条件访问

什么是条件访问？

条件访问是根据预定义条件保护 IT 资源访问的过程。通过根据用户的设备类型、访问时间、IP 地址或地理位置创建访问策略，您可以严格控制对网络和数据的访问。条件访问提供了额外的安全性，并有助于防止攻击者获取对 IT 资源的访问权限。

ADSelfService Plus 帮助您实施条件访问，确保只有授权用户才能访问工作站、应用程序和 ADSelfService Plus 中的各项功能，包括更改密码和目录自助更新。

• 了解基础知识
• 配置步骤

了解 ADSelfService Plus 中的条件访问如何工作

要了解 ADSelfService Plus 中的条件访问是如何工作的，您需要先了解基础知识。条件访问依赖于某些条件和标准，这些条件和标准用于创建条件访问规则。这个规则决定了将应用于用户的自助服务策略，从而决定该用户启用的多因素身份验证方法、云应用程序和自助服务功能。

条件

条件是与用户相关的因素，例如设备类型、IP 地址或地理位置。您可以根据需要启用一个或多个条件。ADSelfService Plus 支持以下条件：

• IP 地址：根据用户的 IP 地址控制访问。您可以配置静态 IP、代理服务器 IP 和 VPN IP。您可以选择信任或不信任配置的 IP。受信任的 IP 将被允许访问，而不受信任的 IP 将被拒绝访问。
• 设备：根据计算机对象和运行的平台（Windows、macOS、Linux、移动网络应用和移动原生应用）控制访问。
• 营业时间：根据营业时间或非营业时间控制访问。
• 地理位置：根据请求来源的位置控制访问。
注意：基于地理位置的条件依赖于用户的 IP 地址来确定位置。因此，将仅评估来自公共 IP 地址的访问。使用私有 IP 地址的用户将无法满足此条件。

标准

启用所需条件后，您可以使用 AND、OR 和 NOT 操作符组合已启用的条件以制定标准。此标准将确定如何评估不同的条件以决定访问请求的结果。

例如，假设您的用户分布在世界各地，但不包括某些国家。您需要确保他们仅在营业时间内并仅从受信任的 IP 地址访问资源。在这种情况下，您需要启用 IP 地址条件（1）与受信任的 IP，营业时间条件（2）与允许的时间，以及地理位置条件（3）与没有用户的国家。然后，您可以使用如下标准：

标准：1 AND 2 AND（NOT 3）

条件访问规则

条件访问规则由已启用的条件和与自助服务策略相关的标准组成。自助服务策略允许您启用产品功能并配置如何根据 OU 和组成员资格为不同用户组工作。通过将条件和标准与一个或多个自助服务策略关联，您可以创建条件访问规则。

如果您创建了多个条件访问规则，则可以选择对它们进行优先级排序。因此，如果用户符合多个规则，那么优先级最高的规则将生效，随后将应用与该规则关联的自助服务策略。如果用户不符合任何条件访问规则，则将根据策略配置页面中设置的策略优先级应用自助服务策略。

配置条件访问

规则配置

1. 以管理员身份登录到 ADSelfService Plus。
2. 导航到配置 > 自助服务 > 条件访问 > 规则配置。
3. 点击配置新的条件访问 (CA) 规则。
4. 输入CA 规则名称和描述。
5. 根据您的需求选择条件。
注意：这些条件是做出决策的基础。如果用户满足任何给定的条件，这将根据配置决定是否允许或拒绝访问这些条件。
• IP 地址
• 通过勾选相应的框来选择 IP 地址的类型。
• 对于直接通过客户端计算机连接到您的网络的用户，您可以启用静态 IP。
• 如果用户通过代理服务器连接，您可以启用代理服务器 IP。
• 如果用户通过 VPN 服务器连接，您可以启用 VPN IP。
注意：如果您启用了所有三种 IP 类型，规则如下：* （静态 IP 和 代理 IP）或 VPN IP
• 选择是否信任或不信任输入的 IP。
• 对于静态 IP，在 IP 范围字段中输入 IP 地址范围。使用 + 图标添加更多 IP 范围。您还可以输入个别 IP 并使用 * 作为通配符选择整个 IP 类别。
• 设备
• 选择计算机复选框，然后点击 + 图标。
• 在打开的选择客户端计算机对话框中，选择域，然后选择计算机对象。点击确定。
• 选择平台复选框，然后使用下拉菜单选择平台。可以选择 Windows、macOS、Linux、移动网页版和原生移动应用。
• 工作时间
• 选择工作时间复选框。
• 选择是否配置工作时间或非工作时间，点击相应的单选按钮。
• 从提供的天和时间范围中，配置您的工作或非工作时间。
注意：时间将根据您在管理 > 个性化 > 时区设置中选择的时区应用。
• 地理位置
• 选择地理位置复选框。
• 从下拉菜单中选择国家。
6. 一个条件会根据您启用的条件自动创建。如果创建的条件符合您的要求，则无需对此做出任何更改。只有在确定它们仍然不满足您的要求时，才修改它们。您可以使用AND、OR和NOT运算符来制定逻辑。
7. 点击配置。

规则分配

1. 以管理员身份登录到 ADSelfService Plus。
2. 前往配置 > 自助服务 > 条件访问 > 规则分配。
3. 从下拉菜单中选择要分配的规则。
4. 选择您想将此规则分配的策略。
注意：这指的是您可以通过进入配置 > 自助服务 > 策略配置来配置的自助服务策略。了解更多信息，请参考