导航窗格中,展开Citrix网关,然后单击“全局设置”。
- 在详细信息窗格的“设置”下,单击“更改全局设置”。
- 在安全选项卡上,单击高级设置。
- 在“授权组”下拉列表框中选择组,单击“添加”,连续两次单击“确定”。
如果需要全局删除授权组或从会话策略中删除授权组,请在“安全设置-高级”对话框中,从列表中选择授权组,然后单击“删除”。
配置隔离组
在配置隔离组时,可以使用会话配置文件中的“安全设置-高级设置”对话框配置客户端安全表达式。
为隔离组配置客户端安全表达式
- 在配置实用程序的“配置”选项卡上的导航窗格中,展开Citrix网关>策略,然后单击会话。
- 在详细信息窗格中,在Policies选项卡上,单击Add。
- 在“名称”中,键入策略的名称。
- 在请求配置文件旁边,单击新建。
- 在名称中,键入概要文件的名称。
- 在安全选项卡上,单击高级设置。
- 在“客户端安全性”下,单击“覆盖全局”,然后单击“新建”。
- 在“客户端表达式”对话框中,配置客户端安全表达式,然后单击“创建”。
- 在隔离组中,选择该组。
- 在“错误消息”中,为用户键入描述问题的消息,然后单击“创建”。
- 在“创建会话策略”对话框中,在“命名表达式”旁边,选择“常规”,选择“真值”,单击“添加表达式”,单击“创建”,然后单击“关闭”。
创建会话策略后,需要将会话策略与用户、组或虚拟服务器绑定。
笔记
如果端点分析扫描失败并且用户被放入隔离组,则只有当没有直接绑定到用户的策略的优先级与绑定到隔离组的策略的优先级相等或更低时,绑定到隔离组的策略才有效。
配置全局隔离组
- 在配置实用程序的“配置”选项卡上的导航窗格中,展开Citrix网关,然后单击“全局设置”。
- 在详细信息窗格的“设置”下,单击“更改全局设置”。
- 在安全选项卡上,单击高级设置。
- 在“客户端安全”中配置客户端安全表达式。
- 在隔离组中,选择该组。
- 在“错误消息”中,为用户键入描述问题的消息,然后单击“确定”。