Sie können die Webkonsole zur Authentifizierung mit Smartcards oder zur Multifaktor-Authentifizierung konfigurieren. Außerdem können Sie das Branding mit einem eigenen Logo und eigenem Anwendungstitel anpassen.
Sie können die Webkonsole von einem beliebigen Computer, iOS-Gerät oder Android-Gerät aus mit einem Webbrowser starten. Geben Sie zum Starten der Konsole die entsprechende URL in das Adressfeld des Webbrowsers ein. Wenn Sie die Webkomponente beispielsweise auf dem Computer „HOUserver“ installiert haben, geben Sie in das Adressfeld des Webbrowsers die Zeichenfolge https://HOUserver/draclient ein.
HINWEIS:Um die aktuellsten Konto- und Microsoft Exchange-Informationen in der Webkonsole anzuzeigen, konfigurieren Sie den Webbrowser so, dass bei jedem Besuch nach neueren Versionen der im Cache gespeicherten Seiten gesucht wird.
Sie können ein Zeitinkrement definieren und festlegen, dass die Webkonsole bei Inaktivität nach einer bestimmten Zeit eine automatische Abmeldung ausführt. Alternativ können Sie festlegen, dass die Webkonsole nie eine automatische Abmeldung ausführt.
Um die automatische Abmeldung in der Webkonsole zu konfigurieren, wechseln Sie zu Administration > Konfiguration > Automatische Abmeldung.
In der Webkonsole können Sie eine von drei Optionen konfigurieren, um die DRA-Serviceverbindungsoptionen festzulegen, die bei der Anmeldung angezeigt werden. Nach der Konfiguration steht den Administratoren und Hilfsadministratoren bei der Anmeldung bei der Webkonsole im Dropdown-Bereich Optionen die gleiche Verbindungskonfiguration zur Verfügung.
Immer den standardmäßigen Serverstandort verwenden (Immer)
Nie den standardmäßigen DRA-Serverstandort verwenden (Nie)
Den standardmäßigen DRA-Serverstandort nur verwenden, wenn er ausgewählt ist (Nur, wenn ausgewählt)
Die Tabelle beschreibt das Verhalten beim Anmelden für die einzelnen Optionen.
|
Verbindungskonfiguration |
Anmeldebildschirm – Optionen |
Beschreibung der Verbindungsoption |
|---|---|---|
|
Immer |
Keine |
Die Konfiguration der Optionen ist deaktiviert. |
|
Nie |
Automatische Erkennung verwenden |
Sucht automatisch einen DRA-Server; keine Konfigurationsoptionen sind verfügbar. |
|
Mit einem bestimmten DRA-Server verbinden |
Der Benutzer konfiguriert den Server und den Port. |
|
Mit einem DRA-Server verbinden, der eine bestimmte Domäne verwaltet |
Der Benutzer gibt eine verwaltete Domäne an und wählt eine Verbindungsoption:
|
|
Nur, wenn ausgewählt |
Automatische Erkennung verwenden |
Sucht automatisch einen DRA-Server; keine Konfigurationsoptionen sind verfügbar. |
|
Mit dem standardmäßigen DRA-Server verbinden |
Der standardmäßige Server wird ausgewählt und die DRA-Serverkonfiguration ist deaktiviert. |
|
Mit einem bestimmten DRA-Server verbinden |
Der Benutzer konfiguriert den Server und den Port. |
|
Mit einem DRA-Server verbinden, der eine bestimmte Domäne verwaltet |
Der Benutzer gibt eine verwaltete Domäne an und wählt eine Verbindungsoption:
|
Um die DRA-Serververbindung in der Webkonsole zu konfigurieren, wechseln Sie zu Administration > Konfiguration > DRA-Serververbindung.
Die Konfiguration der REST-Serviceverbindung umfasst das Festlegen eines standardmäßigen Serverstandorts und einer Verbindungszeitüberschreitung in Sekunden. In der Webkonsole können Sie eine von drei Optionen konfigurieren, um die REST-Serviceverbindungsoptionen festzulegen, die bei der Anmeldung angezeigt werden. Nach der Konfiguration steht den Administratoren und Hilfsadministratoren bei der Anmeldung bei der Webkonsole im Dropdown-Bereich Optionen die gleiche Verbindungskonfiguration zur Verfügung.
Immer den standardmäßigen REST-Servicestandort verwenden (Immer)
Nie den standardmäßigen REST-Servicestandort verwenden (Nie)
Den standardmäßigen REST-Servicestandort nur verwenden, wenn er ausgewählt ist (Nur, wenn ausgewählt)
Die Tabelle beschreibt das Verhalten beim Anmelden für die einzelnen Optionen.
|
Verbindungskonfiguration |
Anmeldebildschirm – Optionen |
Beschreibung der Verbindungsoption |
|---|---|---|
|
Immer |
Keine |
Die Konfiguration der Optionen ist deaktiviert. |
|
Nie |
Automatische Erkennung verwenden |
Sucht automatisch einen REST-Server; keine Konfigurationsoptionen sind verfügbar. |
|
Mit einem bestimmten REST-Server verbinden |
Der Benutzer konfiguriert den Server und den Port. |
|
Mit einem REST-Server in einer bestimmten Domäne verbinden |
Der Benutzer gibt eine verwaltete Domäne an und wählt eine Verbindungsoption:
|
|
Nur, wenn ausgewählt |
Automatische Erkennung verwenden |
Sucht automatisch einen REST-Server; keine Konfigurationsoptionen sind verfügbar. |
|
Mit dem standardmäßigen REST-Server verbinden |
Der standardmäßige REST-Server wird ausgewählt und die REST-Serverkonfiguration ist deaktiviert. |
|
Mit einem bestimmten REST-Server verbinden |
Der Benutzer konfiguriert den Server und den Port. |
|
Mit einem REST-Server in einer bestimmten Domäne verbinden |
Der Benutzer gibt eine verwaltete Domäne an und wählt eine Verbindungsoption:
|
Um die REST-Serviceverbindung in der Webkonsole zu konfigurieren, wechseln Sie zu Administration > Konfiguration > REST-Serviceverbindung.
Dieser Abschnitt enthält Informationen über die Konfiguration der Smartcard-Authentifizierung, der Windows-Authentifizierung und der Multifaktor-Authentifizierung mit der Advanced Authentication-Integration.
Um die Webkonsole so zu konfigurieren, dass sie einen Benutzer basierend auf der Clientberechtigung seiner Smartcard akzeptiert, müssen Sie Internet Information Services (IIS) und die REST-Services-Konfigurationsdatei konfigurieren.
WICHTIG:Stellen Sie sicher, dass die Zertifikate auf der Smartcard auch im Stammzertifikatspeicher auf dem Webserver installiert sind, weil IIS Zertifikate finden muss, die mit denen auf der Smartcard übereinstimmen.
Installieren Sie die Authentifizierungskomponenten auf dem Webserver.
Starten Sie den Server-Manager.
Klicken Sie auf Webserver (IIS).
Wechseln Sie zum Bereich der Rollendienste und klicken Sie auf Rollendienste hinzufügen.
Wechseln Sie zum Knoten der Sicherheitsrollendienste und wählen Sie Windows-Authentifizierung und Authentifizierung durch Clientzertifikatszuordnung aus.
Aktivieren Sie die Authentifizierung auf dem Webserver.
Starten Sie IIS-Manager.
Wählen Sie den Webserver aus.
Suchen Sie im Bereich zu IIS das Symbol Authentifizierung und doppelklicken Sie darauf.
Aktivieren Sie „Active Directory-Clientzertifikatauthentifizierung“ und „Windows-Authentifizierung“.
Konfigurieren Sie den DRA-Client.
Wählen Sie den DRA-Client aus.
Suchen Sie im Bereich zu IIS das Symbol Authentifizierung und doppelklicken Sie darauf.
Aktivieren Sie „Windows-Authentifizierung“ und deaktivieren Sie „Anonyme Authentifizierung“.
Aktivieren Sie SSL und Clientzertifikate auf dem DRA-Client.
Suchen Sie im Bereich zu IIS das Symbol SSL-Dienste und doppelklicken Sie darauf.
Wählen Sie SSL erforderlich aus und wählen Sie Erfordern für die Clientzertifikate aus.
TIPP:Wenn die Option verfügbar ist, wählen Sie 128-Bit-SSL erforderlich aus.
Konfigurieren Sie die REST-Services-Webanwendung.
Wählen Sie die REST-Services-Webanwendung aus.
Suchen Sie im Bereich zu IIS das Symbol Authentifizierung und doppelklicken Sie darauf.
Aktivieren Sie „Windows-Authentifizierung“ und deaktivieren Sie „Anonyme Authentifizierung“.
Aktivieren Sie SSL und Clientzertifikate in der REST-Services-Webanwendung.
Suchen Sie im Bereich zu IIS das Symbol SSL-Dienste und doppelklicken Sie darauf.
Wählen Sie SSL erforderlich aus und wählen Sie Erfordern für die Clientzertifikate aus.
TIPP:Wenn die Option verfügbar ist, wählen Sie 128-Bit-SSL erforderlich aus.
Konfigurieren Sie die WCF-Webservice-Datei.
Wählen Sie die REST-Services-Webanwendung aus und wechseln Sie zur Inhaltsansicht.
Suchen Sie die SVC-Datei und klicken Sie mit der rechten Maustaste darauf.
Wählen Sie Switch to Features View (Zur Funktionsansicht wechseln) aus.
Suchen Sie im Bereich zu IIS das Symbol Authentifizierung und doppelklicken Sie darauf.
Aktivieren Sie „Anonyme Authentifizierung“ und deaktivieren Sie alle anderen Authentifizierungsmethoden.
Bearbeiten Sie die REST-Services-Konfigurationsdatei.
Öffnen Sie die Datei C:\inetpub\wwwroot\DRAClient\rest\web.config in einem Texteditor.
Suchen Sie die Zeile <authentication mode="None" /> und löschen Sie sie.
Heben Sie die Auskommentierung der unten angegebenen Zeilen auf:
Unter der Zeile <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Unter der Zeile <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Über der Zeile <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Speichern Sie die Datei und starten Sie den IIS-Server neu.
Um die Windows-Authentifizierung auf der Webkonsole zu aktivieren, müssen Sie Internet Information Services (IIS) und die REST-Services-Konfigurationsdatei konfigurieren.
Öffnen Sie IIS-Manager.
Suchen Sie im Verbindungsbereich die REST-Services-Webanwendung und wählen Sie sie aus.
Wechseln Sie im rechten Bereich zum Abschnitt zu IIS und doppelklicken Sie auf Authentifizierung.
Aktivieren Sie Windows-Authentifizierung und deaktivieren Sie alle anderen Authentifizierungsmethoden.
Öffnen Sie die Datei C:\inetpub\wwwroot\DRAClient\rest\web.config in einem Texteditor und suchen Sie die Zeile <authentication mode="None" />.
Ändern Sie "None" in "Windows" und speichern Sie die Datei.
Starten Sie den IIS-Server neu.
Advanced Authentication Framework (AAF) ist unser führendes Softwarepaket, das Ihnen mit der Multifaktor-Authentifizierung die Möglichkeit bietet, Ihre sensiblen Informationen besser zu schützen als nur mit einem einfachen Benutzernamen und Passwort.
Advanced Authentication unterstützt die folgenden Kommunikationsprotokolle zur Gewährleistung der Sicherheit:
TLS 1.2 (Standardeinstellung), TLS 1.1, TLS 1.0
SSL 3.0
Die Multifaktor-Authentifizierung ist ein Zugriffssteuerungsverfahren, bei dem zum Überprüfen der Benutzeridentität mehrere Authentifizierungsmethoden kombiniert werden müssen.
Es drei Arten von Authentifizierungskategorien bzw. Faktoren:
Wissen. Bei dieser Kategorie benötigen Sie eine bestimmte Informationen, wie ein Passwort oder einen Aktivierungscode.
Besitz. Bei dieser Kategorie benötigen Sie ein Authentifizierungsgerät, zum Beispiel eine Smartcard oder ein Smartphone.
Körper. Bei dieser Kategorie verwenden Sie zur Authentifizierung ein Körperteil, wie bei der Identitätsüberprüfung mittels Fingerabdrucks.
Jeder Authentifizierungsfaktor enthält mindestens eine Authentifizierungsmethode. Eine Authentifizierungsmethode ist ein bestimmtes Verfahren, das Sie zur Überprüfung der Identität eines Benutzers einsetzen, beispielsweise durch Scannen eines Fingerabdrucks oder Anfordern eines Passworts.
Ein Authentifizierungsprozess kann als stark bezeichnet werden, wenn mindestens zwei verschiedene Authentifizierungsmethoden verwendet werden, zum Beispiel eine Authentifizierung mittels Passworteingabe und Fingerabdruck.
Advanced Authentication unterstützt die folgenden Authentifizierungsmethoden:
LDAP-Passwort
Remote Authentication Dial-In User Service (RADIUS)
Smartphone
TIPP:Für die Smartphone-Methode muss der Benutzer eine iOS- oder Android-App herunterladen. Weitere Informationen finden Sie im Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication – Benutzerhandbuch für Smartphone-Anwendungen), das auf der NetIQ-Dokumentationswebsite verfügbar ist.
Verwenden Sie die Informationen der folgenden Abschnitte, um die Webkonsole für die Multifaktor-Authentifizierung zu konfigurieren.
WICHTIG:Während einige Schritte in den folgenden Abschnitten in der Webkonsole ausgeführt werden, ist für den Großteil des Konfigurationsprozesses der Multifaktor-Authentifizierung Zugriff auf AAF erforderlich. Für diese Prozedur wird davon ausgegangen, dass Sie AAF bereits installiert haben und Zugriff auf die AAF-Hilfedokumentation haben.
Im ersten Schritt der Konfiguration der Webkonsole für die Multifaktor-Authentifizierung werden alle Active Directory-Domänen, die die von DRA verwalteten DRA-Administratoren und Hilfsadministratoren enthalten, zu AAF hinzugefügt. Diese Domänen werden als Repositorys bezeichnet. Sie enthalten die Identitätsattribute der Benutzer und Gruppen, die Sie authentifizieren möchten.
Melden Sie sich mit einem Benutzernamen mit Administratorberechtigungen und dem entsprechenden Passwort beim AAF-Administrationsportal an.
Klicken Sie im linken Bereich auf Repositorys.
Klicken Sie auf Hinzufügen.
Füllen Sie das Formular aus.
TIPP:Der LDAP-Typ ist AD.
TIPP:Geben Sie einen Benutzernamen mit Administratorberechtigungen und das entsprechende Passwort in die jeweiligen Felder ein.
Klicken Sie auf Server hinzufügen.
Geben Sie die IP-Adresse des LDAP-Servers in das Feld Adresse ein.
Klicken Sie auf Speichern.
Wiederholen Sie die Schritte 3 bis 7 für alle AD-Repositorys, die von DRA verwaltet werden.
Klicken Sie für jedes Repository auf der Repository-Seite auf Jetzt synchronisieren, um es mit dem AAF-Server zu synchronisieren.
Eine Authentifizierungskette enthält mindestens eine Authentifizierungsmethode. Die Methoden in der Kette werden in der Reihenfolge aufgerufen, in der Sie zur Kette hinzugefügt wurden. Um sich zu authentifizieren, muss ein Benutzer alle Methoden der Kette durchlaufen. Sie können beispielsweise eine Kette erstellen, die die LDAP-Passwort-Methode und die SMS-Methode umfasst. Wenn sich ein Benutzer mit dieser Kette authentifizieren möchte, muss er sich zunächst mit dem LDAP-Passwort authentifizieren. Anschließend wird eine Textnachricht mit einem Einmalpasswort an das Mobiltelefon des Benutzers gesendet. Nach Eingabe des Einmalpassworts sind alle Methoden in der Kette erfüllt und die Authentifizierung erfolgt. Eine Authentifizierungskette kann einem bestimmten Benutzer oder einer bestimmten Gruppe zugewiesen werden.
So erstellen Sie eine Authentifizierungskette:
Melden Sie sich mit einem Benutzernamen mit Administratorberechtigungen und dem entsprechenden Passwort beim AAF-Administrationsportal an.
Klicken Sie im linken Bereich auf Ketten. Im rechten Bereich wird eine Liste der zurzeit verfügbaren Ketten angezeigt.
Klicken Sie auf Hinzufügen.
Füllen Sie das Formular aus. Alle Felder müssen ausgefüllt werden.
WICHTIG:Fügen Sie die Methoden in der Reihenfolge hinzu, in der sie aufgerufen werden sollen. Wenn die Benutzer beispielsweise zuerst ein LDAP-Passwort eingeben sollen, fügen Sie die LDAP-Passwort-Methode als erste Methode zur Kette hinzu.
WICHTIG:Stellen Sie sicher, dass der Schalter Anwenden, wenn von Endgeräteigentümer verwendet ausgeschaltet ist.
Setzen Sie den Schalter Ist aktiviert auf EIN.
Geben Sie die Namen der Rollen oder Gruppen, die dieser Authentifizierungsanforderung unterliegen sollen, in das Feld Rollen und Gruppen ein.
TIPP:Wenn die Kette für alle Benutzer gelten soll, geben Sie alle Benutzer in das Feld Rollen und Gruppen ein und wählen Sie Alle Benutzer aus der angezeigten Dropdown-Liste aus.
Alle Benutzer und Gruppen, die Sie auswählen, werden unter dem Feld Rollen und Gruppen hinzugefügt.
Klicken Sie auf Speichern.
Ein Authentifizierungsereignis wird durch eine Anwendung ausgelöst (in diesem Fall von der Webkonsole), die einen Benutzer authentifizieren möchte. Einem Ereignis muss mindestens eine Authentifizierungskette zugewiesen sein, damit beim Auslösen des Ereignisses die Methoden der mit dem Ereignis verknüpften Kette aufgerufen werden und der Benutzer sich authentifizieren kann.
Ein Endgerät ist das eigentliche Gerät (zum Beispiel ein Computer oder ein Smartphone), auf dem die Software ausgeführt wird, die das Authentifizierungsereignis auslöst. DRA registriert das Endgerät bei AAF, nachdem Sie ein Ereignis erstellt haben.
Über das Feld der Endgeräte-Positivliste können Sie den Zugriff auf ein Ereignis auf bestimmte Endgeräte beschränken. Alternativ können Sie zulassen, dass alle Endgeräte auf das Ereignis zugreifen können.
So erstellen Sie ein Authentifizierungsereignis:
Melden Sie sich mit einem Benutzernamen mit Administratorberechtigungen und dem entsprechenden Passwort beim AAF-Administrationsportal an.
Klicken Sie im linken Bereich auf Ereignisse. Im rechten Bereich wird eine Liste der zurzeit verfügbaren Ereignisse angezeigt.
Klicken Sie auf Hinzufügen.
Füllen Sie das Formular aus. Alle Felder müssen ausgefüllt werden.
WICHTIG:Stellen Sie sicher, dass der Schalter Ist aktiviert auf EIN festgelegt ist.
Wenn Sie den Zugriff auf bestimmte Endgeräte beschränken möchten, wechseln Sie zum Bereich der Endgeräte-Positivliste und verschieben Sie die gewünschten Ziel-Endgeräte aus der Liste Verfügbar zur Liste Verwendet.
TIPP:Wenn die Liste Verwendet keine Endgeräte enthält, ist das Ereignis für alle Endgeräte verfügbar.
Nachdem Sie Ketten und Ereignisse konfiguriert haben, können Sie sich als Administrator bei der Webkonsole anmelden und Advanced Authentication aktivieren.
Nachdem die Authentifizierung aktiviert ist, muss sich jeder Benutzer über AAF authentifizieren, bevor er Zugriff auf die Webkonsole erhält.
WICHTIG:Bevor Sie die Webkonsole aktivieren, müssen Sie bereits bei den Authentifizierungsmethoden registriert sein, die von der Webkonsole zur Authentifizierung der Benutzer verwendet wird. Weitere Informationen zum Registrieren der Authentifizierungsmethoden finden Sie im Advanced Authentication Framework User Guide (Advanced Authentication Framework-Benutzerhandbuch).
Um Advanced Authentication zu aktivieren, melden Sie sich bei der Webkonsole an und navigieren Sie zu Administration > Konfiguration > Advanced Authentication. Aktivieren Sie das Kontrollkästchen Aktiviert und konfigurieren Sie das Formular gemäß den Anweisungen, die für jedes Feld angegeben sind.
TIPP:Nachdem Sie die Konfiguration gespeichert haben, wird das Endgerät in AAF erstellt. Um ein Endgerät anzuzeigen oder zu bearbeiten, melden Sie sich mit einem Benutzernamen mit Administratorberechtigungen und dem entsprechenden Passwort am AAF-Administrationsportal an und klicken Sie im linken Bereich auf Endgeräte.
Melden Sie sich mit einem Benutzernamen mit Administratorberechtigungen und dem entsprechenden Passwort am AAF-Administrationsportal an und klicken Sie im linken Bereich auf Ereignisse.
Bearbeiten Sie jedes Webkonsolenereignis:
Öffnen Sie das Ereignis zur Bearbeitung.
Wechseln Sie zum Bereich mit der Endgeräte-Positivliste und verschieben Sie das Endgerät, das Sie beim Konfigurieren der Webkonsole erstellt haben, aus der Liste Verfügbar zur Liste Verwendet. So stellen Sie sicher, dass nur die Webkonsole diese Ereignisse verwenden kann.
Klicken Sie auf Speichern.