История версий

В этом разделе содержится краткое описание изменений и улучшений в продукте Indeed Access Manager по версиям.

9.7

Мастер конфигурации

• В мастере конфигурации добавлена возможность запустить автоматическую установку сразу на всех хостах одной кнопкой Установить все. Для каждого хоста отображается отдельный прогресс установки и доступен свой лог-файл.
• В мастере конфигурации добавлена возможность включить шифрование конфигурационных файлов для каждого хоста при автоматической установке.
• В мастере конфигурации добавлена возможность настроить подключение к базе данных PostgreSQL для распределенного кеша. Если распределенный кеш не настроен, каждый хост использует собственный кеш в оперативной памяти.
• В мастере конфигурации на шаге Каталоги пользователей добавлена возможность настроить фильтрацию объектов каталога и оптимизацию поиска. Ранее эти параметры задавались вручную в конфигурационном файле Core Server. Для каталогов FreeIPA и ALD Pro фильтр, скрывающий системные контейнеры, задается по умолчанию.
• При проверке подключения к каталогу пользователей мастер конфигурации показывает подробную причину ошибки и проверяет срок действия сервисной учетной записи и ее пароля.
• Внесены улучшения в работу мастера конфигурации.

Indeed Key

• В Indeed Key Server добавлена отправка push-уведомлений на устройства Android через RuStore. Для этого серверу требуется доступ к сервису VKPNS.

Модули интеграции

• Настройки SAML- и OIDC-приложений Identity Provider перенесены из конфигурационного файла am/idp/app-settings.json в Management Console.
• Добавлена утилита миграции настроек приложений Identity Provider из конфигурационного файла в Management Console. Утилита не переносит параметры Сертификат поставщика услуг (SP) и Разрешенные адреса отправки форм (CSP), их необходимо добавить в Management Console вручную.
• В Identity Provider добавлена возможность задать время обновления кеша — интервал, в течение которого в кеше хранятся настройки клиентских приложений SAML и OIDC. Допустимы значения от 0 до 600 секунд, при значении 0 кеширование отключается.
• В Identity Provider добавлена возможность передавать в SAML- и OIDC-приложения атрибуты пользователя из Active Directory.
• В NPS RADIUS Extension добавлена политика, позволяющая не запрашивать подтверждение Indeed Key (Push) при повторных подключениях пользователя к Wi-Fi в течение заданного периода.
• В NPS RADIUS Extension для цепочек многофакторной аутентификации, содержащих доменный пароль (например, Windows Password + Software TOTP), теперь используется пароль, введенный пользователем при аутентификации, а не сохраненный в Access Manager.
• В модуле FreeRADIUS добавлен режим отказа без указания причины для защиты от перебора факторов аутентификации. При ошибке аутентификации модуль возвращает общий отказ в доступе (Access-Reject), не раскрывая, на каком этапе произошел отказ и какой из факторов введен неверно. Реальная причина отказа сохраняется во внутренних логах.
• В Linux Logon добавлена блокировка сессии при извлечении RFID-карты из считывателя IronLogic Z2 USB. Блокировка включается в Management Console.

Миграция модулей с Access Manager 8 на Access Manager 9

• Реализована поддержка модуля Enterprise SSO для единого входа в Windows- и веб-приложения, в том числе при отсутствии сети.
• Реализована поддержка модуля IIS Extension для двухфакторной аутентификации в веб-приложениях на базе IIS.

Аутентификаторы

• Добавлен провайдер Smart Card Provider для аутентификации по смарт-картам и USB-ключам с запросом PIN-кода и без него. Провайдер поддерживается в модулях Enterprise SSO, Windows Logon и Linux Logon.
• Добавлена возможность регистрировать аутентификатор Secured TOTP по готовому секрету TOTP, переданному в шаблоне регистрации. Это позволяет выпускать Secured TOTP в собственных мобильных приложениях организации.

События

• Добавлена автоматическая очистка событий Log Server. Включить очистку и задать срок хранения событий можно в мастере конфигурации, остальные параметры задаются в конфигурационном файле am/ls/clientApps.config.
• Добавлен ручной запуск очистки событий Log Server через API.
• В IIS Extension в событиях аутентификации теперь передается реальный IP-адрес клиента. Ранее в событиях отображался адрес сервера, на котором установлен IIS Extension.

Клиентские сертификаты

• Для модулей Enterprise SSO, IIS Extension, NPS RADIUS Extension, RDP Windows Logon и Windows Logon добавлена возможность использовать внешний клиентский сертификат из хранилища сертификатов Windows для HTTPS-подключения к Core Server. Сертификат задается через групповую политику или в реестре.
• В модулях Windows Logon, RDP Windows Logon, Enterprise SSO, IIS Extension, NPS RADIUS Extension и FreeRADIUS встроенный клиентский сертификат теперь подписан по алгоритму SHA-256 вместо SHA-1. Это обеспечивает совместимость с HAProxy 3.x и соответствует актуальным требованиям к TLS.
• В HAProxy добавлены режимы обработки клиентского сертификата. По умолчанию заголовок с сертификатом формируется только из сертификата, прошедшего проверку при mTLS-подключении.
• Core Server теперь поддерживает клиентские сертификаты в формате PEM, в том числе с URL-кодированием. Это позволяет настроить аутентификацию по клиентскому сертификату при использовании NGINX в качестве прокси-сервера.

Телеметрия

• В Core Server, Identity Provider, Management Console, User Console и Indeed Key Server добавлен экспорт телеметрии по протоколу OpenTelemetry (OTLP) со сквозной трассировкой запросов между компонентами. Телеметрия каждого компонента настраивается в секции OpenTelemetry конфигурационного файла app-settings.json.

Другие изменения

• Компоненты Access Manager переведены на платформу .NET 10.
• HAProxy обновлен до версии 3.4 для соответствия актуальным требованиям безопасности.
• В Core Server добавлена возможность включить тайм-аут LDAP-bind. Если сервер каталога не отвечает в течение заданного времени, подключение прерывается и выполняется попытка подключения к следующему серверу. По умолчанию тайм-аут выключен.

9.4.2

• В Linux Logon обновлены сценарии входа при отсутствии доступных методов аутентификации.

9.4.1

• В модуле FreeRADIUS изменено поведение переменных отладки. AM_DEBUG теперь включает логирование в многопоточном режиме. Для однопоточного режима добавлена переменная AM_ST_DEBUG. Переменная AM_MT_DEBUG используется для совместимости с предыдущими версиями.
• В NPS RADIUS Extension оптимизирована обработка дубликатов запросов аутентификации при завершении сессии.
• В Linux Logon устранена ошибка некорректного логирования при неверном вводе на этапе выбора метода аутентификации.
• Сокращено время загрузки страниц в Management Console.
• Улучшена безопасность компонентов.

9.4

Поддержка каталогов пользователей

• Добавлена поддержка каталогов пользователей ALD Pro, Samba DC и РЕД АДМ.
• Атрибут GUID у родительских объектов в User Catalog стал необязательным.

Новые компоненты Access Manager

• Добавлен сервис Windows Authentication Reverse Proxy (WARP), который предназначен для Windows-аутентификации пользователей в Access Manager.
• Добавлен провайдер Express для аутентификации пользователей через push-уведомления в мессенджере eXpress.
• В Linux Logon добавлен провайдер IronLogic Z2 USB для аутентификации пользователей с применением считывателей IronLogic.

Indeed Key

• Реализована возможность записи событий Indeed Key Server в базу данных событий Core Server.

Новые возможности в модулях

• В Identity Provider добавлена возможность настройки бизнес-приложений на уровне политик.
• В Identity Provider добавлена поддержка сценария смены пароля при входе.
• В Windows Logon добавлено кеширование данных пользователя.
• В LDAP Proxy добавлена поддержка протокола TLSv1.3 и автоматическое определение версии TLS.
• В модуле FreeRADIUS добавлена поддержка протокола MS-CHAPv2.

Изменения в процессе сборки и мастере конфигурации

• Добавлена поддержка покомпонентной установки Access Manager на разных хостах.
• Добавлена возможность установки Indeed Key Server (IKS).
• Добавлена возможность настройки и проверки всех поддерживаемых каталогов.
• Реализовано автоматическое определение ID первичного администратора.
• Добавлена возможность создания резервной копии при автоматической установке или изменении конфигурации.
• Docker-образы Access Manager теперь собираются в отдельные tar-архивы.
• Реализована проверка подключения к хосту по SSH перед началом установки.
• Добавлена загрузка и автоматический разбор конфигурационных файлов (JSON, XML).
• Добавлена генерация клиентского сертификата.

Миграция модулей с Access Manager 8 на Access Manager 9

• Реализована поддержка NPS RADIUS Extension — модуль расширения Microsoft Network Policy Server (NPS).
• Добавлена утилита миграции настроек провайдеров NPS.
• Реализована поддержка компонента Mobile Device Provisioning (MDP).

9.3.1

• В Indeed Key Server исправлена ошибка при попытке отправить push-уведомление, если push-сервис недоступен.
• Исправлена ошибка входа через LDAP Proxy по имени пользователя в формате Distinguished Name, если в имени пробел.
• После установки Access Manager с помощью мастера конфигурации в конфигурационные файлы Haproxy добавлены отсутствовавшие настройки LDAP Proxy.
• Устранена неисправность, препятствовавшая использованию SSH-порта, заданного не по умолчанию.
• В мастере конфигурации исправлена ссылка на документацию Indeed Access Manager.
• Устранена ошибка, возникавшая при автоматической установке с помощью мастера конфигурации.
• Скорректированы настройки томов Docker, вызывавшие ошибку при старте Docker-контейнера Core Server на РЕД ОС.

9.3

• Реализована автоматическая установка AM через мастер конфигурации.
• Добавлен новый модуль интеграции Linux Logon — альтернатива Windows Logon для установки в системе под управлением Linux OS.
• Добавлен новый модуль интеграции LDAP Proxy для двухфакторной аутентификации в приложениях, которые работают по LDAP-протоколу.
• Реализована поддержка каталога FreeIPA — альтернатива Active Directory для Linux OS.
• Добавлена поддержка провайдера аутентификации Telegram Provider на сервере под управлением Linux OS.
• Добавлена возможность настройки времени ожидания для LDAP-соединения.
• Поддержана возможность запрета метода аутентификации для выбранного пользователя.
• Добавлены новые возможности для модуля FreeRADIUS: настройка способа проверки доменного пароля, конфигурация всех доступных переменных, добавление доменных и NetBIOS-имен при использовании нескольких LDAP-серверов.
• В Identity Provider (IDP) добавлена поддержка упрощенного метода аутентификации по стандарту OAuth 2.0 (Implicit Flow).
• Добавлена возможность регистрации нескольких аутентификаторов Secured TOTP на разных устройствах для одного пользователя.
• Исправлена логика при завершении сессии в Management Console: после повторной аутентификации пользователь возвращается на последнюю посещенную страницу.
• Добавлена возможность автоматической выдачи первичных прав администратора.
• Добавлены значения по умолчанию для идентификаторов пользователя и группы в файле переменных окружения.

9.2.1

• Добавлена возможность ограничивать доступ в Phone Management Server для групп пользователей.
• В конфигурационном файле утилиты валидации Passcode добавлены настройки по умолчанию.
• Добавлена настройка, позволяющая успешно запустить FreeRADIUS, даже если один из LDAP-серверов недоступен.
• Устранены ошибки при работе Log Server с базой Microsoft SQL.

9.2

• Реализована поддержка Linux OS для серверных компонентов Indeed AM.
• Добавлен новый модуль интеграции — FreeRADIUS Extension, альтернатива NPS RADIUS Extension для установки на сервере под управлением Linux OS.
• Добавлена поддержка следующих модулей интеграции на сервере под управлением Linux OS: Indeed ADFS Extension, Indeed RDP Windows Logon, Indeed Windows Logon и Indeed Identity Provider.
• Оптимизирована работа с несколькими каталогами пользователей.
• Создана утилита для миграции баз данных из Microsoft SQL в PostgreSQL.
• Добавлены новые возможности Management Console: настройка формата отображения имени пользователя, поиск по адресу электронной почты, единый формат времени и даты для локалей RU и EN, уменьшен интервал поиска событий до минуты.
• Большинство настроек провайдеров аутентификации перенесены в Management Console.
• Реализована возможность отключения сервиса освобождения лицензий.
• Добавлена возможность настраивать срок действия токена при доступе в модули интеграции через API.
• Добавлена возможность запретить или разрешить пользователям, которые не включены ни в одну политику доступа Indeed AM, аутентифицироваться в User Console.
• Добавлены события выхода пользователя из Management Console и User Console.
• Адреса клиентских рабочих станций теперь передаются через User Console и Management Console на сервер Indeed Core Server, а также отображаются в заголовках запросов к серверу.
• Реализована защита доступа к API с помощью клиентского сертификата.
• Осуществлена миграция основных компонентов Indeed AM в более актуальный фреймворк – ASP.NET Core.
• Добавлена возможность кастомизации интерфейса Management Console и User Console.
• В API добавлен новый метод, позволяющий получить подробную информацию о параметрах используемых методов аутентификации.