Active Directory als Identitätsquelle

Vorteile

• Vereinfacht Konfigurationsschritte und bietet bestmögliche Sicherheit für den Zugriff auf das Gerät.

• Ideal für mittelständische Unternehmen und bis zu mittlere Bereitstellungen.

• Unterstützt Hochverfügbarkeit (Hohe Verfügbarkeit).

• Die Konfiguration des Captive Portals ist für Benutzer, die sich nicht authentifizieren, optional.

Wie funktioniert Active Directory als Identitätsquelle?

Was ist Windows Management Instrumentation Client (WMIC)?

Wenn Sie Active Directory als Identitätsquelle konfigurieren, stellt das Gerät eine WMI-Verbindung (Windows Management Instrumentation)/Distributed Component Object Module (DCOM) mit dem Domänencontroller her. Das Gerät fungiert als WMI-Client (WMIC). Das Gerät liest und überwacht das Sicherheitsereignisprotokoll auf dem Domänencontroller. Das Gerät analysiert die Ereignismeldungen, um Informationen zur Zuordnung von IP-Adressen zum Benutzer zu generieren.

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Im Abschnitt Plattformspezifisches WMIC-Verhalten finden Sie Hinweise zu Ihrer Plattform.

Wie liest WMIC das Ereignisprotokoll auf dem Domänencontroller?

WMIC liest das Ereignisprotokoll auf dem Domänencontroller wie folgt:

1. Das Gerät überwacht das Ereignisprotokoll in einem konfigurierbaren Intervall, das standardmäßig 10 Sekunden beträgt.

2. Das Gerät liest das Ereignisprotokoll für eine bestimmte Zeitspanne, die Sie konfigurieren können. Die Standardzeitspanne beträgt eine Stunde.

3. Bei jedem Start des WMIC überprüft das Gerät den letzten Zeitstempel und die aktuelle Zeitspanne. Wenn der letzte Zeitstempel älter als die aktuelle Zeitspanne ist, wird die aktuelle Zeitspanne wirksam.

4. Das Gerät kann das Ereignisprotokoll lesen, um sowohl IPv4- als auch IPv6-Adressen zu erhalten.

5. Wenn WMIC gestartet wird, verfügt die Firewall über eine maximale Anzahl von Ereignissen, die sie aus dem Ereignisprotokoll lesen kann. Sie können die maximale Anzahl von Ereignissen nicht konfigurieren.

   Wenn WMIC gestartet wird, verwendet der WMIC die maximale Anzahl mit der Zeitspanneneinstellung. Wenn der Grenzwert erreicht ist, beendet der WMIC das Lesen des Ereignisprotokolls.

6. Nach einem Failover liest das Gerät das Ereignisprotokoll aus dem Zeitstempel des letzten Ereignisprotokolls.

Angeben von IP-Filtern zur Begrenzung der Zuordnung von IP zu Benutzer

Sie können die IP-Filter angeben, um die Informationen zur Zuordnung von IP-Adressen zu Benutzern einzuschränken, die das Gerät aus dem Ereignisprotokoll generiert.

Um zu verstehen, wann ein Filter für eine solche Zuordnung nützlich ist, betrachten Sie das folgende Szenario. Ein Kunde stellt 10 Geräte in einer Domain bereit, und jedes Gerät steuert eine Zweigstelle. Alle 10 Geräte lesen alle 10 Ereignisprotokolle der Zweigstellenbenutzeranmeldung im Domänencontroller. Das Gerät ist jedoch so konfiguriert, dass es nur erkennt, ob der Benutzer in der von ihm gesteuerten Zweigstelle authentifiziert ist. Durch die Konfiguration eines IP-Filters auf dem Gerät liest das Gerät nur das IP-Ereignisprotokoll unter seiner Kontrolle.

Sie können einen Filter so konfigurieren, dass IP-Adressen oder Präfixe ein- oder ausgeschlossen werden. Sie können maximal 20 Adressen für jeden Filter angeben.

Überprüfung und Statistiken des Windows-Ereignisprotokolls

Sie können überprüfen, ob die Authentifizierungstabelle IP-Adresse und Benutzerinformationen abruft, indem Sie den show services user-identification active-directory-access active-directory-authentication-table all Befehl ausgeben. Für jede Domain wird eine Liste der IP-Adress-zu-Benutzer-Zuordnungen angezeigt. Die Tabelle enthält keine Gruppeninformationen, bis LDAP ausgeführt wird.

Sie können Statistiken zum Lesen des Ereignisprotokolls anzeigen, indem Sie den show services user-identification active-directory-access ip-user-mapping statistics domain Befehl ausgeben.

Firewall-Authentifizierung als Backup für WMIC

Die primäre Methode für Active Directory als Identitätsquelle zum Abrufen von Informationen zur Zuordnung von IP-Adressen zu Benutzern besteht darin, dass das Gerät als WMI-Client (WMIC) fungiert. Die Funktionen zum Lesen von Ereignisprotokollen und zum Testen von PCs verwenden jedoch beide WMI, und die Verwendung einer globalen Richtlinie zum Deaktivieren des WMI-zu-PC-Tests wirkt sich auf das Lesen von Ereignisprotokollen aus. Dies kann zum Ausfall der PC-Sonde führen, und eine Sicherungsmethode zum Abrufen von IP-Adress-Benutzer-Zuordnungen ist erforderlich. Diese Methode besteht darin, die Firewall-Authentifizierung zu verwenden, um Benutzer zu identifizieren.

Siehe Domänen-PC-Probing.

Wenn eine Domäne in dieser Anweisung konfiguriert ist, erkennt, fwauth dass die Domäne für einen Domänen-Authentifizierungseintrag bestimmt ist, und sendet den Domänennamen zusammen mit der Authentifizierungs-Anforderung an den fwauth Prozess. Nachdem die Antwort auf die Authentifizierung empfangen wurde, fwauth wird dieser Domänen-Authentifizierungseintrag gelöscht. Der fwauth Prozess sendet die Quell-IP-Adresse, den Benutzernamen, die Domäne und andere Informationen an den UserID-Prozess, der überprüft, ob es sich um einen gültigen Domänenbenutzereintrag handelt. Der nachfolgende Datenverkehr trifft auf diesen Benutzer-Firewall-Eintrag.

Was ist Domain PC Probing?

Die Überprüfung des Domänen-PCs dient als Ergänzung zum Lesen von Ereignisprotokollen. Wenn sich ein Benutzer bei der Domäne anmeldet, enthält das Ereignisprotokoll diese Informationen. Die PC-Probe wird nur ausgelöst, wenn keine IP-zu-Adress-Zuordnung aus dem Ereignisprotokoll vorhanden ist.

Domäneninformationen ändern sich ständig, wenn sich Benutzer bei Domänen-PCs an- und abmelden. Die Funktion Active Directory als Identitätsquelle bietet einen Mechanismus zum Nachverfolgen und Überprüfen von Informationen in den Authentifizierungstabellen, indem Domänen-PCs direkt nach Informationen zur Zuordnung von IP-Adressen und Benutzern durchsucht werden. Neue und geänderte Informationen, die von der Probe identifiziert werden, dienen dazu, Active Directory-Authentifizierungstabelleneinträge zu aktualisieren, was für die Aufrechterhaltung der Firewallintegrität von entscheidender Bedeutung ist.

Der IP-Adressfilter wirkt sich auch auf die PC-Sonde aus. Nachdem Sie den IP-Adressfilter konfiguriert haben, wird nur die im Filter angegebene IP-Adresse untersucht.

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Im Abschnitt Plattformspezifisches Prüfratenverhalten finden Sie Hinweise zu Ihrer Plattform.

Benutzerinformationen zur Domänen-PC-Sondierung

Das Active Directory als Identitätsquelle verfolgt den Onlinestatus von Benutzern, indem es Domänen-PCs untersucht. Wenn ein Benutzer nicht online ist oder kein erwarteter Benutzer ist, wird die Active Directory-Authentifizierungstabelle entsprechend aktualisiert. Es gelten die folgenden Prüfverhalten:

Basierend auf der Antwort des Domänen-PC-Tests werden Aktualisierungen an der Active Directory-Authentifizierungstabelle vorgenommen, und die zugehörigen Firewall-Richtlinien werden wirksam. Wenn nach 90 Sekunden keine Antwort vom Test empfangen wird, tritt für den Authentifizierungseintrag ein Timeout auf. Der Timeouteintrag für die Authentifizierung ist der Eintrag für die ausstehende Authentifizierung, der generiert wird, wenn Sie die PC-Sonde starten.

Wenn der Test erfolgreich ist, wird der Status des Authentifizierungseintrags von ausstehend auf gültig aktualisiert. Wenn der Test nicht erfolgreich ist, wird der Status des Authentifizierungseintrags als ungültig markiert. Der ungültige Eintrag hat die gleiche Lebensdauer wie ein gültiger Eintrag und wird durch bevorstehende Ergebnisse der fwauth-Authentifizierung (Firewall-Authentifizierungsprozess) oder durch das Ereignisprotokoll überschrieben.

Wenn das Gerät aus irgendeinem Grund nicht auf einen Domänen-PC zugreifen kann, z. B. aufgrund einer Netzwerkkonfiguration oder eines Problems mit der Windows-Firewall, schlägt der Test fehl.

Weitere Testantworten und entsprechende Aktionen der Authentifizierungstabelle finden Sie in Tabelle 2.

Wie konfiguriere ich die Sonde?

Die bedarfsgesteuerte Sondierung ist standardmäßig aktiviert. Um die On-Demand-Untersuchung zu deaktivieren, können Sie die set services user-identification active-directory-access no-on-demand-probe Anweisung verwenden. Löschen Sie diese Anweisung, um die Sondierung wieder zu aktivieren. Wenn die On-Demand-Sondierung deaktiviert ist, steht eine manuelle Sondierung zur Verfügung.

Um eine manuelle Sondierung zu initiieren, können Sie den request services user-identification active-directory-access ip-user-probe address ip-address address domain domain-name Befehl verwenden. Wenn kein Domänenname angegeben ist, sucht der Test nach der ersten konfigurierten Domäne für die IP-Adresse. Um einen Bereich anzugeben, verwenden Sie die entsprechende Netzwerkadresse.

Der Wert für das Testtimeout ist konfigurierbar. Wenn innerhalb des wmi-timeout Intervalls keine Antwort vom Domänen-PC empfangen wird, schlägt der Test fehl, und das System erstellt entweder einen ungültigen Authentifizierungseintrag oder aktualisiert den vorhandenen Authentifizierungseintrag als ungültig. Wenn bereits ein Tabelleneintrag für die Authentifizierung für die geprüfte IP-Adresse vorhanden ist und innerhalb des wmi-timeout Intervalls keine Antwort vom Domänen-PC empfangen wird, schlägt der Test fehl, und dieser Eintrag wird aus der Tabelle gelöscht.

Siehe Konfigurieren von Active Directory als Identitätsquelle in der Firewall der SRX-Serie.

Sondierungsrate und Statistiken

Die maximale Testrate für Active Directory als Identitätsquelle ist standardmäßig festgelegt und kann nicht geändert werden. Die Sondierungsfunktion unterstützt 5000 Benutzer oder bis zu 10 Prozent der insgesamt unterstützten Authentifizierungseinträge, je nachdem, welcher Wert kleiner ist. Die Unterstützung von 10 Prozent bedeutet, dass die Anzahl der IP-Adressen, die darauf warten, überprüft zu werden, zu keinem Zeitpunkt 10 Prozent überschreiten darf.

Wozu dient LDAP für Active Directory als Identitätsquelle?

Die Verwendung von LDAP in diesem Abschnitt gilt speziell für LDAP-Funktionen innerhalb des Active Directory als Identitätsquelle.

Um die Benutzer- und Gruppeninformationen zu erhalten, die für die Implementierung des Active Directory als Identitätsquelle erforderlich sind, verwendet das Gerät das Lightweight Directory Access Protocol (LDAP). Das Gerät fungiert als LDAP-Client, der mit einem LDAP-Server kommuniziert. In einem gängigen Implementierungsszenario des Active Directory als Identitätsquelle fungiert der Domänencontroller als LDAP-Server. Das LDAP-Modul im Gerät fragt standardmäßig das Active Directory im Domänencontroller ab.

Das Gerät lädt Benutzer- und Gruppenlisten vom LDAP-Server herunter. Das Gerät fragt den LDAP-Server auch nach Benutzer- und Gruppenaktualisierungen ab. Das Gerät lädt eine Benutzer-zu-Gruppen-Zuordnungsbeziehung der ersten Ebene herunter und berechnet dann eine vollständige Benutzer-zu-Gruppen-Zuordnung.

Wie funktioniert LDAP für Active Directory als Identitätsquelle?

Benutzername, Kennwort, IP-Adresse und Port des LDAP-Servers sind optional, können aber konfiguriert werden.

• Wenn der Benutzername und das Kennwort nicht konfiguriert sind, verwendet das System den Benutzernamen und das Kennwort des konfigurierten Domänencontrollers.

• Wenn die IP-Adresse des LDAP-Servers nicht konfiguriert ist, verwendet das System die Adresse eines der konfigurierten Active Directory-Domänencontroller.

• Wenn der Port nicht konfiguriert ist, verwendet das System Port 389 für Klartext oder Port 636 für verschlüsselten Text.

Standardmäßig verwendet die LDAP-Authentifizierung eine einfache Authentifizierung. Der Benutzername und das Kennwort des Clients werden im Klartext an den LDAP-Server gesendet. Denken Sie daran, dass das Passwort klar ist und aus dem Netzwerk gelesen werden kann.

Um zu vermeiden, dass das Kennwort offengelegt wird, können Sie eine einfache Authentifizierung innerhalb eines verschlüsselten Kanals [nämlich Secure Sockets Layer (SSL)] verwenden, solange der LDAP-Server LDAP über SSL (LDAPS) unterstützt. Nach der Aktivierung von SSL werden die vom LDAP-Server an das Gerät gesendeten Daten verschlüsselt. Informationen zum Aktivieren von SSL finden Sie in der user-group-mapping Anweisung.

Warum die Geräteidentität zur Steuerung des Zugriffs auf Ihr Netzwerk verwenden?

Aus verschiedenen Gründen möchten Sie möglicherweise den Zugriff auf Ihre Netzwerkressourcen basierend auf der Identität des Geräts des Benutzers und nicht auf der Identität des Benutzers steuern. Die Funktion Active Directory als Identitätsquelle zur Authentifizierung der Geräteidentität wurde entwickelt, um eine Lösung für diese und andere ähnliche Situationen zu bieten, indem Sie den Netzwerkzugriff basierend auf Attributen des Geräts des Benutzers steuern können.

Das Gerät empfängt oder erhält die Geräteidentitätsinformationen von der Authentifizierungsquelle auf die gleiche Weise wie die Benutzeridentitätsinformationen, abhängig von der Authentifizierungsquelle. Der Prozess, bei dem die Geräteidentitätsinformationen abgerufen und in der Tabelle mit den Geräteidentitätsinformationen gespeichert werden, umfasst die folgenden Aktionen seitens des Geräts:

• Abrufen der Geräteidentitätsinformationen.

  Abhängig von der Authentifizierungsquelle verwendet das Gerät eine der beiden folgenden Methoden, um die Informationen zur Geräteidentität abzurufen:

  • Microsoft Active Directory als Identitätsquelle: Wenn Ihre Umgebung für die Verwendung von Microsoft Active Directory eingerichtet ist, ruft die Firewall die IP-Adresse und die Gruppen des Geräts vom Active Directory-Domänencontroller und LDAP-Dienst ab. Das Gerät kann die Geräteinformationen aus dem Ereignisprotokoll des Domänencontrollers extrahieren und dann eine Verbindung mit dem Active Directory-LDAP-Server herstellen, um die Namen der Gruppen abzurufen, zu denen das Gerät gehört. Das Gerät verwendet die Informationen, die es aus dem Ereignisprotokoll erhalten hat, um die Informationen des Geräts im LDAP-Verzeichnis zu suchen.

  • NAC-Systeme (Network Access Control) von Drittanbietern: Wenn Ihre Netzwerkumgebung für eine NAC-Lösung konfiguriert ist und Sie sich für diesen Ansatz entscheiden, sendet das NAC-System die Geräteidentitätsinformationen an die Firewall. Diese Authentifizierungssysteme verwenden den POST-Dienst der RESTful Web Services API, die als Web-API bezeichnet wird. Das Gerät implementiert die API und stellt sie den Authentifizierungssystemen zur Verfügung, damit diese die Geräteidentitätsinformationen an die Firewall senden können. Die API verfügt über eine formale XML-Struktur und Einschränkungen, die die Authentifizierungsquelle beim Senden dieser Informationen an das Gerät einhalten muss.

    Warnung:

    Wenn Sie diesen Ansatz wählen, müssen Sie sicherstellen, dass Ihre NAC-Lösung mit dem Gerät funktioniert.

• Erstellen eines Eintrags für das Gerät in der Tabelle zur Authentifizierung der Geräteidentität.

  • Nachdem die Firewall die Informationen zur Geräteidentität abgerufen hat, erstellt sie dafür einen Eintrag in der Tabelle zur Authentifizierung der Geräteidentität. Die Tabelle zur Geräteidentifizierung der Authentifizierung ist von der Active Directory-Authentifizierungstabelle oder einer der anderen lokalen Authentifizierungstabellen getrennt, die für die Authentifizierung von Drittanbietern verwendet werden.

  • Im Gegensatz zu lokalen Benutzer Authentifizierung Tabellen, die für eine Authentifizierung Quelle oder Funktion spezifisch sind, enthält die Geräteidentitätstabelle Authentifizierung Geräteidentitätsinformationen für alle Authentifizierung Quellen. Es kann jedoch jeweils nur eine Authentifizierungsquelle, z. B. Active Directory, aktiv sein. Die Firewall lässt es zu, dass jeweils nur die Authentifizierungsquelle verwendet wird, um die Anforderung an das System zur Verarbeitung von Informationen einzuschränken.

  • Der Zweck des Abrufens der Geräteinformationen und deren Eingabe in die Tabelle zur Authentifizierung der Geräteidentität besteht darin, den Benutzerzugriff auf Netzwerkressourcen basierend auf der Identität des Geräts zu steuern. Dazu müssen Sie auch Sicherheitsrichtlinien konfigurieren, die das Gerät basierend auf dem angegebenen Geräteidentitätsprofil identifizieren und die Aktion angeben, die bei Datenverkehr von diesem Gerät ausgeführt werden soll.

  • Die Funktion zur Authentifizierung der Geräteidentität bietet eine generische Lösung, die Geräteidentitätsinformationen unabhängig von der Authentifizierungsquelle in derselben Tabelle speichert.

Attribute und Profile der Geräteidentität

Das Geräteidentitätsprofil, das in der CLI als bezeichnet wird , ist eine wichtige Komponente der Funktion Active Directory als Identitätsquelle zur Authentifizierung der Geräteidentität. end-user-profile Es identifiziert das Gerät und spezifiziert seine Eigenschaften.

Authentifizierungstabelle für die Geräteidentität

Wenn Sie das Gerät so konfigurieren, dass es die Funktion zur Authentifizierung der Geräteidentität für die Authentifizierung basierend auf der Geräteidentität und ihren Attributen verwendet, erstellt das Gerät eine neue Tabelle mit dem Namen "Authentifizierung für die Geräteidentität". Im Gegensatz zu anderen lokalen Authentifizierungstabellen enthält die Tabelle zur Authentifizierung der Geräteidentität keine Informationen über einen Benutzer, sondern über das Gerät des Benutzers. Die Tabelle zur Authentifizierung der Geräteidentität dient als Repository für Geräteidentitätsinformationen für alle Geräte, unabhängig von ihrer Authentifizierungsquelle. Sie kann z. B. Einträge für Geräte enthalten, die von Active Directory oder NAC-Authentifizierungsquellen von Drittanbietern authentifiziert wurden.

Ein Tabelleneintrag zur Authentifizierung der Geräteidentität enthält die folgenden Teile:

• Die IP-Adresse des Geräts.

• Der Name der Domäne, zu der das Gerät gehört.

• Die Gruppen, mit denen das Gerät verknüpft ist.

• Die Geräteidentität.

  Die Geräteidentität ist eigentlich die eines Geräteidentitätsprofils (in der CLI als end-user-profilebezeichnet). Dieser Profiltyp enthält eine Gruppe von Attributen, die ein bestimmtes einzelnes Gerät oder eine bestimmte Gruppe von Geräten charakterisieren, z. B. einen bestimmten Laptoptyp.

IPv6-Adressen für die Benutzer-Firewall-Modul-Authentifizierung (UserFW) ermöglichen IPv6-Datenverkehr, jeder Sicherheitsrichtlinie zu entsprechen, die für die Quellidentität konfiguriert ist. IPv6-Adressen werden für die folgenden Authentifizierungsquellen unterstützt:

• Active Directory-Authentifizierung – Tabelle

• Geräteidentität mit Active Directory-Authentifizierung

• Tabelle für lokale Authentifizierung

• Firewall-Authentifizierung – Tabelle

Geräteidentitätsinformationen aus Windows Active Directory für die Netzwerkzugriffssteuerung

Sie können die Funktion zur Authentifizierung der Geräteidentität verwenden, um den Zugriff auf Ihre Netzwerkressourcen basierend auf der Identität und den Attributen des verwendeten Geräts und nicht auf der Benutzeridentität zu steuern. Informationen zu einem Gerät werden in der Tabelle zur Authentifizierung der Geräteidentität gespeichert. Sie können den Namen eines Geräteidentitätsprofils angeben, das die Geräteattribute im Feld source-end-user-profile einer Sicherheitsrichtlinie enthält. Wenn alle Bedingungen erfüllt sind, werden die Aktionen der Sicherheitsrichtlinie auf den Datenverkehr angewendet, der von diesem Gerät ausgeht.

Damit Sie Geräteidentitätsprofile in Sicherheitsrichtlinien verwenden können, muss die Firewall die Geräteidentitätsinformationen für authentifizierte Geräte abrufen. Das Gerät erstellt die Tabelle zur Authentifizierung der Geräteidentität, die zum Speichern von Geräteidentitätseinträgen verwendet wird. Es durchsucht die Tabelle nach einer Geräteübereinstimmung, wenn Datenverkehr von einem Gerät eintrifft. In diesem Thema wird der Prozess behandelt, der befolgt wird, wenn Active Directory als Authentifizierungsquelle verwendet wird.

Ein Active Directory-Domänencontroller authentifiziert Benutzer, wenn sie sich bei der Domäne anmelden, und schreibt einen Datensatz dieses Ereignisses in das Windows-Ereignisprotokoll. Außerdem wird ein Datensatz in das Ereignisprotokoll geschrieben, wenn sich ein Benutzer von der Domäne abmeldet. Das Domänencontroller-Ereignisprotokoll stellt dem Gerät Informationen über authentifizierte Geräte bereit, die derzeit in der Domäne aktiv sind, und wann diese Geräte von ihr abgemeldet werden.

Der UserID-Daemon führt die folgenden Aktionen aus:

1. Es liest die Active Directory-Domänencontroller-Ereignisprotokolle, um die IP-Adressen von Geräten abzurufen, die in der Domäne angemeldet und von Windows authentifiziert wurden.

   Der UserID-Daemon in der Geräte-Routing-Engine implementiert einen WMI-Client (Windows Management Instrumentation) mit verteilten Microsoft COM/Microsoft RPC-Stapeln und einem Authentifizierungsmechanismus für die Kommunikation mit einem Windows Active Directory-Domänencontroller in einer Active Directory-Domäne. Mithilfe von Ereignisprotokollinformationen, die vom Active Directory-Controller abgerufen werden, ruft der Prozess die IP-Adressen von Active Directory-Geräten ab. Der Prozess überwacht Active Directory-Ereignisprotokolländerungen mithilfe derselben WMI DCOM-Schnittstelle, um die Geräteidentitätsinformationen in der Tabelle für die lokale Authentifizierung anzupassen, um alle Änderungen am Active Directory-Server widerzuspiegeln.

2. Es verwendet die IP-Adressen der Geräte, die es aus dem Ereignisprotokoll abgerufen hat, um Informationen über die Gruppen zu erhalten, zu denen ein Gerät gehört. Um diese Gruppeninformationen zu erhalten, verbindet sich das Gerät zu diesem Zweck über das LDAP-Protokoll mit dem LDAP-Dienst im Active Directory-Controller.

Als Ergebnis dieses Prozesses kann das Gerät Einträge für die Geräte in der Tabelle zur Authentifizierung der Geräteidentität generieren. Nachdem es einen Eintrag für ein Gerät in der Tabelle zur Authentifizierung der Geräteidentität generiert hat, ordnet das Gerät diesen Eintrag dem entsprechenden Benutzereintrag in seiner lokalen Active Directory-Authentifizierungstabelle zu. Sie können dann auf die Geräteidentitätsprofileinträge in Sicherheitsrichtlinien verweisen, um den Zugriff auf Ressourcen zu steuern.

Verhalten und Einschränkungen

• Das Lesen des Ereignisprotokolls verbraucht CPU-Ressourcen des Domänencontrollers, was zu einer hohen CPU-Auslastung im Domänencontroller führen kann. Aus diesem Grund sollte der Active Directory-Domänencontroller über eine leistungsstarke Konfiguration von mindestens 4 Kernen und 8 Gigabyte Arbeitsspeicher verfügen.

• Das Ereignisprotokoll des Domänencontrollers zeichnet eine maximale Länge von 16 Byte der Geräte-ID auf, einschließlich eines NULL-Abschlusszeichens. Daher beträgt die maximale Länge der Geräte-ID, die das Gerät vom Domänencontroller abruft, 15 Byte.

• Wenn der Domänencontroller das Ereignisprotokoll löscht oder wenn die in das Ereignisprotokoll geschriebenen Daten fehlen oder verzögert werden, sind die Informationen zur Geräteidentitätszuordnung möglicherweise ungenau. Wenn die Firewall das Ereignisprotokoll nicht lesen kann oder wenn es Nulldaten enthält, meldet das Gerät eine Fehlerbedingung in seinem eigenen Protokoll.

• Wenn die Tabelle mit den Geräteidentitätsinformationen die Kapazität erreicht, können keine neuen Geräteidentitätseinträge hinzugefügt werden. In diesem Fall wird der Datenverkehr vom Gerät verworfen.

Geräteidentität XML-Lösung für NAC-Authentifizierungssysteme von Drittanbietern

Abbildung 2 zeigt die Kommunikation zwischen der Firewall und einer NAC-Authentifizierungsquelle eines Drittanbieters, die für die Authentifizierung der Geräteidentität verwendet wird. Die Firewall empfängt die Informationen zur Geräteidentität vom NAC-System und speichert sie in ihrer lokalen Tabelle zur Authentifizierung der Geräteidentität. Eine Sicherheitsrichtlinie, die ein Geräteidentitätsprofil angibt, gilt für ein oder mehrere Geräte. Wenn ein Gerät mit dem Geräteidentitätsprofil und anderen Teilen der Sicherheitsrichtlinie übereinstimmt, wird die Sicherheitsrichtlinie auf Datenverkehr angewendet, der von diesem Gerät ausgeht.

Die Verwendung eines Geräteidentitätsprofils in einer Sicherheitsrichtlinie ist optional. Wenn im Feld source-end-user-profile der Sicherheitsrichtlinie kein Geräteidentitätsprofil angegeben ist, wird ein beliebiges Profil angenommen. Sie können das Schlüsselwort "any" jedoch nicht im Feld source-end-user-profile einer Sicherheitsrichtlinie verwenden. Es ist ein reserviertes Schlüsselwort.

Plattformspezifisches WMIC-Verhalten

Plattformspezifisches Messratenverhalten