访问策略

在线编辑

访问策略是一组规则的组合，它 Verify 根据预定义的条件来控制用户对资源的 Verify 访问。 Verify 包含预定义的访问策略。将访问策略与应用程序关联，以定义用户可以如何对其进行访问，包括是否需要执行双因子认证 (2FA)。

访问策略可以与下列资源相关联：

与 Verify 集成且可从用户主页 Verify 访问的应用程序。

只有授权用户才能访问该应用程序。如果用户无权访问该应用程序，那么无论其他条件如何，都会自动拒绝该用户访问该应用程序。

您可以控制用户可如何从桌面和移动设备访问应用程序。桌面包含笔记本电脑和 Microsoft 平板电脑。移动设备包括使用 iOS 和 Android 操作系统的手机和平板电脑。

移动设备可以是：

受管和合规: 移动设备在设备管理器中注册，并且符合设备管理器 IT 策略。
受管且不合规: 移动设备在设备管理器中注册，但不符合设备管理器 IT 策略。
非受管: 移动设备未在设备管理器中注册，因此未受管。

注意： Jamf 不提供设备合规状态。 Jamf 已注册设备的合规状态显示为UNKNOWN.

您可以对访问请求强制执行以下操作：

允许从设备进行访问。
系统将用户重定向至“登录” Verify 页面，以便其输入登录凭据。
需要用户完成双因子认证。
系统将用户重定向至登录页面 Verify ，以便其输入登录凭据，随后输入一次性密码，方式可选 每次用户在设备上访问应用程序时 或 仅限一次，在经过身份验证的会话中首次访问时 Verify。
阻止从设备进行访问。

下表概述每个访问策略关联的规则；从桌面设备的登录访问规则，以及移动设备每个状态的规则。

表 1. 基于设备的访问策略规则
下表概述每个访问策略关联的规则；从桌面设备的登录访问规则，以及移动设备每个状态的规则。
策略标识	设备
	桌面	移动
		受管		非受管
		合规	不合规	非受管
1	允许	允许	允许	允许
2	始终执行 2FA	允许	允许	始终执行 2FA
3	针对每个会话执行一次 2FA	允许	允许	针对每个会话执行一次 2FA
4	阻止	允许	阻止	阻止
5	允许	允许	阻止	阻止
6	允许	允许	允许	阻止
7	阻止	始终执行 2FA	阻止	阻止
8	阻止	针对每个会话执行一次 2FA	阻止	阻止
9	允许	始终执行 2FA	阻止	阻止
10	允许	针对每个会话执行一次 2FA	阻止	阻止
11	始终执行 2FA	允许	始终执行 2FA	始终执行 2FA
12	针对每个会话执行一次 2FA	允许	针对每个会话执行一次 2FA	针对每个会话执行一次 2FA
13	始终执行 2FA	允许	始终执行 2FA	阻止
14	针对每个会话执行一次 2FA	允许	针对每个会话执行一次 2FA	阻止
15	始终执行 2FA	允许	阻止	阻止
16	针对每个会话执行一次 2FA	允许	阻止	阻止
17	始终执行 2FA	始终执行 2FA	始终执行 2FA	始终执行 2FA
18	针对每个会话执行一次 2FA	针对每个会话执行一次 2FA	针对每个会话执行一次 2FA	针对每个会话执行一次 2FA

下表描述了每个预定义访问策略，包括必需的预订。

表 2. 预定义访问策略
下表描述了每个预定义访问策略，包括必需的预订。
策略标识	策略名称	策略描述
1	允许从所有设备访问	允许用户从桌面和移动设备进行访问。设备管理员可以将该移动设备设为受管或非受管状态。受管理的移动设备可能符合或不符合设备管理器的 IT 策略。
2	允许从受管移动设备进行访问；其他设备需要执行 2FA	允许用户从受管移动设备进行访问。如果用户从桌面或从非受管移动设备进行访问，那么用户每次从这些设备访问应用程序时，都必须完成双因子认证。
3	允许从受管移动设备进行访问；其他设备每个会话都需要执行 2FA	允许用户从受管移动设备进行访问。 Verify如果用户通过台式机或未受管理的移动设备访问，请在经过身份验证的会话中首次尝试访问时，提示用户完成一次双因素身份验证。
4	仅允许从合规移动设备进行访问；否则将阻止	允许用户从合规的受管移动设备进行访问。拒绝从桌面、非受管和不合规的受管移动设备进行访问。
5	允许从桌面和合规的移动设备访问；否则将阻止	允许用户从桌面和合规的受管移动设备进行访问。拒绝从非受管和不合规的受管移动设备进行访问。
6	允许从桌面和受管移动设备访问；否则将阻止	允许用户从桌面和受管移动设备进行访问。拒绝从非受管移动设备进行访问。
7	合规的移动设备中始终需要 2FA；否则将阻止	允许从合规的受管移动设备进行访问，但每次用户从这些设备访问应用程序时，都会提示用户完成双因子认证。拒绝从桌面、非受管和不合规的受管移动设备进行访问。
8	合规的移动设备中每个会话都需要 2FA；否则将阻止	Verify允许符合要求的受管移动设备访问，但在通过身份验证的会话中首次尝试访问时，提示用户完成一次双因素身份验证。拒绝从桌面以及从非受管或不合规的受管移动设备进行访问。
9	允许从桌面访问；合规的移动设备中始终需要 2FA；否则将阻止	允许用户通过仅提供用户名和密码从桌面访问。如果用户从合规的受管移动设备进行访问，那么用户每次从这些设备访问应用程序时，都必须完成双因子认证。拒绝从非受管和不合规的受管移动设备进行访问。
10	允许从桌面访问；合规移动设备中的每个会话都需要 2FA；否则将阻止	允许用户通过仅提供用户名和密码从桌面访问。 Verify如果用户通过符合规范的受管移动设备访问，请在经过身份验证的会话中首次尝试访问时，提示用户一次性完成双因素身份验证。拒绝从非受管和不合规的受管移动设备进行访问。
11	仅允许从合规移动设备进行访问；其他设备需要执行 2FA	允许用户从合规的受管移动设备进行访问。如果用户从桌面或者从非受管或不合规的受管移动设备进行访问，那么用户每次从这些设备访问应用程序时，都必须完成双因子认证。
12	仅允许从合规移动设备进行访问；其他设备每个会话都需要执行 2FA	允许用户从合规的受管移动设备进行访问。 Verify如果用户通过台式机或未经管理的移动设备、或不符合合规要求的受管移动设备进行访问，请在通过身份验证的会话中首次尝试访问时，提示用户一次性完成双因素身份验证。
13	仅允许从合规的移动设备访问；桌面和不合规移动设备中始终需要 2FA；否则将阻止	允许用户从合规的受管移动设备进行访问。如果用户从桌面或不合规受管移动设备进行访问，那么用户每次从这些设备访问应用程序时，都必须完成双因子认证。拒绝从非受管移动设备进行访问。
14	仅允许从合规的移动设备访问；桌面和不合规移动设备中的每个会话都需要 2FA；否则将阻止	允许用户从合规的受管移动设备进行访问。 Verify如果用户通过台式机或不符合要求的受管移动设备进行访问，请在通过身份验证的会话中首次尝试访问时，提示用户一次性完成双因素身份验证。拒绝从非受管移动设备进行访问。
15	仅允许从合规的移动设备访问；桌面中始终需要 2FA；否则将阻止	允许用户从合规的受管移动设备进行访问。如果用户从桌面进行访问，那么用户每次从这些设备访问应用程序时，都必须完成辅助因子认证。拒绝从非受管和不合规的受管移动设备进行访问。
16	仅允许从合规的移动设备访问；桌面中的每个会话都需要 2FA；否则将阻止	允许用户从合规的受管移动设备进行访问。 Verify如果用户通过桌面设备访问，请在经过身份验证的会话中首次尝试访问时，提示用户完成一次双因素身份验证。拒绝从非受管和不合规的受管移动设备进行访问。
17	所有设备中始终需要 2FA	每次用户从桌面和移动设备访问应用程序时，始终提示用户完成双因子认证。
18	所有设备中的每个会话都需要 2FA	Verify在通过身份验证的会话中，首次尝试访问时，提示用户进行一次双因素身份验证。用户在相同已认证会话中访问应用程序的情况下，在后续登录到其他应用程序时，不需要执行双因子认证。

如果从非受管移动设备配置访问权，那么可以从以下策略进行选择：

允许从所有设备访问
允许从受管移动设备进行访问；其他设备需要执行 2FA
允许从受管移动设备进行访问；其他设备每个会话都需要执行 2FA
仅允许从合规移动设备进行访问；其他设备需要执行 2FA
仅允许从合规移动设备进行访问；其他设备每个会话都需要执行 2FA

注意：用户无法通过单点登录直接访问移动设备上的原生应用，而是会被重定向至登录页面 Verify 。根据配置的访问策略，用户可能需要指定一次性密码。