第 8 章配置 URL 访问控制

本章介绍如何用 Sun™ ONE Identity Server 管理控制台中“SRA 配置”下的“访问列表”来允许或拒绝最终用户通过网关访问特定 URL。



注意	单击 Identity Server 管理控制台右上角的“文档”，然后单击“SRA 帮助”以获取所有 Secure Remote Access 属性的快速参考。

以管理员身份登录到 Identity Server 管理控制台。

在管理控制台中，选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。



注意	当您安装 Secure Remote Access 时，“访问列表”服务在默认情况下对所有用户均不可用。该服务仅适用于安装过程期间在默认情况下创建的 amadmin 用户。不具有此项服务的其它用户将无法通过网关访问桌面。以 amadmin 身份登录，并将此项服务分配给所有用户。

设置 URL 拒绝列表

网关在检查“URL 允许列表”之前要先检查“URL 拒绝列表”。

设置 URL 拒绝列表

以管理员身份登录到 Identity Server 管理控制台。

选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。

在“URL 拒绝列表”字段中指定希望拒绝通过网关访问的 URL。输入 URL 的格式为：

http://abc.siroe.com

单击“添加”。

该 URL 被添加到“URL 拒绝列表”。

也可使用正则表达式，如 http://*.siroe.com。在这种情况下，用户不能访问 siroe.com 域的所有主机。

单击“保存”记录更改。

设置 URL 允许列表

可指定最终用户可通过网关访问的所有 URL。默认情况下，此列表有一通配条目 (*)，表示可以访问所有 URL。如果要允许访问所有 URL，仅限制访问特定 URL，可将受限 URL 添加到“URL 拒绝列表”中。用同样的方法，如果希望仅允许访问特定 URL，则将“URL 拒绝列表”留为空白，在“URL 允许列表”中指定所需的 URL。

网关在检查“URL 允许列表”之前要先检查“URL 拒绝列表”。

设置 URL 允许列表

以管理员身份登录到 Identity Server 管理控制台。

选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。

在“URL 允许列表”字段中指定希望允许通过网关访问的 URL。输入 URL 的格式为：

http://abc.siroe.com

单击“添加”。

该 URL 被添加到“URL 允许列表”。



注意	默认情况下，“URL 允许列表”具有一个 *，它表示可通过网关访问所有的 URL。

单击“保存”记录更改。

管理单点登录

Secure Remote Access 中的“访问列表”服务允许您控制各个主机的单点登录功能。但要使单点登录功能可用，必须在网关服务中启用“启用 HTTP 基本验证”选项。请参阅“启用 HTTP 和 HTTPS 连接”。

通过“访问列表”服务，可禁用某些主机的单点登录功能。这意味着最终用户在每次连接到需要 HTTP 基本验证的主机时都需要进行验证，除非为每一会话启用单点登录。

如果已禁用某台主机的单点登录，用户可在单一 Portal Server 会话中重新连接到该主机。例如，假定已禁用至 abc.sesta.com 的单点登录。第一次连接到此站点时，需要对用户进行验证。用户可以浏览其它页面，并稍后返回此页面，而且如果这些页面在同一 Portal Server 会话中，则无需验证。

禁用主机的 SSO

以管理员身份登录到 Identity Server 管理控制台。

选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。

在 SSO 被禁用的“主机”中指定要禁用 SSO 的主机。

以 abc.siroe.com 格式指定主机名称。

单击“添加”。

该主机名被添加到列表。

单击“保存”记录更改。

为每个会话启用 SSO

以管理员身份登录到 Identity Server 管理控制台。

选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。

选中“为每一会话启用 SSO”复选框以启用会话的单点登录。

单击“保存”记录更改。

指定验证级别

以管理员身份登录到 Identity Server 管理控制台。

选择“服务配置”标签。

在“SRA 配置”下，单击“访问列表”旁边的箭头。

会显示“访问列表”页面。

滚动到“允许的验证级别”字段。

输入允许的验证。用星号可允许所有级别。

单击“保存”记录更改。

自定义访问列表界面

在 Identity Server 管理控制台中编辑访问列表属性文件以更改访问列表用户界面中的标签。编辑该文件：