Configuration des stratégies d'autorisation

Dernière publication : Oct 14, 2026
Lorsque vous configurez une stratégie d'autorisation, vous pouvez la définir pour autoriser ou refuser l'accès aux ressources réseau du réseau interne. Par exemple, pour autoriser les utilisateurs à accéder au réseau 10.3.3.0, utilisez l'expression suivante :
CLIENT.IP.DST.IN_SUBNET(10.3.0.0/16)
Les stratégies d'autorisation sont appliquées aux utilisateurs et aux groupes. Une fois qu'un utilisateur est authentifié, NetScaler Gateway effectue une vérification d'autorisation de groupe en obtenant les informations de groupe de l'utilisateur à partir d'un serveur RADIUS, LDAP ou TACACS+. Si des informations de groupe sont disponibles pour l'utilisateur, NetScaler Gateway vérifie les ressources réseau autorisées pour le groupe.
Pour contrôler les ressources auxquelles les utilisateurs peuvent accéder, vous devez créer des stratégies d'autorisation. Si vous n'avez pas besoin de créer de stratégies d'autorisation, vous pouvez configurer l'autorisation globale par défaut.
Si vous créez une expression dans la stratégie d'autorisation qui refuse l'accès à un chemin de fichier, vous ne pouvez utiliser que le chemin du sous-répertoire et non le répertoire racine. Par exemple, utilisez fs.path contains "\\\\dir1\\\\dir2" au lieu de fs.path contains "\\\\rootdir\\\\dir1\\\\dir2". Si vous utilisez la deuxième version dans cet exemple, la stratégie échoue.
Après avoir configuré la stratégie d'autorisation, vous la liez ensuite à un utilisateur ou à un groupe, comme indiqué dans les tâches ci-dessous.
Par défaut, les stratégies d'autorisation sont validées d'abord par rapport aux stratégies que vous liez au serveur virtuel, puis par rapport aux stratégies liées globalement. Si vous liez une stratégie globalement et que vous souhaitez que la stratégie globale ait la priorité sur une stratégie que vous liez à un utilisateur, un groupe ou un serveur virtuel, vous pouvez modifier le numéro de priorité de la stratégie. Les numéros de priorité commencent à zéro. Un numéro de priorité inférieur donne à la stratégie une précédence plus élevée.
Par exemple, si la stratégie globale a un numéro de priorité de un et que l'utilisateur a une priorité de deux, la stratégie d'authentification globale est appliquée en premier.
Important :
  • Les stratégies d'autorisation classiques ne sont appliquées qu'au trafic TCP.
  • La stratégie d'autorisation avancée peut être appliquée à tous les types de trafic (TCP/UDP/ICMP/DNS).
    • Pour appliquer une stratégie au trafic UDP/ICMP/DNS, les stratégies doivent être liées aux types UDP_REQUEST, ICMP_REQUEST et DNS_REQUEST respectivement.
    • Lors de la liaison, si « type » n'est pas explicitement mentionné ou si « type » est défini sur REQUEST, le comportement ne change pas par rapport aux versions précédentes, c'est-à-dire que ces stratégies ne sont appliquées qu'au trafic TCP.
    • Les stratégies liées à UDP_REQUEST ne s'appliquent pas au trafic DNS. Pour le DNS, les stratégies doivent être explicitement liées à DNS_REQUEST. TCP_DNS est similaire aux autres requêtes TCP.
Pour plus de détails sur les stratégies d'autorisation avancées, consultez l'article <https://support.citrix.com/article/CTX232237>.
Related information
Configuration de l'autorisation

Exemples d'expressions de stratégie d'autorisation

Voici des exemples d'expressions de stratégies d'autorisation :
  • add authorization policy athzPol1 "HTTP.REQ.USER.IS_MEMBER_OF(\"allowedGroup\")" ALLOW
  • add authorization policy athzPol2 "CLIENT.IP.DST.BETWEEN(192.0.2.10,192.0.2.20)" DENY
  • add authorization policy athzPol3 "HTTP.REQ.HOSTNAME.CONTAINS(\"portal-srv") || CLIENT.IP.DST.IN_SUBNET(192.0.2.0/25)" ALLOW

Pour configurer une stratégie d'autorisation à l'aide de l'interface graphique

  1. Accédez à NetScaler Gateway > Stratégies > Autorisation.
  2. Dans le volet d'informations, cliquez sur Ajouter.
  3. Dans Nom, saisissez un nom pour la stratégie.
  4. Dans Action, sélectionnez Autoriser ou Refuser.
  5. Dans Expression, cliquez sur Éditeur d'expressions.
  6. Pour commencer à configurer l'expression, cliquez sur Sélectionner et choisissez les éléments nécessaires.
  7. Cliquez sur Terminé lorsque votre expression est complète.
  8. Cliquez sur Créer.

Pour lier une stratégie d'autorisation à un utilisateur à l'aide de l'interface graphique

  1. Accédez à NetScaler Gateway > Administration des utilisateurs.
  2. Cliquez sur Utilisateurs AAA.
  3. Dans le volet des détails, sélectionnez un utilisateur, puis cliquez sur Modifier.
  4. Dans Paramètres avancés, cliquez sur Stratégies d'autorisation.
  5. Dans la page Liaison de stratégie, sélectionnez une stratégie ou créez-en une.
  6. Dans Priorité, définissez le numéro de priorité.
  7. Dans Type, sélectionnez le type de requête, puis cliquez sur OK.

Pour lier une stratégie d'autorisation à un groupe à l'aide de l'interface graphique

  1. Accédez à NetScaler Gateway > Administration des utilisateurs.
  2. Cliquez sur Groupes AAA.
  3. Dans le volet des détails, sélectionnez un groupe, puis cliquez sur Modifier.
  4. Dans Paramètres avancés, cliquez sur Stratégies d'autorisation.
  5. Dans la page Liaison de stratégie, sélectionnez une stratégie ou créez-en une.
  6. Dans Priorité, définissez le numéro de priorité.
  7. Dans Type, sélectionnez le type de requête, puis cliquez sur OK.