替换Windows AD时,网络准入场景如何迁移对接国产身份域管?

2024-09-07 01:12

本文主要是介绍替换Windows AD时,网络准入场景如何迁移对接国产身份域管?,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

Windows AD是迄今为止身份管理和访问控制领域的最佳实践,全球约90%的中大型企业采用AD作为底层数字身份基础设施,管理组织、用户、应用、网络、终端等IT资源。但随着信创建设在党政机关、金融、央国企、电力等各行各业铺开,对Windows AD域的替换成为企业信息安全建设中不可避免的议题之一。


鉴于AD在企业中的应用程度不同,可将企业分为轻度、中度及深度三类Windows AD用户。面对AD替换的目标,三类用户可能会采取不同的行动。例如:

  • 轻度AD用户:仅部分应用对接AD的企业。替换AD时,可能会直接关停AD,并废弃部分应用。

  • 中度AD用户:部分应用对接AD,终端加域管理的企业。替换AD时,可能会将应用迁移到IAM上。

  • 深度AD用户:SharePoint、Exchange等深度用户,终端加域管理且组策略应用较深。替换AD时,现有应用国产化替代,并寻找AD替换方案,将现有场景全部迁移接管。


前两类AD用户的替换方案可能会面临的问题在本文中不做赘述,后期我们将另开一篇文章分析短、中、长期利弊。本文重点在于关注深度AD用户替换AD时,将面临哪些问题,并提供对应的解决方案。


深度Windows AD用户在替换AD时要面临多个场景的迁移对接:终端、网络、云桌面/网盘、基础服务(DNS、NTP)、应用等。本文将先对网络接入场景进行剖析。

7e1ebe640336a2f0ae4674cea00b4971.jpeg

宁盾身份域管替换AD示意图


以宁盾身份域管替换Windows AD方案为例,企业网络接入场景可分为三种:


与现有的上网行为管理AC认证做对接

上网行为管理AC在围绕办公网安全管控时,需对接AD或其他LDAP身份源进行身份认证。当AD被替换后,企业需要将AC认证迁移到替换方案上。


宁盾方案:将AD上的组织架构和用户数据完整同步到宁盾身份域管,以LDAP协议对接AC设备,为其提供身份认和访问授权。


与第三方准入/桌管设备做对接

第三方准入/桌管设备需对接AD/LDAP身份源。此外,部分企业认为传统802.1X准入的实施运维成本过高,且如果借助多个Hub可以轻松绕过安全机制,因此有替换传统准入方案的需求。


宁盾方案:宁盾身份域管以LDAP服务为核心,通过LDAP协议与准入/桌管设备无缝集成,准入/桌管设备作为下游应用,由身份域管提供身份认证及授权。对于替换传统准入设备的企业,可借助宁盾身份域管实施轻量化准入,不过度依赖客户端,不改造网络,上线快速,零信任理念保障了安全性,大幅降低运维实施成本的同时,运维体验与用户体验均显著提升。


重构网络认证系统

现有的RADIUS认证系统不好用或新搭建RADIUS认证服务,以实现网络准入认证。


宁盾方案:此场景可借助宁盾国产化身份域管内置的RADIUS认证功能,打造无感知的准入体系。


以上是常见的三种网络准入场景在Windows AD替代背景下的迁移对接方案。通过对接方案可以看出,以标准LDAP协议对接,能够降低后续其他应用对接适配的工作量和投入的人力成本,有利于深入推进AD替代工作。接下来,我们将以宁盾身份域管方案为例,通过一系列文章拆解应用迁移、终端纳管等场景,为信创用户提供立项或建设参考。

这篇关于替换Windows AD时,网络准入场景如何迁移对接国产身份域管?的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/1143637

相关文章

Hadoop企业开发案例调优场景

需求 (1)需求:从1G数据中,统计每个单词出现次数。服务器3台,每台配置4G内存,4核CPU,4线程。 (2)需求分析: 1G / 128m = 8个MapTask;1个ReduceTask;1个mrAppMaster 平均每个节点运行10个 / 3台 ≈ 3个任务(4    3    3) HDFS参数调优 (1)修改:hadoop-env.sh export HDFS_NAMENOD

Linux 网络编程 --- 应用层

一、自定义协议和序列化反序列化 代码: 序列化反序列化实现网络版本计算器 二、HTTP协议 1、谈两个简单的预备知识 https://www.baidu.com/ --- 域名 --- 域名解析 --- IP地址 http的端口号为80端口,https的端口号为443 url为统一资源定位符。CSDNhttps://mp.csdn.net/mp_blog/creation/editor

ASIO网络调试助手之一:简介

多年前,写过几篇《Boost.Asio C++网络编程》的学习文章,一直没机会实践。最近项目中用到了Asio,于是抽空写了个网络调试助手。 开发环境: Win10 Qt5.12.6 + Asio(standalone) + spdlog 支持协议: UDP + TCP Client + TCP Server 独立的Asio(http://www.think-async.com)只包含了头文件,不依

poj 3181 网络流,建图。

题意: 农夫约翰为他的牛准备了F种食物和D种饮料。 每头牛都有各自喜欢的食物和饮料,而每种食物和饮料都只能分配给一头牛。 问最多能有多少头牛可以同时得到喜欢的食物和饮料。 解析: 由于要同时得到喜欢的食物和饮料,所以网络流建图的时候要把牛拆点了。 如下建图: s -> 食物 -> 牛1 -> 牛2 -> 饮料 -> t 所以分配一下点: s  =  0, 牛1= 1~

poj 3068 有流量限制的最小费用网络流

题意: m条有向边连接了n个仓库,每条边都有一定费用。 将两种危险品从0运到n-1,除了起点和终点外,危险品不能放在一起,也不能走相同的路径。 求最小的费用是多少。 解析: 抽象出一个源点s一个汇点t,源点与0相连,费用为0,容量为2。 汇点与n - 1相连,费用为0,容量为2。 每条边之间也相连,费用为每条边的费用,容量为1。 建图完毕之后,求一条流量为2的最小费用流就行了

poj 2112 网络流+二分

题意: k台挤奶机,c头牛,每台挤奶机可以挤m头牛。 现在给出每只牛到挤奶机的距离矩阵,求最小化牛的最大路程。 解析: 最大值最小化,最小值最大化,用二分来做。 先求出两点之间的最短距离。 然后二分匹配牛到挤奶机的最大路程,匹配中的判断是在这个最大路程下,是否牛的数量达到c只。 如何求牛的数量呢,用网络流来做。 从源点到牛引一条容量为1的边,然后挤奶机到汇点引一条容量为m的边

国产游戏崛起:技术革新与文化自信的双重推动

近年来,国产游戏行业发展迅猛,技术水平和作品质量均得到了显著提升。特别是以《黑神话:悟空》为代表的一系列优秀作品,成功打破了过去中国游戏市场以手游和网游为主的局限,向全球玩家展示了中国在单机游戏领域的实力与潜力。随着中国开发者在画面渲染、物理引擎、AI 技术和服务器架构等方面取得了显著进展,国产游戏正逐步赢得国际市场的认可。然而,面对全球游戏行业的激烈竞争,国产游戏技术依然面临诸多挑战,未来的

在 Windows 上部署 gitblit

在 Windows 上部署 gitblit 在 Windows 上部署 gitblit 缘起gitblit 是什么安装JDK部署 gitblit 下载 gitblit 并解压配置登录注册为 windows 服务 修改 installService.cmd 文件运行 installService.cmd运行 gitblitw.exe查看 services.msc 缘起

Windows如何添加右键新建菜单

Windows如何添加右键新建菜单 文章目录 Windows如何添加右键新建菜单实验环境缘起以新建`.md`文件为例第一步第二步第三步 总结 实验环境 Windows7 缘起 因为我习惯用 Markdown 格式写文本,每次新建一个.txt后都要手动修改为.md,真的麻烦。如何在右键新建菜单中添加.md选项呢? 网上有很多方法,这些方法我都尝试了,要么太麻烦,要么不凑效

配置InfiniBand (IB) 和 RDMA over Converged Ethernet (RoCE) 网络

配置InfiniBand (IB) 和 RDMA over Converged Ethernet (RoCE) 网络 服务器端配置 在服务器端,你需要确保安装了必要的驱动程序和软件包,并且正确配置了网络接口。 安装 OFED 首先,安装 Open Fabrics Enterprise Distribution (OFED),它包含了 InfiniBand 所需的驱动程序和库。 sudo