RSASecurID管理員操作手冊(cè)

1、RSA SecurID 7.1管理員手冊(cè)RSA SecurID 7.1管理員操作手冊(cè)目 錄一、RSA 7.1安裝11.1.RSA 7.1 Windows版安裝需求及注意事項(xiàng)11.2.安裝RSA Authenticaton Manager2二、RSA 7.1基本運(yùn)行與維護(hù)112.1.令牌相關(guān)操作112.1.1.導(dǎo)入令牌種子文件Import Tokens Job112.1.2.查看令牌 Manage SecurID Tokens132.1.3.令牌統(tǒng)計(jì)Token Statistics142.1.4.修改令牌驗(yàn)證方式Change Token to Authenticate with152.2.用戶相

2、關(guān)操作162.2.1.查詢用戶Manage Users162.2.2.分配令牌Assign Token172.2.3.解除令牌綁定Unassign Token192.3.登錄狀態(tài)的監(jiān)控20三、RSA Self-service Console的使用213.1.自服務(wù)系統(tǒng)的使用213.2.匯報(bào)問(wèn)題26四、售后服務(wù)熱線294.1郵件方式294.2電話方式29一、 RSA 7.1安裝RSA ACE/Server是集中的雙因素認(rèn)證中心，除了響應(yīng)RSA ACE/Agent傳送過(guò)來(lái)的認(rèn)證請(qǐng)求以外，管理員還可以定義安全策略，允許不同的用戶訪問(wèn)不同受保護(hù)網(wǎng)絡(luò)資源的權(quán)限，設(shè)定不同用戶的存取時(shí)間等；同時(shí)RSA AC

3、E/Server忠實(shí)地記錄用戶的每次認(rèn)證請(qǐng)求，包括用戶名、時(shí)間、訪問(wèn)的服務(wù)器以及是否通過(guò)認(rèn)證等信息，以備日后審計(jì)；另外，RSA ACE/Server還可以檢測(cè)惡意企圖并做出響應(yīng)，例如用戶連續(xù)輸錯(cuò)3此認(rèn)證碼以后自動(dòng)進(jìn)入NextToken模式，必須連續(xù)輸入兩個(gè)正確的認(rèn)證碼才能通過(guò)認(rèn)證，連續(xù)輸錯(cuò)10次認(rèn)證碼以后自動(dòng)禁止此帳號(hào)。RSA ACE/Server可以運(yùn)行于Solaris、AIX、HP-UX和Windows操作系統(tǒng)平臺(tái)上。一個(gè)RSA ACE/Server可以提供百萬(wàn)級(jí)用戶數(shù)的容量。RSA ACE/Server有兩種許可證：基本許可證（Base License）和高級(jí)許可證（Advanced L

4、icense）?；驹S可證允許用戶安裝一臺(tái)主服務(wù)器（Primary Server）和一臺(tái)從服務(wù)器（Replica Server）；而高級(jí)許可證允許部署最多6個(gè)服務(wù)器域（Realm），每個(gè)域由一臺(tái)主服務(wù)器和最多十臺(tái)從服務(wù)器組成，這種架構(gòu)不僅確保了高有效性，同時(shí)可以適合大型的全球網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)。1.1. RSA 7.1 Windows版安裝需求及注意事項(xiàng)支持的操作系統(tǒng)：² Microsoft Windows Server 2003 Enterprise R2 SP2 (32-bit)² Microsoft Windows Server 2003 Enterprise SP2 (3

5、2-bit)² Microsoft Windows Server 2003 Enterprise R2 SP2 (64-bit)² Microsoft Windows Server 2003 Enterprise SP2 (64-bit)Note: RADIUS is not supported on 64-bit Windows and Linux systems.硬件需求：² Intel Xeon 2.8 GHz or equivalent (32-bit)² Intel Xeon 2.8 GHz or equivalent (64-bit)

6、8; 3GB 物理內(nèi)存² NTFS 文件系統(tǒng)² 60GB 磁盤(pán)空間支持的瀏覽器：Windows系統(tǒng)：² Internet Explorer 6.0 with SP2 for Windows XP² Internet Explorer 7.0 for Windows XP and Windows Vista² Firefox 2.0Linux系統(tǒng)：² Firefox 2.0Solaris系統(tǒng)：² Firefox 2.0² Mozilla 1.07注意事項(xiàng)：² RSA Authentication Manag

7、er 必須安裝在NTFS分區(qū)上。² RSA SecurID以時(shí)間同步技術(shù)為核心，安裝 RSA Authentication Manager 前必須調(diào)準(zhǔn)服務(wù)器的時(shí)間，包括時(shí)區(qū)、日期和時(shí)間。² 將所有 RSA Authentication Manager 服務(wù)器的全名和IP地址寫(xiě)入所有 RSA Authentication Manager 服務(wù)器的hosts文件中（winntsystem32driversetchosts）。1.2. 安裝RSA Authenticaton Manager 1. 首先修改AM服務(wù)器的hosts文件，將本機(jī)的ip地址和主機(jī)名加入hosts記錄中，主

8、機(jī)名需要寫(xiě)成域名形式的，如沒(méi)有加入域環(huán)境可在實(shí)際主機(jī)名后加上.com；如需修改計(jì)算機(jī)名或加入域環(huán)境需要重啟后生效。Hosts文件修改路徑：C:WINDOWSsystem32driversetchosts，如下圖：2. 查看系統(tǒng)時(shí)間是否是標(biāo)準(zhǔn)北京時(shí)間，如不是需要修改或同步。3. 插入RSA Authentication Manager 7.1光盤(pán)。運(yùn)行autorun.exe啟動(dòng)安裝安裝向?qū)?dòng)后點(diǎn)擊Install Now點(diǎn)擊next，選擇“You are a customer ordering this RSA product from RSA Securtiy Ireland Limited,

9、 from Europe, Africa or Asia Pacific”第二個(gè)選項(xiàng)表明在亞太地區(qū)購(gòu)買(mǎi)的RSA產(chǎn)品。選擇“I accept the terms of the license agreement”接受許可條款。選擇需要安裝RSA Authentication Manager的類型“Primary RSA Authentication Manager”，選擇“Next”繼續(xù)。指定RSA Authentication Manager軟件安裝目錄，然后選擇“Next”繼續(xù)。如hosts文件已將主機(jī)名和ip地址添加完畢，此界面會(huì)自動(dòng)讀取本機(jī)的完整主機(jī)名和ip地址，如沒(méi)有自動(dòng)讀取，說(shuō)明ho

10、sts文件沒(méi)有添加正確。指定RSA Authentication Manager License路徑，Base license支持安裝一主一從兩臺(tái)設(shè)備，選擇“Next”繼續(xù)。檢查license信息是否正確，點(diǎn)擊Next繼續(xù)。設(shè)定超級(jí)管理員的用戶名和密碼，此用戶名和密碼用于登錄管理Security Console, Operation Console和Self-service Console，默認(rèn)每3個(gè)月需要修改一次，選擇“Next”繼續(xù)。選擇需要的log類型，建議全選，選擇“Next”繼續(xù)。查看安裝摘要，選擇“Install”開(kāi)始安裝。 安裝過(guò)程將持續(xù)半個(gè)小時(shí)至一個(gè)小時(shí)不等，取決于服務(wù)器的性能

11、，直到出現(xiàn)以下界面完成安裝。點(diǎn)擊Finish完成安裝，桌面上會(huì)出現(xiàn)三個(gè)圖標(biāo)，分別是：RSA Security Consolehttps:/nice-rsa-vm01-:7004/IMS-AA-IDP/logonPrompt.do?action=nvPreLoginRSA Security Operations Consolehttps:/nice-rsa-vm01-:7072/operations-console/RSA Self-Service Consolehttps:/nice-rsa-vm01-:7004/console-selfservice/安裝完成后所有RSA必需的服務(wù)會(huì)自動(dòng)啟動(dòng)

12、，并且默認(rèn)設(shè)置為開(kāi)機(jī)自動(dòng)啟動(dòng)。二、 RSA 7.1基本運(yùn)行與維護(hù)管理員可以在服務(wù)器本地執(zhí)行RSA Security Console中來(lái)進(jìn)行絕大部分的管理操作：https:/nice-rsa-vm01-:7004/IMS-AA-IDP/logonPrompt.do?action=nvPreLogin2.1. 令牌相關(guān)操作在Authentication菜單下，管理員可以進(jìn)行與令牌或種子文件相關(guān)的一些操作。一般來(lái)說(shuō)，系統(tǒng)安裝完畢之后，管理員的第一步工作就是導(dǎo)入種子文件。2.1.1. 導(dǎo)入令牌種子文件Import Tokens Job插入SecurID種子盤(pán)，將.XML文件拷入服務(wù)器。選擇Authen

13、tication SecurID Tokens - Import Tokens Job Add New。在Import File欄中點(diǎn)擊“瀏覽”，選擇種子文件的路徑，之后輸入種子文件的密碼,點(diǎn)擊Submit Job。種子導(dǎo)入成功。2.1.2. 查看令牌 Manage SecurID Tokens在Authentication SecurID Tokens Manage Existing中查看已導(dǎo)入的令牌。選擇Unassigned未分配令牌，點(diǎn)擊search。所有未分配的令牌均顯示出來(lái)。2.1.3. 令牌統(tǒng)計(jì)Token Statistics在這個(gè)菜單下，管理員可以查看目前令牌的相關(guān)統(tǒng)計(jì)信息，如：

14、已分配給用戶的令牌數(shù)、可用的令牌數(shù)、已過(guò)期的令牌數(shù)、即將在90天內(nèi)過(guò)期的令牌數(shù)等。Authentication SecurID Tokens Statistics中可以看到當(dāng)前所有令牌的狀態(tài)信息。2.1.4. 修改令牌驗(yàn)證方式Change Token to Authenticate with選中所有令牌，在上方的下拉菜單中選擇Dont Require SecurID PIN，可根據(jù)用戶的要求，將所有令牌設(shè)定為無(wú)PIN模式。無(wú)PIN模式設(shè)置完成。2.2. 用戶相關(guān)操作在Identity菜單下，管理員可以進(jìn)行添加用戶、編輯用戶、刪除用戶、查詢外部LDAP用戶等操作：2.2.1. 查詢用戶Manag

15、e Users在Users Manage Existing選項(xiàng)中，將Identity Source選為Internal Database，點(diǎn)擊Search顯示出RSA內(nèi)置數(shù)據(jù)庫(kù)中的所有用戶信息2.2.2. 分配令牌Assign Token選中其中一個(gè)域用戶右側(cè)的箭頭，選擇SecurID Tokens，查看當(dāng)前用戶已分配的令牌。如該用戶未被分配令牌則顯示如上，點(diǎn)擊Assign Token給該用戶分配新令牌。在選中的令牌號(hào)碼打勾，并點(diǎn)擊上方的Assign，將這個(gè)令牌分配給該用戶。顯示令牌分配成功，令牌狀態(tài)為Actie。2.2.3. 解除令牌綁定Unassign Token當(dāng)某個(gè)用戶不再使用令牌或變

16、更令牌（如測(cè)試賬號(hào)結(jié)束測(cè)試、用戶離職等情況下），管理員可以將令牌解除與該用戶的綁定：點(diǎn)擊已綁定用戶的令牌右側(cè)的三角，選擇Unassign Token，即可解除這塊令牌與該用戶的綁定。2.3. 登錄狀態(tài)的監(jiān)控在Reporting Real-time Activity Monitor Authentication Activity Monitor中可以監(jiān)測(cè)到所有用戶登錄的狀態(tài)，不論登錄成功與否都會(huì)有記錄，這是排查登錄失敗原因的最重要工具。打開(kāi)Monitor后點(diǎn)擊左上角的Start Monitor，就會(huì)開(kāi)始自動(dòng)記錄所有的用戶登錄狀態(tài)及報(bào)錯(cuò)信息。在排查登錄失敗的原因時(shí)推薦將ACS的Access log

17、也打開(kāi)兩邊同時(shí)排查，以便更準(zhǔn)確的定位失敗原因。三、 RSA Self-service Console的使用3.1. 自服務(wù)系統(tǒng)的使用管理員和用戶均可登錄RSA Self-Service Console：https:/nice-rsa-vm01-:7004/console-selfservice/ 來(lái)訪問(wèn)自服務(wù)系統(tǒng)，用戶可通過(guò)它自行解決令牌忘帶或遺失等問(wèn)題，省去管理員很多繁瑣的操作。點(diǎn)擊Log on登錄自服務(wù)控制臺(tái)。輸入用戶名后可自己選擇輸入靜態(tài)密碼或令牌碼，如令牌忘帶或丟失可選擇輸入管理員賦予的靜態(tài)密碼。第一次登錄系統(tǒng)會(huì)提出5個(gè)問(wèn)題，這些問(wèn)題的答案由用戶自行回答并牢記，作為用戶忘記密碼后找回的

18、依據(jù)。登錄成功后會(huì)顯示該用戶目前關(guān)聯(lián)令牌的信息及用戶信息，右側(cè)My Profile欄中有Change your Password選項(xiàng)，可根據(jù)用戶自己需要更改登錄自服務(wù)系統(tǒng)的靜態(tài)密碼。在My SecurID Tokens一欄中，用戶可測(cè)試自己token的可用性或報(bào)告token產(chǎn)生的問(wèn)題。點(diǎn)擊Test your token后即可測(cè)試令牌可用性，在User ID欄中輸入用戶名，Passcode欄中輸入令牌碼，點(diǎn)擊Test。如令牌工作正常則提示如上。如點(diǎn)擊Report a problem with your token, 則會(huì)彈出詢問(wèn)令牌問(wèn)題的選項(xiàng)，以忘帶或遺失為例，點(diǎn)選Token is temporarily unavailable or misplaced。系統(tǒng)會(huì)為該用戶隨機(jī)生成一個(gè)可登錄密碼來(lái)代替忘帶或遺失的令牌密碼，但該密碼具有時(shí)效性，只可在下面所顯示的時(shí)間范圍內(nèi)使用。3.2. 匯報(bào)問(wèn)題如用戶的令牌出現(xiàn)問(wèn)題，可進(jìn)入Trou