セルフサ，ビスパスワ，ドリセット

例：

> add认证策略ldap_logon -rule true -action ldap_logon_action

ナレッジベ，スの質問と回答の登録アクションを作成するには

ldapActionに2の新しいパラメタが導入されました。Kba認証(登録と検証)用のKBAttributeおよびユ，ザ，の代替電子メ，ルidの登録用のalternateEmailAttr。

> add authentication ldapAction  {-serverIP  [-serverPort ] [-ldapBase ] [-ldapBindDn ] [-ldapBindDnPassword ] [- ldapoginname ] [-KBAttribute ] [-alternateEmailAttr ]

例：

> add authentication ldapAction ldap1 -serverIP 1.2.3.4 -sectype ssl -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD - ldapoginname samAccountName -KBAttribute userParameters -alternateEmailAttr userParameters

ユ，ザ，登録と管理画面を表示する

“KBARegistrationSchema.xmlログインスキーマは,エンドユーザーにユーザー登録ページを表示するために使用されます。次のcliを使用して，ログaapl .ンスキ.マを表示します。

> add authentication loginSchema  -authenticationSchema  .使用实例

例：

>添加authentication loginSchema kba_register -authenticationSchema /nsconfig/ loginSchema / loginSchema /KBARegistrationSchema.xml

ユザ登録と管理画面を表示するには，urlまたはldap属性の2の方法があります。

网址を使う

网址パスに' /register ' (https://lb1.server.com/registerなど)が含まれている場合，urlを使用してユ，ザ，登録ペ，ジが表示されます。

登録ポリシを作成してバンドするには

> add authentication policylabel user_registration -loginSchema kba_register > add authentication policy ldap1 -rule true -action ldap1 > bind authentication policylabel user_registration -policy ldap1 -priority 1 .使用实例

URLに' /注册'が含まれている場合に,認証ポリシーを認証,承認,監査仮想サーバーにバインドするには

>添加认证策略ldap_logon -rule "http.req.cookie.value(\"NSC_TASS\").contains(\"register\")"-action ldap_logon > bind authentication vserver authvs -policy ldap_logon -nextfactor user_registration -priority

証明書をVPNグロバルにバンドするには

绑定vpn global -userDataEncryptionKey

注

• 广告属性に保存されているユーザーデータ(KB问答および登録済みの代替電子メールID)を暗号化するには,証明書をバインドする必要があります。

• 証明書の有効期限が切れた場合は，新しい証明書をバaaplンドして，登録をもう一度実行する必要があります。

属性の使用

認証ポリシーを認証,承認,および監査仮想サーバーにバインドして,ユーザーがすでに登録されているかどうかを確認できます。このフローでは,ナレッジベースの質問と回答の登録係数より前の前述のポリシーは,KBA属性が設定されたLDAPである必要があります。これは，adユ，ザ，が登録されているか，ad属性を使用していないかを確認するためです。

重要

ルール“AAA.USER.ATTRIBUTE (kba_registered) .EQ(“0”)“は,新しいユーザにナレッジベースの質問と回答,および代替の電子メールへの登録を強制します。

ユ，ザ，がまだ登録されていないかどうかを確認する認証ポリシ，を作成するには

>添加认证策略switch_to_kba_register -rule "AAA.USER.ATTRIBUTE(\"kba_registered\").EQ(\"0\")"-action NO_AUTHN > add认证策略first_time_login_forced_kba_registration -rule true -action ldap1 .使用实例

登録ポリシラベルを作成し，ldap登録ポリシにバンドするには

> add authentication policylabel auth_or_switch_register -loginSchema LSCHEMA_INT > add authentication policylabel kba_registration -loginSchema kba_register > bind authentication policylabel auth_or_switch_register -policy switch_to_kba_register -priority 1 -nextFactor kba_registration > bind authentication policylabel kba_registration -policy first_time_login_forced_kba_registration -priority 1

認証ポリシを認証，承認，監査仮想サバにバンドするには

绑定认证vserver authvs -policy ldap_logon -nextfactor auth_or_switch_register -priority

ユ，ザ，登録と管理の検証

前のセクションで説明した手順をすべて設定したら，次のUI画面が表示されます。

1. ロ，ドバランサ，仮想サ，バのurlを入力します(例:https://lb1.server.com）。ログオン画面が表示されます。

   

2. ユ，ザ名とパスワ，ドを入力します。(提交)をクリックします。［ユ，ザ，登録]画面が表示されます。

   

3. ドロップダウンリストから希望する質問を選択し，[回答]を入力します。
4. (提交)をクリックします。ユ，ザ，登録成功画面が表示されます。

ユ，ザ，ログオンの設定ペ，ジ

この例では,管理者は最初の要素がLDAPログオン(エンドユーザーがパスワードを忘れた)であると想定しています。その後,ユーザーはナレッジベースの質問と回答の登録と電子メールID OTP検証に従い,最後にセルフサービスパスワードリセットを使用してパスワードをリセットします。

セルフサ，ビスパスワ，ドリセットには，どの認証メカニズムでも使用できます。Citrix では、強力なプライバシーを確保し、不正なユーザーパスワードのリセットを避けるために、ナレッジベースの質問と回答、またはOTPのメール、あるいはその両方を行うことをお勧めします。

ユ，ザ，ログオンペ，ジの設定を開始する前に，次のことが必要です。

• ロ，ドバランサ仮想サ，バのIP
• ロ，ドバランサ仮想サ，バに対応するFQDN
• ロ，ドバランサ，のサ，バ，証明書

Cliを使用してロ，ドバランサ仮想サ，バを作成する

内部Webサイトにアクセスするには,バックエンドサービスの前にある磅仮想サーバーを作成し,認証ロジックを認証仮想サーバーに委任する必要があります。

> add lb vserver lb1 SSL 1.2.3.162 443 -persistenceType NONE -cltTimeout 180 -AuthenticationHost otpauth.server.com -Authentication ON -authnVsName authvs > bind SSL vserver lb1 -certkeyname c1 . SSL 1.2.3.162

負荷分散でバックエンドサ，ビスを表すには，次のようにします。

> add service iis_backendsso_server_com 1.2.3.4 HTTP 80 > bind lb vserver lb1 iis_backendsso_server_com

最初のポリシとして認証を無効にしたldapアクションの作成

> add authentication ldapAction ldap3 -serverIP 1.2.3.4 -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD - ldploginname samAccountName -authentication disabled > add authentication policy ldap3 -rule aaa.LOGIN.VALUE("passwdreset").EQ("1") -action ldap3

ナレッジベ，スの質問と回答の検証アクションを作成する

セルフサービスパスワードリセットフローでナレッジベースの質問と回答を検証するには,認証を無効にしてLDAPサーバを設定する必要があります。

> add authentication ldapAction  - serverip  - serverport  - ldapbase  - ldapbinddn  - ldapbinddnpassword  - ldploginname  - kbattribute  - alternateEmailAttr  -authentication DISABLED

例：

> add authentication ldapAction ldap2 -serverIP 1.2.3.4 -serverPort 636 -ldapBase "OU=Users,DC=server,DC=com" -ldapBindDn administrator@ctxnsdev.com -ldapBindDnPassword PASSWORD - ldapoginname samAccountName -KBAttribute userParameters -alternateEmailAttr userParameters -authentication disabled

Cliを使用してナレッジベ，スの質問と回答を検証するための認証ポリシ，を作成するには

增加认证策略kba_validation -rule true -action ldap2

Eメル検証アクションを作成する

セルフサービスパスワードリセット登録の一環として,ユーザーの電子メールIDまたは代替電子メールIDが必要なため,LDAPは電子メール検証要素に先行する必要があります。

注:

電子メールOTPソリューションを機能させるには,SMTPサーバーでログインベースの認証が有効になっていることを確認してください。

ログインベースの認証が有効になっていることを確認するには,SMTPサーバーで次のコマンドを入力します。ログンベスの認証が有効になっている場合，身份验证登录というテキストが出力に太字で表示されます。

root@ns# telnet < SMTP服务器的IP地址><服务器端口号> ehlo

例：

root@ns# telnet 10.106.3.66 25 Trying 10.106.3.66…已连接到10.106.3.66。转义字符是'^]'。22e2k13.nsgsanity.com微软ESMTP邮件服务准备在星期五，2019年11月22日16:24:17 +0530 ehlo 250-E2K13.NSGSanity.com Hello [10.221.41.151] 250- size 37748736 250- pipelining 250- dsn 250- enhancedstatuscodes 250- starttls 250- x - anonymoustls 250- auth LOGIN 250- x - exps GSSAPI NTLM 250- 8bitmime 250- binarymime 250- chunking 250 XRDST

ログンベスの認証を有効にする方法にいては，https://support.microfocus.com/kb/doc.php?id=7020367を参照してください。

Cliを使用して電子メ，ルアクションを設定するには

add authentication emailAction emailact -userName sender@example.com -password  -serverURL "smtps://smtp.example.com:25" -content "OTP is $code"

例：

add authentication emailAction email -userName testmail@gmail.com -password 298a34b1a1b7626cd5902bbb416d04076e5ac4f357532e949db94c0534832670 -encrypted -encryptmethod ENCMTHD_3 -serverURL "smtps://10.19.164.57:25" -content "OTP is $code" -emailAddress "aaa.user.attribute(\"alternate_mail\")"

注

構成の“EmailAddress”パラメ，タはPI式です。そのため,セッションのデフォルトのユーザー電子メールID,または既に登録済みの代替電子メールIDのいずれかを使用するように設定されます。

GUIを使用して電子メルidを設定するには

1. ［セキュリティ]> [AAA -アプリケーショントラフィック]>[ポリシー]>[認証]>[詳細ポリシー]>[アクション]［追加］をクリックします。

2. ［認証メ，ルアクションの作成]ペ，ジで詳細を入力し，[作成]をクリックします。

   

Cliを使用してeメ，ル検証用の認証ポリシ，を作成するには

添加认证策略email_validation -rule true -action email

パスワ，ドリセット係数の認証ポリシ，を作成するには

增加认证策略ldap_pwd -rule true -action ldap_logon_action

ログ@ @ンスキ@ @マによる@ @の提示

パスワードをリセットするためのセルフサービスパスワードリセット用のLoginSchemaは3つあります。次のcliコマンドを使用して，3のログ。

root@ns# cd /nsconfig/loginschema/ loginschema/ root@ns# ls -ltr | grep -i password -r——r——r——1 nobody wheel 2088 11月13日08:38 SingleAuthPasswordResetRem.xml -r——r——r——1 nobody wheel 1541 11月13日08:38 OnlyUsernamePasswordReset.xml -r——r——1 nobody wheel 1391 11月13日08:38 onypassword .xml

Cliを使用して1の認証パスワドリセットを作成するには

> add authentication loginSchema lschema_password_reset -authenticationSchema "/nsconfig/ loginSchema / loginSchema /SingleAuthPasswordResetRem.xml" > add authentication loginSchemaPolicy lpol_password_reset -rule true -action lschema_password_reset

ポリシ，ラベルを使用して，ナレッジベ，スの質問と回答とeメ，ルによるotp検証ファクタを作成

最初の要素がLDAPログオンの場合,次のコマンドを使用して,次の要素に対する知識ベースの質問と回答および電子メールのOTPポリシーラベルを作成できます。

> add authentication loginSchema lschema_noschema -authenticationSchema noschema > add authentication policylabel kba_validation -loginSchema lschema_noschema > add authentication policylabel email_validation -loginSchema lschema_noschema

ポリシ，ラベルによるパスワ，ドリセット係数の作成

次のコマンドを使用して，ポリシ，ラベルからパスワ，ドリセット係数を作成できます。

> add authentication loginSchema lschema_noschema -authenticationSchema noschema > add authentication policylabel password_reset -loginSchema lschema_noschema > bind authentication policylabel password_reset -policyName ldap_pwd -priority 10 -gotoPriorityExpression NEXT

次のコマンドを使用して,ナレッジベースの質問と回答と電子メールポリシーを以前に作成したポリシーにバインドします。

> bind authentication policylabel email_validation -policyName email_validation -nextfactor password_reset -priority 10 -gotoPriorityExpression NEXT > bind authentication policylabel kba_validation -policyName kba_validation -nextfactor email_validation -priority 10 -gotoPriorityExpression NEXT

フロをバンドする

LDAP登录の認証ポリシーの下でLDAPログオンフローが作成されている必要があります。このフローでは,最初のLDAPログオンページに表示される[パスワードを忘れた場合]リンクをクリックし,次にKBA検証,OTP検証,最後にパスワードリセットページの順にクリックします。

bind authentication vserver authvs -policy ldap3 -nextfactor kba_validation -priority 10 -gotoPriorityExpression NEXT

すべてのUIフロをバンドするには

bind authentication vserver authvs -policy lpol_password_reset -priority 20 -gotoPriorityExpression结束

パスワドをリセットするユザログオンワクフロ

ユザがパスワドをリセットする必要がある場合のユザログオンワクフロを次に示します。

1. ロ，ドバランサ，仮想サ，バのurlを入力します(例:https://lb1.server.com）。ログオン画面が表示されます。

   

2. ［パスワ，ドを忘れた場合]をクリックします。検証画面には,广告ユーザーに対して登録された最大6つの質問と回答のうち2つの質問が表示されます。

   

3. 質問に答えて，[ログオン]をクリックします。登録済みの代替電子メール ID で受信した OTP を入力する必要がある電子メール OTP 検証画面が表示されます。

   

4. 電子メルotpを入力します。電子メルotpの検証に成功すると，パスワドのリセットペジが表示されます。

   

5. 新しいパスワ，ドを入力し，新しいパスワ，ドを確認します。(提交)をクリックします。パスワ，ドのリセットに成功すると，[パスワ，ドリセット成功]画面が表示されます。

   

これで，リセットパスワ，ドを使用してログオンできます。

トラブルシュ，ティング

Citrixには,セルフサービスパスワードリセットの使用中に発生する可能性のある基本的な問題のトラブルシューティングを行うオプションがあります。次のセクションは，特定の領域で発生する可能性がある問題のトラブルシュ，ティングに役立，ます。

Nsログ

ログを分析する前に，次のコマンドを使用してログレベルを调试に設定することをお勧めします。

> set syslogparams -loglevel DEBUG

登録

次のメッセ，ジは，ユ，ザ，登録が成功したことを示します。

"ns_aaa_insert_hash_keyValue_entry key:kba_registered value:1" Nov 14 23:35:51  10.102.229.76 11/14/2018:18:05:51 GMT 0- ppp -1: default SSLVPN Message 1588 0:"ns_aaa_insert_hash_keyValue_entry key:alternate_mail value: eyj2zxjzaw9uijoimsisicjjlvqioiixbk1owjn0t2njlvvvzux6ndrwzfhxds01dta9iiwgimtlesi6ilniyw9ovlhknfhuqthkvv2ddcmjsv3pxqzres3qzmwxinuyxq0tysupxd0h4sfrizlwzjrrtjtm0ziyy1rzmlqc0tmevn2uhplegljc2hmvhzbcgvmzjy5du5iykytyxplqzjmtff1m3jinfvebzjasjdzz0qwtqvui3be1fyvnpexhnn1dsrkzxewtnovvnogppqvvzvklvvebhv4iiwgimfszyi6ikffuzi1nlhq00ifq ==.oKmvOalaOJ3a9z7BcGCSegNPMw=="

知識ベ，スの質問と回答の検証

次のメッセ，ジは，ナレッジベ，スの質問と回答の検証に成功したことを示します。

“NFactor:成功完成KBA验证，nextfactor是电子邮件”

電子メルidの検証

次のメッセ，ジは，パスワ，ドのリセットが成功したことを示します。

"NFactor:成功完成电子邮件认证，nextfactor是pwd_reset"

nFactorビジュアラザを使用したSSPRの設定

SSPRの設定を開始する前に，次のldapサ，バを追加する必要があります。

1. ユ，ザ認証に対して認証が有効になっていて，ad属性が指定されている標準ldapサ，バ。

   

   

2. 認証なしでユ，ザパラメ，タを抽出するためのldap，サ，バ。

   

3. 認証なしのSSLでパスワ，ドをリセットするためのldapサ，バ。また，ユ，ザ，詳細の保存に使用するAD属性は，このサ，バ，で定義する必要があります。

   

   

4. 認証が有効で，ad属性が指定された，ユ，ザ登録用のldapサ，バ

   

   

5. 次の図に，フロ，全体を示します。

   

6. 次のcliコマンドを使用して，証明書をグロバルにバンドします。

   bind vpn global -userDataEncryptionKey通配符

LDAPサバが追加されたので，ビジュアラザを使用してnFactorの設定を続行します

1. ［セキュリティ]>[3]>[アプリケーショントラフィック]> [nFactor可视化工具]> [nFactorフロー]に移動し，[追加]をクリックして，ボックス内の+アescコンをクリックします。

   

2. フロ，に名前を付けます。

   

3. 既定のスキ，マとして機能する[スキ，マの追加.]をクリックします。［ログ▪▪ンスキ▪▪マ] ページで [追加]をクリックします。

   

4. スキ，マに名前を付けたら，スキ，マを選択します。右上隅の“選択”(选择)をクリックして，スキ，マを選択します。

   

5. 「作成“をクリックして”OK”をクリックします。

デフォルトのスキマを追加したら，次の3のフロを設定する必要があります。

• ユ，ザ，登録:明示的なユ，ザ，登録の場合
• パスワ，ドリセット:パスワ，ドリセット用
• 通常ログン+登録済みユザチェック:ユザが登録され，正しいパスワドを入力した場合，そのユザはログンしています。ユ，ザ，が登録されていない場合は，登録ペ，ジに移動します。

ユ，ザ，登録

スキ，マを追加した後，残ったところから続けてみましょう。

1. ［添加政策]をクリックすると，ユ，ザ，が明示的に登録しようとしているかどうかがチェックされます。

   

   

2. ［作成]をクリックし，[追加]をクリックします。

3. 強調表示された緑色の“+”アコンをクリックして，次の認証要素をユザ登録フロに追加します。

   

   

4. (创建)をクリックします。

5. [ユ，ザ，登録係数のポリシ，の追加]をクリックします。

   

6. 認証ポリシ，を作成します。このポリシは，登録ペジにリダレクトする前に，ユザ情報を抽出して検証します。

   

7. ［作成]をクリックし，[追加]をクリックします。

8. 緑色の“+”アコンをクリックしてユザ登録用の別の要素を作成し，”作成をクリックします。［スキ，マの追加]をクリックします。

   

   

9. 次のスキ，マを作成します。

   

10. ［添加政策]をクリックし，次の認証ポリシ，を作成します。

    

11. ［作成]をクリックし，[追加]をクリックします。

パスワ，ドリセット

1. 青色の“+”アイコンをクリックして,親SSPRファクターに別のポリシー(パスワードリセットフロー)を追加します。

   

2. ［添加]をクリックし，認証ポリシ，を作成します。このポリシーは,ユーザーがログインページで[パスワードを忘れた場合]をクリックするとトリガーされます。

   

3. ［作成]をクリックし，[追加]をクリックします。

4. パスワドリセット認証ポリシの緑色の“+”アコンをクリックして，別の要素を追加します。

   

   

5. (创建)をクリックします。

6. ［添加政策]をクリックして，以前に作成したファクタ，の認証ポリシ，を作成します。この係数は，ユ，ザ，を検証するためのものです。

   

7. ［作成]をクリックし，[追加]をクリックします。

8. 緑色の“+”アコンをクリックして，パスワド係数フロに別の要素を追加します。これにより，パスワ，ドをリセットするための回答が検証されます。(创建)をクリックします。

   

9. ［添加政策]をクリックして，ファクタの認証ポリシ，を追加します。

10. 前に作成したものと同じ認証ポリシ，をドロップダウンメニュ，から選択し，[添加]をクリックします。

    

通常ログン+登録ユザチェック

1. 青い“+”アイコンをクリックして,親SSPRファクターに別の認証ポリシー(通常のログインフロー)を追加します。

   

2. ［添加]をクリックして，通常のユザログン用の認証ポリシを作成します。

   

3. ［作成]をクリックし，[追加]をクリックします。

4. 以前に作成したポリシーの緑色の“+”アイコンをクリックして,決定ブロックという別の要素を追加します。(创建)をクリックします。

   

5. (创建)をクリックします。

   

6. ［添加政策]をクリックして，この決定要因の認証ポリシ，を作成します。

   

7. ［作成]をクリックして[追加]をクリックします。これは，ユ，ザ，が登録されているかどうかをチェックします。

8. 緑色の“+”アコンをクリックして，登録ポリシをユザに指し示します。

   

9. ドロップダウンメニュ，から登録係数を選択し，[创建]をクリックします。

   

10. 青い“+”アコンをクリックして，別のポリシを判定块に追加します。このポリシ，は，登録ユ，ザ，が認証を終了するためのものです。

    

11. ［添加政策]をクリックして，認証ポリシ，を作成します。

    

12. ［作成]をクリックし，[追加]をクリックします。