Добавление доменов аутентификации

Домен аутентификации MS AD

Добавление домена аутентификации MS AD

Для добавления домена аутентификации MS AD следует перейти в раздел «Домены аутентификации», затем нажать экранную кнопку [Добавить] и выбрать из выпадающего списка «Microsoft AD DS». Далее заполнить данные, перечисленные в столбце «Параметр» следующей таблицы (см. таблицу Данные для добавления домена аутентификации MS AD).

Для сохранения параметров подключения к домену аутентификации следует нажать экранную кнопку [Сохранить].

Таблица 1. Данные для добавления домена аутентификации MS AD
Параметр Описание

«Имя домена»

DNS-имя домена аутентификации в формате FQDN.

Примеры: «example.ru», «corp.domain.lan»

«Комментарий»

Информационное сообщение, используемое для описания домена аутентификации

«Адрес сервера»

IP-адрес или FQDN контроллера домена

«Search DN»

Корень поиска в службе каталогов в формате DN. Параметру следует задавать значение, соответствующее записи верхнего уровня в иерархии службы каталогов: в корне поиска будет выполняться поиск всех участвующих объектов (групп, пользователей, компьютеров).

Учетная запись, используемая для подключения к службе каталогов, должна иметь права на чтение групп, учетных записей пользователей и компьютеров в указанном корне поиска.

Пример использования: «OU=user,DC=test,DC=desk»

«LDAPS»

Использование защищенного соединения по протоколу LDAPS.

При использовании защищенного подключения к службе каталогов по протоколу HTTPS нужно убедиться, что сертификат доменного центра сертификации, выдавший сертификат сервера (контроллера домена), является доверенным и содержится в файле /etc/ssl/certs/ca-certificates.crt.

Возможные значения:

  • «Включено» - использовать защищенное соединение;

  • «Выключено» (по умолчанию) - не использовать защищенное соединение

«Пользователь»

Наименование учетной записи c правами чтения каталога

«Пароль»

Набор символов, подтверждающий полномочия объекта для подключения к службе каталогов

Добавление группы домена аутентификации MS AD

Для добавления группы домена аутентификации MS AD нужно перейти в раздел «Домены аутентификации», выбрать нужный домен аутентификации и нажать экранную кнопку [Группы домена].

В открывшемся окне добавить группу домена аутентификации. Для этого:

  • выбрать тип группы в выпадающем списке «Тип группы»:

    • «users» - группа, содержащая учетные записи пользователей;

    • «computers» - группа, содержащая учетные записи компьютеров;

  • ввести полное или частичное наименование группы в поле «Поиск групп» и нажать экранную кнопку [Найти];

  • выбрать нужные группы в списке и нажать экранную кнопку [Добавить группу].

Для удаления группы домена аутентификации выбрать нужные группы в списке и нажать экранную кнопку [Удалить].

Домен аутентификации OIDC

Добавление домена аутентификации OIDC

OIDC - это механизм, позволяющий приложению связаться со службой идентификации IdP, получить данные о пользователе и вернуть их обратно в приложение. Таким образом OIDC обеспечивает аутентификацию администраторов и пользователей без необходимости ввода логина и пароля.

Служба идентификации IdP (например, Keycloak) должна быть предварительно настроена в инфраструктуре организации для возможности использования OIDC как домена аутентификации.

Для добавления домена аутентификации OIDC следует перейти в раздел «Домены аутентификации», затем нажать экранную кнопку [Добавить] и выбрать из выпадающего списка «OIDC».

Далее заполнить данные, перечисленные в столбце «Параметр» следующей таблицы (см. таблицу Данные для добавления аутентификации через OIDC).

Для сохранения параметров подключения к домену аутентификации следует нажать экранную кнопку [Сохранить].

Таблица 2. Данные для добавления аутентификации через OIDC
Параметр Описание

«Имя домена»

Наименование домена аутентификации

«Комментарий»

Информационное сообщение, используемое для описания домена аутентификации

«Issuer URL»

URL-адрес авторизации службы идентификации IdP.

Пример: «http://192.0.2.2:8080/realms/trp»

«Client ID»

Уникальный идентификатор приложения, полученный от службы идентификации IdP.

Пример: «openid-test-cl»

«Client Secret»

Ключ приложения, полученный от службы идентификации IdP

«Scopes»

Набор областей действия, поддерживаемый в службе идентификации IdP. Области действия определяются спецификацией протокола OAuth 2.0.

Неполный список возможных значений (указываются через пробел):

  • «openid» (обязательное значение для OIDC) - запуск аутентификации с использованием OIDC;

  • «profile» - доступ к профилю пользователя;

  • «email» - доступ к адресу электронной почты пользователя;

  • «offline_access» - обновление токена доступа без необходимости повторной аутентификации;

  • «groups» - доступ к списку ролей пользователя.

Значение по умолчанию: «openid email profile groups».

Если нужно указать другой набор значений, следует убедиться, что он поддерживается используемой службой идентификации IdP