配置身份验证和授权设置
NetScaler SDX 管理服务的身份验证可以是本地的，也可以是外部的。通过外部身份验证，管理服务根据外部服务器的响应授予用户访问权限。管理服务支持以下外部身份验证协议：
-
远程身份验证拨入用户服务 (RADIUS)
-
终端访问控制器访问控制系统 (TACACS)
-
轻量级目录访问协议 (LDAP)
管理服务还支持来自 SSH 的身份验证请求。SSH 身份验证仅支持键盘交互式身份验证请求。SSH 用户的授权仅限于管理员权限。具有只读权限的用户无法通过 SSH 登录。
要配置身份验证，请指定身份验证类型并配置身份验证服务器。
通过管理服务的授权是本地的。管理服务支持两个级别的授权。具有管理员权限的用户可以对管理服务执行任何操作。具有只读权限的用户只能执行读取操作。SSH 用户的授权仅限于管理员权限。具有只读权限的用户无法通过 SSH 登录。
RADIUS 和 LDAP 的授权通过组提取支持。您可以在管理服务上配置 RADIUS 或 LDAP 服务器时设置组提取属性。提取的组名与管理服务上的组名匹配，以确定授予用户的权限。一个用户可以属于多个组。在这种情况下，如果用户所属的任何组具有管理员权限，则该用户具有管理员权限。可以在配置期间设置默认身份验证组属性。此组与提取的组一起用于授权。
在 TACACS 授权中，TACACS 服务器管理员必须允许具有管理员权限的用户使用特殊命令“admin”，并拒绝具有只读权限的用户使用此命令。当用户登录到 SDX 设备时，管理服务会检查用户是否具有运行此命令的权限。如果用户具有权限，则为用户分配管理员权限；否则，为用户分配只读权限。
添加用户组
组是需要访问公共信息或执行类似任务的用户的逻辑集合。您可以根据一组共同操作将用户组织到组中。通过向组而不是单个用户提供特定权限，您可以在创建用户时节省时间。
如果您使用外部身份验证服务器进行身份验证，则可以将 SDX 中的组配置为与身份验证服务器上配置的组匹配。当属于某个组（其名称与身份验证服务器上的组匹配）的用户登录并进行身份验证时，该用户将继承该组的设置。
添加用户组
-
在“Configuration”选项卡上，在“System”下，展开“User Administration”，然后单击“Groups”。
-
在详细信息窗格中，单击添加。
-
在创建系统组页面上，设置以下参数：
-
组名称
-
组描述
-
系统访问：选中此框可授予对整个 SDX 设备及其上运行的实例的访问权限。或者，对于实例级访问，请在实例下指定实例。
-
权限
-
配置用户会话超时
-
用户：属于该组的数据库用户。选择要添加到组的用户。
-
-
单击创建和关闭。
**注意：**要在从版本 10.5 升级到版本 11.1 的 SDX 设备上创建具有管理员角色的组，请选择“读写”权限和“系统访问”复选框。在 SDX 10.5 中，此复选框不可用，并且权限值为“admin”和“read-only”。
配置用户帐户
用户登录 SDX 设备以执行设备管理任务。要允许用户访问设备，您必须在该 SDX 设备上为该用户创建用户帐户。用户在设备上进行本地身份验证。
**重要提示：**密码适用于 SDX 设备、管理服务和 Citrix Hypervisor。请勿直接在 Citrix Hypervisor 上更改密码。
配置用户帐户
-
在“Configuration”选项卡上，在“System”下，展开“Administration”，然后单击“Users”。“Users”窗格显示现有用户帐户及其权限的列表。
-
在“Users”窗格中，执行以下操作之一：
-
要创建用户帐户，请单击“Add”。
-
要修改用户帐户，请选择用户，然后单击“Modify”。
-
-
在“Create System User”或“Modify System User”对话框中，设置以下参数：
-
名称*—帐户的用户名。名称中允许使用以下字符：字母 a 到 z 和 A 到 Z、数字 0 到 9、句点 (.)、空格和下划线 (_)。最大长度：128。您无法更改名称。
-
密码*—用于登录设备的密码。最大长度：128
-
确认密码*—密码。
-
权限*—用户在设备上的权限。可能的值：
-
admin—用户可以执行与管理服务相关的所有管理任务。
-
read-only—用户只能监视系统并更改帐户密码。 默认值：admin。
-
-
启用外部身份验证—为此用户启用外部身份验证。管理服务在数据库用户身份验证之前尝试外部身份验证。如果此参数被禁用，则用户不会通过外部身份验证服务器进行身份验证。 **注意：**如果远程身份验证服务器不可访问，用户可能会失去对设备的访问权限。在这种情况下，身份验证将回退到默认的 admin 用户 (
nsroot)。 -
配置会话超时—使您能够配置用户可以保持活动状态的时间段。指定以下详细信息：
-
会话超时—用户会话可以保持活动状态的时间段。
-
会话超时单位—超时单位，以分钟或小时为单位。
-
-
组—将组分配给用户。
*必填参数 -
-
单击“创建”或“确定”，然后单击“关闭”。您创建的用户将列在“用户”窗格中。
删除用户帐户
-
在“配置”选项卡上的导航窗格中，展开“系统”，展开“管理”，然后单击“用户”。
-
在“用户”窗格中，选择用户帐户，然后单击“删除”。
-
在“确认”消息框中，单击“确定”。
设置身份验证类型
在管理服务界面中，您可以指定本地或外部身份验证。默认情况下，外部身份验证对本地用户禁用。可以通过勾选 启用外部身份验证选项来启用它，该选项在添加本地用户或修改用户设置时可用。
重要提示： 仅在设置 RADIUS、LDAP 或 TACACS 身份验证服务器后才支持外部身份验证。
设置身份验证类型
-
在“配置”选项卡上的“系统”下，单击“身份验证”。
-
在详细信息窗格中，单击“身份验证配置”。
-
设置以下参数：
-
服务器类型—为用户身份验证配置的身份验证服务器类型。可能的值：LDAP、RADIUS、TACACS 和本地。
-
服务器名称 — 在管理服务中配置的身份验证服务器的名称。菜单中列出了为所选身份验证类型配置的所有服务器。
-
启用回退本地身份验证 — 此外，当外部身份验证失败时，您可以选择使用本地身份验证对用户进行身份验证。此选项默认启用。
-
-
单击“确定”。
启用或禁用基本身份验证
您可以使用基本身份验证对管理服务 NITRO 接口进行身份验证。从版本 13.1 build 59.x 开始，允许基本身份验证选项默认禁用。
执行以下操作以使用管理服务界面启用或禁用基本身份验证。
-
在“配置”选项卡上，单击“系统”。
-
在“系统设置”组中，单击“更改系统设置”。
-
在“配置系统设置”对话框中，选中“允许基本身份验证”以启用，或清除“允许基本身份验证”以禁用。
-
单击“确定”。