Перейти к содержанию

Службы каталогов

Информация

В разделе Безопасность - Службы каталогов основного меню производится настройка интеграции с сервером службы каталогов по Lightweight Directory Access Protocol (LDAP). Данная интеграция позволяет авторизовать в системе управления SpaceVM пользователей из Active Directory (далее MS AD), FreeIPA, OpenLdap, ALD, RADIUS. После успешной аутентификации пользователь в системе управления SpaceVM будет создан автоматически. Пароль пользователя хранится только на сервере службы каталогов, т.е. такой пользователь и в дальнейшем проходит аутентификацию только через сервер LDAP.

Создание

Создание записи службы каталогов производится с помощью кнопки Добавить. В открывшемся окне необходимо заполнить следующие поля:

  • название службы каталогов;

  • имя домена (используется LDAP-серверами);

  • адрес службы каталогов URL (LDAP или LDAPS);

  • тип службы каталогов (выбор из раскрывающегося списка). Может принимать значения: Active Directory, FreeIPA, OpenLDAP, ALD, RADIUS;

  • секрет (используется RADIUS-сервером);

  • пользователь (имя администратора);

  • пароль администратора;

  • возможность проверки соединения;

  • роль по умолчанию;

  • описание.

После заполнения полей необходимо подтвердить операцию, нажав кнопку ОК.

В окне службы каталогов существует возможность поиска каталога по названию. Для этого в поисковой строке в поле Найти необходимо ввести название искомого каталога и нажать кнопку image

После первоначальной настройки службы AD, FreeIPA, OpenLdap, ALD, RADIUS авторизуют пользователей как внешнее хранилище учётных записей LDAP. Предоставляется возможность сопоставлять роли пользователей AD, FreeIPA, OpenLdap, ALD, RADIUS с уровнем доступа в систему управления (администратор или оператор). Для авторизации пользователя в доменах Windows, Linux в окне ввода имени пользователя и пароля необходимо перевести переключатель авторизации в LDAP.

Интеграцию с MS AD можно расширить, применив настройки Kerberos (keytabs) и указав учётную запись пользователя, авторизованного для проверки учетных данных с контроллера системы управления. При правильном применении настроек появится возможность использования функционала SSO при авторизации пользователей домена MS AD.

Для MS AD также поддерживается работа со связными (доверенными) серверами.

В системе управления реализован автоматический повтор аутентификации при получении соответствующего ответа во время высокой загрузки сервера службы каталогов.

При нажатии на название службы каталогов в открывшемся окне содержатся сведения о ней, разделенные на следующие группы:

  • информация;

  • соответствия;

  • keytabs;

  • события.

Удаление

Для удаление службы каталогов необходимо открыть службу каталогов, нажать кнопку Удалить и подтвердить действие кнопкой Удалить.

SSO

Также существует возможность обновления информации, изменения конфигурации SSO и удаления службы.

При нажатии кнопки Конфигурация SSO в открывшемся окне необходимо заполнить следующие поля:

  • включить или выключить режим SSO;

  • субдомен SSO;

  • URL сервера управления AD;

  • список всех URL Key Distributed Centers.

После заполнения полей необходимо подтвердить операцию, нажав кнопку Сохранить.

Информация

Во вкладке Информация содержатся следующие сведения:

  • название службы (редактируемый параметр);

  • описание службы (редактируемый параметр);

  • имя домена (редактируемый параметр);

  • тип службы (редактируемый параметр);

  • URL службы (редактируемый параметр, записывается в формате ldap://xxx.xxx.xxx.xxx) (редактируемый параметр);

  • пользователь (редактируемый параметр);

  • пароль (редактируемый параметр);

  • роль по умолчанию (редактируемый параметр, по умолчанию - Выключено);

  • дата и время создания службы;

  • дата изменения;

  • проверка соединения.

Соответствия

Для авторизации пользователей система SpaceVM использует роли. На сервере LDAP может быть отличная организация пользователей - организационные единицы, группы и тд. С помощью Соответствий система понимает какую роль получит пользователь, прошедший LDAP-аутентификацию. При отсутствии подходящих Соответствий пользователь получит роль по умолчанию, если она выбрана (без роли вход невозможен). Может быть применено только одно Соответствие с наивысшим приоритетом из подходящих. Приоритет соответствия является суммой приоритетов его ролей.

Пример

Учетная запись ivanov.i на сервере LDAP состоит в группах Инженер и Офис. В системе SpaceVM созданы два соответствия. Соответствие 1 - члены группы Инженер получают роль Администратор, приоритет 1000. Соответствие 2 - члены группы Офис получают роль Оператор ВМ, приоритет 100. После успешной аутентификации пользователь ivanov.i получит роль Администратор, так как приоритет Соответствия 1 выше.

Во вкладке Соответствия содержится таблица соответствий. Существует возможность добавления, обновления и удаления соответствий.

Для добавления соответствия необходимо нажать кнопку Добавить соответствие. Необходимо заполнить следующие поля:

  • название соответствия;

  • роли пользователей (выбор из раскрывающегося списка);

  • описание соответствия;

  • объекты LDAP-сервера (для сервера RADIUS только ручной ввод имен пользователей).

Объектами LDAP могут быть любые сущности сервера (OU, CN и т.д.), которые фигурируют в DN пользователя. Могут быть выбраны группы LDAP, в которых состоит пользователь.

Выбрав необходимые сущности сервера службы каталогов, необходимо подтвердить операцию, нажав кнопку ОК.

Пример

Пусть DN пользователя AD120, который проходит аутентификацию, uid=ad120,ou=other,ou=users,dc=bazalt,dc=team. Также этот пользователь состоит в группе Администратор с DN cn=administrator,ou=groups,dc=bazalt,dc=team. Необходимо создать соответствие, при котором пользователь AD120 получит роль Администратор в SpaceVM.
Чтобы только этот пользователь получал роль Администратор в SpaceVM, необходимо сделать соответствие на весь DN пользователя (совпадение с другими пользователями сервера LDAP исключено).
Чтобы пользователь AD120 и другие члены группы Администратор получали роль Администратор, необходимо выбрать DN группы.
Чтобы пользователь AD120 и остальные пользователи из организационной единицы ou=other,ou=users,dc=bazalt,dc=team получали роль Администратор, необходимо выбрать DN организационной единицы.
Также допустимы любые комбинации объектов LDAP при необходимости.

Выбор подходящих DN происходит в диалоговом окне Изменение соответствия, которое открывается при нажатии на кнопку Изменить объекты LDAP. В диалоговом окне Изменение соответствия содержится: - таблица объектов LDAP-сервера; - Путь (в примере выше это dc=bazalt,dc=team). В первом столбце таблицы указано название объекта, во втором его классы. Для отображения содержимого любого объекта в таблице необходимо нажать на его название. Путь отображает текущее положение. Для возврата в предыдущую директорию используется стрелка влево в верхней части таблицы. Для выбора объектов необходимо выделить их и нажать кнопку ОК.

Keytabs

Во вкладке Keytabs существует возможность обновления, а также загрузки файлов. При нажатии кнопки Загрузить будет открыто стандартное окно загрузки файлов.

События

На вкладке События отображаются все события, зарегистрированные в системе, возникающие при работе служб каталогов, с возможностью их сортировки по признакам: По всем типам, Ошибки, Предупреждения, Информационные.