Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Групповые политики

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

Политики применяются к серверам с развернутой ролью NPS (Network Policy Server) и позволяют выполнить дополнительные настройки.

Политики можно настроить как через доменные групповые политики, так и через локальную групповую политику на сервере NPS. После настройки политик необходимо выполнить перезагрузку службы NPS.

Настройка таймаута сессии Challenge\Response​

Позволяет задать таймаут сессии при использовании провайдера аутентификации, поддерживающего Challenge\Response.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Настройка таймаута сессии Challenge\Response.

  4. Включите политику. В поле Таймаут сессии в секундах укажите необходимое значение.

Challenge\Response: сообщение пользователю​

Политика позволяет задать сообщение пользователю при использовании Challenge\Response.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius → <Имя используемого провайдера>.

  3. Откройте политику Challenge\Response сообщение пользователю.

  4. Включите политику. В поле Сообщение пользователю введите необходимый текст.

Определение IP-адреса клиента Radius​

Политика позволяет задать атрибуты для определения IP-адреса клиента RADIUS, по которому будет выполняться поиск Radius-приложения в Access Manager. Если значение не присвоено, значение по умолчанию соответствует 265 (SrcIPAddress), 278 (SrcIPv6Address).

  1. Откройте редактор групповой политики.
  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.
  3. Откройте политику Определение IP-адреса клиента Radius.
  4. Включите политику. В поле Атрибуты укажите необходимое значение. Можно указать несколько значений через запятую.

Кеширование групп пользователей​

Политика включает кеширование групп пользователей при RADIUS-аутентификации и позволяет задать период обновления кеша.

Примечание

Если NPS RADIUS Extension или Indeed AM Server долго отвечают во время работы под нагрузкой с большим количеством пользователей, необходимо отключить данную настройку.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Настройки кеширования групп пользователей.

  4. Включите политику. В поле Период обновления групп пользователей в минутах укажите требуемое значение в минутах.

Настройка имени пользователя​

Политика позволяет настроить использование NetBIOS имени домена в случае указания имени пользователя без домена.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Настройка имени пользователя.

  4. Включите политику и активируйте параметр Использовать NetBIOS имя домена в случае указания имени пользователя без домена.

Настройка кеширования сессий запросов пользователей​

Политика включает кеширование сессий запросов пользователей при RADIUS-аутентификации и позволяет задать время жизни сессии запроса в секундах.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Настройка кеширования сессий запросов пользователей.

  4. Включите политику. В поле Время жизни сессии запроса в секундах укажите значение.

Настройка повторного запроса 2FA при подключении к Wi-Fi​

Политика позволяет задать период, в течение которого второй фактор не запрашивается при повторных подключениях пользователя к сети Wi-Fi после успешной двухфакторной аутентификации.

Политика работает только для подключений к Wi-Fi, в которых вторым фактором используется Indeed Key (Push). Пока заданный период не истек, подтверждение Indeed Key (Push) на мобильном устройстве не запрашивается. При этом NPS проверяет первый фактор и применяет политики доступа, как при обычном подключении.

Период отсчитывается от момента успешного подтверждения Indeed Key (Push) и не продлевается при повторных подключениях. По истечении периода потребуется заново подтвердить Indeed Key (Push).

Повторное использование Indeed Key (Push) возможно, только если RADIUS-запрос содержит атрибуты:

  • 1 — UserName
  • 30 — CalledStationId
  • 31 — CallingStationId
  • 61 — NASPortType

Атрибут NASPortType должен иметь значение 19 (Wireless - IEEE 802.11), атрибут CalledStationId должен содержать SSID сети. Набор атрибутов фиксирован, изменить его нельзя.

По умолчанию политика выключена. Если RADIUS-запрос не соответствует требованиям к атрибутам, политика задана некорректно или при ее работе возникла ошибка, Indeed Key (Push) запрашивается при каждом подключении.

Примечание

Данные о подтверждении Indeed Key (Push) хранятся локально на каждом сервере с NPS RADIUS Extension и не синхронизируются между серверами. Если пользователь подключится через другой сервер NPS, ему потребуется снова подтвердить Indeed Key (Push).

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Настройка повторного запроса 2FA при подключении к Wi-Fi.

  4. Включите политику. В поле Период повторного запроса 2FA в минутах укажите необходимое значение.

    Допустимые значения: от 15 до 1440 минут (24 часа). Значение по умолчанию: 240 минут (4 часа).

Отключить использование настроек способа входа в Management Console​

Вы можете использовать ваши существующие настройки способа входа в текущей версии Access Manager. Для этого настройте политику Отключить использование политик Access Manager. По умолчанию политика отключена.

  1. Откройте редактор групповой политики.

  2. Перейдите в раздел Конфигурация компьютера → Административные шаблоны → Indeed ID → Radius.

  3. Откройте политику Отключить использование политик Access Manager.

  4. Включите политику.