Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Indeed AM Hardware TOTP Provider

Indeed AM Hardware TOTP может быть использован для аутентификации в следующих модулях:

Hardware TOTP позволяет получать одноразовые пароли с помощью следующих устройств:

  • Автономный генератор одноразовых паролей eToken PASS. Его можно использовать для аутентификации в любых приложениях и службах, поддерживающих протокол аутентификации FreeRADIUS — VPN, Microsoft ISA, Microsoft IIS, Outlook Web Access и других.

  • Токен для надежной защиты доступа к данным аккаунтов Рутокен OTP. Он используется для аутентификации в корпоративных сервисах и порталах, сервисах аутентификации, приложениях и сервисах управления паролями, а также в других сервисах, поддерживающих технологию OATH TOTP.

Таблица сравнения характеристик устройств

УстройствоФормат файлаАлгоритмПериод обновления
eToken PassXMLSHA130 секунд
Рутокен ОТРCSVSHA1, SHA25630, 60 секунд
Идентификатор провайдера
{CEB3FEAF-86ED-4A5A-BD3F-6A7B6E60CA05}

Установка провайдера​

Важно

В инфраструктуре с несколькими серверами Core Server установите провайдер на каждом из них.

Провайдер добавляется с помощью мастера конфигурации на шаге Схема хостов → Провайдеры.

Если требуется добавить Hardware TOTP к существующей конфигурации Access Manager:

  1. Откройте мастер конфигурации.
  2. На шаге Схема хостов в разделе Провайдеры выберите Hardware TOTP.
  3. Сделайте резервную копию и перейдите на шаг Применение изменений.

Настройка в Management Console​

Для настройки Hardware TOTP в Management Console перейдите в раздел Конфигурация → Аутентификаторы и выберите аутентификатор Hardware TOTP.

Права доступа​

Чтобы выдать или отозвать права на использование аутентификатора, выполните следующее:

  1. В секции Основные настройки выполните следующие настройки:
    • В настройке Запретить использовать укажите, может ли пользователь использовать или регистрировать выбранный аутентификатор.
  2. В секции Доступные пользователю действия выполните следующие настройки:
    • В настройке Регистрация новых аутентификаторов укажите, может ли пользователь регистрировать новые аутентификаторы.
    • В настройке Редактирование имеющихся аутентификаторов укажите, может ли пользователь изменять уже зарегистрированные аутентификаторы.
    • В настройке Удаление имеющихся аутентификаторов укажите, может ли пользователь удалять уже зарегистрированные аутентификаторы.
    • В настройке Разрешить редактирование комментария к аутентификатору укажите, в какой момент пользователь может редактировать комментарии к уже зарегистрированным аутентификаторам.

Блокировка аутентификатора​

Чтобы заблокировать аутентификатор, в секции Настройки блокировки аутентификатора выполните следующие настройки:

  1. Разрешите или заблокируйте использование Hardware TOTP в случае серии неудачных попыток аутентификации.
  2. В поле Количество попыток аутентификации до блокировки укажите, сколько раз пользователь может совершить неудачную аутентификацию до блокировки способа аутентификации.
  3. В поле Сброс счетчика блокировки укажите, сколько минут должно пройти после неудачной попытки аутентификации, прежде чем сбросится счетчик.
  4. В поле Таймаут до разблокировки способа входа укажите, через сколько минут заблокированный способ аутентификации станет вновь доступным.

Настройки одноразового пароля​

Чтобы настроить генерацию одноразового пароля, выполните следующее:

  1. Перейдите в секцию Настройки OTP.
  2. В настройке Количество периодов сравнения укажите, сколько периодов обновления OTP должно пройти, по истечении которых пароль будет считаться недействительным.
  3. В настройке Окно синхронизации задайте значение счетчика при синхронизации.

Добавление устройства​

Вы можете добавить устройство вручную или через загрузку файла с параметрами устройства.

Устройство может быть зарегистрировано только для одного пользователя

Добавление вручную​

Для добавления устройства Рутокен ОТР выполните следующие действия:

  1. Откройте консоль управления Management Console.
  2. В меню слева выберите Устройства.
  3. Нажмите Добавить устройство.
  4. В открывшемся окне выберите Rutoken OTP.
  5. Заполните поля Серийный номер, Секретный ключ, Период обновления и Комментарий (это необязательное поле) и нажмите Добавить.
Важно

При добавлении Рутокен ОТР вручную вы можете указать секретный ключ в двух форматах — HEX и Base32.

Добавление из файла​

Для добавления устройства Рутокен ОТР выполните следующие действия:

Важно

При добавлении Рутокен ОТР через файл вы можете указать секретный ключ только в одном формате — Base32.

  1. Откройте консоль управления Management Console.
  2. В меню слева выберите Устройства.
  3. Нажмите Добавить из файла.
  4. В открывшемся окне выберите Rutoken OTP и нажмите Выбрать файл.
  5. В открывшемся окне выберите файл формата CSV с параметрами устройства и нажмите Добавить.
Совет

Подробную информацию по настройке устройства вы можете найти в руководстве по использованию Рутокен ОТР.

Синхронизация устройства​

Для синхронизации устройства выполните следующие действия:

  1. Откройте консоль управления Management Console.
  2. В меню слева выберите Устройства.
  3. Из списка выберите устройство и нажмите Синхронизировать.
  4. В открывшемся новом окне в поле Одноразовый пароль 1 и Одноразовый пароль 2 укажите пароли с устройства и нажмите Синхронизировать.

Изменение серийного номера и отключение устройства​

Для редактирования устройства выполните следующие действия:

  1. Откройте консоль управления Management Console.

  2. В меню слева выберите Устройства.

  3. В выпадающем списке Провайдер аутентификации выберите Hardware ТOTP, в поле Серийный номер, если известно,  укажите серийный номер устройства и нажмите Поиск.

  4. Выберите найденное устройство и нажмите значок редактирования. 

  5. В окне редактирования можно изменить серийный номер устройства, комментарий или отключить устройство. После внесения изменений нажмите Сохранить.

Удаление устройства​

Вы можете удалить устройство вручную или через загрузку файла с параметрами устройства.

Удаление вручную​

Для удаления устройства выполните следующие действия:

  1. Откройте консоль управления Management Console.
  2. В меню слева выберите Устройства.
  3. В выпадающем списке Провайдер аутентификации выберите Hardware ТOTP, в поле Серийный номер, если известно, укажите серийный номер устройства и нажмите Поиск.
  4. Выберите найденное устройство и нажмите Удалить устройство.
  5. В открывшемся окне подтвердите удаление.

Удаление из файла​

Для удаления устройства Рутокен ОТР выполните следующие действия:

  1. Откройте консоль управления Management Console.
  2. В меню слева выберите Устройства.
  3. Нажмите Удалить из файла.
  4. В открывшемся окне выберите Rutoken OTP и нажмите Выбрать файл.
  5. В открывшемся окне выберите файл формата CSV с параметрами устройства и нажмите Удалить.
Совет

Подробную информацию по настройке устройства вы можете найти в руководстве по использованию Рутокен ОТР.

Групповые политики​

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

Настройка времени вручную​

Задает соответствие модели и начального времени устройства.

Информация

Для модели «eTPass 6.20» по умолчанию (если политика не задана) считаем шаг времени: 30 сек, начальное время: 1/1/2000.

По умолчанию для всех остальных устройств — шаг времени: 30, начальное время: 1/1/1970.

Информация

В поле Имя значения указывается имя устройства, в поле Значение указываются параметры: Начальное время, Шаг, Длина пина.