LDAP-каталоги

LDAP (Lightweight Directory Access Protocol) — протокол, который используется для получения информации из служб каталогов (AD, FreeIPA, ALD Pro, SambaDC, Red ADM и так далее) о пользователях, группах и связях между ними. Эта информация в дальнейшем используется для аутентификации и авторизации пользователей на портале администрирования, в десктоп-клиенте и на терминальных серверах/ВРМ.

LDAP представляет информацию об этих сущностях в виде набора объектов (пользователь, группа), каждый из которых имеет определенный набор атрибутов (имя пользователя, имя группы, список членов группы, номер телефона пользователя). Можно добавить несколько групп. Также поддерживаются вложенные группы.

Для работы пользователей с Termit необходимо, чтобы система могла выполнять поиск пользователей в LDAP-каталоге, получать список групп, в которые входит пользователь, и т.д. Для этого администратору нужно указать имена классов и ряд атрибутов для объектов «Пользователь» и «Группа»:

Общие атрибуты для классов объектов:
- Атрибут для идентификации объектов — в значении этого атрибута хранится уникальный ID объекта.
- Атрибут, содержащий имя объекта, указанное для списка членов групп — в значении этого атрибута описано уникальное имя объекта в списке членов групп. Имя объекта однозначно определяет его положение в иерархической структуре каталога.
Атрибуты для класса объекта «Пользователь»:
- Атрибут для получения отображаемого имени пользователя — значение этого атрибута применяется при отображении пользователей в интерфейсе, например, при входе в систему.
- Атрибут для поиска пользователя — атрибут применяется для поиска пользователя по его имени при аутентификации на портале администрирования или в десктоп-клиенте.
- Атрибут для аутентификации на терминальном сервере/ВРМ Linux — в значении этого атрибута описано имя, которое будет передаваться на сервер под управлением Linux.
- Атрибут для аутентификации на терминальном сервере/ВРМ Windows — в значении этого атрибута описано имя, которое будет передаваться на сервер под управлением Windows.
Атрибуты для класса объекта «Группа»:
- Атрибут для получения отображаемого имени группы — значение этого атрибута применяется при отображении групп в интерфейсе. Например, при добавлении ролей или при настройке прав на запуск приложения.
- Атрибут со списком членов групп — в значении этого атрибута находится информация о группе, в состав которой входят пользователи и другие группы.

В Termit поддерживаются:

следующие LDAP-каталоги для аутентификации пользователей по паролю и получения информации о пользователях, группах и связях между ними:
- AD
- SambaDC
- Red ADM
- FreeIPA
- ALD Pro
- OpenLDAP
защищенные протоколы передачи данных LDAP Over SSL и LDAP StartTLS.

На вкладке LDAP-каталоги при наведении курсора на полное имя каталога можно:

проверить соединение, нажав ;
удалить LDAP-каталог, нажав ;
синхронизировать данные LDAP-каталога, нажав . Можно запустить полную или инкрементальную синхронизацию;
настроить Kerberos, нажав .
изменить настройки LDAP-каталога, нажав .

Добавление LDAP-каталога

Чтобы добавить LDAP-каталог:

На портале администрирования в левом меню выберите раздел Настройки.
Перейдите на вкладку LDAP-каталоги и нажмите Добавить LDAP.
Задайте параметры для подключения службы каталогов:
- Полное имя — отображаемое имя в списке LDAP-каталогов и при входе в систему.
- Базовое уникальное имя. Например, для домена example.com: «DC=example,DC=com».
- Имя пользователя. Например, для домена example.com: «CN=termitsvc,CN=users,DC=example,DC=com».
- Пароль — пароль от сервисной учетной записи.
Нажмите Далее.

Чтобы задать атрибуты используемого LDAP-каталога, укажите:

Тип LDAP-каталога — тип: AD, FreeIPA или Другой.

Тип зависит от выбранной схемы LDAP:

Для Red ADM требуется выбрать тип каталога AD.
Для Samba DC требуется выбрать тип каталога AD и вручную указать для параметра Атрибут для аутентификации на терминальном сервере/ВРМ Windows значение userPrincipalName.

Рекомендация: при подключении Samba DC к брокеру рекомендуется использовать только защищённые протоколы LDAP over SSL или LDAP StartTLS.
Для ALD Pro требуется выбрать тип каталога FreeIPA.
Для OpenLDAP и других реализаций LDAP-каталогов требуется выбрать тип Другой.

Класс объекта «Пользователь» — user
Класс объекта «Группа» — group
Атрибут для идентификации объектов — objectGUID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — samAccountName
Атрибут со списком членов групп — member
Атрибут, содержащий имя объекта, указанное для списка членов групп — distinguishedName
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — samAccountName
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — uSNChanged
Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

FreeIPA

Класс объекта «Пользователь» — inetuser
Класс объекта «Группа» — ipausergroup
Атрибут для идентификации объектов — ipaUniqueID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — uid
Атрибут со списком членов групп — member
Атрибут, содержащий имя объекта, указанное для списка членов групп — dn
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — whenChanged
Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

Другой (для OpenLDAP)

Класс объекта «Пользователь» — posixAccount
Класс объекта «Группа» — posixGroup
Атрибут для идентификации объектов — entryUUID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — uid
Атрибут со списком членов групп — memberUid
Атрибут, содержащий имя объекта, указанное для списка членов групп — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — modifyTimestamp
Выключите опцию Поддержка range для получения членов группы.

Нажмите Далее.

На вкладке Синхронизация, укажите:

Период синхронизации (мин.).

Включите опцию Инкрементальная синхронизация для включения частичной синхронизации.

Опция Инкрементальная синхронизация и поле Период инкрементальной синхронизации (мин.) доступны только для LDAP-каталогов с типом AD.
Значение должно быть меньше периода полной синхронизации.

Период инкрементальной синхронизации (мин.)

Нажмите Далее.

На вкладке Список серверов добавьте LDAP-серверы. Чтобы добавить адрес сервера LDAP, нажмите b add .

Система всегда работает с первым LDAP-сервером. Если сервер становится недоступен, система переходит к следующему.

Укажите:

Адрес сервера — IP-адрес или FQDN LDAP-сервера, например «termit-example-01.com».

Протокол — выберите из списка:

Перед выбором протоколов LDAP Over SSL и LDAP StartTLS добавьте доверенный сертификат.

LDAP — технология шифрования данных при подключении к LDAP-серверу не используется. Данные передаются в открытом виде по порту 389. Не рекомендуется использовать в продуктовых инсталляциях.

LDAP Over SSL — защищенная версия протокола LDAP, которая использует технологию шифрования SSL/TLS при подключении к LDAP-серверу по порту 636.

При работе с VDI, а также при создании групп терминальных серверов/ВРМ через Termit с использованием zVirt необходимо использовать протокол LDAP Over SSL (LDAPS). Это связано с тем, что при создании виртуальной машины из шаблона выполняется процедура её регистрации в LDAP-каталоге. Данная процедура поддерживается только в случае использования защищённого соединения, поэтому необходимо применять именно шифрованный метод — LDAPS.

LDAP StartTLS — защищенная версия протокола LDAP, при использовании которой сначала устанавливается незащищенное соединение по порту 389, а затем отправляется запрос на шифрование.

Порт — порт выбирается автоматически в зависимости от выбранного протокола. При необходимости параметр можно изменить.

Нажмите Сохранить Далее.
На вкладке Подтверждение информации проверьте:
- заданные на предыдущих шагах параметры;
- соединение. При успешном соединении появится сообщение «Проверка соединения прошла успешна».
  
  При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.
Нажмите Сохранить.

Для синхронизации данных созданного LDAP-каталога нажмите b cached . Состояние синхронизации LDAP и системы смотрите в разделе Журнал событий.

При использовании более одной службы каталогов каждый из каталогов должен быть добавлен на портале администрирования в раздел Настройки LDAP-каталоги. Поддерживаемые типы доверительных отношений смотреть в разделе.

Изменение настроек LDAP-каталога

Чтобы изменить настройки LDAP-каталога:

На портале администрирования в левом меню выберите раздел Настройки.
Перейдите на вкладку LDAP-каталоги и наведите курсор на полное имя каталога.
Нажмите .
Активируйте/деактивируйте опцию LDAP используется, если необходимо включить/отключить LDAP-каталог.
При включенном LDAP измените параметры:
- Полное имя — отображаемое имя в списке LDAP-каталогов и при входе в систему.
- Базовое уникальное имя. Например, для домена example.com: «DC=example,DC=com».
- Имя пользователя. Например, для домена example.com: «CN=termitsvc,CN=users,DC=example,DC=com».
- Пароль — пароль от сервисной учетной записи.
Нажмите Далее.

Чтобы задать атрибуты используемого LDAP-каталога, укажите:

Тип LDAP-каталога — тип: AD, FreeIPA или Другой.

Тип зависит от выбранной схемы LDAP:

Для Red ADM требуется выбрать тип каталога AD.
Для Samba DC требуется выбрать тип каталога AD и вручную указать для параметра Атрибут для аутентификации на терминальном сервере/ВРМ Windows значение userPrincipalName.

Рекомендация: при подключении Samba DC к брокеру рекомендуется использовать только защищённые протоколы LDAP over SSL или LDAP StartTLS.
Для ALD Pro требуется выбрать тип каталога FreeIPA.
Для OpenLDAP и других реализаций LDAP-каталогов требуется выбрать тип Другой.

Класс объекта «Пользователь» — user
Класс объекта «Группа» — group
Атрибут для идентификации объектов — objectGUID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — samAccountName
Атрибут со списком членов групп — member
Атрибут, содержащий имя объекта, указанное для списка членов групп — distinguishedName
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — samAccountName
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — uSNChanged
Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

FreeIPA

Класс объекта «Пользователь» — inetuser
Класс объекта «Группа» — ipausergroup
Атрибут для идентификации объектов — ipaUniqueID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — uid
Атрибут со списком членов групп — member
Атрибут, содержащий имя объекта, указанное для списка членов групп — dn
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — whenChanged
Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

Другой (для OpenLDAP)

Класс объекта «Пользователь» — posixAccount
Класс объекта «Группа» — posixGroup
Атрибут для идентификации объектов — entryUUID
Атрибут для получения отображаемого имени пользователя — cn
Атрибут для получения отображаемого имени группы — cn
Атрибут для поиска пользователя — uid
Атрибут со списком членов групп — memberUid
Атрибут, содержащий имя объекта, указанное для списка членов групп — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Linux — uid
Атрибут для аутентификации на терминальном сервере/ВРМ Windows — msDS-PrincipalName
Атрибут для поиска только измененных объектов — modifyTimestamp
Выключите опцию Поддержка range для получения членов группы.

Нажмите Далее.

На вкладке Синхронизация, укажите:

Период синхронизации (мин.)

Включите опцию Инкрементальная синхронизация для включения частичной синхронизации.

Опция Инкрементальная синхронизация и поле Период инкрементальной синхронизации (мин.) доступны только для LDAP-каталогов с типом AD.
Значение должно быть меньше периода полной синхронизации.

Период инкрементальной синхронизации (мин.)

Нажмите Далее.
На вкладке Список серверов:

Можно добавить адрес сервера LDAP

Нажмите .

Укажите:

Адрес — IP-адрес или FQDN LDAP-сервера, например «termit-example-01.com».

Протокол — выберите из списка:

Перед выбором протоколов LDAP Over SSL и LDAP StartTLS добавьте доверенный сертификат.

LDAP — технология шифрования данных при подключении к LDAP-серверу не используется. Данные передаются в открытом виде по порту 389. Не рекомендуется использовать в продуктовых инсталляциях.

LDAP StartTLS — защищенная версия протокола LDAP, при использовании которой сначала устанавливается незащищенное соединение по порту 389, а затем отправляется запрос на шифрование.

Порт — порт выбирается автоматически в зависимости от выбранного протокола. При необходимости параметр можно изменить.

Нажмите Сохранить.

Можно изменить адрес сервера LDAP

Наведите курсор на адрес сервера и нажмите .
Измените:
- Адрес — IP-адрес или FQDN LDAP-сервера, например «termit-example-01.com».
- Протокол — выберите из списка:
  - LDAP — технология шифрования данных при подключении к LDAP-серверу не используется. Данные передаются в открытом виде по порту 389. Не рекомендуется использовать в продуктовых инсталляциях.
  - LDAP Over SSL — защищенная версия протокола LDAP, которая использует технологию шифрования SSL/TLS при подключении к LDAP-серверу по порту 636.
    
    При работе с VDI необходимо использовать протокол LDAP Over SSL.
  - LDAP StartTLS — защищенная версия протокола LDAP, при использовании которой сначала устанавливается незащищенное соединение по порту 389, а затем отправляется запрос на шифрование.
- Порт — порт выбирается автоматически в зависимости от выбранного протокола. При необходимости параметр можно изменить.
Нажмите Сохранить.

Можно удалить адрес сервера LDAP

Наведите курсор на адрес сервера и нажмите .
Чтобы подтвердить удаление, нажмите Да.

Удаление LDAP-каталога

Чтобы удалить LDAP-каталог:

На портале администрирования в левом меню выберите раздел Настройки.
Перейдите на вкладку LDAP-каталоги и наведите курсор на полное имя каталога.
Нажмите .
Нажмите Да.

После удаления LDAP-каталога пользователи не смогут:

войти в портал администрирования;
подключиться к десктоп-клиенту;
запускать приложения в десктоп-клиенте.

Настройка Kerberos

Необходимые настройки описаны в статье Настройка Kerberos.