アプリケーションリソースへのユーザーアクセスの承認
認証されたユーザーがアプリケーション内でアクセスできるリソースを制御できます。
そのためには、権限付与ポリシーを各ユーザーに関連付けます。この方法は、個別に、またはポリシーをユーザーのグループに関連付ける方法です。承認ポリシーでは以下を指定する必要があります。
- ルール。アクセスを許可する必要があるリソース。これは、基本式または高度な式を使用して指定できます。
- アクション。リソースへのアクセスを許可する必要があるか、拒否する必要があるか。
デフォルトでは、 アプリケーション内のすべてのリソースへのアクセスはすべてのユーザーに拒否されます 。ただし、このデフォルトの承認アクションを（セッションプロファイルでセッションパラメータを設定するか、グローバルセッションパラメータを設定して） すべてのユーザーへのアクセスを許可するように変更できます 。
警告
セキュリティを最適化するために、Citrixではデフォルトの承認アクションを「拒否」から「許可」に変更しないことをお勧めします。代わりに、特定のリソースへのアクセスを必要とするユーザー向けに特定の承認ポリシーを作成することをお勧めします。
CLI を使用して承認を設定するには
-
承認ポリシーを設定します。
ns-cli-prompt> add authorization policy <name> <rule> <action>
-
ポリシーを適切なユーザーまたはグループに関連付けます。
-
ポリシーを特定のユーザーにバインドします。
ns-cli-prompt> bind aaa user <username> -policy <policyname>
-
ポリシーを特定のグループにバインドします。
ns-cli-prompt> bind aaa group <groupName> -policy <policyname>
-
GUI ([設定] タブ) を使用して認証を設定するには
-
承認ポリシーを作成します。
[ セキュリティ] > [AAA-アプリケーショントラフィック] > [ポリシー] > [許可] に移動し、[ 追加 ] をクリックし、必要に応じてポリシーを定義します。
-
ポリシーを適切なユーザーまたはグループに関連付けます。
[ セキュリティ] > [AAA-アプリケーショントラフィック] > [ **ユーザまたはグループ**] に移動し、関連するユーザまたはグループを編集して認可ポリシーに関連付けます。
認証構成の例
ここでは、一部のアプリケーションリソースへのユーザーアクセスを許可する設定例をいくつか示します。これらは CLI コマンドであることに注意してください。GUI を使用して同様の設定を行うことができますが、式を引用符 (“) で囲んではいけません。
-
``` add authorization policy authzpol1 “HTTP.REQ.URL.SUFFIX.EQ(“gif”)” ALLOW ```
-
bind aaa user user1 -policy authzpol1 -
``` add authorization policy authzpol2 “HTTP.REQ.URL.SUFFIX.EQ(“png”)” DENY ```
-
bind aaa group group1 -policy authzpol2 <!--NeedCopy-->