Перейти к основному содержимому
Версия: Indeed Certificate Manager 7.2

Active Directory, Samba AD DC, РЕД АДМ

особенности настройки Samba AD DC и РЕД АДМ

Samba AD DC и РЕД АДМ могут быть настроены как дополнительный контроллер домена для Active Directory или как основной контроллер домена.

Для существующей конфигурации Indeed CM: если Indeed CM был ранее настроен на работу с каталогом пользователей в Active Directory, и контроллер домена был перенастроен на Samba AD DC или РЕД АДМ, то параметры конфигурации каталога пользователей менять не нужно.

Для новой конфигурации Indeed CM: при первой настройке подключения к каталогу пользователей Samba AD DC или РЕД АДМ в Мастере настройки выберите соответствующий тип каталога.

Создание сервисной учетной записи​

В зависимости от используемой службы каталогов создайте сервисную учетную запись для чтения и записи атрибутов пользователей одним из следующих способов:

  • в оснастке Active Directory (для Active Directory, Samba AD DC и РЕД АДМ)
  • с помощью инструмента командной строки samba-tool (для Samba AD DC и РЕД АДМ)
  • в веб-интерфейсе РЕД АДМ (только для РЕД АДМ)

В оснастке Active Directory​

  1. Запустите оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте контекстное меню объекта с конечными пользователями.
  3. Выберите Создать (Create)→Пользователь (User).
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Готово.

С помощью samba-tool​

  1. Выполните команду:

    samba-tool user add <имя пользователя>
    Пример
    samba-tool user add servicecm

  2. Если сервисная учетная запись будет использоваться для настройки ролей в Indeed CM, назначьте этой учетной записи атрибут UPN (User Principal Name):

    sudo samba-tool user rename <имя пользователя> --upn=<UPN-имя пользователя>
    Пример
    sudo samba-tool user rename servicecm --upn=servicecm@domain.name

В веб-интерфейсе РЕД АДМ​

  1. Откройте веб-интерфейс РЕД АДМ.
  2. Перейдите в раздел Управление объектами домена→Пользователи.
  3. Нажмите Создать.
  4. Укажите имя сервисной учетной записи.
  5. Заполните обязательные поля и нажмите Создать.

Настройка разрешений​

  1. Запустите оснастку Active Directory — пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM, и нажмите Дополнительно (Advanced). 3. Нажмите Добавить (Add)→Выбрать субъект (Select a principal).
  3. В текстовом поле Введите имена выбираемых объектов (Enter the object name to select) введите имя сервисной учетной записи и нажмите ОК.
  4. В выпадающем списке Применяется к (Applies to) выберите Дочерние объекты: Пользователь (Descendant User objects).
  5. В списке Разрешения (Permissions) выберите:
    • Список содержимого (List contents).
    • Прочитать все свойства (Read all properties). По умолчанию разрешение на чтение всех свойств пользователя имеется у всех учетных записей домена.
    • Сброс пароля (Reset password) для возможности сбросить пароль пользователя.
  6. В списке Свойства (Properties) отметьте пункты:
    • Запись: pwdLastSet (Write pwdLastSet) для возможности сбросить пароль пользователя.
    • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto) для загрузки фотографии пользователя в Active Directory.
    • Запись: userAccountControl (Write userAccountControl) для работы опции Требовать логон по смарт-карте.
    • Запись: userCertificate (Write userCertificate) для публикации сертификата КриптоПро 2.0 в профиле пользователя Active Directory.
  7. Нажмите ОК и Применить (Apply).
Примечание

Установите одинаковый набор прав сервисной учетной записи для каждого объекта, где хранятся пользователи Indeed CM.

Предоставление прав на чтение данных​

Если политики безопасности домена запрещают чтение всех свойств пользователя, выдайте сервисной учетной записи права на чтение атрибутов пользователей и атрибутов объекта, где хранятся пользователи Indeed CM:

  1. В оснастке Редактирование ADSI (ADSI edit) откройте свойство Безопасность (Security) объекта, где хранятся пользователи Indeed CM.
  2. Для области применения Этот объект и все дочерние объекты (This object and all descendant objects):
    1. В списке Разрешения (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойства (Properties) отметьте пункты:
      • Чтение: сanonicalName (Read сanonicalName);
      • Чтение: Distinguished Name (Read Distinguished Name);
      • Чтение: objectClass (Read objectClass);
      • Чтение: objectGuid (Read objectGuid);
      • Чтение: showInAdvancedViewOnly (Read showInAdvancedViewOnly).
  3. Для области применения Дочерние объекты:Пользователь (Descendant user objects):
    1. В списке Разрешения (Permissions) отметьте Список содержимого (List contents).
    2. В списке Свойства (Properties) выберите чтение/запись следующих наборов свойств и атрибутов:
      • Чтение: личные сведения (Read personal Information);
      • Чтение: общие сведения (Read general Information);
      • Чтение: ограничения учетной записи (Read account restrictions);
      • Чтение: открытые сведения(Read public Information);
      • Запись: pwdLastSet (Write pwdLastSet);
      • Запись: thumbnailPhoto (Write thumbnailPhoto) или Запись: jpegPhoto (Write jpegPhoto);
      • Запись: userAccountControl (Write userAccountControl);
      • Запись: userCertificate (Write userCertificate).

Список атрибутов для работы с каталогом пользователей​

В списке приведены отображаемые имена LDAP (LDAP Display Name).

Примечание

Предоставление прав доступа к набору свойств значительно улучшает производительность и упрощает управление безопасностью (подробнее на сайте компании Microsoft).

Атрибут (LDAP Display Name)Common NameКомментарий
cCountry/Region или Country/Region AbbreviationВходит в набор свойств «Личные сведения» (Personal Information).
сanonicalNameCanonical NameВходит в набор свойств «Открытые сведения» (Public Information).
cnCommon NameВходит в набор свойств «Открытые сведения» (Public Information).
companyCompanyВходит в набор свойств «Открытые сведения» (Public Information).
departmentDepartmentВходит в набор свойств «Открытые сведения» (Public Information).
distinguishedNameDistinguished NameВходит в набор свойств «Открытые сведения» (Public Information).
givenNameGiven NameВходит в набор свойств «Открытые сведения» (Public Information).
lLocality NameВходит в набор свойств «Личные сведения» (Personal Information).
mailE-mail AddressesВходит в набор свойств «Открытые сведения» (Public Information).
managerManagerВходит в набор свойств «Открытые сведения» (Public Information).
objectClassObject ClassВходит в набор свойств «Открытые сведения» (Public Information).
objectGUIDОbject GUIDВходит в набор свойств «Открытые сведения» (Public Information).
objectSidObject SidВходит в набор свойств «Общие сведения» (General Information).
otherMailboxOther MailboxВходит в набор свойств «Открытые сведения» (Public Information).
proxyAddressesProxy AddressesВходит в набор свойств «Открытые сведения» (Public Information).
pwdLastSetPwd Last SetВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
sAMAccountNameSAM Account NameВходит в набор свойств «Общие сведения» (General Information).
snSurnameВходит в набор свойств «Открытые сведения» (Public Information).
stState or Province NameВходит в набор свойств «Личные сведения» (Personal Information).
streetAddressAddress (или Street)Входит в набор свойств «Личные сведения» (Personal Information).
telephoneNumberTelephone NumberВходит в набор свойств «Личные сведения» (Personal Information).
thumbnailPhoto или jpegPhotoPictureВходит в набор свойств «Личные сведения» (Personal Information).
userAccountControlUser Account ControlВходит в набор свойств «Ограничения учетной записи» (Account Restrictions).
userCertificateUser CertificateВходит в набор свойств «Личные сведения» (Personal Information).
userPrincipalNameUser Principal NameВходит в набор свойств «Открытые сведения» (Public Information).