Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Indeed AM IronLogic Z2 USB Provider

Indeed AM IronLogic Z2 USB Provider необходим для аутентификации пользователей с применением считывателей IronLogic.

Важно

Для корректной работы провайдера требуется специализированная версия считывателя IronLogic Z2 USB (мод. Indeed). Работа других версий Z2 USB с Indeed Access Manager не гарантирована.

Подробную информацию о считывателях и метках IronLogic вы можете получить на сайте компании-производителя.

Примечание

Этот тип аутентификаторов можно зарегистрировать только с помощью утилиты управления аутентификаторами.

Indeed AM IronLogic Z2 USB Provider поддерживается в следующих модулях:

Идентификатор провайдера
Z2 USB {CB5109DA-B575-422C-8805-524FE12B02F5}

Установка провайдера​

Провайдер IronLogic Z2 USB добавляется с помощью мастера конфигурации на шаге Схема хостов → Провайдеры.

Если требуется добавить Z2 USB к существующей конфигурации Access Manager:

  1. Откройте мастер конфигурации.
  2. На шаге Схема хостов в разделе Провайдеры выберите Z2 USB.
  3. Сделайте резервную копию и перейдите на шаг Применение изменений.

Настройка в Management Console​

Для настройки IronLogic Z2 USB в Management Console перейдите в раздел Конфигурация → Аутентификаторы и выберите аутентификатор RFID-карта.

Максимальное количество аутентификаторов​

В секции Основные настройки в поле Максимальное количество задайте максимальное количество аутентификаторов для пользователя.

Права доступа​

Чтобы выдать или отозвать права на использование аутентификатора, выполните следующее:

  1. В секции Основные настройки выполните следующие настройки:
    • В настройке Запретить использовать укажите, может ли пользователь использовать или регистрировать выбранный аутентификатор.
  2. В секции Доступные пользователю действия выполните следующие настройки:
    • В настройке Регистрация новых аутентификаторов укажите, может ли пользователь регистрировать новые аутентификаторы.
    • В настройке Редактирование имеющихся аутентификаторов укажите, может ли пользователь изменять уже зарегистрированные аутентификаторы.
    • В настройке Удаление имеющихся аутентификаторов укажите, может ли пользователь удалять уже зарегистрированные аутентификаторы.
    • В настройке Разрешить редактирование комментария к аутентификатору укажите, в какой момент пользователь может редактировать комментарии к уже зарегистрированным аутентификаторам.

Блокировка аутентификатора​

Чтобы заблокировать аутентификатор, в секции Настройки блокировки аутентификатора выполните следующие настройки:

  1. Разрешите или заблокируйте использование Z2 USB в случае серии неудачных попыток аутентификации.
  2. В поле Количество попыток аутентификации до блокировки укажите, сколько раз пользователь может совершить неудачную аутентификацию до блокировки способа аутентификации.
  3. В поле Сброс счетчика блокировки укажите, сколько минут должно пройти после неудачной попытки аутентификации, прежде чем сбросится счетчик.
  4. В поле Таймаут до разблокировки способа входа укажите, через сколько минут заблокированный способ аутентификации станет вновь доступным.

Блокировка сессии​

Чтобы настроить блокировку сессии в Linux Logon в случае удаления RFID-карты, в секции Настройки RFID-карт выполните следующее:

  1. Разрешите или запретите блокировку сессии в случае удаления карты со считывателя.
  2. В поле Таймаут до блокировки укажите, сколько секунд должно пройти после удаления карты, прежде чем сессия будет заблокирована.

Эта настройка доступна при аутентификации с помощью Z2 USB и многофакторной аутентификации с Z2 USB в цепочке провайдеров. Чтобы настройка применилась, пользователю нужно завершить сессию и аутентифицироваться снова с помощью Z2 USB.

Дополнительные настройки для Windows Logon

Чтобы определить поведение при извлечении смарт-карты, настроить таймаут выполнения действия при извлечении смарт-карты и указать формат хранения идентификаторов карт в базе данных Indeed AM, перейдите в раздел с настройками групповых политик для IronLogic Z2 USB Provider.

Групповые политики​

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

Поведение при извлечении смарт-карты​

IronLogic Z2 USB Provider поддерживает политику безопасности Microsoft Интерактивный вход в систему: поведение при извлечении смарт-карты.

С помощью этой политики вы можете определить действие, которое будет выполняться при извлечении смарт-карты с рабочей станции пользователя.

Таймаут выполнения действия при извлечении смарт-карты​

Примечание

Настройка политик необходима для повышения уровня безопасности, однако полноценная работа Indeed AM IronLogic Z2 USB Provider возможна и со значениями политик, определенными по умолчанию.

Политика раздела Windows Logon определяет продолжительность стандартного и сервисного таймаута после извлечения устройства аутентификации. 

Политика задает интервал времени в секундах между извлечением смарт-карты и действием, выполняемым согласно политики Windows Интерактивный вход: поведение при извлечении смарт-карты (Interactive logon: Smart−card enhanced removal behavior).

Наличие стандартного таймаута позволяет предотвратить автоматическую блокировку компьютера при случайном извлечении устройства аутентификации.

Наличие сервисного таймаута позволяет предотвратить автоматическую блокировку компьютера в случаях, когда извлечение используемого устройства аутентификации необходимо (обучение дополнительного аутентификатора, получение доступа в систему от имени другой учетной записи по другому аутентификатору и т. п.). Для активации сервисного таймаута перед извлечением устройства нажмите и удерживайте комбинацию клавиш [Ctrl]+[L].

Если политика не задана или отключена, то таймаут перед автоматической блокировкой рабочей станции не предоставляется.

Использование идентификатора бесконтактных карт в формате СКУД​

Политика определяет формат хранения идентификаторов карт в базе данных Indeed AM. Это дает возможность обеспечить совместимость с форматом хранения идентификаторов СКУД.

По умолчанию хранится полная информация о картах:

  • Тип
  • Производитель
  • Номер партии и идентификатор карты