Ektron AD用户：如何防止某些广告用户登录工作区

Question

ektron网站的广告集成后如何防止某些活动目录用户登录到工作区？

Answer 1

这可能取决于您所使用的Ektron版本，但我相信这是Ektron后期版本的一个问题，他们将登录逻辑直接添加到cmslogin.aspx.cs而不是使用cms:Login服务器控件。

我所了解的解决方法需要手动编辑登录页面（cmslogin.aspx）以防止用户被自动添加为使用EkEnumeration.AutoAddUserTypes.Author的CMS“作者”，而是仅作为成员资格用户添加。
您也可以创建自己的登录页面来自定义逻辑并删除股票登录页面;不管你做什么，备份股份页第一:)

您可以玩弄这片：

m_eAutoAddType = EkEnumeration.AutoAddUserTypes.Member; // I added this. 
if (bAutoLogin) 
{ 
UserInfo = m_refUserApi.autologInUser(strUsername, strDomain, Request.ServerVariables["SERVER_NAME"], m_eAutoAddType); 
} 
else 
{ 
UserInfo = m_refUserApi.logInUser(strUsername, strPassword, Request.ServerVariables["SERVER_NAME"], strDomain, strProtocol, m_eAutoAddType); 
} 

Answer 2

如果我记错，为数不多的用户选项之一AD集成模式仍然可用是他们的个人资料上的“锁定用户”复选框。

Answer 3

AD集成可以设置为影响CMS用户或会员用户。 CMS用户可以访问工作区，而会员用户则不可以。这听起来像你有错误的选项设置。

在一个典型的Intranet情况下，所有具有AD集成的用户往往都是成员资格用户。这样他们可以使用社区和社交功能在网站上创建内容。

您的管理员通常会有2个帐户：他们的常规AD帐户和他们可用于通过Workarea管理Ektron的CMS专用帐户。

Answer 4

快速简单的回答： 一旦开始启用AD身份验证，它就会变成全部或全无。您不能混用用户验证模式。

• CMS和会员用户可以对Ektron进行认证。
• CMS用户可以对AD进行认证，成员资格可以对Ektron进行认证。
• CMS和Membership可以针对AD进行认证。
• 你不能混用。

如果每个人都是一个CMS的用户，但不是每个人都应该在工作区做的“东西”，你需要开始管理用户组和组权限基于团中工作区以限制或允许的活动。首先：拒绝Everyone组的所有内容。然后开始允许其他组的活动。

用户管理在晔复杂和长期的解释： 随着晔AD认证和集成选项，你有一对夫妇的方式来管理用户认证，而用户在系统中是如何存在的。

1. 标准AD身份验证 - 通过Web启用时。使用ek_ADEnabled进行配置，然后通过Workarea>设置>配置> Active Directory>设置>“启用Active Directory认证”，登录到系统的AD用户将作为CMS用户进行处理。关于此的解释：只需在此处选中单选按钮并取消选中复选框将强制针对AD的CMS身份验证。此不会自动添加经过身份验证的用户，更新属性或将其强制为组​​。它只是测试他们的用户名并传递给LDAP查询。使用这种方法，您可以手动将要验证的用户的CMS/Workarea访问权限添加到用户中。任何未加入的用户都不会被认证。其他任何用户都将使用成员资格用户名，并在网站上进行身份验证，并且不会使用AD。

2. Active Directory Itegration - 使用上述方法，您可以启用“集成”。这将在Active Directory成功登录时更新用户属性和信息。通过“身份验证”，用户信息（除用户名，域和密码外）在Ektron中进行管理，而“集成”强制其余用户属性与其AD值匹配。只需启用“集成”，仍然会强制用户手动添加到用户，而用户中不存在的任何AD用户都无法进行身份验证。相反，他们需要一个非广告Ektron会员帐户才能登录。

3. 自动添加选项 - 启用“集成”后，您可以启用Ektron中的用户自动创建。如果用户登录Ektron并成功通过Active Directory进行身份验证，但在Ektron中尚不存在，则用户帐户将在Everyone组中的Ektron中创建，并将被授予这些权限。这意味着您域中的所有Active Directory用户都可以作为CMS用户进行身份验证并获得访问权限。启用“Auto Add User to Group”（自动添加用户到组）将采取额外步骤，并针对Ektron组检查其AD用户组。如果其中一个Ektron组匹配他们所在的AD组，他们将被添加到Ektron组中。

4. AD成员资格 - 如果您只希望Active Directory树中的几个用户拥有CMS访问权限，并希望其他用户使用Active Directory凭据登录该网站，则可以通过设置来启用AD成员资格在Web.config中将“ek_LDAPMembershipUser”标志设置为“true”。这将强制所有成员用户像CMS用户一样对AD进行身份验证，但他们不具有CMS访问权限。但是，启用此功能后，标准用户，非AD用户身份验证将不起作用。用户将被迫对AD进行身份验证。在这种情况下，集成和自动添加选项也适用于成员资格用户，您可以使用Login控件或API设置AutoAddType或强制登录仅允许成员资格用户。

现在，很明显，如果您选择不启用AD身份验证，则所有用户都只能通过Ektron进行身份验证。没有与AD控制器进行通信。如果您未启用“ek_LDAPMembershipUser”，则所有成员资格的用户仍仅通过Ektron进行身份验证。 AD/LDAP身份验证不适用于它们。

但是，系统中没有混合模式身份验证。您可以通过CMS用户针对AD和成员资格与Ektron一起启用AD。或者，您可以使用AD用户与AD用户对抗AD和AD。您不能让CMS用户针对Ektron和会员对抗AD，您也不能让某些用户成为针对AD和其他用户的CMS或会员，仅针对Ektron。我确实相信这些复杂的选项将在未来的版本中提供，但现在，一旦开始启用AD身份验证，根据您设置的位置，它将成为一件全有或全无事件。

有关用户组的一个非常重要的一点：您可以在Ektron中启用AD身份验证并手动管理用户组。这些组不需要与AD用户组相匹配。这意味着您可以在Ektron中定义自己的组，强制用户通过Active Directory进行身份验证，并且您可以将权限应用于Ektron组，独立于AD组权限。

我希望这有助于阐明用户系统。