配置AD域远程认证

云堡垒机与AD服务器对接，认证登录系统的用户身份，AD认证的模式包括认证模式和同步模式两种。

• 认证模式

在此模式下，云堡垒机不会同步AD域服务器上的用户信息，需要管理员手工创建用户。当用户登录云堡垒机时，将由AD域服务器提供认证服务。

• 同步模式

在此模式下，云堡垒机可以同步AD域服务器的用户信息，无需管理员新建用户。当用户登录云堡垒机时，由AD域服务器提供认证服务 。

前提条件

用户已获取“系统”模块管理权限。

已获取AD服务器相关信息。

操作步骤

1. 登录云堡垒机系统。
2. 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。

3. 在“AD认证配置”区域，单击“添加”，弹出AD认证配置窗口。
4. 选择AD域认证“模式”为“认证模式”，其他参数的配置如下表。
5. 单击“确认”，返回AD域认证服务器表中，即可查看和管理的AD认证配置信息。

后续管理

• 若需查看配置的AD域认证信息，可单击“详情”，在弹出的AD域详情窗口查看。
• 若需修改认证信息、关闭认证、更换认证模式等，可单击“编辑”，在弹出的AD认证配置窗口重新配置。
• 若不再需要该AD认证，可单击“删除”，删除认证信息。删除后认证信息不能找回，请谨慎操作。

配置LDAP远程认证

云堡垒机与LDAP服务器对接，认证登录系统的用户身份。

本小节主要介绍如何配置LDAP域认证模式。

约束限制

• 不支持一键同步LDAP服务器用户。
• 不能添加两个相同的LDAP配置，即“服务器IP地址+端口+用户OU”不能相同。

前提条件

• 用户已获取“系统”模块管理权限。
• 已获取LDAP服务器相关信息。

操作步骤

1. 登录云堡垒机系统。
2. 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。

3. 单击“确定”，返回LDAP认证服务器表中，即可查看和管理的LDAP认证配置信息。

后续管理

• 若需查看配置的LADP认证信息，可单击“详情”，在弹出的LDAP详情窗口查看。
• 若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的LDAP配置窗口重新配置。
• 若不再需要该LDAP认证，可在单击“删除”，删除认证信息。删除后认证信息不能找回，请谨慎操作。

配置RADIUS远程认证

云堡垒机与RADIUS服务器对接，认证登录系统的用户身份。

本小节主要介绍如何配置RADIUS域认证模式，并可对配置的RADIUS认证进行用户有效性测试。

前提条件

• 用户已获取“系统”模块管理权限。
• 已获取RADIUS服务器相关信息。

操作步骤

1. 登录云堡垒机系统。
2. 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。

3. 在“RADIUS认证配置”区域，单击“编辑”，弹出RADIUS认证配置窗口。

RADIUS域认证模式参数说明

参数	说明
服务器地址	输入RADIUS服务器地址。
状态	选择开启或关闭RADIUS远程认证，默认开启。 开启表示开启RADIUS认证。在配置信息有效情况下，登录系统时启动RADIUS认证。 关闭表示关闭RADIUS认证。
端口	输入RADIUS远程服务器的接入端口，默认1812端口。
认证协议	选择远程认证协议，可选择“PAP”和“CHAP”。
认证共享密钥	输入RADIUS远程服务器的认证密钥。
认证超时	输入RADIUS远程认证超时时间。
用户名	输入RADIUS服务器上用户名，用于测试配置的RADIUS服务器信息是否正确。
密码	输入RADIUS服务器上用户密码，用于测试配置的RADIUS服务器信息是否正确。
测试	单击测试，用于测试配置的RADIUS服务器信息是否正确。

4. 单击“确认”，返回RADIUS认证服务器表中，即可查看和管理的RADIUS认证配置信息。

后续管理

若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的RADIUS配置窗口重新配置。

配置Azure AD远程认证

云堡垒机与Azure AD平台对接，认证登录系统的用户身份。

本小节主要介绍如何配置Azure AD认证模式。

前提条件

• 用户已获取“系统”模块管理权限。
• 已在Azure AD创建用户和添加企业应用程序，并获取Azure AD平台配置的相关信息。

操作步骤

1. 登录云堡垒机系统。
2. 选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。

3. 在“Azure AD认证配置”区域，单击“编辑”，弹出Azure AD认证配置窗口。

Azure AD域认证参数说明

参数	说明
状态	选择开启或关闭Azure AD远程认证，默认开启。 关闭表示开启Azure AD认证。在配置信息有效情况下，登录系统时呈现Azure AD认证入口。 开启表示关闭Azure AD认证。
标识符（实体ID）	输入企业名称或URL。
回复URL	自动填写，默认为返回当前云堡垒机的跳转链接。 当云堡垒机IP或域名变更，需同时修改此链接中IP或域名。
应用联合元数据URL	输入在Microsoft Azure中配置SAML签名证书后生成的应用联合元数据URL。
登录URL	输入在Microsoft Azure中配置SAML单一登录后生成的登录URL。
Azure AD标识符	输入在Microsoft Azure中配置SAML单一登录后生成的Azure AD标识符。

4. 单击“确认”，提交配置数据验证可达后，返回Azure AD认证服务器表中，即可查看和管理的Azure AD认证配置信息。

后续管理

• 若需修改认证信息、关闭认证等，可单击“编辑”，在弹出的Azure AD配置窗口重新配置。
• 成功配置Azure AD认证后，您还需在系统创建已加入到企业应用程序或已在Azure平台创建的用户，更多配置说明请参见6.2.1 新建用户并授权用户角色。

配置SAML远程认证

云堡垒机与SAML平台对接，认证登录系统的用户身份。

本小节主要介绍如何配置SAML认证模式。

前提条件

• 用户已获取“系统”模块管理权限。
• 已在SAML创建用户，并获取SAML平台配置的相关信息。

操作步骤

1、登录云堡垒机系统。

2、选择“系统 > 系统配置 > 认证配置”，进入远程认证配置管理页面。

3、在“SAML认证配置”区域，单击“编辑”，弹出SAML认证配置窗口。

参数	说明
状态	选择开启或关闭SAML远程认证，默认为关闭。   表示开启SAML认证。在配置信息有效情况下，登录系统时呈现SAML认证入口。  表示关闭SAML认证。
标识符（实体ID）	获取idp上的元数据（Shibboleth IDP，默认配置在C:\Program Files (x86)\Shibboleth\IdP\metadata目录） 标识符：填写entityID后续的部分。
NameIdFormat	获取idp上的元数据（Shibboleth IDP，默认配置在C:\Program Files (x86)\Shibboleth\IdP\metadata目录） NameIdFormat：建议取urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified。
签名证书	证书请填写idp中对应的FrontChannel的sigining证书。
登录URL	登录URL请填写协议HTTP-Redirect中对应的SingleSignOnService的Location地址。
登出URL	登录URL请填写协议HTTP-Redirect中对应的SingleSLogoutService的Location地址。
回复URL	默认Host为Localhost的IP，请您按照实际部署的情况去填写（如域名地址）。

4、单击“确认”，提交配置数据验证可达后，返回SAML配置项中，即可查看和管理SAML认证配置信息。