定义安全区（内部部署）

上次更新： 2023-09-07

主题：
Installation
查看有关此主题的更多信息
Instance Settings
查看有关此主题的更多信息

创建对象：

每个运算符都需要链接到区域才能登录到实例，并且运算符IP必须包含在安全区域中定义的地址或地址集中。安全区域配置在Adobe Campaign服务器的配置文件中执行。

操作员在控制台中从其配置文件链接到安全区域，可在中访问 Administration > Access management > Operators 节点。了解详情。

注意

此过程仅限于 内部部署 部署。

作为托管客户，如果您可以访问营销活动控制面板，可以使用Security Zone自助服务界面。了解详情

其他 混合/托管 客户需要联系Adobe列入允许列表支持团队以将IP添加到。

创建安全区域

区域由以下定义：

一个或多个IP地址范围（IPv4和IPv6）
与每个IP地址范围关联的技术名称

安全区域是互锁的，这意味着在另一个区域中定义新区域可以减少可以登录该区域的操作员数量，同时增加分配给每个操作员的权限。

区域必须在服务器配置期间定义，在 serverConf.xml 文件。中所有可用的参数，请参见 serverConf.xml 列在本节.

每个区域都定义了权限，例如：

HTTP连接，而不是HTTPS
错误显示(Java错误、JavaScript、C++等)
报表和WebApp预览
通过登录/密码进行身份验证
非安全连接模式

注意

每个运算符都必须链接到区域. 如果运算符的IP地址属于区域定义的范围，则该运算符可以登录到实例。
操作员的IP地址可以在多个区域中定义。在这种情况下，操作员将接收设置每个区域的可用权限数量。

开箱即用 serverConf.xml 文件包含三个区域： 公共、VPN和LAN.

注意

开箱即用的配置是安全的. 但是，在从早期版本的Adobe Campaign迁移之前，可能需要临时降低安全性，才能迁移和批准新规则。

如何在中定义区域的示例 serverConf.xml 文件：

<securityZone allowDebug="false" allowHTTP="false" label="Public Network" name="public">
<subNetwork label="All addresses" mask="*" name="all"/>

<securityZone allowDebug="true" allowHTTP="false" label="Private Network (VPN)"
              name="vpn" showErrors="true">

  <securityZone allowDebug="true" allowEmptyPassword="true" allowHTTP="true"
                allowUserPassword="false" label="Private Network (LAN)" name="lan"
                sessionTokenOnly="true" showErrors="true">
    <subNetwork label="Lan 1" mask="192.168.0.0/16" name="lan1"/>
    <subNetwork label="Lan 2" mask="172.16.0.0/12" name="lan2"/>
    <subNetwork label="Lan 3" mask="10.0.0.0/8" name="lan3"/>
    <subNetwork label="Localhost" mask="127.0.0.1/16" name="locahost"/>
    <subNetwork label="Lan (IPv6)" mask="fc00::/7" name="lan6"/>
    <subNetwork label="Localhost (IPv6)" mask="::1/128" name="localhost6"/>
  </securityZone>

</securityZone>
</securityZone>

定义区域的所有权限如下所示：

allowDebug：支持在“调试”模式下执行webApp
allowEmptyPassword：授权连接到没有密码的实例
allowHTTP：无需使用HTTPS协议即可创建会话
allowUserPassword：会话令牌可具有以下形式»<login>/<password>"
sessionTokenOnly：连接URL中不需要安全令牌
showError：转发并显示服务器端错误

重要

在区域定义中，每个属性都具有 true 值会降低安全性。

使用消息中心时，如果有多个执行实例，则需要使用 sessionTokenOnly 属性定义为 true，其中仅添加必需的IP地址。有关配置实例的更多信息，请参阅本文档.

安全区的最佳实践

在 lan 安全区域，可以添加用于定义技术访问的IP地址掩码。此添加将启用对服务器上托管的所有实例的访问。

<securityZone allowDebug="true" allowEmptyPassword="false" allowHTTP="true"
                    allowUserPassword="false" label="Private Network (LAN)" name="lan"
                    sessionTokenOnly="true" showErrors="true">
        <subNetwork label="Lan 1" mask="192.168.0.0/16" name="lan1"/>
        <subNetwork label="Lan 2" mask="172.16.0.0/12" name="lan2"/>
        <subNetwork label="Lan 3" mask="10.0.0.0/8" name="lan3"/>
        <subNetwork label="Localhost" mask="127.0.0.1/16" name="locahost"/>
        <subNetwork label="Lan (IPv6)" mask="fc00::/7" name="lan6"/>
        <subNetwork label="Localhost (IPv6)" mask="::1/128" name="localhost6"/>

        <!-- Customer internal IPs -->
        <subNetwork id="internalNetwork" mask="a.b.c.d/xx"/>

      </securityZone>

我们建议直接在专用于实例的配置文件中定义仅访问特定实例的操作员的IP地址范围。

在 config-<instance>.xml 文件：

  <securityZone name="public">
   ...
    <securityZone name="vpn">
      <subNetwork id="cus1" mask="a.b.c.d/xx"/>

安全区域中的子网络和代理

此代理参数可以用在 子网络 元素，用于指定安全区域中的代理使用。

当引用了代理并且连接通过此代理（通过HTTP X-Forwarded-For标头可见）进入时，验证的区域是代理的客户端而不是代理的客户端。

重要

如果配置了代理并且可以覆盖它（如果不存在，则覆盖它），则将测试的IP地址将能够被伪造。

此外，中继现在像代理一样生成。因此，您可以将IP地址127.0.0.1添加到安全区域配置的代理列表中。

例如：“ <subnetwork label="Lan 1" mask="192.168.0.0/16" name="lan1" proxy="127.0.0.1,10.100.2.135" />“。

可能会出现各种情况：

子网络直接在安全区域中引用，并且未配置代理：子网络的用户可以直接连接到Adobe Campaign服务器。
为安全区域中的子网络指定代理：来自此子网络的用户可以通过此代理访问Adobe Campaign服务器。
代理包含在安全区域子网络中：无论来自何处，通过此代理进行访问的用户都可以访问Adobe Campaign服务器。

可能访问Adobe Campaign服务器的代理的IP地址必须同时输入和 <subnetwork> 关注和一级子网 <subnetwork name="all"/>. 例如，下面是指IP地址为10.131.146.102的代理：

<securityZone allowDebug="false" allowHTTP="false" label="Public Network"
                      name="public">
    <subNetwork label="All addresses" mask="*" name="all"
                      proxy="10.131.146.102,127.0.0.1, ::1"/>

    <securityZone allowDebug="true" allowHTTP="false" label="Private Network (VPN)"
                      name="vpn" showErrors="true">
        <securityZone allowDebug="true" allowEmptyPassword="false" allowHTTP="true"
                      allowUserPassword="false" label="Private Network (LAN)"
                      name="lan" sessionTokenOnly="true" showErrors="true">
            <subNetwork label="Lan proxy" mask="10.131.193.182" name="lan3"
                      proxy="10.131.146.102,127.0.0.1, ::1"/>
            <subNetwork label="Lan 1" mask="192.168.0.0/16" name="lan1"
                      proxy="127.0.0.1, ::1"/>

        </securityZone>
    </securityZone>
</securityZone>

将安全区域链接到操作员

定义区域后，必须将每个运算符链接到其中一个运算符才能登录到实例，并且运算符的IP地址必须包含在区域中引用的地址或地址范围中。

区域的技术配置在Campaign服务器的配置文件中执行： serverConf.xml.

在此之前，您必须从配置现成可用的开始 Security zone 将标签链接到中定义的区域的内部名称的枚举 serverConf.xml 文件。

此配置在Campaign资源管理器中完成：

单击 Administration > Platform > Enumerations 节点。
选择 Security zone (securityZone) 系统枚举。
对于在服务器的配置文件中定义的每个安全区域，单击 Add 按钮。
在 Internal name 字段，输入中定义的区域名称 serverConf.xml 文件。它对应于 @name 的属性 <securityzone> 元素。输入链接到标签字段。
单击“确定”并保存修改。