Перейти к основному содержимому
Версия: Indeed Certificate Manager 7.3

Active Directory, Samba AD DC, РЕД АДМ, Альт Домен

Подготовьте сервисную учетную запись для работы с Indeed CM.

Особенности настройки Samba AD DC, РЕД АДМ и Альт Домен​

Samba AD DC, РЕД АДМ или Альт Домен могут быть настроены как дополнительный контроллер домена для Active Directory или как основной контроллер домена.

Существующая конфигурация​

Если Indeed CM был ранее настроен на работу с каталогом пользователей в Active Directory и контроллер домена был перенастроен на Samba AD DC, РЕД АДМ или Альт Домен, то менять параметры каталога пользователей в Мастере настройки не требуется.

Новая конфигурация​

При первой настройке подключения к каталогу пользователей выберите нужный тип каталога в Мастере настройки.

Создание сервисной учетной записи​

В зависимости от используемой службы каталогов создайте сервисную учетную запись для чтения и записи атрибутов пользователей одним из следующих способов:

  • В оснастке Active Directory (для Active Directory, Samba AD DC, РЕД АДМ и Альт Домен)
  • С помощью инструмента командной строки samba-tool (для Samba AD DC, РЕД АДМ и Альт Домен)
  • В веб-интерфейсе РЕД АДМ (только для РЕД АДМ)
  • В оснастке ADMC (для Active Directory, Samba AD DC, РЕД АДМ и Альт Домен)

В оснастке Active Directory​

  1. Запустите оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте контекстное меню объекта с конечными пользователями.
  3. Выберите Создать (Create) → Пользователь (User).
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Готово.

С помощью samba-tool​

  1. Выполните команду:

    samba-tool user add <имя пользователя>
    Пример
    samba-tool user add servicecm

  2. Если сервисная учетная запись будет использоваться для настройки ролей в Indeed CM, назначьте этой учетной записи атрибут UPN (User Principal Name):

    sudo samba-tool user rename <имя пользователя> --upn=<UPN-имя пользователя>
    Пример
    sudo samba-tool user rename servicecm --upn=servicecm@domain.name

В веб-интерфейсе РЕД АДМ​

  1. Откройте веб-интерфейс РЕД АДМ и перейдите в раздел Управление объектами домена → Пользователи.
  2. Нажмите Создать.
  3. Укажите имя сервисной учетной записи.
  4. Заполните обязательные поля и нажмите Создать.

В оснастке ADMC​

  1. Запустите модуль удаленного управления базой данных конфигурации (ADMC).
  2. Откройте контекстное меню контейнера с конечными пользователями и выберите Создать → Пользователь.
  3. Укажите имя сервисной учетной записи.
  4. Заполните обязательные поля и нажмите ОК.

Настройка разрешений​

Разрешения настраиваются для всех каталогов (Active Directory, Samba AD DC, РЕД АДМ, Альт Домен) в оснастке Active Directory — пользователи и компьютеры (Active Directory Users and Computers).

  1. Запустите оснастку Active Directory — пользователи и компьютеры (ADUC).
  2. Откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM, и нажмите Дополнительно (Advanced). 3. Нажмите Добавить (Add) → Выбрать субъект (Select a principal).
  3. В текстовом поле Введите имена выбираемых объектов (Enter the object name to select) введите имя сервисной учетной записи и нажмите ОК.
  4. В выпадающем списке Применяется к (Applies to) выберите Дочерние объекты: Пользователь (Descendant User objects).
  5. В списке Разрешения (Permissions) выберите:
    • Список содержимого (List contents).
    • Прочитать все свойства (Read all properties). По умолчанию разрешение на чтение всех свойств пользователя имеется у всех учетных записей домена.
    • Сброс пароля (Reset password) для возможности сбросить пароль пользователя.
  6. В списке Свойства (Properties) отметьте пункты:
    • Запись: pwdLastSet (Write pwdLastSet) для возможности сбросить пароль пользователя.
    • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto) для загрузки фотографии пользователя в Active Directory.
    • Запись: userAccountControl (Write userAccountControl) для работы опции Требовать логон по смарт-карте.
    • Запись: userCertificate (Write userCertificate) для публикации сертификата КриптоПро УЦ 2.0, Aladdin eCA, SafeTech CA, Валидата УЦ в профиле пользователя в LDAP-каталоге.
  7. Нажмите ОК и Применить (Apply).
Примечание

Установите одинаковый набор прав сервисной учетной записи для каждого объекта, где хранятся пользователи Indeed CM.

Настройка прав на чтение данных​

Если политики безопасности домена запрещают чтение всех свойств пользователя, выдайте сервисной учетной записи права на чтение атрибутов пользователей и атрибутов объекта, где хранятся пользователи Indeed CM. Права на чтение данных настраиваются для всех каталогов (Active Directory, Samba AD DC, РЕД АДМ, Альт Домен) в оснастке Редактирование ADSI (ADSI edit).

  1. В оснастке Редактирование ADSI (ADSI edit) откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM.
  2. Для области применения Этот объект и все дочерние объекты (This object and all descendant objects):
    1. В списке Разрешения (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойства (Properties) отметьте пункты:
      • Чтение: сanonicalName (Read сanonicalName)
      • Чтение: Distinguished Name (Read Distinguished Name)
      • Чтение: objectClass (Read objectClass)
      • Чтение: objectGuid (Read objectGuid)
      • Чтение: showInAdvancedViewOnly (Read showInAdvancedViewOnly)
  3. Для области применения Дочерние объекты:Пользователь (Descendant user objects):
    1. В списке Разрешения (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойства (Properties) выберите чтение/запись следующих наборов свойств и атрибутов:
      • Чтение: личные сведения (Read personal Information)
      • Чтение: общие сведения (Read general Information)
      • Чтение: ограничения учетной записи (Read account restrictions)
      • Чтение: открытые сведения(Read public Information)
      • Запись: pwdLastSet (Write pwdLastSet)
      • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto)
      • Запись: userAccountControl (Write userAccountControl)
      • Запись: userCertificate (Write userCertificate)

Список атрибутов для работы с каталогом пользователей​

В таблице далее перечислены атрибуты пользователя, с которыми работает Indeed CM. Приведены отображаемые имена LDAP (LDAP Display Name).

Примечание

Предоставление прав доступа к набору свойств значительно улучшает производительность и упрощает управление безопасностью (подробнее на сайте компании Microsoft).

Атрибут (LDAP Display Name)Common NameКомментарий
cCountry/Region или Country/Region AbbreviationВходит в набор свойств «Личные сведения» (Personal Information).
сanonicalNameCanonical NameВходит в набор свойств «Открытые сведения» (Public Information).
cnCommon NameВходит в набор свойств «Открытые сведения» (Public Information).
companyCompanyВходит в набор свойств «Открытые сведения» (Public Information).
departmentDepartmentВходит в набор свойств «Открытые сведения» (Public Information).
distinguishedNameDistinguished NameВходит в набор свойств «Открытые сведения» (Public Information).
givenNameGiven NameВходит в набор свойств «Открытые сведения» (Public Information).
lLocality NameВходит в набор свойств «Личные сведения» (Personal Information).
mailE-mail AddressesВходит в набор свойств «Открытые сведения» (Public Information).
managerManagerВходит в набор свойств «Открытые сведения» (Public Information).
objectClassObject ClassВходит в набор свойств «Открытые сведения» (Public Information).
objectGUIDОbject GUIDВходит в набор свойств «Открытые сведения» (Public Information).
objectSidObject SidВходит в набор свойств «Общие сведения» (General Information).
otherMailboxOther MailboxВходит в набор свойств «Открытые сведения» (Public Information).
proxyAddressesProxy AddressesВходит в набор свойств «Открытые сведения» (Public Information).
pwdLastSetPwd Last SetВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
sAMAccountNameSAM Account NameВходит в набор свойств «Общие сведения» (General Information).
snSurnameВходит в набор свойств «Открытые сведения» (Public Information).
stState or Province NameВходит в набор свойств «Личные сведения» (Personal Information).
streetAddressAddress (или Street)Входит в набор свойств «Личные сведения» (Personal Information).
telephoneNumberTelephone NumberВходит в набор свойств «Личные сведения» (Personal Information).
thumbnailPhoto или jpegPhotoPictureВходит в набор свойств «Личные сведения» (Personal Information).
userAccountControlUser Account ControlВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
userCertificateUser CertificateВходит в набор свойств «Личные сведения» (Personal Information).
userPrincipalNameUser Principal NameВходит в набор свойств «Открытые сведения» (Public Information).