使用 IP 地址范围限制对您帐户的访问权限 - 新版本

默认拒绝。仅允许已知网络用于访问 Web 应用程序和 API——在帐户级别或每个组。 

为什么使用 IP 允许列表

• 通过将登录限制为已知的公司网络来减少未经授权的访问。
• 在帐户中的所有用户之间强制实施一致的访问策略。
• 与 SSO 和 MFA 配合使用，以实现分层安全。 

开始前的准备工作

• 与您的网络团队合作，收集所需的确切 IP 范围。使用 CIDR 表示法（例如，203.0.113.0/24）。
• 首先添加管理员网络，这样避免将自己锁定。
• 考虑远程、紧急或合作伙伴访问，并根据需要包含这些范围。

配置

可用性：

• Acrobat Standard 和 Acrobat Pro：不支持
• Acrobat Sign Solutions：支持
• Acrobat Sign for Government：不支持

访问范围

• Web UI：来自允许列表外的 IP 请求将被拒绝，并显示：“无法从本计算机访问您的帐户。请与您的支持人员联系。”
• API：仅在打开“允许这些 IP 地址通过 API 访问系统”设置时才允许；如果关闭了该设置，API 调用将被拒绝——即使来自列出的 IP 也是如此。
• 集成：默认允许主要集成（例如，Microsoft、Salesforce）。请联系 Acrobat Sign 支持团队，使集成在帐户或组级别遵循您的允许列表。

配置范围：

• 可以在帐户级别和组级别配置允许的 IP 范围。详细了解管理员访问控制。
  • 要访问此功能的控件，请通过管理员的配置菜单导航到发送设置 > 允许的 IP 范围
  • 当应用组级别设置时，用户访问权限由其主要组定义。
• 默认允许集成（如 Microsoft Dynamics、Salesforce 等）。
  • 帐户管理员可以联系 Acrobat Sign 支持团队，禁用集成的自动访问。

您可以启用两个设置：

1. 仅允许从下面列出的 IP 地址访问系统 - 启用 IP 地址限制并解锁 IP 范围列表的配置。
   • 如果未列出任何 IP 范围且已保存页面配置，此选项将自动取消选择，并且该功能将被禁用。  
   • 如果此选项保持未选中状态，则不会启用 IP 地址限制，任何 IP 都可以尝试通过用户身份验证访问帐户。
2. 允许这些 IP 地址通过 API 访问系统 - 启用此选项可明确授予对 API 服务的访问权限。
   • 此设置需要启用仅允许从下面列出的 IP 地址访问系统。
   • 如果此选项保持未选中状态，即使请求 IP 地址在允许列表中，对服务的 API 请求也会被拒绝。

如何配置允许的 IP 范围

尝试配置允许列表之前，请与您的网络团队协作以获取正确的 CIDR IP 范围。
请务必先允许您当前工作所在的 IP 范围。

最佳实践

• 将允许列表视为默认拒绝策略：只应添加已知范围。
• 如果策略允许，请为重要角色包含应急范围。
• 如果在向最终用户部署后实施，请提前告知变更，以便用户在被阻止时知道如何请求访问。

管理和维护

• 当网络发生变化（新办公室、VPN 更改、ISP 或云出口）时，请检查并更新范围。
• 保留已批准范围的文档化真实来源。
• 在大规模推出之前，先对一小部分用户进行测试。
• 如果用户被阻止，请验证他们当前的公共 IP 并添加正确的范围，或暂时关闭控制并在更正后重新启用。

影响和限制

• 将访问权限限制到特定 IP 会严重限制对远程用户的支持，除非包括他们的网络或 VPN 出口范围。
• 此控件通过用户界面和 API 影响帐户用户的登录访问。
• 集成（Microsoft、Salesforce 等）会自动获得访问权限，而无需在客户界面中包含服务的 IP 范围。 
  • 帐户管理员可以联系 Acrobat Sign 支持以在帐户或组级别禁用集成的自动访问。

管理允许的 IP 范围：