1、應(yīng)用場(chǎng)景如下：
AD SSO
單點(diǎn)登錄一般適用于客戶網(wǎng)絡(luò)中已經(jīng)采用 AD 域認(rèn)證，希望通過(guò) AD 域認(rèn)證之后，自動(dòng)通過(guò)上網(wǎng)行為備認(rèn)證，并且設(shè)備能獲取到用戶對(duì)應(yīng)的域用戶名；而未加入域的終端需要經(jīng)過(guò)域賬號(hào)和密碼認(rèn)證，從而對(duì)上網(wǎng)的用戶進(jìn)行全面控制和審計(jì)。
2、配置步驟
1.啟用AD SSO強(qiáng)制單點(diǎn)登錄
2.配置 AD域集成身份認(rèn)證信息
3.配置認(rèn)證策略
4.將AD域服務(wù)器地址添加白名單確保，終端用戶與域服務(wù)器協(xié)商。
注意事項(xiàng)：
1.先升級(jí)相關(guān)域認(rèn)證依賴(lài)補(bǔ)丁包，升級(jí)后需要重新，再升級(jí)版本，每次升級(jí)都需要重啟設(shè)備。
2.保證域服務(wù)器和上網(wǎng)行為管理設(shè)備、終端網(wǎng)絡(luò)通信連通。
詳細(xì)步驟
一、啟用AD SSO 強(qiáng)制單點(diǎn)登錄功能
1.進(jìn)入【行為管理】>【認(rèn)證選項(xiàng)】進(jìn)入【SSO】，選擇【AD SSO】。
2.啟用AD SSO域登錄腳本方式，如下圖：
二、配置AD集成身份驗(yàn)證
1.進(jìn)入【行為管理】>【認(rèn)證選項(xiàng)】進(jìn)入【SSO】，選擇【AD SSO】。
2.啟用AD SSO域登錄腳本方式
3.加入AD域驗(yàn)證，如下圖：
參數(shù)說(shuō)明：
計(jì)算機(jī)名稱(chēng)：設(shè)備的系統(tǒng)名稱(chēng)
域名：域服務(wù)器域名。如：hua.com。
域DNS服務(wù)器：AD域名解析DNS服務(wù)器IP地址（DNS服務(wù)器同AD域服務(wù)器同在一個(gè)主機(jī)上）。
域帳號(hào)：域服務(wù)器管理員帳號(hào)。
域帳號(hào)密碼：同上述域管理員帳號(hào)密碼。
三、配置AD域單點(diǎn)集成身份認(rèn)證策略
1.進(jìn)入【行為管理】>【認(rèn)證策略】進(jìn)入【新增】，認(rèn)證配置如下圖：
認(rèn)證頁(yè)面選擇分“強(qiáng)制單點(diǎn)登錄”和“密碼認(rèn)證與強(qiáng)制單點(diǎn)登錄”
認(rèn)證方式選擇說(shuō)明：
強(qiáng)制單點(diǎn)登錄：加入域用戶登錄終端強(qiáng)制認(rèn)證登錄無(wú)需手動(dòng)認(rèn)證，未使用域用戶登錄需要安裝插件強(qiáng)制登錄。
密碼認(rèn)證與強(qiáng)制單點(diǎn)登錄：加入域用戶登錄終端強(qiáng)制認(rèn)證登錄無(wú)需手動(dòng)認(rèn)證，未使用域用戶登錄終端可選擇密碼認(rèn)證。
四、AD域服務(wù)器地址添加白名單
1.進(jìn)入【行為管理】>【白名單管理】>【IP白名單】進(jìn)入【新增】，允許局域網(wǎng)內(nèi)終端可以訪問(wèn)AD，認(rèn)證配置如下圖：
控制白名單：IP地址填寫(xiě)AD域服務(wù)器IP地址
五、AD集成驗(yàn)證
1、在域里面的電腦終端，登錄域之后，可直接實(shí)現(xiàn)上網(wǎng)，無(wú)需再次認(rèn)證，在設(shè)備“在線用戶”界面可看到上線的域終端。
2、未使用域用戶登錄的電腦終端，無(wú)法直接訪問(wèn)外網(wǎng)。認(rèn)證需要啟用IE瀏覽器，訪問(wèn)http鏈接如訪問(wèn)：www.163.com；使用密碼認(rèn)證，通過(guò)認(rèn)證后可以訪問(wèn)外網(wǎng)。
故障排除：
1.域驗(yàn)證失敗
解決方法：
域名是否同AD域服務(wù)器一致；
域賬戶密碼是否正確。
2.DNS服務(wù)器查詢不到域信息
解決方法：
域服務(wù)器和DNS服務(wù)器網(wǎng)絡(luò)連通，可否正確解析；
3.檢測(cè)不到有效域名
解決方法：
計(jì)算機(jī)名稱(chēng)是否有沖突域用戶名稱(chēng)
4.域認(rèn)證解析不正確
確認(rèn)DNS服務(wù)器中是否存在設(shè)備計(jì)算機(jī)名稱(chēng)對(duì)于的3.4.5.6主機(jī)地址。
