Портал документации Рутокен

Page tree

Настройте каталог пользователей Rutoken KeyBox. Каталог пользователей LDAP может быть составным.

В этом случае пользователи будут расположены в разных контейнерах одного домена или в нескольких доменах.
Поддерживаются следующие службы LDAP-каталогов:

Active Directory, Samba AD DC, РЕД АДМ

Samba AD DC и РЕД АДМ могут быть настроены как дополнительный контроллер домена для Active Directory или как основной контроллер домена.

Cуществующая конфигурация

Если Rutoken KeyBox был ранее настроен на работу с каталогом пользователей в Active Directory и контроллер домена был перенастроен на Samba AD DC или РЕД АДМ, то менять параметры каталога пользователей в Мастере настройки не требуется.

Новая конфигурация

При первой настройке подключения к каталогу пользователей выберите нужный тип каталога в Мастере настройки.

Создание сервисной учетной записи

В зависимости от используемой службы каталогов создайте сервисную учетную запись для чтения и записи атрибутов пользователей одним из следующих способов:

  • В оснастке Active Directory (для Active Directory, Samba AD DC и РЕД АДМ)
  • С помощью инструмента командной строки samba-tool (для Samba AD DC и РЕД АДМ)
  • В веб-интерфейсе РЕД АДМ (только для РЕД АДМ)

В оснастке Active Directory

  1. Запустите оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте контекстное меню объекта с конечными пользователями.
  3. Выберите Создать (Create) → Пользователь (User).
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Готово.

С помощью samba-tool

  1. Выполните команду:

    samba-tool user add <имя пользователя>
    Пример
    samba-tool user add servicecm



  2. Если сервисная учетная запись будет использоваться для настройки ролей в Рутокен KeyBox, назначьте этой учетной записи атрибут UPN (User Principal Name):

    sudo samba-tool user rename <имя пользователя> --upn=<UPN-имя пользователя>
    Пример
    sudo samba-tool user rename servicecm --upn=servicecm@domain.name

В веб-интерфейсе РЕД АДМ

  1. Откройте веб-интерфейс РЕД АДМ.
  2. Перейдите в раздел Управление объектами домена → Пользователи.
  3. Нажмите Создать.
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Создать.

Настройка разрешений

  1. Запустите оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте свойство Безопасность (Security) объекта, где хранятся пользователи Rutoken KeyBox, и нажмите Дополнительно (Advanced).
  3. Нажмите Добавить (Add) → Выбрать субъект (Select a principal).
  4. В текстовом поле Введите имена выбираемых объектов (Enter the object name to select) введите имя сервисной учетной записи и нажмите ОК.
  5. В выпадающем списке Применяется к (Applies to) выберите Дочерние объекты: Пользователь (Descendant User objects).
  6. В списке Разрешения (Permissions) выберите:
    • Список содержимого (List contents)
    • Прочитать все свойства (Read all properties). По умолчанию разрешение на чтение всех свойств пользователя имеется у всех учетных записей домена
    • Сброс пароля (Reset password) для возможности сбросить пароль пользователя
  7. В списке Свойства (Properties) отметьте пункты:
    • Запись: pwdLastSet (Write pwdLastSet) для возможности сбросить пароль пользователя
    • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto) для загрузки фотографии пользователя в Active Directory
    • Запись: userAccountControl (Write userAccountControl) для работы опции Требовать логон по смарт-карте
    • Запись: userCertificate (Write userCertificate) для публикации сертификата КриптоПро УЦ 2.0, Aladdin eCA, SafeTech CA, Валидата УЦ в профиле пользователя в LDAP-каталоге
  8. Нажмите ОК и Применить (Apply).


Установите одинаковый набор прав сервисной учетной записи для каждого объекта, где хранятся пользователи Рутокен KeyBox.

Предоставление прав на чтение данных

Если политики безопасности домена запрещают чтение всех свойств пользователя, выдайте сервисной учетной записи права на чтение атрибутов пользователей и атрибутов объекта, где хранятся пользователи Рутокен KeyBox:

  1. В оснастке Редактирование ADSI (ADSI edit) откройте свойство Безопасность (Security) объекта, где хранятся пользователи Рутокен KeyBox.

  2. Для области применения Этот объект и все дочерние объекты (This object and all descendant objects):

    1. В списке Разрешений (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойств (Properties) отметьте пункты:
      • Чтение: сanonicalName (Read сanonicalName);
      • Чтение: Distinguished Name (Read Distinguished Name);
      • Чтение: objectClass (Read objectClass);
      • Чтение: objectGuid (Read objectGuid);
      • Чтение: showInAdvancedViewOnly (Read showInAdvancedViewOnly).

  3. Для области применения Дочерние объекты:Пользователь (Descendant user objects):

    1. В списке Разрешений (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойств (Properties) выберите чтение/запись следующих наборов свойств и атрибутов:
      • Чтение: личные сведения (Read personal Information);
      • Чтение: общие сведения (Read general Information);
      • Чтение: ограничения учетной записи (Read account restrictions);
      • Чтение: открытые сведения(Read public Information);
      • Запись: pwdLastSet (Write pwdLastSet);
      • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto);
      • Запись: userAccountControl (Write userAccountControl);
      • Запись: userCertificate (Write userCertificate).

Приведены отображаемые имена LDAP (LDAP Display Name).

Предоставление прав доступа к набору свойств значительно улучшает производительность и упрощает управление безопасностью (подробнее на сайте компании Microsoft).

Атрибуты, используемые Рутокен KeyBox при работе с каталогом пользователей Microsoft AD

Атрибут (LDAP Display Name)Common NameКомментарий
cCountry/Region или Country/Region AbbreviationВходит в набор свойств «Личные сведения» (Personal Information)
сanonicalNameCanonical NameВходит в набор свойств «Открытые сведения» (Public Information)
cnCommon NameВходит в набор свойств «Открытые сведения» (Public Information)
companyCompanyВходит в набор свойств «Открытые сведения» (Public Information)
departmentDepartmentВходит в набор свойств «Открытые сведения» (Public Information)
distinguishedNameDistinguished NameВходит в набор свойств «Открытые сведения» (Public Information)
givenNameGiven NameВходит в набор свойств «Открытые сведения» (Public Information)
lLocality NameВходит в набор свойств «Личные сведения» (Personal Information)
mailE-mail AddressesВходит в набор свойств «Открытые сведения» (Public Information)
managerManagerВходит в набор свойств «Открытые сведения» (Public Information)
objectClassObject ClassВходит в набор свойств «Открытые сведения» (Public Information)
objectGUIDОbject GUIDВходит в набор свойств «Открытые сведения» (Public Information)
objectSidObject SidВходит в набор свойств «Общие сведения» (General Information)
otherMailboxOther MailboxВходит в набор свойств «Открытые сведения» (Public Information)
proxyAddressesProxy AddressesВходит в набор свойств «Открытые сведения» (Public Information)
pwdLastSetPwd Last SetВходит в набор свойств «Ограничения учетной записи» (Account Restrictions)
sAMAccountNameSAM Account NameВходит в набор свойств «Общие сведения» (General Information)
snSurnameВходит в набор свойств «Открытые сведения» (Public Information)
stState or Province NameВходит в набор свойств «Личные сведения» (Personal Information)
streetAddressAddress (или Street)Входит в набор свойств «Личные сведения» (Personal Information)
telephoneNumberTelephone NumberВходит в набор свойств «Личные сведения» (Personal Information)
thumbnailPhoto или jpegPhotoPictureВходит в набор свойств «Личные сведения» (Personal Information)
userAccountControlUser Account ControlВходит в набор свойств «Ограничения учетной записи» (Account Restrictions)
userCertificateUser CertificateВходит в набор свойств «Личные сведения» (Personal Information)
userPrincipalNameUser Principal NameВходит в набор свойств «Открытые сведения» (Public Information)

FreeIPA

Чтобы настроить каталог пользователей:

  1. Войдите в веб-версию FreeIPA под учетной записью администратора.
  2. Создайте сервисную учетную запись для работы с каталогом пользователей.
    1. На вкладке Идентификация (Identity)→Пользователи (Users) нажмите Добавить (Add).
    2. Создайте пользователя. По умолчанию созданный пользователь состоит в служебной доменной группе ipausers.
  3. Создайте разрешение для чтения и поиска данных в каталоге:
    1. На вкладке IPA-сервер (IPA Server) в выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Разрешения (Permissions) и нажмите Добавить (Add).
    2. Укажите имя разрешения.
    3. В строке Тип правила привязки (Bind rule type) выберите permission.
    4. В строке Предоставленные права (Granted Rights) выберите read, search.
    5. В строке Поддерево (Subtree) введите имя домена в формате Distinguished name.
    6. Выберите Действующие атрибуты (Effective attributes): entryUUID.
  4. Создайте разрешение для записи данных в каталог:
    1. На вкладке IPA-сервер (IPA Server) в выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Разрешения (Permissions) и нажмите Добавить (Add).
    2. Укажите имя разрешения.
    3. В строке Тип правила привязки (Bind rule type) выберите permission.
    4. В строке Предоставленные права (Granted Rights) выберите write.
    5. В выпадающем списке Тип (Type) выберите Пользователь.
    6. Выберите Действующие атрибуты (Effective attributes):
      • userPassword для возможности сбросить пароль пользователя;
      • krbPasswordExpiration для возможности указать срок действия пароля пользователя;
      • userCertificate для публикации сертификата КриптоПро 2.0 в профиле пользователя;
      • jpegPhoto для загрузки фотографии пользователя.
  5. В выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Привилегии (Privileges) и нажмите Добавить (Add).
  6. Создайте привилегию и добавьте в нее созданные разрешения.
  7. В выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Роли (Roles), нажмите Добавить (Add) и создайте роль.
  8. В разделе Роли (Roles) перейдите на вкладку Привилегии (Privileges) и добавьте созданную привилегию в роль.
  9. Назначьте роль на пользователя:
    1. В разделе Роли (Roles) выберите созданную роль.
    2. В открывшемся списке пользователей нажмите Добавить (Add) и выберите созданного пользователя.

Атрибуты, используемые Рутокен KeyBox при работе с каталогом пользователей FreeIPA

Атрибут пользователяОписание
entryUUIDУниверсальный уникальный идентификатор записи
entryDNУникальное имя записи в каталоге
uidИдентификатор пользователя
mailАдрес электронной почты
telephoneNumberТелефон
givenNameИмя
snФамилия
cnОбщее имя
krbPrincipalNameИмя участника-пользователя Kerberos (UPN)
jpegPhotoФото
userPasswordПароль
krbPasswordExpirationАтрибут, хранящий дату и время истечения срока действия текущего пароля
userCertificateСертификат

ALD Pro

Чтобы настроить каталог пользователей:

  1. Войдите в веб-версию ALD Pro под учетной записью администратора.
  2. Создайте сервисную учетную запись для работы с каталогом пользователей и назначьте необходимые привилегии:
    1. Запустите оснастку ALD Pro Пользователи и компьютеры, в выпадающем меню выберите Пользователи.
    2. Нажмите Новый пользователь и создайте пользователя. По умолчанию созданный пользователь состоит в служебной доменной группе ipausers.
  3. Чтобы создать разрешения, привилегии и роль для работы с каталогом пользователей, используйте оболочку FreeIPA в ALD Pro: в адресной строке замените ad на ipa. Например, https://dc/ipa/ui/#/login.
  4. Создайте разрешение для чтения и поиска данных в каталоге:
    1. На вкладке IPA-сервер (IPA Server) в выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Разрешения (Permissions) и нажмите Добавить (Add).
    2. Укажите имя разрешения.
    3. В строке Тип правила привязки (Bind rule type) выберите permission.
    4. В строке Предоставленные права (Granted Rights) выберите read, search.
    5. В строке Поддерево (Subtree) укажите имя объекта с пользователями или имя домена в формате Distinguished name.
    6. Выберите Действующие атрибуты (Effective attributes): entryUUID.
  5. Создайте разрешение для записи данных в каталог:
    1. На вкладке IPA-сервер (IPA Server) в выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Разрешения (Permissions) и нажмите Добавить (Add).
    2. Укажите имя разрешения.
    3. В строке Тип правила привязки (Bind rule type) выберите permission.
    4. В строке Предоставленные права (Granted Rights) выберите write.
    5. В выпадающем списке Тип (Type) выберите Пользователь.
    6. Выберите Действующие атрибуты (Effective attributes):
    • userPassword для возможности сбросить пароль пользователя;
    • krbPasswordExpiration для возможности указать срок действия пароля пользователя;
    • userCertificate для публикации сертификата КриптоПро 2.0 в профиле пользователя;
    • jpegPhoto для загрузки фотографии пользователя.
  6. В выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Привилегии (Privileges) и нажмите Добавить (Add).
  7. Создайте привилегию и добавьте в нее созданные разрешения.
  8. В выпадающем списке Управление доступом на основе ролей (Role-Based Access Control) выберите Роли (Roles), нажмите Добавить (Add) и создайте роль.
  9. В разделе Роли (Roles) перейдите на вкладку Привилегии (Privileges) и добавьте созданную привилегию в роль.
  10. Назначьте роль на пользователя:
    1. В разделе Роли (Roles) выберите созданную роль.
    2. В открывшемся списке пользователей нажмите Добавить (Add) и выберите созданного пользователя.

Атрибуты, используемые Рутокен KeyBox при работе с каталогом пользователей ALD Pro

Атрибут пользователяОписание
entryUUIDУниверсальный уникальный идентификатор записи
entryDNУникальное имя записи в каталоге
uidИдентификатор пользователя
mailАдрес электронной почты
telephoneNumberТелефон
givenNameИмя
snФамилия
cnОбщее имя
krbPrincipalNameИмя участника-пользователя Kerberos (UPN)
jpegPhotoФото
userPasswordПароль
krbPasswordExpirationАтрибут с датой и временем истечения срока действия текущего пароля
userCertificateСертификат




  • No labels