Создание правила для разрешения или запрета пользователям на основе входящего утверждения
В Windows Server 2016 можно использовать политику контроль доступа для создания правила, разрешающего или запрещающего пользователей на основе входящего утверждения. В Windows Server 2012 R2 с помощью шаблона правила разрешения или запрета на основе шаблона правила входящего утверждения в службы федерации Active Directory (AD FS) (AD FS) можно создать правило авторизации, которое предоставит или запретит пользователю доступ к проверяющей стороне на основе типа и значения входящего утверждения.
Например, это можно использовать для создания правила, которое позволит только пользователям, имеющим утверждение группы со значением доменных Администратор для доступа к проверяющей стороне. Если вы хотите разрешить всем пользователям доступ к проверяющей стороне, используйте политику "Разрешить всем контроль доступа" или шаблон правила "Разрешить всем пользователям" в зависимости от версии Windows Server. Пользователи, которым разрешен доступ к проверяющей стороне из службы федерации, все еще могут получить отказ в обслуживании проверяющей стороной.
Чтобы создать правило утверждения с оснасткой управления AD FS, можно использовать следующую процедуру.
Для выполнения этой процедуры требуется членство в группе Администраторы или в эквивалентной группе на локальном компьютере. Дополнительные сведения об использовании соответствующих учетных записей и членстве в группах см. в статье Local and Domain Default Groups (Локальные и доменные группы по умолчанию).
Создание правила для разрешения пользователей на основе входящего утверждения в Windows Server 2016
В диспетчере сервера щелкните Средства и выберите Управление AD FS.
В дереве консоли в разделе AD FS щелкните контроль доступа политики.
Щелкните правой кнопкой мыши и выберите "Добавить политику контроль доступа".
В поле "Имя" введите имя политики, описание и нажмите кнопку "Добавить".
В редакторе правил в разделе "Пользователи" поместите проверка с определенными утверждениями в запросе и щелкните подчеркнутую конкретную в нижней части экрана.
На экране "Выбор утверждений" нажмите переключатель "Утверждения", выберите тип утверждения, оператор и значение утверждения и нажмите кнопку "ОК".
В редакторе правил нажмите кнопку "ОК". На экране "Добавить контроль доступа политика" нажмите кнопку "ОК".
В дереве консоли управления AD FS в разделе AD FS щелкните "Доверие проверяющей стороны".
Щелкните правой кнопкой мыши доверие проверяющей стороны, к которому требуется разрешить доступ, и выберите пункт "Изменить контроль доступа политика".
В политике управления доступом выберите политику, а затем нажмите кнопку "Применить" и "ОК".
Создание правила запрета пользователям на основе входящего утверждения в Windows Server 2016
В диспетчере сервера щелкните Средства и выберите Управление AD FS.
В дереве консоли в разделе AD FS щелкните контроль доступа политики.
Щелкните правой кнопкой мыши и выберите "Добавить политику контроль доступа".
В поле "Имя" введите имя политики, описание и нажмите кнопку "Добавить".
В редакторе правил убедитесь, что все выбраны и в разделе "Кроме того, проверка в запросе с определенными утверждениями" и щелкните подчеркнутую конкретную в нижней части экрана.
На экране "Выбор утверждений" нажмите переключатель "Утверждения", выберите тип утверждения, оператор и значение утверждения и нажмите кнопку "ОК".
В редакторе правил нажмите кнопку "ОК". На экране "Добавить контроль доступа политика" нажмите кнопку "ОК".
В дереве консоли управления AD FS в разделе AD FS щелкните "Доверие проверяющей стороны".
Щелкните правой кнопкой мыши доверие проверяющей стороны, к которому требуется разрешить доступ, и выберите пункт "Изменить контроль доступа политика".
В политике управления доступом выберите политику, а затем нажмите кнопку "Применить" и "ОК".
Создание правила для разрешения или запрета пользователей на основе входящего утверждения в Windows Server 2012 R2
В диспетчере сервера щелкните Средства и выберите Управление AD FS.
В дереве консоли в разделе AD FS\Отношения доверия\Отношения доверия проверяющей стороны щелкните определенное доверие в списке, в котором вы хотите создать это правило.
Щелкните правой кнопкой мыши выбранное доверие и выберите команду "Изменить правила утверждения".
В диалоговом окне "Изменение правил утверждений" откройте вкладку "Правила авторизации выдачи" или вкладку "Правила авторизации делегирования" (в зависимости от типа необходимого правила авторизации), а затем нажмите кнопку "Добавить правило", чтобы запустить мастер добавления правила утверждения авторизации.
На странице "Выбор шаблона правила" в разделе "Правило утверждения" выберите "Разрешить или запретить пользователей на основе входящего утверждения" из списка, а затем нажмите кнопку "Далее".
На странице "Настройка правила" в разделе "Имя правила утверждения" введите отображаемое имя этого правила, в типе входящего утверждения выберите тип утверждения в списке, в разделе "Входящий тип утверждения" или нажмите кнопку "Обзор" (если оно доступно) и выберите значение, а затем выберите один из следующих вариантов в зависимости от потребностей вашей организации:
Разрешение доступа к пользователям с помощью этого входящего утверждения
Запрет доступа пользователям с этим входящим утверждением
Нажмите кнопку Готово.
В диалоговом окне "Изменение правил утверждений" нажмите кнопку "ОК", чтобы сохранить правило.
Дополнительная справка
Настройка правил для утверждения
Контрольный список. Создание правил утверждений для доверия проверяющей стороны