Эта статья объясняет, как настроить Клиент так, чтобы он полагался на учетные данные Windows пользователя для аутентификации.
Для удаленного доступа реализация вашей политики безопасности требует успешной аутентификации пользователей в Клиенте. Обеспечение бесшовной аутентификации повышает безопасность вашей сети и создает простой пользовательский опыт. Для пользователей, которые аутентифицируются через SSO, можно настроить Клиент для использования их учетных данных Windows для аутентификации. Это позволяет пользователям входить в систему один раз на их устройстве, без необходимости повторного ввода учетных данных при подключении к Клиенту. Аутентификация может происходить автоматически или быть инициирована пользователем. В этом процессе выдается Основной токен обновления (PRT), который Клиент Cato получает для аутентификации пользователя. После истечения сессии SSO и если токен PRT действителен, Клиент тихо переаутентифицируется с помощью учетных данных Windows, поддерживая бесшовный процесс входа и переаутентификации.
Если вы настроите эту функцию вместе с ключом реестра Windows для автоматического запуска Клиента после первоначальной установки и Подключаться при загрузке, то Клиент всегда запускается, аутентифицируется и подключается без какого-либо действия со стороны пользователя.
Примечание
Примечание: Записи реестра могут учитывать регистр и должны быть введены точно так, как они представлены в этой статье.
Компания ABC хочет предоставить пользователям простой пользовательский опыт, чтобы они могли подключаться к Cato с минимальным количеством кликов. Для этого они хотят автоматизировать процесс аутентификации Клиента. Это означает, что для подключения к Cato пользователям нужно всего лишь открыть Клиент и нажать Подключиться.
Администратор настраивает параметры SSO Cato так, чтобы автоматически использовать учетные данные Windows пользователя для аутентификации.
Каждый раз, когда пользователи входят на свое устройство, даже если SSO-токен истек, Клиент может подключиться к сети без необходимости дополнительной аутентификации от пользователя.
Компания ABC хочет быть уверенной, что их пользователи подключены к Клиенту как можно чаще. Для этого они хотят автоматизировать процесс подключения Клиента, чтобы новые и существующие пользователи не должны были помнить о необходимости вручную нажимать кнопку Подключиться в Клиенте.
Администратор настраивает эти Настройки:
- Чтобы Клиент запускался сразу для новых пользователей при первом включении устройства, они определяют ключ реестра Windows на устройстве.
- Чтобы Клиент подключался каждый раз при загрузке устройства, они включают Подключаться при загрузке.
- Чтобы убрать необходимость ручной аутентификации пользователя, они включают Автоматическую аутентификацию Клиента для использования учетных данных Windows пользователя.
Каждый раз, когда пользователи входят на свое устройство, Клиент запускается, аутентифицируется и подключается без какого-либо действия со стороны пользователя.
Примечание
Примечание: Если Azure не может предоставить токен аутентификации для пользователя, конечный пользователь следует стандартному процессу аутентификации, вводя учетные данные Azure в Клиенте.
-
Аутентификация с использованием учетных данных Windows поддерживается:
- На Клиенте для Windows версии 5.8 и выше.
- На устройствах под управлением Windows 10 или выше.
- На устройствах, присоединенных к Azure AD (гибридное AD присоединение поддерживается с Клиента версии 5.11 и выше).
- С Azure, настроенным как поставщик SSO для вашей учетной записи, и пользователям разрешено входить с SSO.
- Сопоставление OID и SID настроено (для получения дополнительной информации см. документацию Microsoft).
- Клиент может получить токен PRT. Если токен PRT не может быть получен, возможно, пользователю потребуется вручную аутентифицироваться или повторно аутентифицироваться в Windows. Для устранения проблем с токеном PRT см. документацию Microsoft.
Эта функция включена в вашей конфигурации SSO Azure. Как только вы ее включите, вы можете выбрать качество работы пользователя.
Аутентификация с учетными данными Windows:
- В меню навигации нажмите Доступ > Единый вход.
- В разделе Пользователи SDP клиента выберите Вход с учетными данными Windows.
-
Настройте качество работы пользователя из выпадающего меню:
- Автоматически: Клиент автоматически использует учетные данные Windows для аутентификации.
- Выбор пользователя: Пользователь должен подтвердить аутентификацию с помощью учетных данных Windows, однако повторный ввод не требуется, или он может выбрать аутентификацию как другой пользователь.
-
Нажмите Сохранить.
Пользователи теперь аутентифицируются в Cato с помощью Windows учетных данных. Новые пользователи автоматически аутентифицируются с их Windows учетными данными. Настроенные пользователи автоматически аутентифицируются в следующий раз, когда истекает срок действия сеанса SSO.
Примечание
Примечание: Если на устройстве настроено несколько пользователей, только пользователь, настроенный в Клиенте, может аутентифицироваться с их Windows учетными данными.
Вы можете настроить аутентификацию с помощью учетных данных Windows вместе с другими функциями для создания бесшовного пользовательского опыта. Это означает, что Клиент запускается, аутентифицируется и подключается без каких-либо действий со стороны пользователя.
После настройки ключей реестра Windows перезагрузите устройство.
Определите имя своей учетной записи Cato, как оно отображается в CMA, используя ключ реестра Windows SubdomainForSeamlessAuth. Вы можете определить поддомен для своей учетной записи на странице Доступ > Единовременный вход. После успешного выполнения Клиентом начальной аутентификации в облаке Cato реестр автоматически обновляется
Определите ключ реестра Windows LaunchAuthPageOnStartup, чтобы автоматически запускать Клиент после первоначальной установки. Эта функция предназначена для новых пользователей при первом входе на их устройство.
Вы можете включить Подключаться при загрузке в Приложении Управления Cato для всей учетной записи, чтобы Клиенты всегда подключались каждый раз при загрузке устройства. Эта функция настроена для пользователей, чтобы принудительно подключать Клиент без каких-либо действий пользователя.
Для аккаунтов, которые хотят включить Подключаться при загрузке только для специфических пользователей, вы можете определить ключ реестра ConnectOnBoot на устройствах для требуемых пользователей.
Если пользователю необходимо выполнить дополнительные шаги аутентификации, например, MFA, требуется ключ реестра SeamlessAuthAllowUI, чтобы позволить пользователям вручную аутентифицироваться.
Если конфигурация вашей SSO Срок действия токена установлена на Всегда запрашивать и вы включаете аутентификацию с учетными данными Windows, Клиент тихо аутентифицируется с учетными данными Windows пользователей без какого-либо запроса.
0 комментариев
Войдите в службу, чтобы оставить комментарий.