Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Indeed Enterprise Single Sign-On

Indeed AM Enterprise Single Sign-On (ESSO, Enterprise SSO) реализует технологию единого доступа Single Sign On в информационные системы вашей организации. Модуль централизованно хранит пароли пользователя и выполняет автоматическую подстановку пароля в скрытом виде при входе в приложение или других действиях, требующих аутентификации.

Автоматическое заполнение полей данными происходит после того, как пользователь подтвердит свою личность с помощью аутентификатора. Таким образом, Indeed AM Single Sign-On избавляет пользователей от необходимости запоминания, записи, хранения, ручного ввода паролей для выполнения входа в приложение.

Важно

Для работы ESSO Agent требуется сервис WARP.

В Enterprise SSO вы можете выполнить аутентификацию по следующим аутентификаторам:

Поддерживаемые приложения​

Благодаря централизованному хранению SSO-профилей пользователи получают доступ в приложения с любого хоста, где установлен компонент.

Технология доступа Indeed Enterprise Single Sign-On применяется для win- и веб-приложений и настраивается без программного вмешательства в серверную или клиентскую часть целевого приложения.

Для поддержки нового приложения необходимо создать специальный шаблон приложения в формате XML. В шаблоне указывается, какие формы приложения будут контролироваться. Контроль доступа осуществляется в виде повторного запроса аутентификации, заполнении полей учетными данными, активации нужных элементов управления, записи события в журнал.

О том, как добавить и настроить поддерживаемые приложения в Management Console — в разделе Модуль Enterprise SSO.

Часто задаваемые вопросы о работе Indeed Enterprise Single Sign-On

Предварительная настройка​

Чтобы использовать Enterprise SSO:

  1. Установите сервис WARP. Он необходим для работы ESSO Agent.
  2. Установите модуль ESSO Agent на клиентской машине.
  3. Настройте подключение к Core Server.
  4. При использовании соединения по протоколу HTTPS выполните установку клиентского сертификата на каждый Core Server.
  5. Настройте расширение Indeed ESSO для работы с веб-приложениями.
  6. Создайте шаблон целевого приложения с помощью утилиты Indeed-Id ESSO Template Wizard.
  7. Добавьте и настройте приложение в Management Console.

Установка ESSO Agent​

Примечание

Модуль устанавливается на рабочих станциях пользователей. Для этого требуются права локального администратора.

Чтобы установить ESSO Agent:

  1. Запустите файл для установки Indeed AM <номер версии>/Indeed AM ESSO Agent/<номер версии>/IndeedID.Enterprise SSO.Agent.msi и следуйте указаниям мастера установки.
  2. После завершения установки перезагрузите рабочую станцию.
Информация

Вместе с модулем автоматически устанавливается утилита для управления аутентификаторами. Подробнее — в разделе Управление аутентификаторами в Windows Logon и ESSO.

Чтобы установить ESSO Agent на рабочих станциях пользователей в автоматическом режиме, используйте механизм групповых политик (Microsoft Group Policy) или любой другой инструмент, позволяющий массово распространять и устанавливать MSI-пакеты, например Microsoft System Center Configuration Manager.

Настройка ESSO Agent​

Настроить Enterprise SSO можно через редактор реестра или с помощью групповых политик.

Настройки через групповые политики будут приоритетнее настроек, заданных через реестр вручную. Посмотреть настройки групповых политик в реестре можно по пути HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\SrvLocator2.

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

  1. Добавьте политику IndeedID.ServerUrl.admx на компьютер с установленным ESSO Agent. Шаблоны групповых политик расположены в папке Indeed AM <номер версии>\Misc\ADMX Templates.

  2. Откройте редактор групповой политики.

  3. Откройте раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → ClientConnection.

  4. Включите политику Настройки подключения к серверу.

  5. В поле URL-адрес АМ сервера укажите адрес сервиса WARP в формате http(s)://<DNS_WARP>:5002/am/core/.

Настройка расширения Indeed ESSO​

При работе с веб-приложениями ESSO использует расширение для браузеров Internet Explorer, Mozilla Firefox и Google Chrome. Для входа в веб-приложение достаточно перейти на страницу сервиса — расширение выполнит аутентификацию автоматически. Запускать ESSO и вручную выбирать приложение для прохождения SSO-аутентификации не требуется.

Расширение Indeed AM SSO Helper для Internet Explorer устанавливается вместе с ESSO Agent. Для работы расширения включите его в браузере.

Если после установки расширение ESSO Agent не появилось в браузере, перейдите в Свойства браузера (Internet options)→Дополнительно (Advanced)→раздел Обзор (Browsing) и включите опцию Разрешение сторонних расширений обозревателя (Enable third-party browser extensions).

Чтобы расширение заработало, включите его в браузере.

Примечание

На серверных операционных системах дополнительно перейдите в Диспетчер серверов (Server manager)→Локальный сервер (Loсal server) и отключите Конфигурацию усиленной безопасности Internet Explorer (IE ESC).

Для массовой настройки параметров работы с расширениями в Internet Explorer используйте групповые политики Windows.

Политики располагаются в Редакторе локальной групповой политики (Local Group Policy Editor, gpedit.msc) в разделе Конфигурация пользователя (User Configuration)→Административные шаблоны (Administrative Templates)→Компоненты Windows (Windows Components)→Internet Explorer.

  1. Включите политику Автоматически активировать новые установленные надстройки (Automatically activate newly installed add-ons), чтобы расширение включалось автоматически включения.
  2. Чтобы запретить пользователям выключать надстройки, включите политику Не разрешать пользователям включать и отключать надстройки (Do not allow users to enable or disable addons).