È possibile configurare la Console Web per l'autenticazione tramite smart card o l'autenticazione multifattore, come anche personalizzare il branding con il logo e il titolo dell'applicazione desiderati.
È possibile avviare la Console Web da qualsiasi computer, dispositivo iOS o Android dotato di un browser Web. Per avviare la Console, specificare l'URL appropriato nel campo dell'indirizzo del browser Web. Ad esempio, se il componente Web è installato nel computer HOUserver, digitare https://HOUserver/draclient nel campo dell'indirizzo del browser Web.
NOTA:per visualizzare nella Console Web l'account corrente e le informazioni più recenti di Microsoft Exchange, impostare il browser Web affinché verifichi se sono presenti versioni più recenti delle pagine memorizzate nella cache a ogni apertura.
È possibile definire un incremento di tempo affinché la console Web esegua automaticamente il logout dopo un determinato periodo di inattività, oppure impostare di non eseguire mai il logout automatico.
Per configurare il logout automatico nella console Web, accedere ad Amministrazione > Configurazione > Logout automatico.
È possibile configurare una delle tre opzioni disponibili nella Console Web per definire le opzioni di connessione al server DRA quando si esegue il login. Dopo aver effettuato la configurazione, la connessione è la medesima sia per gli amministratori che per gli amministratori aggiunti nel pannello a discesa Opzioni quando si esegue il login alla Console Web.
Utilizzare sempre l'ubicazione di default del server DRA (Sempre)
Non utilizzare l'ubicazione del server DRA di default (Mai)
Utilizzare l'ubicazione del server DRA di default solo se è selezionata (Solo se selezionata)
Di seguito è descritto il comportamento determinato da ciascuna opzione quando si esegue il login:
|
Configurazione della connessione |
Schermata di login - Opzioni |
Descrizioni opzione di connessione |
|---|---|---|
|
Sempre |
Nessuna |
Le configurazioni delle opzioni sono disabilitate |
|
Mai |
Usa rilevazione automatica |
Consente di individuare automaticamente un server DRA; non è disponibile alcuna opzione di configurazione. |
|
Connetti a un server DRA specifico |
L'utente configura il server e la porta |
|
Connetti a un server DRA che gestisce un dominio specifico |
L'utente specifica un dominio gestito e sceglie un'opzione di connessione:
|
|
Solo se selezionata |
Usa rilevazione automatica |
Consente di individuare il server DRA automaticamente; non è disponibile alcuna opzione di configurazione. |
|
Connetti al server DRA di default |
Il server di default è selezionato e la configurazione del server DRA è disabilitata |
|
Connetti a un server DRA specifico |
L'utente configura il server e la porta |
|
Connetti a un server DRA che gestisce un dominio specifico |
L'utente specifica un dominio gestito e sceglie un'opzione di connessione:
|
Per configurare la connessione al server DRA nella console Web, accedere ad Amministrazione > Configurazione > Connessione server DRA.
La configurazione della connessione al servizio REST include l'impostazione dell'ubicazione di un server di default e un timeout di connessione in secondi. È possibile configurare una delle tre opzioni disponibili nella Console Web per definire le opzioni di connessione al servizio REST quando si esegue il login. Dopo aver effettuato la configurazione, la connessione è la medesima sia per gli amministratori che per gli amministratori aggiunti nel pannello a discesa Opzioni quando si esegue il login alla Console Web.
Utilizzare sempre l'ubicazione di default del servizio REST (Sempre)
Non utilizzare l'ubicazione di default del servizio REST (Mai)
Utilizzare l'ubicazione del servizio REST di default solo se è selezionata (Solo se selezionata)
Di seguito è descritto il comportamento determinato da ciascuna opzione durante il login:
|
Configurazione della connessione |
Schermata di login - Opzioni |
Descrizioni opzione di connessione |
|---|---|---|
|
Sempre |
Nessuna |
Le configurazioni delle opzioni sono disabilitate |
|
Mai |
Usa rilevazione automatica |
Consente di individuare il server REST automaticamente; non è disponibile alcuna opzione di configurazione. |
|
Connetti a un server REST specifico |
L'utente configura il server e la porta |
|
Connetti a un server REST in un dominio specifico |
L'utente specifica un dominio gestito e sceglie un'opzione di connessione:
|
|
Solo se selezionata |
Usa rilevazione automatica |
Consente di individuare il server REST automaticamente; non è disponibile alcuna opzione di configurazione |
|
Connetti al server REST di default |
Il server REST di default è selezionato e la configurazione del server REST è disabilitata |
|
Connetti a un server REST specifico |
L'utente configura il server e la porta |
|
Connetti a un server REST in un dominio specifico |
L'utente specifica un dominio gestito e sceglie un'opzione di connessione:
|
Per configurare la connessione al servizio REST nella Console Web, passare ad Amministrazione > configurazione > Connessione servizio REST.
In questa sezione sono riportate informazioni per la configurazione dell'autenticazione con smart card, l'autenticazione di Windows e l'autenticazione multifattori tramite l'integrazione con Advanced Authentication.
Per configurare la Console Web affinché accetti un utente in base alle credenziali client provenienti dalla sua smart card, è necessario configurare Internet Information Services (IIS) e il file di configurazione dei servizi REST.
IMPORTANTE:assicurarsi che i certificati nella smart card siano stati installati anche nell'archivio radice dei certificati nel server Web, in quanto IIS deve essere in grado di trovare i certificati corrispondenti a quelli della card.
Installare i componenti di autenticazione nel server Web.
Avviare Server Manager.
Fare clic su Server Web (IIS).
Spostarsi nella sezione Servizi ruolo e fare clic su Aggiungi servizi ruolo.
Passare al nodo dei servizi Ruolo di sicurezza, selezionare Autenticazione di Windows e successivamente Autenticazione mapping certificati client.
Abilitare l'autenticazione nel server Web.
Avviare Gestione IIS.
Selezionare il server Web.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione certificati client Active Directory" e "Autenticazione di Windows".
Configurare il client DRA.
Selezionare il client DRA.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione di Windows" e disabilitare "Autenticazione anonima".
Abilitare i certificati SSL e client nel client DRA.
Individuare l'icona Servizi SSL nella sezione IIS e fare doppio clic su di essa.
Selezionare Richiedi SSL e successivamente Richiedi in Certificati client.
SUGGERIMENTO:se l'opzione è disponibile, selezionare Richiedi SSL a 128 bit.
Configurare l'applicazione Web dei servizi REST.
Selezionare l'applicazione Web dei servizi REST.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione di Windows" e disabilitare "Autenticazione anonima".
Abilitare SSL e i certificati client nell'applicazione Web dei servizi REST.
Individuare l'icona Servizi SSL nella sezione IIS e fare doppio clic su di essa.
Selezionare Richiedi SSL e successivamente Richiedi in Certificati client.
SUGGERIMENTO:se l'opzione è disponibile, selezionare Richiedi SSL a 128 bit.
Configurare il file del servizio Web WCF.
Selezionare l'applicazione Web dei servizi REST e passare a Visualizzazione contenuto.
Individuare il file .svc e fare clic su di esso con il pulsante destro del mouse.
Selezionare Passa a visualizzazione funzionalità.
Individuare l'icona Autenticazione nella sezione IIS e fare doppio clic su di essa.
Abilitare "Autenticazione anonima" e disabilitare tutti gli altri metodi di autenticazione.
Modificare il file di configurazione dei servizi REST.
Aprire il file C:\inetpub\wwwroot\DRAClient\rest\web.config utilizzando un editor di testo.
Individuare la riga <authentication mode="None" /> ed eliminarla.
Rimuovere il commento dalle righe specificate di seguito:
Al di sotto della riga <system.serviceModel>:
<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>
Al di sotto della riga <serviceDebug includeExceptionDetailInFaults="false"/>:
<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>
Al di sopra della riga <serviceHostingEnvironment multipleSiteBindingsEnabled="true" />:
<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>
Salvare il file e riavviare il server IIS.
Per abilitare l'autenticazione di Windows nella Console Web, è necessario configurare Internet Information Services (IIS) e il file di configurazione dei servizi REST.
Aprire Gestione IIS.
Nel pannello Connessioni, individuare l'applicazione Web dei servizi REST e selezionarla.
Nel riquadro a destra, passare alla sezione IIS e fare doppio clic su Autenticazione.
Abilitare Autenticazione di Windows e disabilitare tutti gli altri metodi di autenticazione.
Utilizzare un editor di testo per aprire il file C:\inetpub\wwwroot\DRAClient\rest\web.config e individuare la riga <authentication mode="None" />.
Modificare "None" impostando "Windows" e salvare il file.
Riavviare il server IIS.
Advanced Authentication Framework (AAF) è il nostro pacchetto software di punta che permette di andare oltre i semplici nome utente e password per adottare un metodo più sicuro di protezione delle informazioni sensibili mediante l'autenticazione multifattori.
Advanced Authentication supporta i protocolli di comunicazione seguenti per la sicurezza:
TLS 1.2 (impostazione di default), TLS 1.1, TLS 1.0
SSL 3.0
L'autenticazione multifattori è un sistema di controllo dell'accesso ai computer che verifica l'identità dell'utente mediante più metodi di autenticazione che utilizzano categorie differenti di credenziali.
I tipi di categorie o fattori di autenticazione sono tre:
Conoscenza. Questa categoria impone la conoscenza di un'informazione specifica, ad esempio una password o un codice di attivazione.
Possesso. Questa categoria impone il possesso di un dispositivo di autenticazione, ad esempio una smart card o uno smartphone.
Corpo. Questa categoria impone l'utilizzo di una parte del corpo, ad esempio l'impronta digitale, come metodo di verifica.
Ogni fattore di autenticazione contiene almeno un metodo di autenticazione. Un metodo di autenticazione è una tecnica specifica che si utilizza per stabilire l'identità dell'utente, ad esempio mediante un'impronta digitale o una password.
Un processo di autenticazione può essere considerato avanzato se utilizza più tipi di metodi di autenticazione, ad esempio se richiede una password e un'impronta digitale.
Advanced Authentication supporta i metodi di autenticazione seguenti:
Password LDAP
Remote Authentication Dial-In User Service (RADIUS)
Smartphone
SUGGERIMENTO:per utilizzare il metodo Smartphone l'utente deve effettuare il download di un'app iOS o Android. Per ulteriori informazioni, vedere la Advanced Authentication - Smartphone Applications User Guide (Advanced Authentication - Guida dell'utente delle applicazioni per smartphone), disponibile sul sito Web della documentazione di NetIQ.
Le informazioni riportate nelle sezioni seguenti consentono di configurare la Console Web per l'utilizzo dell'autenticazione multifattori.
IMPORTANTE:sebbene alcuni dei passaggi descritti nelle sezioni seguenti si eseguano all'interno della Console Web, la maggior parte del processo di configurazione dell'autenticazione multifattori si effettua mediante AAF. Queste procedure presuppongono che AFF sia già stato installato e che la documentazione della guida in linea di AAF sia accessibile.
Il primo passaggio per configurare la Console Web affinché utilizzi l'autenticazione multifattori consiste nell'aggiungere ad AFF tutti i domini Active Directory che contengono gli amministratori di DRA e gli amministratori aggiunti gestiti da DRA. Questi domini sono denominati archivi e contengono gli attributi di identità degli utenti e dei gruppi che si desidera autenticare.
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Spostarsi nel pannello a sinistra e fare clic su Archivi.
Fare clic su Aggiungi.
Compilare il modulo.
SUGGERIMENTO:Tipo LDAP è AD.
SUGGERIMENTO:digitare nome utente e password di un livello amministrativo nei campi corrispondenti.
Fare clic su Add server (Aggiungi server).
Digitare l'indirizzo IP del server LDAP nel campo Indirizzo.
Fare clic su Salva.
Ripetere i passaggi da 3 a 7 per tutti gli altri archivi AD gestiti da DRA.
Per ogni archivio elencato nella pagina Archivi, fare clic su Sincronizza ora per eseguire la sincronizzazione con il server AAF.
Una catena di autenticazione è costituita da almeno un metodo di autenticazione. I metodi della catena vengono richiamati nell'ordine in cui sono stati aggiunti alla catena stessa. Affinché un utente possa eseguire l'autenticazione, deve superare tutti i metodi della catena. Ad esempio, è possibile creare una catena contenente i metodi Password LDAP ed SMS. Quando un utente tenta di eseguire l'autenticazione mediante questa catena, deve innanzitutto eseguire l'autenticazione utilizzando la password LDAP e, successivamente, riceverà un SMS sul proprio cellulare con una password OTP. Immettendo la password, avrà soddisfatto i requisiti di tutti i metodi della catena e l'autenticazione avrà esito positivo. Le catene di autenticazione possono essere assegnate a un utente specifico o a un gruppo.
Per creare una catena di autenticazione:
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Aprire il pannello a sinistra e fare clic su Catene. Nel pannello a destra viene visualizzato l'elenco delle catene attualmente disponibili.
Fare clic su Aggiungi.
Compilare il modulo. Tutti i campi sono obbligatori.
IMPORTANTE:aggiungere i metodi nell'ordine in cui devono essere richiamati, vale a dire che se si desidera che l'utente immetta prima di tutto una password LDAP, aggiungere Password LDAP come primo elemento della catena.
IMPORTANTE:verificare che lo switch Applica se utilizzata da proprietario endpoint sia impostato su OFF.
Impostare È abilitato su ON.
Digitare i nomi dei ruoli o dei gruppi oggetto della richiesta di autenticazione nel campo Ruoli e gruppi.
SUGGERIMENTO:se si desidera che la catena venga applicata a tutti gli utenti, digitare tutti gli utenti nel campo Ruoli e gruppi e selezionare All Users (Tutti gli utenti) nell'elenco a discesa risultante.
Tutti gli eventuali utenti o gruppi selezionati vengono aggiunti sotto il campo Ruoli e gruppi.
Fare clic su Salva.
Gli eventi di autenticazione vengono attivati da un'applicazione, in questo caso la Console Web, che intende autenticare un utente. È necessario assegnare all'evento almeno una catena di autenticazione, affinché quando l'evento viene attivato, i metodi della catena associata all'evento vengano richiamati per autenticare l'utente.
Un endpoint è un dispositivo reale, ad esempio un computer o uno smartphone, in cui viene eseguito il software che attiva l'evento di autenticazione. Dopo aver creato l'evento, DRA registra l'endpoint in AAF.
È possibile utilizzare la casella della white list Endpoint per limitare l'accesso a un evento a endpoint specifici, oppure è possibile consentire a tutti gli endpoint di accedere all'evento.
Per creare un evento di autenticazione:
Eseguire il login al portale di amministrazione di AAF con nome utente e password di livello amministrativo.
Aprire il pannello a sinistra e fare clic su Eventi. Nel pannello a destra viene visualizzato l'elenco degli eventi attualmente disponibili.
Fare clic su Aggiungi.
Compilare il modulo. Tutti i campi sono obbligatori.
IMPORTANTE:verificare che lo switch È abilitato sia impostato su ON.
Se si desidera limitare l'accesso a endpoint specifici, aprire la sezione della white list Endpoint e spostare gli endpoint desiderati dall'elenco Disponibili all'elenco Utilizzati.
SUGGERIMENTO:se non sono presenti endpoint nell'elenco Utilizzati, l'evento sarà disponibile per tutti gli endpoint.
Dopo aver configurato le catene e gli eventi è possibile eseguire il login alla Console Web come amministratore e abilitare Advanced Authentication.
Dopo aver eseguito l'abilitazione, tutti gli utenti dovranno effettuare l'autenticazione tramite AAF per poter accedere alla Console Web.
IMPORTANTE:prima di abilitare la Console Web è necessario aver eseguito la registrazione nei metodi di autenticazione che la Console Web utilizzerà per autenticare gli utenti. Per indicazioni su come eseguire la registrazione dei metodi di autenticazione, vedere la Advanced Authentication - Tenant Administration Guide (Advanced Authentication - Guida all'amministrazione dei tenant).
Per abilitare Advanced Authentication, eseguire il login alla Console Web e passare ad Amministrazione > Configurazione > Advanced Authentication. Selezionare la casella di controllo Abilitato e configurare il modulo in base alle istruzioni fornite per ciascun campo.
SUGGERIMENTO:dopo aver salvato la configurazione, l'endpoint viene creato in AAF. Per visualizzarlo o modificarlo, eseguire il login al portale di amministrazione di AAF con un nome utente e una password di livello amministrativo e fare clic su Endpoint nel riquadro a sinistra.
Eseguire il login al portale di amministrazione di AAF con un nome utente e una password di livello amministrativo e fare clic su Eventi nel riquadro a sinistra.
Per modificare gli eventi della Console Web:
Aprire l'evento per la modifica.
Passare alla sezione della white list Endpoint e spostare l'endpoint creato durante la configurazione della Console Web dall'elenco Disponibili all'elenco Utilizzati. In questo modo solo la Console Web potrà utilizzare tali eventi.
Fare clic su Salva.