Перейти к основному содержимому
Версия: Indeed Certificate Manager 7.1

LDAP

Настройте каталог пользователей Indeed CM. Поддерживаются следующие службы LDAP-каталогов:

  • Active Directory;
  • FreeIPA;
  • ALD Pro.

Каталог пользователей LDAP может быть составным. В этом случае пользователи будут расположены в разных контейнерах одного домена или в нескольких доменах.

Чтобы настроить каталог пользователей:

  1. Подготовьте в Active Directory объект (домен, контейнер, подразделение) с конечными пользователями.
  2. Создайте сервисную учетную запись для чтения и записи атрибутов пользователей. Вы можете распределить права между несколькими сервисными учетными записями или создать одну сервисную учетную запись с максимальным набором прав доступа к объектам Active Directory.
  3. Откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM.
  4. Нажмите Дополнительно (Advanced). Нажмите Добавить (Add)→Выбрать субъект (Select a principal).
  5. В текстовом поле Введите имена выбираемых объектов (Enter the object name to select) введите имя сервисной учетной записи и нажмите ОК.
  6. В выпадающем списке Применяется к (Applies to) выберите Дочерние объекты: Пользователь (Descendant User objects).
  7. В списке Разрешений (Permissions) выберите:
    • Список содержимого (List contents).
    • Прочитать все свойства (Read all properties). По умолчанию разрешение на чтение всех свойств пользователя имеется у всех учетных записей домена.
    • Сброс пароля (Reset password) для возможности сбросить пароль пользователя.
  8. В списке Свойств (Properties) отметьте пункты:
    • Запись: pwdLastSet (Write pwdLastSet) для возможности сбросить пароль пользователя.
    • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto) для загрузки фотографии пользователя в Active Directory.
    • Запись: userAccountControl (Write userAccountControl) для работы опции Требовать логон по смарт-карте.
    • Запись: userCertificate (Write userCertificate) для публикации сертификата КриптоПро 2.0 в профиле пользователя Active Directory.
  9. Нажмите ОК и Применить (Apply).
Информация

Установите одинаковый набор прав сервисной учетной записи для каждого объекта, где хранятся пользователи Indeed CM.

Предоставление прав на чтение данных​

Если политики безопасности домена запрещают чтение всех свойств пользователя, выдайте сервисной учетной записи права на чтение атрибутов пользователей и атрибутов объекта, где хранятся пользователи Indeed CM:

  1. В оснастке Редактирование ADSI (ADSI edit) откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM.

  2. Для области применения Этот объект и все дочерние объекты (This object and all descendant objects):

    1. В списке Разрешений (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойств (Properties) отметьте пункты:
      • Чтение: сanonicalName (Read сanonicalName);
      • Чтение: Distinguished Name (Read Distinguished Name);
      • Чтение: objectClass (Read objectClass);
      • Чтение: objectGuid (Read objectGuid);
      • Чтение: showInAdvancedViewOnly (Read showInAdvancedViewOnly).

  3. Для области применения Дочерние объекты:Пользователь (Descendant user objects):

    1. В списке Разрешений (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойств (Properties) выберите чтение/запись следующих наборов свойств и атрибутов:
      • Чтение: личные сведения (Read personal Information);
      • Чтение: общие сведения (Read general Information);
      • Чтение: ограничения учетной записи (Read account restrictions);
      • Чтение: открытые сведения(Read public Information);
      • Запись: pwdLastSet (Write pwdLastSet);
      • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto);
      • Запись: userAccountControl (Write userAccountControl);
      • Запись: userCertificate (Write userCertificate).
Информация

Приведены отображаемые имена LDAP (LDAP Display Name).

Предоставление прав доступа к набору свойств значительно улучшает производительность и упрощает управление безопасностью (подробнее на сайте компании Microsoft).

Атрибуты, используемые Indeed CM при работе с каталогом пользователей Microsoft AD
Атрибут (LDAP Display Name)Common NameКомментарий
cCountry/Region или Country/Region AbbreviationВходит в набор свойств «Личные сведения» (Personal Information).
сanonicalNameCanonical NameВходит в набор свойств «Открытые сведения» (Public Information).
cnCommon NameВходит в набор свойств «Открытые сведения» (Public Information).
companyCompanyВходит в набор свойств «Открытые сведения» (Public Information).
departmentDepartmentВходит в набор свойств «Открытые сведения» (Public Information).
distinguishedNameDistinguished NameВходит в набор свойств «Открытые сведения» (Public Information).
givenNameGiven NameВходит в набор свойств «Открытые сведения» (Public Information).
lLocality NameВходит в набор свойств «Личные сведения» (Personal Information).
mailE-mail AddressesВходит в набор свойств «Открытые сведения» (Public Information).
managerManagerВходит в набор свойств «Открытые сведения» (Public Information).
objectClassObject ClassВходит в набор свойств «Открытые сведения» (Public Information).
objectGUIDОbject GUIDВходит в набор свойств «Открытые сведения» (Public Information).
objectSidObject SidВходит в набор свойств «Общие сведения» (General Information).
otherMailboxOther MailboxВходит в набор свойств «Открытые сведения» (Public Information).
proxyAddressesProxy AddressesВходит в набор свойств «Открытые сведения» (Public Information).
pwdLastSetPwd Last SetВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
sAMAccountNameSAM Account NameВходит в набор свойств «Общие сведения» (General Information).
snSurnameВходит в набор свойств «Открытые сведения» (Public Information).
stState or Province NameВходит в набор свойств «Личные сведения» (Personal Information).
streetAddressAddress (или Street)Входит в набор свойств «Личные сведения» (Personal Information).
telephoneNumberTelephone NumberВходит в набор свойств «Личные сведения» (Personal Information).
thumbnailPhoto или jpegPhotoPictureВходит в набор свойств «Личные сведения» (Personal Information).
userAccountControlUser Account ControlВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
userCertificateUser CertificateВходит в набор свойств «Личные сведения» (Personal Information).
userPrincipalNameUser Principal NameВходит в набор свойств «Открытые сведения» (Public Information).