Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Шаги мастера конфигурации

Сценарий Установка АМ включает как первичную установку Access Manager, так и установку Access Manager, в случае если у пользователя нет резервной копии. Чтобы начать установку, после выбора сценария нажмите Далее.

Схема хостов​

Хост представляет собой физический или виртуальный сервер, на котором планируется установка компонентов Access Manager.

Добавить хост​

  1. Нажмите Добавить хост.

    Максимальное количество хостов — 20.

    Примечание

    Прежде чем добавить хост для компонента Core Server, вы можете выбрать провайдеры аутентификации, которые будут установлены на одном хосте с Core Server. Также вы можете добавить провайдеры после настройки хоста.

  2. Используя подсказки мастера конфигурации, введите параметры SSH и укажите информацию о сервисной учетной записи.

    Важно

    Сервисная учетная запись должна состоять в группе sudo.

  3. Используя подсказки мастера конфигурации, введите параметры HTTPS.

    Если вы планируете использовать балансировщик нагрузки, укажите этот HTTPS-адрес в конфигурационном файле балансировщика.

  4. Нажмите Проверить хост.

    Примечание

    При проверке хоста происходит SSH-подключение для попытки соединения с сервером. Данные можно добавить в мастер конфигурации без проверки соединения.

    При необходимости данные хоста можно отредактировать после добавления.

  5. Добавьте на хост серверные компоненты.

    Обязательные компоненты включают Core Server, Log Server, Identity Provider и Management Console. Вы можете добавить компоненты на один хост с Core Server или создать отдельный хост для каждого обязательного компонента.

  6. (Опционально) Чтобы зашифровать чувствительные данные в конфигурационных файлах хоста, в блоке Шифрование конфигурационных файлов включите опцию Шифровать.

    Конфигурационные файлы будут зашифрованы в процессе автоматической установки. Список шифруемых файлов приведен в разделе Шифрование конфигурационных файлов.

    Примечание

    Опция применяется только при автоматической установке. При ручной установке зашифруйте конфигурационные файлы самостоятельно на каждом хосте, на который перенесен архив.

  7. Нажмите Добавить для перехода к следующему шагу.

  8. Просмотрите таблицу хостов и проверьте правильность заполненных данных.

    • Чтобы отредактировать данные хоста, нажмите , внесите изменения и нажмите Сохранить.

    • Чтобы удалить хост, нажмите . После удаления хоста компоненты Access Manager не удаляются с хоста автоматически.

Адрес балансировщика​

Для повышения отказоустойчивости и производительности используйте балансировщик нагрузки.

  1. Выберите опцию Использовать сторонний балансировщик и заполните таблицу с учетом следующих рекомендаций:
    • Чтобы указать один общий адрес балансировщика для каждого установленного на одном хосте компонента, выберите опцию Использовать один адрес балансировщика для всех компонентов.
    • Укажите адрес балансировщика, если вы планируете использовать более одного экземпляра какого-либо серверного компонента Access Manager, например два компонента Core Server.
    • Для одного хоста можно указать только один адрес балансировщика.
    • Если для балансировщика необходимо использовать порт не по умолчанию (443), укажите его в таблице в формате balance.indeed.test:5443.
  2. Чтобы убедиться, что указанные адреса доступны, нажмите Проверить адреса балансировщиков.

Провайдеры​

Провайдер в Access Manager представляет собой систему аутентификации, которая предоставляет механизмы защиты для проверки подлинности.

По умолчанию на хост с Core Server устанавливается доменный пароль. Дополнительно из выпадающего списка можно выбрать другие провайдеры, которые устанавливаются на хосте с Core Server.

При установке Key Server добавьте провайдер Key Provider (Indeed Key).

Сертификаты​

Загрузите заранее подготовленные сертификаты для добавленного хоста. Подробнее о подготовке сертификатов — в разделе Сертификаты.

  1. Добавьте сертификаты открытого ключа домена или стороннего УЦ с расширением .pem, .crt или .cer.

  2. (Опционально) Если вы планируете использовать Windows Authentication Reverse Proxy (WARP), добавьте сертификат WARP. Файл сертификата должен называться warp.cer.

  3. Добавьте серверные сертификаты с расширением .pfx, выписанные на DNS-имя хоста, и укажите пароль.

    Вы можете использовать общий сертификат для всех хостов Access Manager (рекомендуется) или Wildcard-сертификат. Чтобы использовать общий сертификат, включите опцию Использовать общий сертификат и нажмите Добавить сертификат. Сертификат должен содержать DNS-имена всех хостов Access Manager и балансировщиков (при наличии).

    Примечание

    Сертификат .pfx должен иметь расширение Использование ключа (Key Usage) с разрешениями Цифровая подпись (Digital Signature) и Шифрование ключей (Key Encipherment).

  4. Чтобы сгенерировать SAML-сертификат, нажмите Сгенерировать сертификаты.

  5. (Опционально) Сгенерируйте клиентский сертификат для безопасного взаимодействия модулей интеграции с Core Server. Рекомендуется использовать отдельный сертификат для каждого модуля.

    1. Нажмите Сгенерировать сертификат.

    2. В поле Имя задайте имя сертификата и нажмите Добавить.

      Сертификат появится в таблице с отпечатком, именем и паролем.

    3. Чтобы скачать PFX-сертификат, в строке сертификата нажмите на значок скачивания. Сертификат понадобится при настройке модуля интеграции.

  6. Нажмите Далее для перехода к следующему шагу.

Каталоги пользователей​

С помощью мастера конфигурации можно добавить несколько каталогов пользователей. Если используется несколько служб каталогов, и пользователь добавлен в разные службы, то Access Manager воспринимает этого пользователя как несколько разных пользователей.

Примечание

Если ранее вы устанавливали Access Manager, не используя мастер конфигурации, данные каталогов пользователей можно заполнить автоматически. Нажмите Импортировать и загрузите конфигурационный файл:

  • из AM 9.x: am/core/app-settings.json
  • из AM 8.2: C:\inetpub\wwwroot\am\core\Web.config

После появления сообщения Данные импортированы проверьте данные. При необходимости данные каталога можно отредактировать после добавления.

Чтобы добавить каталог пользователей:

  1. Нажмите Добавить каталог.

  2. Заполните поля, используя подсказки мастера конфигурации.

    При необходимости данные каталога можно отредактировать после добавления.

  3. Для повышения безопасности рекомендуется использовать LDAPS-соединение. По умолчанию опция LDAPS-соединение включена.

    Для проверки LDAPS-соединения используется сертификат открытого ключа, добавленный на шаге Сертификаты.

    Требования к сертификату каталога

    Если включено LDAPS-соединение (порт 636), мастер конфигурации проверяет доверенный сертификат каталога до проверки остальных параметров.

    Чтобы проверка прошла успешно, в поле CN (Subject) и/или SAN (Subject Alternative Name) сертификата контроллера домена должно быть указано имя, совпадающее с адресом подключения, который вы указываете при добавлении каталога. В адресе подключения укажите значение, соответствующее имени в сертификате:

    Имя в сертификате (CN и/или SAN)Адрес подключения
    Точное имя контроллера — полное доменное имя (FQDN) контроллера доменаFQDN контроллера, указанный в сертификате
    Wildcard-имя домена — шаблон вида *.<домен>, под который подходят имена контроллеров этого доменаFQDN контроллера, имя которого подходит под этот шаблон, например <имя-контроллера>.<домен>
    Имя доменаИмя домена, указанное в сертификате
    Точное имя контроллера и имя доменаFQDN контроллера или имя домена, указанные в сертификате

    Если ни одно из имен в сертификате (CN и/или SAN) не совпадает с указанным адресом подключения (например, в сертификате указан только CN без дополнительных DNS-имен в SAN или для подключения используется IP-адрес, которого нет в сертификате), мастер выводит ошибку Сертификат каталога не прошел проверку, и каталог не может быть добавлен.

  4. (Опционально) Чтобы проверить соединение и адрес подключения, нажмите Проверить каталог.

  5. При необходимости отредактируйте соответствие атрибутов пользователей, настройте фильтрацию объектов каталога и оптимизацию поиска по каталогам.

  6. Нажмите Добавить.

  7. Нажмите Далее для перехода к следующему шагу.

Дополнительные возможности​

Соответствие атрибутов

В разделе можно настроить соответствие между атрибутами службы каталогов и атрибутами в Access Manager.

Список атрибутов:

Примечание

  • Если вы используете версию FreeIPA 4.6-4.9, в настройке Соответствие атрибутов пользователя для атрибута AM Идентификатор контейнера (ID) задайте значение entrydn.

  • Если вы используете каталог РЕД АДМ с модулем RDP Windows Logon, в настройке Соответствие атрибутов пользователя для атрибута AM Уникальное имя пользователя(SamCompatibleName) задайте значение sn.

Фильтрация объектов каталога

Если при поиске пользователей и групп нужно исключить дублирующиеся учетные записи или обращаться только к части каталога пользователей, настройте фильтрацию объектов.

  • В поле LDAP-фильтр укажите регулярное выражение для фильтрации элементов на этапе выполнения запроса к каталогу пользователей. LDAP-фильтр не поддерживает фильтрацию по частичному совпадению атрибутов distinguishedName и canonicalName (для этих целей добавлен dnFilter).

  • В поле Фильтр DistinguishedName укажите регулярное выражение для фильтрации результатов после выполнения LDAP-запроса к каталогу пользователей.

Для формирования регулярного выражения используйте примеры из мастера конфигурации.

Оптимизация поиска по каталогам

Если вы используете несколько каталогов пользователей, настройте оптимизацию поиска. Настройка позволяет быстрее выполнять поиск пользователей и исключает сбои в работе в случае отказа некоторых каталогов.

  1. Выберите параметр, по которому будет производиться поиск: по пользователям, группам или контейнерам.

  2. В поле Атрибуты укажите атрибуты, которые применяются для проверки регулярных выражений.

    Возможные значения атрибутов для поиска по пользователям:

    • PrincipalName
    • SamCompatibleName
    • DistinguishedName

    Для поиска по группам или контейнерам:

    • Name

  3. В поле Регулярное выражение задайте выражение, по которому будет производиться поиск.

    Рекомендуется задать регулярное выражение, содержащее доменную часть каталога. Выражение применяется только к выбранным атрибутам.

    Поиск по каталогу осуществляется в следующих случаях:

    • Если регулярное выражение совпадает c параметром поиска.
    • Если для каталога не указано регулярное выражение, поиск по этому каталогу осуществляется без применения фильтрации.

    Примеры регулярных выражений​

    Важно

    Вводите регулярные выражения без экранированных символов — не используйте /.

    Примеры регулярных выражений
    Пример поиска по PrincipalName
    "^\\*?[a-zA-Z0-9._*-]*@company\\.local\\*?$"
    Пример поиска по SamCompatibleName
    "^COMPANY\\\\([a-zA-Z0-9._*-]+)$"
    Пример поиска по DistinguishedName
    "^CN=[\\w\\s.*-]+(?:,OU=[\\w\\s.*-]+)+,DC=company,DC=local$"
    Пример поиска по Name
    "^\\*?(TestGroup1|TestGroup2|TestGroup3)\\*?$"
  1. Нажмите Сохранить.

Базы данных​

Access Manager поддерживает работу с Microsoft SQL и PostgreSQL.

Добавьте базы данных для Core Server и Log Server. База данных для Key Server нужна, если вы устанавливаете Key Server.

База данных Core Server​

  1. В таблице баз данных в строке Core Server нажмите +.

  2. Заполните информацию о выбранной СУБД, используя подсказки мастера конфигурации.

    Если ранее вы устанавливали Access Manager, не используя мастер конфигурации, информацию о базе данных Core Server можно заполнить автоматически. Нажмите Импортировать и загрузите конфигурационный файл:

    • из AM 9.x: am/core/app-settings.json
    • из AM 8.2: C:\inetpub\wwwroot\am\core\Web.config

    После появления сообщения Данные импортированы проверьте данные.

  3. Выберите тип алгоритма шифрования и сгенерируйте ключ.

    Важно

    Если вы используете такие алгоритмы шифрования, как RC2, TripleDes или DES, сначала добавьте ключ в мастер конфигурации, а затем внесите изменения в конфигурационный файл am/core/app-settings.json.

    В блоке Storage в строке Algorithm добавьте тип используемого алгоритма.

  4. Нажмите Проверить базу данных.

  5. Нажмите Добавить.

При необходимости настройте распределенный кеш.

Базы данных Log Server и Key Server​

  1. В таблице баз данных в строке компонента нажмите +.
  2. Чтобы добавить отдельную базу данных, отключите опцию База данных находится на одном сервере с базой данных Core Server.
  3. Заполните информацию о выбранной СУБД, используя подсказки мастера конфигурации.
  4. Нажмите Проверить базу данных.
  5. Нажмите Добавить.

При необходимости настройте автоматическую очистку событий Log Server и резервное хранилище Log Server, затем нажмите Далее для перехода к следующему шагу.

Дополнительные возможности​

Распределенный кеш

Распределенный кеш хранится в отдельной базе данных, общей для всех хостов. Эта база данных содержит сессии и временные данные, что ускоряет обработку запросов.

Настройка распределенного кеша необязательна и не блокирует переход к следующему шагу. Без распределенного кеша каждый хост использует собственный кеш в оперативной памяти (In-Memory).

Важно

В инфраструктуре с несколькими серверами Core Server и балансировщиком нагрузки распределенный кеш обязателен для провайдеров Telegram и Express в режиме push-уведомлений. Без него эти провайдеры работают некорректно.

Примечание

Для распределенного кеша поддерживается только PostgreSQL.

Чтобы настроить распределенный кеш:

  1. В таблице баз данных в строке Распределенный кеш нажмите +. Пока кеш не настроен, в столбце Статус отображается Не настроена.

  2. Укажите, где находится база данных распределенного кеша:

    • Если на одном сервере с базой данных Core Server, включите опцию На одном сервере с базой данных Core Server и заполните поле Имя базы данных. Адрес сервера, порт и учетная запись будут взяты из настроек базы данных Core Server.
    • Если на отдельном от базы данных Core Server сервере, оставьте опцию На одном сервере с базой данных Core Server выключенной и заполните поля:
      • Имя SQL-сервера — имя сервера или экземпляра, IP-адрес или DNS-имя сервера.
      • Имя базы данных — база данных, которая будет использоваться для хранения кешированных данных. Имя должно быть уникальным.
      • Порт — значение по умолчанию: 5432.
      • Логин и Пароль — данные учетной записи базы данных в блоке Аутентификация.
    Примечание

    Опция На одном сервере с базой данных Core Server доступна, только если для Core Server выбрана база данных PostgreSQL. Если для Core Server выбрана база данных Microsoft SQL, опция неактивна. Если вы измените базу данных PostgreSQL для Core Server на Microsoft SQL, ранее введенные данные для подключения к распределенному кешу сохранятся.

  3. Нажмите Проверить базу данных. Проверка выполняется так же, как для остальных баз данных, а ее результат отображается в столбце Статус таблицы баз данных.

  4. Нажмите Добавить.

Чтобы изменить настройки распределенного кеша, в строке Распределенный кеш нажмите .

Чтобы удалить настройки распределенного кеша, в строке Распределенный кеш нажмите и подтвердите удаление. После удаления каждый хост будет использовать собственный кеш в оперативной памяти.

На основе этих настроек мастер конфигурации задает в конфигурационном файле Core Server am/core/app-settings.json параметр Cache:Provider:

  • PostgreSql — если указаны данные для подключения к базе данных распределенного кеша. Остальные параметры кеширования заполняются значениями по умолчанию.
  • InMemory — если распределенный кеш не настроен.

Остальные параметры кеширования находятся в конфигурационном файле Core Server am/core/app-settings.json. Подробнее — в разделе Параметры кеширования.

Автоматическая очистка событий Log Server

Если включить автоматическую очистку, события будут удаляться из базы данных после того, как истечет указанный срок хранения.

  1. Включите опцию Автоматическая очистка данных.
  2. В поле Срок жизни событий, дней укажите срок хранения событий. Значение по умолчанию — 90.

На основе этих настроек мастер конфигурации задает в конфигурационном файле Log Server am/ls/clientApps.config следующие параметры:

  • Enabled — включение периодической очистки. Соответствует опции Автоматическая очистка данных. При включенной опции задается значение true.
  • RetentionPeriod — срок хранения события. Соответствует полю Срок жизни событий, дней. Для значения 90 задается 90.00:00:00.
  • TargetId — идентификатор хранилища, в котором выполняется очистка, например DbTarget_0.

Остальные параметры очистки — расписание, количество событий, удаляемых за один раз, паузы между удалениями и ограничения по количеству событий и длительности очистки — также находятся в файле am/ls/clientApps.config. Подробнее — в разделе Автоматическая очистка событий.

Резервное хранилище Log Server

Для Log Server можно добавить резервное хранилище — дополнительную базу данных.

Чтобы добавить резервное хранилище:

  1. В таблице баз данных в строке Log Server нажмите Добавить резервное хранилище.

  2. Укажите, где находится база данных резервного хранилища:

    • Если база данных находится на одном сервере с базой данных Core Server, включите опцию База данных находится на одном сервере с базой данных Core Server и заполните поле Имя базы данных.
    • Если база данных находится на другом сервере, выключите опцию База данных находится на одном сервере с базой данных Core Server, выберите СУБД (Microsoft SQL или PostgreSQL) и заполните поля:
      • Имя SQL-сервера
      • Имя базы данных
      • Порт
      • Логин и Пароль — данные учетной записи базы данных в блоке Аутентификация.

  3. Нажмите Проверить базу данных.

  4. Нажмите Добавить.

Добавленное хранилище отображается в таблице баз данных в строке Резервное хранилище под строкой Log Server.

Чтобы изменить настройки резервного хранилища, в строке Резервное хранилище нажмите .

Чтобы удалить резервное хранилище, в строке Резервное хранилище нажмите .

Сессионный ключ​

  1. Нажмите Сгенерировать новый ключ. При генерации нового ключа шифрования все текущие сессии станут недоступными.
  2. Нажмите Далее для перехода к следующему шагу.

Логирование​

Настройки логирования Log Server

В поле Логируемое поле объекта каталога задайте формат записи имени пользователя. Выберите один или несколько вариантов из списка. Если первое выбранное значение в каталоге пустое, логирование будет выполнено по второму значению.

Настройки логирования компонентов

  1. Включите Логирование для нужных компонентов: Core Server, Management Console, User Console, Identity Provider, Key Server.
  2. Для каждого включенного компонента выберите уровень логирования.
  3. Нажмите Далее для перехода к следующему шагу.

Syslog​

Опционально добавьте соединение с Syslog-сервером, чтобы использовать хранилище данных Syslog в компоненте Log Server. Пример настройки Syslog-сервера описан в разделе Настройка окружения.

Первичный администратор​

  1. Назначьте первичного администратора:

  2. Нажмите Далее для перехода к следующему шагу.

Выдать права администратора другим пользователям можно в Management Console после установки.

Key Server​

Примечание

Этот раздел доступен в мастере конфигурации, если в разделе Схема хостов добавлен хост для Key Server.

  1. В разделе Параметры взаимодействия с Access Manager в поле Доверенный ID введите произвольный уникальный идентификатор.

    Значение идентификатора должно совпадать со значением в настройке провайдера Indeed Key Доверенный ID Indeed Key Server в Management Console.

  2. В разделе Параметры взаимодействия с мобильным приложением Indeed Key введите внешний адрес и внешний порт.

    Эти параметры необходимы для дальнейшей регистрации и получения push-уведомлений на мобильном устройстве.

  3. Для связи мобильного приложения с Key Server используйте внешний сертификат.

    • Оставьте опцию Использовать внешний сертификат выключенной и используйте сертификат, добавленный в разделе Сертификаты. В таком случае убедитесь, что в альтернативных именах этого сертификата указан внешний адрес.

    • Включите опцию Использовать внешний сертификат и выберите сертификат:

      • Сертификат от стороннего УЦ — добавьте серверный сертификат (PFX) и сертификат открытого ключа.
      • Сертификат, выданный службой поддержки Indeed — добавьте только серверный сертификат (PFX). Сертификат открытого ключа не требуется.

    Требования к внешнему сертификату — в разделе Сертификат для Indeed Key Server.

Резервное копирование​

Резервная копия мастера конфигурации — это зашифрованный файл, который используется для восстановления настроек мастера. Этот файл потребуется для изменения конфигурации текущей версии Access Manager.

Предупреждение

Сохраните файл резервной копии мастера конфигурации и запомните пароль.

Без резервной копии и пароля вы не сможете в дальнейшем изменить конфигурацию Access Manager с помощью мастера.

Чтобы сохранить резервную копию мастера конфигурации:

  1. Задайте пароль для резервной копии мастера конфигурации.
  2. Нажмите Скачать резервную копию.
  3. Нажмите Далее для перехода к следующему шагу.

Чтобы сохранить резервную копию конфигурации AM:

  1. Включите функцию Сохранять резервные копии АМ. По умолчанию функция отключена.

  2. Нажмите Параметры резервного копирования АМ и задайте данные:

    • Путь установки АМ — путь к текущей версии АМ. Значение по умолчанию: /opt/am.

      Примечание

      Если вы добавили несколько хостов, укажите одинаковый путь установки AM для всех хостов. Чтобы резервная копия была создана успешно, конфигурационные файлы компонентов Access Manager на всех хостах должны находиться в этой папке.

    • Путь сохранения резервных копий — путь к папке для хранения резервных копий. Значение по умолчанию: /opt/am_backup.

  3. Нажмите Сохранить.

    Резервная копия содержит копию папки /am. Если на момент сохранения в папке оставались архивы tar.gz, они также сохраняются.

  4. При необходимости отключите функцию Удалять локальные Docker-образы. По умолчанию функция включена.

    Функция удаляет уже загруженные в локальное хранилище образы Docker. Полный список загруженных образов можно посмотреть с помощью команды:

    sudo docker images

  5. Нажмите Скачать резервную копию.

  6. Нажмите Далее для перехода к следующему шагу.

Установка AM​

Выберите сценарий установки Access Manager.