Skip to main content
Version: Indeed Access Manager 9.4

Active Directory, Samba DC, РЕД АДМ

Примечание

Samba DC и РЕД АДМ могут быть настроены как дополнительный контроллер домена для Active Directory или как основной контроллер домена.

Каталоги поддерживаются в следующих модулях интеграции:

Создание сервисной учетной записи​

В зависимости от используемой службы каталогов создайте сервисную учетную запись для чтения одним из следующих способов:

  • в оснастке Active Directory (для Active Directory, Samba DC и РЕД АДМ)
  • с помощью инструмента командной строки samba-tool (для Samba DC и РЕД АДМ)
  • в веб-интерфейсе РЕД АДМ (только для РЕД АДМ)
Важно

При создании учетной записи Samba DC используйте только допустимые специальные символы, цифры и латинские буквы.

В оснастке Active Directory​

Чтобы создать сервисную учетную запись для Active Directory, Samba DC и РЕД АДМ, выполните следующие действия:

  1. Откройте Active Directory — Пользователи и компьютеры.
  2. Выберите каталог, в котором планируете создать учетную запись.
  3. Нажмите .
  4. В открывшемся окне Новый объект → Пользователь введите имя пользователя и нажмите Далее.
  5. Введите пароль.
  6. Отключите опцию Требовать смены пароля при следующем входе в систему.
  7. Выберите опцию Срок действия пароля не ограничен и нажмите Готово.

С помощью командной строки​

Чтобы создать сервисную учетную запись для Samba DC и РЕД АДМ, выполните следующие действия:

  1. Выполните команду:

    samba-tool user create <имя пользователя>
    Пример
    samba-tool user create CatalogAdmin

  2. Чтобы добавить созданного пользователя в группу Account Operators:

    samba-tool group addmembers "Account Operators" <имя пользователя>

В веб-интерфейсе РЕД АДМ​

Чтобы создать сервисную учетную запись для РЕД АДМ, выполните следующие действия:

  1. Откройте веб-интерфейс РЕД АДМ.
  2. Перейдите в раздел Управление объектами домена → Пользователи.
  3. Нажмите Создать.
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Создать.
  6. Чтобы добавить пользователя в группу Account Operators:
    1. Перейдите в раздел Управление объектами домена → Пользователи.
    2. Во вкладке Общие в поле Фамилия укажите имя пользователя в формате DOMAIN\user. Настройка необходима для корректной работы модуля RDP Windows Logon.
    3. Во вкладке Член групп нажмите Добавить.
    4. Выберите Account Operators и нажмите Добавить.

Предоставление прав на чтение данных​

Если политика безопасности вашей компании разрешает всем пользователям в домене читать данные всех объектов в домене, вы не должны выполнять эту настройку.

Если настроено ограничение на чтение данных, выполните следующие действия:

  1. Откройте Active Directory — Пользователи и компьютеры. 
  2. Во вкладке Вид включите опцию Дополнительные компоненты.
  3. Правой кнопкой мыши нажмите объект с пользователями и выберите Свойства.
  4. В окне Свойства выполните следующие действия:
    1. Откройте вкладку Безопасность.
    2. В разделе Группы или пользователи добавьте созданную ранее сервисную учетную запись.
    3. В разделе Разрешения для выберите опцию Запись и нажмите кнопку Дополнительно.
  5. В открывшемся окне Дополнительные параметры безопасности выберите сервисную учетную запись и нажмите Изменить.
  6. В открывшемся окне Элемент разрешения в списке Применяется к выберите Этот объект и все дочерние объекты и нажмите ОК.

Атрибуты пользователей​

Примечание

Если вы планируете использовать несколько каталогов, в которых применяется формат имени SamCompatibleName, настройте поиск пользователей с помощью регулярных выражений.

Атрибут пользователяОписание
FirstNameИмя пользователя
MiddleNameОтчество пользователя
LastNameФамилия пользователя
mailАдрес электронной почты пользователя
PhoneНомер телефона пользователя
NameОтображаемое имя пользователя
CanonicalNameКаноническое имя пользователя, например domain.com/Users/testuser
PrincipalNameУникальное имя пользователя в определенном формате, например testuser@domain.com
SamCompatibleNameИмя пользователя, совместимое с системой учетных записей Security Account Manager (SAM). Например, domain\testuser
DistinguishedNameУникальное имя объекта в иерархии Active Directory, состоящее из полного пути к объекту. Например, CN=testuser,OU=Users,DC=domain,DC=com
SidУникальный идентификатор безопасности, присваиваемый каждому объекту в Active Directory. Sid используется для управления доступом к ресурсам и аутентификации пользователей и объектов