03-anyoffice功能特性与配置v200r005典型案例

1、修订记录课程编码适用产品产品版本课程版本ISSUEV2R5V2R51.0开发/优化者时间审核人开发类型（新开发/优化）闻亮/900064942015-08-15新开发本页不打印AnyOffice V200R005产品典型配置案例分析 前言华为AnyOffice产品是华为公司推出的移动办公安全解决方案，产品的配置是产品使用的基础。本课程介绍华为AnyOffice产品的典型配置案例。 目标学完本课程后，您将能够:了解华为AnyOffice产品的典型配置过程了解华为AnyOffice产品在配置过程中的注意事项完成华为AnyOffice产品的典型配置 案例案例背景部署规划证书配置认证配置业务策略配置案

2、例背景背景介绍：某企业使用华为AnyOffice移动办公系统，主要使用MDM、MAM、安全SDK、安全浏览器、分级管理等功能。用户使用终端涉及Android和IOS。分级管理功能：该企业使用用户类型较多，非常关注分级管理功能，例如：应用商店要分级管理，可针对不同部门或不同用户下发不同的MDM策略、工作台策略等。MAM：非常关注应用商店的应用管理，对不同部门和用户需要下发不同的应用。MDM：关注Wi-Fi开关控制，管控、消息推送等。 案例案例背景部署规划证书配置认证配置业务策略配置部署规划移动安全客户端AnyOffice3G/4GPublic Wi-FiFirewall/UTMSSL终端侧接入侧

3、后台接入服务器局域网EnterpriseWiFiOffice basedOfficebased移动安全客户端AnyOfficeSMSCAE接入服务器SSLOracle选择集中式组网规划，示意图如下：部署规划选择AE服务器单网卡旁挂防火墙，示意图如下：部署规划数据规划： 项目示例说明AE服务器一个网口的两个IP地址分别为： IP地址1：172.16.253.1 IP地址2：172.16.254.1AE服务器使用IP地址1与Trust区的内网服务器通信。AE服务器使用IP地址2与外网通信。该IP地址需与防火墙做NAT。IP地址1：下一跳IP地址为172.16.253.20，目的IP地址为172.1

4、6.252.0/24。 IP地址2：下一跳IP地址为172.16.254.20，目的IP地址为0.0.0.0/24。IP地址1 AE服务器到内网的静态路由，实现AE服务器到内网路由可达。下一跳为Firewall_A的GigabitEthernet 0/0/1接口IP地址，目的IP地址为企业内网的网段。IP地址2 AE服务器到外网的静态路由，实现AE服务器到外网路由可达。下一跳为Firewall_A的GigabitEthernet 0/0/1接口IP地址。Firewall_AGigabitEthernet 0/0/1接口IP地址： IP地址1：172.16.253.20/24 IP地址2：172

5、.16.254.20/24分别与AE服务器的两个IP地址通信。Firewall_BGigabitEthernet 0/0/1接口IP地址：172.16.252.20/24与SC服务器通信。部署规划服务器规划：需要4台suse服务器，分别用于部署SM、SC、oracle服务器和AE，以及1台用于运行部署工具的windows服务器。SMSCAEOracle数据库部署工具 案例案例背景部署规划证书配置认证配置业务策略配置证书配置本案例企业涉及Android和IOS两种终端设备，Anyoffice需要上传以下证书。关于以下证书的制作方法请参考AnyOffice V200R005 证书及申请方法介绍。证

6、书名称应用场景设备证书AE服务器身份证书，需要根据AE对外提供的URL生成。设备CA证书用于校验AE服务器的根CA。iOS消息推送证书通过苹果APNs服务器群发消息的证书，如果AnyOffice重签名，需要更换。iOS移动设备控制证书通过苹果APNs服务器控制终端的证书，正式使用时需要更换为该企业自己申请的证书。证书配置移动办公相关证书上传示例：1.打开“系统”-“系统管理”-“移动办公相关证书”，点击上传图标进行证书的上传。证书配置移动办公相关证书上传示例：2.点击“浏览”选择相应PKCS#12类型的证书，输入证书文件密码。证书配置配置验证：移动办公相关证书上传示例：1.打开“系统”-“系统

7、管理”-“移动办公相关证书”。 查看移动办公相关证书状态，为新上传证书。 案例案例背景部署规划证书配置认证配置业务策略配置认证配置用户认证和授权需求示例：1.企业拥有外部AD认证服务器，AnyOffice需要对接该外部认证源。2. AD服务器中，按照员工的职能划分为研发部（包括软件、硬件研发）、市场部（包括销售、运营），且每个部门下有100名员工（共400名）。认证配置配置示例：1.同步类型选择: AnyOffice中需要的部门结构及账号:认证配置同步配置示例：认证服务器中存在AnyOffice需要的部门结构，且每个部门下存放的账号也与AnyOffice的需求一致。此时选择按OU同步，同步效果

8、如图所示:认证配置对接AD服务器（按OU同步）：同步配置流程：认证配置序号同步配置步骤说明1创建同步账号若能够向认证服务器的管理员获取，则不需执行本步骤。以“Active Directory Users and Computers”工具为例，介绍如何创建同步账号。AnyOffice使用创建的同步账号从AD服务器中同步部门及账号。2查找基准DN若能够向认证服务器的管理员获取，则不需执行本步骤。在AD服务器中查找基准DN，AnyOffice使用基准DN才能正确连接AD服务器。3查找部门及账号属性若能够向认证服务器的管理员获取，则不需执行本步骤。查找AD服务器中部门及账号的部分属性，AnyOffic

9、e根据这些属性同步部门及账号。4配配置AD服务器连接参数在AnyOffice中配置连接参数。配置完成后，AnyOffice才能正常连接AD服务器。5配置部门及账号属性在AnyOffice中配置AD服务器的部门、账号属性，AnyOffice根据属性在AD服务器中识别并同步部门、账号。6配置不同范围为提升同步效率，您需要配置同步范围，指定AnyOffice在AD服务器中查找部门、账号的范围。7执行同步并验证结果执行同步操作，将AD服务器中的部门、账号同步到AnyOffice中，并验证同步是否正确。认证配置创建同步账号：数据规划项目示例说明同步账号、密码jack Admin12345密码建议满足最小

10、复杂度要求，即包含英文大写字母（AZ）、英文小写字母（az）、数字（09）、特殊字符（如!、#、$、%等）中的三种。同步账号在AD服务器中的位置作为AD服务器根节点“ ”的下一级子节点。即同步账号的父节点即为AD服务器的根节点。建议在AD服务器根节点下创建同步账号，否则创建的同步账号可能权限不足，导致AnyOffice无法从AD服务器中同步部门及账号。认证配置创建同步账号：项目示例说明同步账号的限制条件不勾选“User must change password at next logon”不能勾选，否则将导致AnyOffice无法从AD服务器中同步部门及账号。不勾选“Account is di

11、sabled”不勾选“Use DES encryption types for this account”不能勾选，否则同步账号的认证加密方式只支持DES，可能导致AnyOffice无法从AD服务器中同步部门及账号。 不勾选“Store password using reversible encryption”根据企业的安全策略配置，但建议不勾选。可逆的加密保存密码方式将增大密码泄露的风险。勾选“User cannot change password”根据企业的安全策略配置。若不勾选，当密码被修改后，请保证在AnyOffice中同步修改。否则将致AnyOffice无法从AD服务器中同步部门及账

12、号。勾选“Password never expires”根据企业的安全策略配置。若不勾选，在密码过期前修改密码，请保证在AnyOffice中同步修改。其他限制条件除非有特殊要求，否则请根据企业的安全策略配置。认证配置创建同步账号：1.以“Administrator”用户登录AD服务器，选择“Control Panel System and Security Administrative Tools Active Directory Users and Computers”。 2.单击AD服务器的根节点，在其下一级子节点中创建同步账号。若在其他位置创建，则同步账号的权限可能不足。认证配置创建同步

13、账号：3.选择“Action New User”，开始创建同步账号。 认证配置创建同步账号：4.按照下图所示设置同步账号的“Full name”、“User logon name”，其他参数保持默认。单击“Next”。 认证配置创建同步账号：5.按照下图所示设置密码，及账号的限制条件，单击“Next”。 认证配置创建同步账号：6.在系统显示界面单击“Finish”。若在列表中显示创建的同步账号，则表示创建成功。 认证配置创建同步账号：7.右键单击新创建的账号，选择“Properties”，在“Account”页签中设置账号的限制条件。单击“OK ”。 认证配置查找基准DN ：1. 打开ADEx

14、plorer 在系统显示界面输入AD服务器的IP地址、“Administrator”用户及其密码。单击“OK ”。认证配置查找基准DN ：2.查找目录“OU=department”的上一级目录中的“ ”，并查看目录“ ”的distinguishedName属性取值。 在目录“ ”下，能够查找到AnyOffice要同步的所有部门、所有账号。3.妥善保存目录“ ”的distinguishedName属性取值，此处为“ ”。认证配置查找部门及账号属性：项目属性名称说明部门Objectclass一般情况下，取值为top、organizationalUnit。在AD服务器中，若某个目录“Objectcl

15、ass”属性的取值包含top或organizationalUnit（其中一个或两个），则该目录代表部门。在配置部门及账号属性中配置该属性的取值。AnyOffice将根据“Objectclass”的取值识别并同步部门目录。name在AD服务器中，部门目录一般使用“name”属性的取值表示部门名称。在配置部门及账号属性中配置“name”属性（不是属性的取值）。例如：“name”属性的取值为“development”，且在配置部门及账号属性中配置“name”属性，则AnyOffice将同步过来的部门名称记录为“development”。账号Objectclass一般情况下，取值为top、person

16、、organizationalPerson、user。在AD服务器中，若某个目录“Objectclass”属性的取值包含top、person、organizationalPerson或user（其中一个或多个），则该目录代表账号。在配置部门及账号属性中配置该属性的取值。AnyOffice将根据“Objectclass”的取值识别并同步账号目录。cn在AD服务器中，账号目录一般使用“cn”属性的取值表示账号的名称（用户名）。在配置部门及账号属性中配置“cn”属性（不是属性的取值）。例如：“cn”属性的取值为“susan”，且在配置部门及账号属性中配置“cn”属性，则AnyOffice将同步过来的

17、账号名称记录为“susan”。认证配置查找部门及账号属性：1. 打开ADExplorer 在系统显示界面输入AD服务器的IP地址、“Administrator”用户及其密码。单击“OK ”。认证配置查找部门及账号属性：2.查找部门属性。认证配置查找部门及账号属性：3.查找账号属性。认证配置配置AD服务器连接参数：数据规划项目示例说明同步类型按OU同步-认证源名称认证源1AD服务器的名称，用于标识AD服务器。自定义。主服务器IP地址、端口、AD域名IP地址：172.16.252.16 端口：389 AD域名： 向认证服务器的管理员获取。若AD服务器启用了SSL协议，则其提供服务的端口为636，否

18、则为389。AD域名指AD服务器的域名。基准DN 向认证服务器的管理员获取或在AD服务器中查找基准DN。同步账号及密码同步账号：jack 同步密码：Admin12345向认证服务器的管理员获取或在AD服务器中创建同步账号认证配置配置AD服务器连接参数：1.登录AnyOffice管理平台，选择“用户 外部数据源 AD服务器”。2.单击“增加”，配置连接参数。认证配置配置AD服务器连接参数：3.单击“测试”，若提示连接失败，请根据提示信息重新配置，配置完成后，再次单击“测试”。4.提示连接成功后，单击“确定”。认证配置配置部门及账号属性：数据规划项目示例说明部门部门类型organizational

19、Unit向认证服务器的管理员获取或配置为“Objectclass”属性的取值（其中的一个或多个）。例如：配置为organizationalUnit，只要AD服务器中目录的“Objectclass”属性取值包含organizationalUnit，则AnyOffice即可将该目录识别为部门。部门名称name向认证服务器的管理员获取或配置为表示部门名称的属性名称。例如：配置为“name”，则AnyOffice在同步部门时，使用“name”的取值作为部门名称。账号用户类型person、user向认证服务器的管理员获取或配置为“Objectclass”属性的取值（其中的一个或多个）。例如：配置为per

20、son、user，只要目录的“Objectclass”属性取值包含person或user，则AnyOffice即可将该目录识别为账号。用户名cn向认证服务器的管理员获取或配置为表示账号名称（用户名）的属性名称。例如：配置为“cn”，则AnyOffice在同步账号时，使用“cn”的取值作为用户名。认证配置配置部门及账号属性：1.登录AnyOffice管理平台，选择“用户 外部数据源 AD服务器”。2.单击AD服务器信息后 ，在系统显示界面配置部门及账号属性。3.配置部门类型、部门名称。 AnyOffice根据“部门类型”，在AD服务器中识别并同步部门。同时将“name”的取值作为部门名称认证配置

21、配置部门及账号属性4.配置用户类型、用户名。 AnyOffice根据“用户类型”，在AD服务器中识别并同步账号。同时将“cn”的取值作为用户名。如图：5.单击“确定”。认证配置配置同步范围：数据规划项目示例说明认证源名称认证源1配置为已设置的认证源名称。组DNou=departmentAD服务器中待同步部门（新创建的部门）所在的目录。根据同步需求，AD服务器中待同步的部门都存储在目录“ou=department”下。因此该参数设置为“ou=department”，表示AnyOffice在该目录下查找并同步部门。源DNou=hangzhou ou=beijingAD服务器中待同步账号所在的目录。

22、根据同步需求，AD服务器中待同步的账号存储在“ou=hangzhou”、“ou=beijing”下。因此该参数设置为“ou=hangzhou”、“ou=beijing”，表示AnyOffice在该目录下查找账号。目标部门企业部门AnyOffice中的部门名称。自定义。AnyOffice将同步过来的部门及账号都存放在该部门下。认证配置配置同步范围：1.登录AnyOffice管理平台，选择“用户 用户管理 用户列表”。2.创建目标部门。a.在“部门”页签中单击“新建”，创建目标部门认证配置配置同步范围：3.增加同步范围。 a.在“外部数据源”页签中单击“增加按组同步 b.从下拉列表中选择认证源名称

23、，设置“组DN”为“ou=department”，“目标部门”为“企业部门”。AnyOffice将同步“ou=department”下的部门、子部门（不包括“ou=department”本身）。如图：认证配置执行同步并验证结果可通过两种方式执行同步操作： a.立即同步 适用场景：首次同步、需要将已变更的部门及账号立即同步到AnyOffice中。本任务以该种同步方式为例进行说明。b.周期同步 适用场景：为防止已变更的部门及账号没有及时同步到AnyOffice中，可采用周期同步。单击AD服务器信息后的 ，根据提示配置即可，建议将周期同步的执行时间设置在业务空闲期（例如凌晨0点）。认证配置执行同步并

24、验证结果：1.登录AnyOffice管理平台，选择用户 外部数据源 AD服务器2.单击AD服务器信息后 ，并根据提示单击“确定”。 AnyOffice开始从AD服务器中同步部门及账号3.验证同步结果。a.选择 用户 用户管理 用户列表b.在界面的左侧，若部门结构如下图所示，则表示部门同步成功。如图：认证配置执行同步并验证结果：c.选择“账号”页签，依次单击部门“hardware”、“software”、“operation”、“sales”，查看每个部门下的账号信息是否正确：根据同步需求，部门“hardware”、“software”、“operation”、“sales”下，应分别显示“su

25、san”、“tony”、“andy”、“lilei”。若部门下的账号信息也正确，则同步成功。实现了同步需求。如下图：认证配置配置认证规则：数据规划项目示例说明数据源认证源1配置为已设置的认证源名称。认证配置配置认证规则：1.登录AnyOffice管理平台，选择“业务 网络准入控制 认证授权 认证规则”。2.单击默认规则后的修改按钮，在系统显示界面中修改数据源。a.单击“数据源”后的按钮，在系统显示界面单击“选择数据源”。b.选中数据源名称，单击“确定”。如图：认证配置配置认证规则：c.选中本地数据源，并移除，单击“确定”。如下图：认证配置配置标签：数据规划项目示例说明动态关联标签标签名称：ha

26、rdware、software、operation、sales过滤条件：按部门过滤管理员需按照部门、终端操作系统类型、终端归属等过滤条件控制员工的权限时，配置动态关联标签。建议采用部门作为过滤条件。静态绑定标签标签名称：标签1管理员需按照终端控制员工的权限时，配置静态绑定标签，不设置过滤条件。认证配置配置标签（动态标签）1.登录AnyOffice管理平台，选择“业务 移动终端管理 标签管理”。2.单击“新建”，配置标签。1）配置动态关联标签。a.设置标签的名称。b.从下拉列表中选择“部门”作为过滤条件，单击后面表格的空白处，根据提示设置标签关联的部门hardware 。如下图：认证配置配置标签

27、（动态标签）c.单击“确定”。d.重复执行上述步骤，增加标签“software”、“operation”“sales”，分别用于关联部门software、operation、sales。认证配置配置标签（静态标签）在配置静态绑定标签时，只需设置标签的名称，不需要配置过滤条件。后续配置终端时，应用到此处配置的标签，即可将终端用户关联标签。后续配置业务策略、Wi-Fi配置文件、企业应用时，再次应用到此处配置的标签，即可将权限关联到终端用户。 案例B案例背景部署规划证书配置认证配置业务策略配置业务策略配置安装部署请参照： HUAWEI AnyOffice V200R005 产品文档本案例典型配置主要

28、包括以下几项：1.应用准入检查2.应用商店3.WiFi配置推送4.分权分域 5.终端审批配置6.策略优先级配置应用准入检查配置准入检查需求示例：1.企业控制HR部门员工的终端上安装的应用。要求如下：必须安装应用：com.sina.weibo。当终端必须安装这些应用时，终端才能接入网络。 2.禁止安装应用：com.game.cc。当终端没有安装这些应用时，终端才能接入网络。 3.允许安装应用： com.mobile.cc。允许终端安装的应用（非必须安装）。如果终端安装了该范围之外的其他应用，则将不能接入网络。注意事项1.所有应用必须已在企业应用商店中上传。 2.准入检查时，系统提取应用的包名进行

29、对比。配置示例1、创建匹配HR部门的标签label_hr。 a.选择“业务 移动终端管理 标签管理”。 b.单击“新建”，创建标签。c.单击“确定”。应用准入检查配置配置示例2、选择“业务 移动终端管理 策略管理”。 3、单击“新建”，创建准入检查策略。 应用准入检查配置配置示例4、单击策略对应的，配置策略。 以Android版本的必须安装应用为例。“应用”可直接输入应用包名也可在下拉列表中选择。必须安装的应用，需要已在企业应用商店中创建。应用准入检查配置配置示例5、重复以上操作，依次配置允许安装应用和禁止安装应用。6、关联策略与标签。 a.选中策略，单击“应用到标签”。b.单击“确定”。应用

30、准入检查配置应用准入检查配置配置验证：1. 使用未安装必须应用的终端登录，登录失败，如下图： 应用商店应用商店需求示例：1. 企业日常办公需要AnyOffice应用和eCalender应用（均已集成SDK）。 应用包括Android、iOS版本。 2.所有企业员工可以从企业应用商店中下载AnyOffice应用。 3.只有HR部门的企业员工可以从企业应用商店中下载eSpace应用。 4.只有研发部门的企业员工可以从企业应用商店中下载eCalender应用。数据准备项目说明应用文件Android：AnyOffice.apk、eCalender.apk、eSpace.apk iOS：AnyOffic

31、e.ipa、eCalender.ipa、eSpace.ipa应用图标eSpace.png、eCalender.png、eSpace.png应用商店配置示例1、创建匹配HR部门的标签label_hr。 a.选择“业务 移动终端管理 标签管理”。 b.单击“新建”，创建标签。参见以上步骤，创建匹配研发部门标签label_rd。 应用商店配置示例2、添加Android应用。 a.选择“业务 移动应用管理 应用商店管理”。 b.单击“新建”，添加Android应用。应用商店配置示例3、单击“确定”参见以上步骤，上传eCalender.apk。4、添加iOS应用。 a.单击“新建”，添加iOS应用。应用

32、商店配置示例5、单击“确定”参见以上步骤，上传eCalender.ipa。6、关联策略与标签。 a.选中策略，单击“应用到标签”。参见以上步骤，将eCalender应用绑定到标签label_rd；将AnyOffice应用绑定到默认标签Default。应用商店配置验证：1.所有用户均能通过自助页面下载AnyOffice应用。自助页面地址是 。 2.以HR用户身份登录AnyOffice客户端。验证在AnyOffice客户端中是否能够安装eSpace应用。 3.以研发用户身份登录AnyOffice客户端。验证在AnyOffice客户端中是否能够安装eCalender应用。 iOS配置推送iOS配置推

33、送需求示例：企业HR部门部署了无线局域网。员工接入网络时可以自动获得iOS配置文件并进行安装，从而可以快速地接入企业无线网络。 iOS配置推送配置示例：1、创建匹配HR部门的标签。 a、选择“业务 移动终端管理 标签管理”。 b、单击“新建”，创建标签。iOS配置推送配置示例：2、上传iOS配置文件。 a、选择“业务 移动终端管理 终端配置推送”。 b、单击“新建”，上传iOS配置文件。 3、关联iOS配置文件与标签。 选中iOS配置文件，单击“应用到标签”。iOS配置推送配置验证：验证HR部门的员工接收到iOS配置文件。 分权分域分权分域需求示例：企业中有A、B两个部门，分别为两个部门配置不

34、同的管理员。其中，管理员A管理部门A，具有管理用户的权限。管理员B管理部门B，具有管理用户终端的权限。分权分域数据规划： 项目示例说明角色角色名称部门管理员-授权“系统资源 用户 用户管理” “系统资源 终端 终端管理”部门管理员具备管理用户及用户终端的权限。部门名称部门A 部门B-部门管理员A用户名管理员A用于标识用户身份。账号admin_A登录系统时使用的用户名。密码Admin12345-部门管理员B用户名管理员B用于标识用户身份。账号admin_B登录系统时使用的用户名。密码Admin123456-下次登录修改密码勾选使用管理员B的账号首次登录时，要求修改初始密码。分权分域配置示例：1、

35、配置角色。 a、选择“系统 系统管理员 角色管理”。 b、单击“新建”，创建角色“部门管理员”。 c、在“角色信息列表”中，单击“部门管理员”对应的 ，为角色授权分权分域配置示例：2、配置部门。 a.选择“用户 用户管理 用户列表”。 b.在“部门”页签中，单击“新建”，创建部门A和部门B。 3、配置部门管理员A并分配权限。 a.选择“系统 系统管理员 系统用户”。 b.单击“增加”，创建部门管理员A。 如下图：分权分域配置示例：分权分域配置示例：c.在系统用户列表中，单击管理员A右侧的 ，选择“部门管理员”角色，授予管理员A部门管理员角色权限。分权分域配置示例：d. 在系统用户列表中，单击管

36、理员A右侧的 。 e. 在“业务权限分配”对话框中，单击左侧的“部门树”，选择部门A。 f. 在“业务权限分配”对话框右侧，选择管理用户的业务权限，为管理员A分配管理部门A的权限。 如下图分权分域分权分域配置示例：4、参照3，配置部门管理员B。分权分域配置验证：1.使用管理员A账号登录系统。 2.选择“用户 用户管理 用户列表”，选中左边导航树中的“部门A”。 3.在“部门”页签中，单击“新建”，可以创建部门A的子部门。 终端审批配置终端审批配置需求示例：1.企业要求对example部门员工接入网络的终端进行审批，禁止该部门员工使用不安全终端进行登录。2.企业对example2部门员工接入网络的终端免注册审批，允许员工在任意终端上登录An