6.6 配置 Web 客户端

您可以将 Web 控制台配置为使用智能卡或多因子鉴定进行鉴定，还可以使用您自己的徽标和应用程序标题自定义品牌。

6.6.1 启动 Web 控制台

您可以从运行 Web 浏览器的任何计算机、iOS 设备或 Android 设备启动 Web 控制台。要启动控制台，请在 Web 浏览器地址字段中指定相应的 URL。例如，如果在 HOUserver 计算机上安装了 Web 组件，请在 Web 浏览器的地址字段中键入 https://HOUserver/draclient。

注：要在 Web 控制台中显示最新帐户和 Microsoft Exchange 信息，请将 Web 浏览器设置为每次访问时检查超速缓存页的较新版本。

6.6.2 自动注销

您可以定义 Web 控制台在不活动后自动注销的时间增量，或将其设置为永远不会自动注销。

要在 Web 控制台中配置自动注销，请导航到管理 > 配置 > 自动注销。

6.6.3 DRA 服务器连接

在 Web 控制台中，可任选一种登录时 DRA 服务器的连接方式。配置完成后，登录到 Web 控制台时，选项下拉面板中的连接配置对于管理员和助理管理员均相同。

始终使用默认 DRA 服务器位置（始终）
从不使用默认 DRA 服务器位置（从不）
仅限于选中时使用默认 DRA 服务器位置（仅限于选中）

登录时每个选项的行为如下所述：

连接配置	登录屏幕 - 选项	连接选项说明
始终	无	禁用选项配置
从不	使用自动发现	自动查找 DRA 服务器；没有可用的配置选项
	连接到特定 DRA 服务器	用户可配置服务器和端口
	连接到管理特定域的服务器	用户提供受管域并选择连接选项：使用自动发现（在提供的域中）此域的主服务器搜索 DRA 服务器（在提供的域中）
仅限于选中	使用自动发现	自动查找 DRA 服务器；没有可用的配置选项
	连接到默认 DRA 服务器	选择默认服务器并禁用 DRA 服务器配置
	连接到特定 DRA 服务器	用户可配置服务器和端口
	连接到管理特定域的服务器	用户提供受管域并选择连接选项：使用自动发现（在提供的域中）此域的主服务器搜索 DRA 服务器（在提供的域中）

要在 Web 控制台中配置 DRA 服务器连接，请导航到管理 > 配置 > DRA 服务器连接。

6.6.4 REST 服务器连接

REST 服务连接的配置包括设置默认服务器位置和连接超时（以秒为单位）。在 Web 控制台中，可任选一种登录时 REST 服务的连接方式。配置完成后，登录到 Web 控制台时，选项下拉面板中的连接配置对于管理员和助理管理员均相同。

始终使用默认 REST 服务位置（始终）
从不使用默认 REST 服务位置（从不）
仅限于选中时使用默认 REST 服务位置（仅限于选中）

登录时每个选项的行为如下所述：

连接配置	登录屏幕 - 选项	连接选项说明
始终	无	禁用选项配置
从不	使用自动发现	自动查找 REST 服务器；没有可用的配置选项
	连接到特定 REST 服务器	用户可配置服务器和端口
	连接到特定域中的 REST 服务器	用户提供受管域并选择连接选项：使用自动发现（在提供的域中）搜索 REST 服务器（在提供的域中）
仅限于选中	使用自动发现	自动查找 REST 服务器；没有可用的配置选项
	连接到默认 REST 服务器	选择默认 REST 服务器并禁用 REST 服务器配置
	连接到特定 REST 服务器	用户可配置服务器和端口
	连接到特定域中的 REST 服务器	用户提供受管域并选择连接选项：使用自动发现（在提供的域中）搜索 REST 服务器（在提供的域中）

要在 Web 控制台中配置 REST 服务连接，请导航到管理 > 配置 > REST 服务连接。

6.6.5 鉴定

本节包含有关使用 Advanced Authentication 集成配置智能卡鉴定、Windows 鉴定和多因子鉴定的信息。

智能卡鉴定

要将 Web 控制台配置为基于用户智能卡中的客户端身份凭证接受用户，您必须配置因特网信息服务 (IIS) 和 REST 服务配置文件。

重要说明：确保智能卡上的证书也安装在 Web 服务器上的根证书存储中，因为 IIS 必须能够找到与卡上证书相匹配的证书。

在 Web 服务器上安装鉴定组件。
1. 启动服务器管理器。
2. 单击 Web 服务器 (IIS)。
3. 转到“角色服务”部分，然后单击添加角色服务。
4. 转到“安全角色服务”节点，然后选择 Windows 鉴定和客户端证书映射鉴定。
在 Web 服务器上启用鉴定。
1. 启动 IIS 管理器。
2. 选择您的 Web 服务器。
3. 在 IIS 部分下找到鉴定图标，然后双击图标。
4. 启用“Active Directory 客户端证书鉴定”和“Windows 鉴定”。
配置 DRA 客户端。
1. 选择您的 DRA 客户端。
2. 在 IIS 部分下找到鉴定图标，然后双击图标。
3. 启用“Windows 鉴定”并禁用“匿名鉴定”。
在 DRA 客户端上启用 SSL 和客户端证书。
1. 在 IIS 部分下找到 SSL 服务图标，然后双击图标。
2. 选择需要 SSL，然后在“客户端证书”下选择需要。
  
  提示：如果有选项，请选择需要 128 位 SSL。
配置 REST 服务 Web 应用程序。
1. 选择 REST 服务 Web 应用程序。
2. 在 IIS 部分下找到鉴定图标，然后双击图标。
3. 启用“Windows 鉴定”并禁用“匿名鉴定”。
在 REST 服务 Web 应用程序上启用 SSL 和客户端证书。
1. 在 IIS 部分下找到 SSL 服务图标，然后双击图标。
2. 选择需要 SSL，然后在“客户端证书”下选择需要。
  
  提示：如果有选项，请选择需要 128 位 SSL。
配置 WCF Web 服务文件。
1. 选择您的 REST 服务 Web 应用程序并切换到“内容视图”。
2. 找到 .svc 文件并右键单击。
3. 选择切换到功能视图。
4. 在 IIS 部分下找到鉴定图标，然后双击图标。
5. 启用“匿名鉴定”并禁用所有其他鉴定方法。

编辑 REST 服务配置文件。

使用文本编辑器打开 C:\inetpub\wwwroot\DRAClient\rest\web.config 文件。
找到 <authentication mode="None" /> 行并将其删除。

取消注释以下指定的行：

在 <system.serviceModel> 一行下方：

<services> <service name="NetIQ.DRA.DRARestProxy.RestProxy"> <endpoint address="" binding="webHttpBinding" bindingConfiguration="webHttpEndpointBinding" name="webHttpEndpoint" contract="NetIQ.DRA.DRARestProxy.IRestProxy" /> </service> </services>

在 <serviceDebug includeExceptionDetailInFaults="false"/> 一行下方：

<serviceAuthorization impersonateCallerForAllOperations="true" /> <serviceCredentials> <clientCertificate> <authentication mapClientCertificateToWindowsAccount="true" /> </clientCertificate> </serviceCredentials>

在 <serviceHostingEnvironment multipleSiteBindingsEnabled="true" /> 一行上方：

<bindings> <webHttpBinding> <binding name="webHttpEndpointBinding"> <security mode="Transport"> <transport clientCredentialType="Certificate" /> </security> </binding> </webHttpBinding> </bindings>

保存该文件并重启动 IIS 服务器。

Windows 鉴定

要在 Web 控制台上启用 Windows 鉴定，您必须配置因特网信息服务 (IIS) 和 REST 服务配置文件。

打开“IIS 管理器”。
在“连接”窗格中，找到并选择 REST 服务 Web 应用程序。
在右窗格中，转到 IIS 部分，然后双击鉴定。
启用 Windows 鉴定并禁用所有其他鉴定方法。
使用文本编辑器打开 C:\inetpub\wwwroot\DRAClient\rest\web.config 文件并找到 <authentication mode="None" /> 行。
将 "None" 更改为 "Windows" 并保存文件。
重启动 IIS 服务器。

使用 Advanced Authentication 进行多因子鉴定

Advanced Authentication Framework (AAF) 是我们的首选软件包，可让您超越简单的用户名和口令，以更安全的方式 - 多因子鉴定来保护您的敏感信息。

Advanced Authentication 支持以下安全通信协议：

TLS 1.2（默认设置）、TLS 1.1、TLS 1.0
SSL 3.0

多因子鉴定是一种计算机访问控制方法，需要从不同类别的身份凭证中使用多种鉴定方法来校验用户的身份。

有三种类型的鉴定类别或因子：

知识。此类别要求您了解特定信息，例如口令或激活码。
拥有。此类别要求您拥有鉴定设备，例如智能卡或智能电话。
身体。此类别要求您使用身体的一部分（例如指纹）作为校验方法。

每个鉴定因子至少包含一种鉴定方法。鉴定方法是一种可用于建立用户身份的特定技术，例如使用指纹或需要口令。

如果鉴定过程使用多种鉴定方法 - 例如，如果需要口令和指纹，则可以认为是强鉴定过程。

Advanced Authentication 支持以下鉴定方法：

LDAP 口令
远程鉴定拨入用户服务 (RADIUS)
智能电话

提示：智能电话方法要求用户下载 iOS 或 Android APP。有关更多信息，请参见 Advanced Authentication - Smartphone Applications User Guide（《Advanced Authentication - 智能电话应用程序用户指南》），该指南可从 NetIQ 文档网站中获取。

使用以下章节中的信息将 Web 控制台配置为使用多因子鉴定。

重要说明：虽然以下章节中的有些步骤在 Web 控制台中进行，但大多数多因子鉴定配置过程都需要访问 AAF。这些过程假定您已安装 AAF，并且可以访问 AAF 的帮助文档。

将储存库添加到 Advanced Authentication Framework

配置 Web 控制台以使用多因子鉴定的第一步是将包含由 DRA 管理的 DRA 管理员和助理管理员的所有 Active Directory 域添加到 AAF。这些域称为储存库，它们包含要进行鉴定的用户和组的标识属性。

使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击储存库。
单击添加。
填写表单。

提示：LDAP 类型为 AD。

提示：在相应字段中键入管理员级别的用户名和口令。
单击添加服务器。
在地址字段中键入 LDAP 服务器的 IP 地址。
单击保存。
对 DRA 管理的所有其他 AD 储存库重复步骤 3 到 7。
对于“储存库”页上列出的每个储存库，单击立即同步以将其与 AAF 服务器同步。

创建鉴定链

鉴定链至少包含一种鉴定方法。链中的方法将按照其添加到链中的顺序进行调用。要对用户进行鉴定，用户必须通过链中的所有方法。例如，您可以创建包含 LDAP 口令方法和短信方法的链。当用户尝试使用此链进行鉴定时，必须首先使用其 LDAP 口令进行鉴定，之后用户手机会收到一条包含一次性口令的短信。输入口令后，将完成链中的所有方法，鉴定成功。可以将鉴定链指派给特定用户或组。

要创建鉴定链：

使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击链。右侧面板将显示当前可用链的列表。
单击添加。
填写表单。所有字段均为必填字段。

重要说明：按照调用顺序添加方法 - 也就是说，如果您希望用户先输入 LDAP 口令，则先将 LDAP 口令添加到链中。

重要说明：确保端点拥有者使用时应用开关为“关”。
将已启用切换为“开”。
在角色和组字段中键入要接受鉴定请求的角色或组的名称。

提示：如果要将链应用于所有用户，请在角色和组字段中键入 all users，然后从打开的下拉列表中选择 All Users（所有用户）。

您选择的任何用户或组都将添加到角色和组字段下方。
单击保存。

创建鉴定事件

鉴定事件由应用程序触发，在本例中是希望对用户进行鉴定的 Web 控制台。必须至少为事件指派一个鉴定链，以便在触发事件时，将调用与事件关联的链中的方法以对用户进行鉴定。

端点是运行触发鉴定事件的软件的实际设备，例如计算机或智能电话。创建事件后，DRA 将使用 AAF 注册端点。

您可以使用“端点白名单”框限制特定端点对事件的访问，或者您可以允许所有端点访问事件。

要创建鉴定事件：

使用管理员级别的用户名和口令登录到 AAF 管理门户。
转到左侧面板，然后单击事件。右侧面板将显示当前可用事件的列表。
单击添加。
填写表单。所有字段均为必填字段。

重要说明：确保已启用开关为“开”。
如果要限制对特定端点的访问，请转到“端点白名单”部分，并将目标端点从可用列表移动到已使用列表。

提示：如果已使用列表中没有端点，则该事件将对所有端点可用。

启用 Web 控制台

配置链和事件后，以管理员身份登录 Web 控制台并启用 Advanced Authentication。

启用鉴定后，每个用户都需要通过 AAF 进行鉴定，然后才能访问 Web 控制台。

重要说明：在启用 Web 控制台之前，您必须已注册 Web 控制台将用于对用户进行鉴定的鉴定方法。请参见 Advanced Authentication Framework User Guide（《Advanced Authentication Framework 用户指南》）以了解如何注册鉴定方法。

要启用 Advanced Authentication，登录到 Web 控制台并导航到管理 > 配置 > Advanced Authentication。选中已启用复选框，并根据为每个字段提供的说明配置表单。

提示：保存配置后，将在 AAF 中创建端点。要查看或编辑端点，请使用管理员级别的用户名和口令登录到 AAF 管理门户，然后单击左窗格中的端点。

最后的步骤

使用管理员级别的用户名和口令登录到 AAF 管理门户，然后单击左窗格中的事件。
编辑每个 Web 控制台事件：
1. 打开事件以进行编辑。
2. 转到“端点白名单”部分，并将在配置 Web 控制台时创建的端点从可用列表移动到已使用列表。这将确保只有 Web 控制台才能使用这些事件。
单击保存。