MotionPro 的 AAA 认证授权审计体系概览
AAA 的三个 A
MotionPro 与 AG 网关的交互从 AAA（Authentication、Authorization、Accounting）开始。这三个环节共同构成了 MotionPro 安全模型的基础：
| 环节 | 英文 | 含义 | MotionPro 视角 |
|---|---|---|---|
| 认证 | Authentication | 你是谁？ | MotionPro 需要向网关证明当前用户的身份（密码、证书、OTP 等） |
| 授权 | Authorization | 你能做什么？ | 网关根据认证身份，决定你可以访问哪些网段、门户资源、应用 |
| 审计 | Accounting | 你做了什么？ | 网关记录你的登录时间、会话时长、访问过的资源，用于事后审计 |
认证：MotionPro 支持的所有方式
根据官方文档，MotionPro Plus 客户端支持以下认证方式（具体可用哪些取决于 AG 网关的配置）：
1. 账号密码（最常见）
- 本地数据库：AG 网关本地存储的用户账号
- LDAP / Active Directory：对接企业 AD 或目录服务
- RADIUS：对接 RADIUS 认证服务器
- SAML / OAuth / SMX：对接 SSO 系统
这是 90% 以上高校和企业场景采用的方式。MotionPro 在客户端弹出用户名密码输入框，用户填完后经 SSL 隧道加密发送给网关。
2. 双因素认证（2FA）
在密码之外增加一层验证，常见形式：
- 短信验证码：网关向用户手机发送一次性验证码
- 硬件 OTP 令牌（如 RSA SecurID）：生成时间同步的一次性密码
- 软件 OTP 应用（如 Google Authenticator、Authy）：时间码同步
- Push 推送：网关向手机 App 推送认证请求，用户点"允许"或"拒绝"
双因素认证在安全要求较高的场景下（如金融、政府）是强制的。MotionPro 客户端在密码认证通过后，会弹出第二因素的输入/选择界面。
3. 客户端证书（Client Certificate）
使用 X.509 证书进行双向 TLS 认证：
- AG 网关向 MotionPro 下发或从企业证书存储中加载客户端证书
- MotionPro 在 TLS 握手阶段自动出示证书
- 网关验证证书链和有效期，确认设备合法性
- 优点：自动化、用户无感
- 缺点：证书管理复杂，设备丢失后需要吊销
4. 设备 ID（Device ID）认证
MotionPro 基于设备硬件特征生成唯一标识符（Android：设备 ID + 序列号；iOS：IDFV；Windows/MacOS：硬件指纹）。网关可要求特定账号只能在绑定的设备上登录。
5. SMX / OAuth
SMX（Secure Mobile eXtensions）是 Array Networks 的移动安全扩展，OAuth 用于集成 Google Workspace / Microsoft 365 等第三方 SSO。在这些场景下 MotionPro 的登录体验会有所不同。
授权：策略引擎做什么
认证通过后，AG 网关的策略引擎根据以下维度计算授权结果：
- 登录用户 / 用户组
- 登录设备（Device ID）
- 客户端 IP 地理位置
- 时间窗口（是否在工作时间）
- 终端安全状态（Host Check 结果）
策略引擎的输出决定：
- L3VPN 路由表（哪些网段可访问）
- 门户资源列表（哪些 Web 应用、发布应用、远程桌面可见）
- 是否需要额外认证（如高风险场景下强制 2FA）
- 是否允许下载企业应用
所有授权逻辑在网关端完成，客户端只是被动接收结果。
审计：MotionPro 记录什么
网关会记录：
- 登录时间、登录 IP、使用的认证方式
- 隧道建立/断开时间、会话时长
- 访问过的内网资源（URL、网段、应用）
- Host Check 报告的终端安全信息
这些日志通常存储在 AG 网关本地或转发到组织的 SIEM（安全信息事件管理）系统，用于安全审计、合规检查、事后追溯。
用户自己通常看不到这些审计日志，只能通过 MotionPro 客户端看到会话状态（连接中/已断开、VPN IP、运行时长）。