Роли в AxelNAC можно создать в разделе Конфигурация → Политики и контроль доступа → Роли. На этой странице можно также ограничить количество устройств, которые могут регистрировать пользователи, имеющие определенные роли.
Разберем создание роли на примере роли сотрудника и роли АРМ. Для этого в разделе Конфигурация → Политики и контроль доступа → Роли нажмите Новая роль и укажите следующую информацию:
В данном примере мы разрешаем иметь одному пользователю сразу два зарегистрированных узла, т.к. сотрудник может иметь необходимость доступа к сети с нескольких устройств.
Выполните эти действия для другой роли:
В данном примере мы разрешаем иметь одному пользователю лишь один зарегистрированный узел, т.к. эта роль назначается конкретному устройству.
Далее разберем пример использования этих двух ролей: Employee и Domain_machine. Сотрудниками и их доменным машинам с помощью Active Directory (по протоколу LDAP) будут назначены роли.
Для того, настроить назначение сотрудникам роли Employee, выполните следующие действия:
Шаг 1. Перейдите в раздел Конфигурация → Политики и контроль доступа → Источники аутентификации и нажмите Новый внутренний источник, после чего в выпадающем списке выберите Active Directory.
Шаг 2. В открывшемся окне заполните поля следующим образом:
Пользователь, указываемый в поле Привязать DN должен обладать правами на просмотр домена.
Шаг 3. В поле Правила аутентификации нажмите Добавить правило, и заполните основные поля:
Шаг 4. Нажмите Добавить действие и укажите следующие параметры:
Шаг 5. Сохраните новый источник аутентификации, нажав Создать.
Шаг 6. Протестируйте подключение. При использовании этого источника аутентификации каждому пользователю, чье имя совпадает с именем в источнике (определяется с помощью sAMAccountName), будет выдаваться роль Employee с продолжительностью доступа 7 дней.
Если нужно разграничить аутентификацию пользователей и машин с помощью Active Directory, то один из способов сделать это — создать отдельный источник аутентификации для машин. Для этого необходимо выполнить следующие действия:
Шаг 1. Перейдите в раздел Конфигурация → Политики и контроль доступа → Источники аутентификации и нажмите Новый внутренний источник, после чего в выпадающем списке выберите Active Directory.
Шаг 2. В открывшемся окне заполните поля следующим образом:
Пользователь, указываемый в поле Привязать DN должен обладать правами на просмотр домена.
Шаг 3. В поле Правила аутентификации нажмите Добавить правило, и заполните основные поля:
Шаг 4. Нажмите Добавить действие и укажите следующие параметры:
При такой конфигурации сотрудники могут подключать только доменных машины, но не личные устройства.
Шаг 5. Сохраните новый источник аутентификации, нажав Создать.