Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Вход при отсутствии сети

Войти в приложение по аутентификатору можно даже при отсутствии физического подключения к сети. Вход по кешированному аутентификатору аналогичен входу по аутентификатору при доступной сети.

Чтобы настроить вход при отсутствии сети:

  1. Настройте кеширование сессии с помощью групповых политик или реестра.
  2. Включите кеширование и настройте срок действия аутентификаторов в Management Console.
  3. Настройте срок хранения сессии в кеше.

Предварительная настройка​

Вход при отсутствии сети доступен в следующих случаях:

  • Для вашей учетной записи было установлено разрешение на кеширование аутентификаторов.
  • Было выполнено кеширование аутентификаторов при первом входе в приложение по аутентификатору.
  • Был выполнен вход в систему по кешированному аутентификатору при доступной сети.

Настроить кеширование сессии​

В случаях, когда отсутствует соединение с Core Server, пользователи могут пройти аутентификацию в ESSO Agent в офлайн-режиме. Для этого используется сессия, закешированная на компьютере пользователя.

Чтобы настроить вход по закешированной сессии, используйте политику Настройки публичного ключа сеанса в GPO:

  1. Добавьте файл политики IndeedID.SessionPublicKey.admx из папки indeed AM <номер версии>\Misc\ADMX Templates на компьютер с Core Server.
  2. Откройте редактор групповой политики.
  3. Откройте раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Cache server.
  4. Включите политику Настройки публичного ключа сеанса.
  5. В свойствах политики в поле Публичный ключ сессии введите значение публичного ключа, сгенерированного при установке Core Server. Значение публичного ключа можно найти в файле SessionPublicKey.pub либо в конфигурационном файле Core Server Web.config в разделе sessionEncryptionSettings в параметре publicKey.
  6. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Client Connection.
  7. Включите политику Проверка доступности сервера Indeed EA\ESSO.
  8. В параметрах политики задайте значения для настроек Таймаут ожидания результата проверки (мс) и Время жизни результата проверки (мс).

Проверка доступности Core Server​

Для клиентских компьютеров можно включить проверку доступности Core Server, а также настроить время, по истечении которого Core Server считается недоступным и клиентский компьютер начинает использовать кешированные данные.

По умолчанию и при выключенной политике проверки доступности Core Server отключены и не производятся, время определения недоступности сервера не ограничено.

При настройке через политики значения будут указаны по пути реестра: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\AM\ServerAvailability и будут приоритетнее ручной настройки.

Чтобы настроить проверку доступности Core Server:

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

  1. Перейдите на машину с установленными Core Server и модулем ESSO Agent.

  2. Откройте редактор групповой политики.

  3. Перейдите в раздел Конфигурация компьютера→Административные шаблоны→Indeed ID→Client Connection.

  4. Включите политику Проверка доступности сервера Indeed EA\ESSO.

  5. Задайте значения следующих параметров:

    • Для параметра Таймаут ожидания результата проверки задайте период, в течении которого клиентский модуль Indeed ожидает результат проверки доступности сервера, по истечении которого сервер считается недоступным. Значение по умолчанию — 5000 мс.

    • Для параметра Время жизни результата проверки задайте время, в течение которого результат предыдущей проверки остается валидным и используется вместо проведения новых проверок. Значение по умолчанию — 6000 мс.

Включить кеширование и настроить срок действия аутентификаторов​

Включить кеширование и задать срок действия кешированных аутентификаторов можно в настройках приложения политики или пользователя в Management Console. Если сроки действия не указаны, кеширование действует бессрочно.

Если для кешированных аутентификаторов задан параметр Количество дней, то срок их действия отсчитывается со времени последнего входа через Enterprise SSO с использованием сети по любому аутентификатору, кроме Windows Password.

Например, при установленном сроке 10 дней и выполнении входа в приложение в 10:00 12.04.2025 кешированные аутентификаторы будут действительны с 10:00 12.04.2025 до 10:00 22.04.2025.

Если срок действия кешированных аутентификаторов истек и Core Server недоступен, при попытке входа в приложение отображается сообщение Ошибка входа в систему. Период кеширования данных пользователя закончился.

Настроить срок хранения сессии в кеше​

При кратковременных разрывах подключения к Core Sever можно настроить период, в течение которого сессию можно будет использовать повторно.

В течение заданного периода сессия хранится в кеше и может быть повторно использована при запросе на новое соединение с сервером. При этом проверка работоспособности сервера повторно не происходит, вместо этого используется закешированный результат проверки.

По истечении периода хранения сессия завершается. По новому запросу на соединение с сервером создается новая сессия.

Чтобы настроить срок хранения сессии в кеше:

  1. Откройте редактор групповой политики.
  2. Откройте раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Client Connection.
  3. Включите политику Настройки подключения к серверу.
  4. В свойствах политики задайте нужное значение для параметра Период удержания объекта сессии (мс). Значение по умолчанию — 180 000 мс (3 минуты).

Получение групп пользователя из токена Windows​

Для пользователей, которые были добавлены в политику ESSO через группу Active Directory, может быть недоступен вход по закешированной сессии после перезапуска ESSO Agent, если одновременно недоступны контроллер домена и Core Server.

Это связано с тем, что ESSO Agent получает информацию о группах из Active Directory, а не из Core Server или CacheServer.

Чтобы настроить для ESSO Agent получение информации о группах пользователя из токена Windows (локальных данных сессии) вместо обращения к Active Directory, выполните следующую настройку:

  1. Перейдите на рабочую станцию с установленным ESSO Agent.

  2. Откройте редактор реестра.

  3. Перейдите Компьютер\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Indeed-ID\ESSO. Если раздел ESSO отсутствует, создайте его.

  4. Создайте параметр REG_DWORD с именем TakeGroupsFromToken и установите значение:

    • 1, чтобы получать группы из токена Windows.
    • 0, чтобы получать группы стандартным способом через AD.

    По умолчанию параметр отсутствует или равен 0.

    Примечание

    Параметр TakeGroupsFromToken=1 помогает получить группы пользователя, добавленные в политику только через группу Active Directory, не через контейнер.

    Настройка действует только для стартовой сессии ESSO Agent, которая запускается сразу после входа пользователя в систему.