Identity Cloud : Этап 2. Настройка Access Bridge

Access Bridge – bridge-компонент Avanpost Identity Cloud, предназначенный для организации безопасной интеграции облачной платформы аутентификации Identity Cloud с локальной ИТ-инфраструктурой. Компонент размещается в периметре безопасности организации и обеспечивают передачу запросов на аутентификацию и данных пользователей в облачный сервис через защищённые каналы связи.

Шаг 2. Создание ноды Access Bridge

Для создания ноды Access Bridge требуется:

1.  Открыть в браузере веб-интерфейс созданного тенанта. Для этого необходимо перейти по ссылке, расположенной в столбце "Управление" в разделе "Тенанты" центра управления Identity Cloud.
   
2. В веб-интерфейсе тенанта перейти в раздел "Сервис"→"Access Bridge".
3. Настроить параметры создаваемой ноды согласно таблице:

   Параметр	Значение
   Компонент LDAP Link	Установить переключатель: при включенном переключателе будет использоваться функциональность LDAP Link, предназначенная для интеграции с внешними LDAP-серверами; при выключенном переключателе функциональность LDAP Link не используется.
   Компонент RADIUS	Установить переключатель: при включенном переключателе будет использоваться функциональность RADIUS Access Bridge, предназначенная для интеграции с внешними RADIUS-совместимыми системами; при выключенном переключателе функциональность RADIUS Access Bridge не используется.
   Проверка пароля RADIUS в	Выбрать из выпадающего списка место проверки пароля пользователя: Access Server – Выполняется проверка локального пароля на стороне облачного сервиса Identity Cloud; Other RADIUS – Проверка выполняется на стороне RADIUS-сервера (при этом используется RADIUS-секрет, настроенный на стороне Identity Cloud). LDAP Link – Выполняется проверка доменного пароля на стороне внешнего LDAP-провайдера посредством механизма LDAP Link .
   Название ноды	Ввести произвольное наименование, которое будет присвоено ноде.
   Адрес для интерфейсов	Ввести адрес сетевой карты, через которую работает Bridge-компонент. Допускается использовать IP-адрес (рекомендуется) или доменное имя.  Поле доступно для настройки при выключенном переключателе "Определить автоматически или выбрать после установки".
   Определить автоматически или выбрать после установки	Установить переключатель: при включенном переключателе установка адреса для интерфейсов выполняется после завершения настройки текущей ноды; при выключенном переключателе администратору требуется ввести значение в поле "Адрес для интерфейсов". В случае, если при генерации установки переключатель был включен, то после установки параметру "Адрес для интерфейсов" автоматически присваивается значение localhost (127.0.0.1). После завершения установки администратору следует: Перейти в окно "Управление мостом" (нажать кнопку "Управление" для настраиваемой ноды). В графе "Быстрый выбор из доступных адресов" выбрать в выпадающем списке адрес, который будет использоваться для данной ноды (в процессе установки на сервер Identity Cloud передается перечень доступных интерфейсов клиентской машины). Нажать "Сохранить" (после сохранения рекомендуется обновить список нод).
   Включить ByPass	Установить переключатель: при включенном переключателе Access Bridge будет переведен в режим обхода MFA в случае деградации или отсутствия связи с Access Server; (Недоступно, если для параметра "Проверке пароля для Radius в" указано значение "Access Server") при выключенном переключателе Access Bridge не будет переведен в режим обхода MFA в случае деградации или отсутствия связи с Access Server.
   Пропускать LDAP-синхронизацию	Установить переключатель: при включенном переключателе нода не выполняет синхронизацию LDAP-источников; при выключенном переключателе синхронизация LDAP-источников выполняется на данной ноде.
   Операционная система и архитектура	Тип архитектуры и операционной системы на машине, на которой устанавливается Bridge-компонент. Выбрать из выпадающего списка: Linux x86_64 (amd64); Linux ARM64; Windows x86_64 (amd64); macOS Intel (amd64); macOS Apple Silicon (arm64).

4. Нажать кнопку "Новая установка" и убедиться, что:
   • появилось сообщение "Установка успешно сгенерирована. Срок действия токена – 10 минут" (в случае, если настройки будут неполными, будет выводиться сообщение "Не удалось загрузить список мостов");
   • появился токен доступа к веб-интерфейсу и команда установки.
5. Установить или убрать флаг "Пропустить настройку systemd":
   • при установленном флаге компонент после скачивания не взаимодействует с системой инициализации systemd;
   • при выключенном флаге компонент регистрируется и настраивается в systemd.  
6. Скопировать команду для установки Access Bridge, нажав кнопку "Скопировать команду" (команда скачивает установочный файл из официального репозитория Avanpost, сохраняет файл во временную директорию, делая его исполняемым, и запускает в режиме подключения к серверу Identity Cloud) или нажать кнопку "Скачать", чтобы загрузить файл access-bridge-linux-amd64 в удобную директорию для самостоятельной установки. 
7. Выполнить команду в консоли машины клиента, на которой планируется развертывание Access Bridge, и дождаться сообщения "Установка завершена успешно".

   Для проверки статуса Access Bridge следует использовать команду:

   systemctl status access-bridge

   Для просмотра журнала логов Access Bridge следует использовать команду:

   journalctl -u access-bridge -f

   В случае, если установка по каким-либо причинам не завершилась успехом, для повторной установки требуется повторная генерация установки (повторно нажать кнопку "Сгенерировать новую установку Access Bridge"). Токен подключения к identity Cloud является одноразовым и не может использоваться повторно.

8. Открыть в браузере веб-интерфейс Access Bridge, расположенный по адресу (где ABaddr – адрес компонента, введенный/выбранный в параметре "Адрес для интерфейсов"):

   https://ABaddr:8200/web/index

9. Аутентифицироваться в веб-интерфейсе Access Bridge одним из способов:
   • Скопировать токен из интерфейса настройки компонента в административной консоли Identity Cloud (в графе "Токен доступа к веб-интерфейсу" нажать кнопку "Скопировать токен"), вставить его в поле "Токен доступа" в веб-интерфейсе Access Bridge и нажать кнопку "Войти".
   • Нажать кнопку "Войти с помощью Identity Cloud" и аутентифицироваться через интерфейс аутентификации Identity Cloud.
10. Убедиться, что авторизация прошла успешно и пользователю предоставлен доступ к веб-интерфейсу Access Bridge.

Шаг 3. Настройка LDAP источников

Для настройки LDAP источника Microsoft AD требуется:

1. В веб-интерфейсе тенанта перейти в раздел "Сервис"→"Настройки LDAP-провайдеров" и нажать кнопку "Добавить".
2. На шаге "Основные настройки" заполнить поля:

   Поле	Значение
   Имя	Произвольное имя для LDAP источника. Например: "AD TEST"
   Домен	NetBIOS-имя домена MS AD.
   Создать метод аутентификации "Доменный пароль"	Установить флажок
   Наименование	Произвольное имя для метода. Например: "Доменный пароль"

3. На шаге "Настройки подключения" заполнить поля:

   Поле	Значение
   Служба каталогов	Active Directory
   Хост	IP-адрес или DNS-имя контроллера домена MS AD
   Порт	389 (LDAP) или 636 (LDAPS)
   SSL	Включить переключатель при использовании LDAPS
   BaseDN	База для поиска: корневой объект LDAP-каталога, в котором производится поиск. Можно указать несколько баз для поиска, используя точку с запятой в качестве разделителя. Формат ввода dc=example,dc=com
   Access Bridge	Включить переключатель
   Расписание синхронизации в формате Cron	Частота выполнения синхронизации. Формат временного интервала задается в Cron-выражении или в формате Quartz Пример для синхронизации каждые 5 минут 0 */5 * * * *

4. На шаге "Настройки интеграции" заполнить поля:

   Поле	Значение
   Фильтр поиска пользователя	Фильтр, ограничивающий зону поиска пользователей для импорта пользователя из LDAP-каталога в Avanpost Identity Cloud. Чтобы ввести несколько фильтров, требуется открыть поле ввода нажатием кнопки . Допускается использовать несколько плейсхолдеров. Пример фильтра (&(objectClass=user)(objectCategory=person)) Более узкий фильтр (&(objectClass=user)(!(objectClass=computer)))
   Фильтр поиска аутентифицируемого пользователя	Фильтр, ограничивающий зону поиска по LDAP-каталогу для пользователя, который проходят аутентификацию в Avanpost Identity Cloud, но еще не импортированы из LDAP-каталога. Чтобы ввести несколько фильтров требуется открыть поле ввода нажатием кнопки . Допускается использовать несколько плейсхолдеров. Пример фильтра для поиска по логину (&(objectClass=user)(sAMAccountName=%s)) Пример фильтра для поиска по логину или e-mail (&(objectClass=user)(|(sAMAccountName=%s)(mail=%s)))
   LDAP атрибут, содержащий логин пользователя	sAMAccountName
   Внешний ключ учетной записи	Рекомендуется использовать ключ: objectSid
   Синхронизировать группы	Установить флажок, если требуется импортировать группы
   Фильтр поиска групп	Фильтр, ограничивающий зону поиска групп для импорта пользователя из LDAP-каталога в Avanpost Identity Cloud. Чтобы ввести несколько фильтров, требуется открыть поле ввода нажатием кнопки . Пример фильтра (objectClass=group)
   Атрибут наименования группы	cn

5. На шаге "Завершение" установить флажок "Сделать активным" и нажать "Сохранить".
6. Открыть в браузере веб-интерфейс Access Bridge, расположенный по адресу (где ABaddr – адрес компонента, введенный/выбранный в параметре "Адрес для интерфейсов" ноды Access Bridge):

   https://ABaddr:8200/web/index

7. В веб-интерфейсе Access Bridge перейти на вкладку "LDAP Учетные данные" и нажать "Добавить".
8. В открывшейся форме задать параметры:

   Параметр	Значение
   Домен LDAP	Имя домена LDAP-каталога, к которому будет осуществляться подключение (должно соответствовать значению параметра "Домен" из настроек LDAP-провайдера).
   DN пользователя	Полное distinguished name технической учетной записи администратора, используемой для подключения к MS AD. Формат ввода cn=admin,cn=users,dc=example,dc=com
   Пароль	Пароль технической учетной записи администратора MS AD.

9. Нажать кнопку "Добавить".

Шаг 4. Настройка RADIUS

Для настройки RADIUS-секрета в Access Bridge требуется выполнить следующие действия:

1. Настроить на стороне административной консоли приложение, предназначенное для взаимодействия с RADIUS-клиентом (подробнее см. статью: "Управление RADIUS-приложениями").

   При осуществлении настройки RADIUS-приложения требуется обязательно указать его NAS Identifier. 

2. В веб-интерфейсе Access Bridge нажать кнопку "Новый секрет RADIUS" (или кнопку "Создать секрет").
3. В открывшейся форме задать параметры согласно таблице:

   Параметр	Значение
   Имя RADIUS-клиента	Ввести идентификатор NAS (Network Access Server) клиента (NAS Identifier).
   Подсеть (CIDR):	Ввести диапазон IP-адресов клиента.
   RADIUS-секрет	Ввести секретный ключ для шифрования и аутентификации между RADIUS клиентом и сервером.

4. Нажать кнопку "Создать" (или "Отмена" для отказа от добавления RADIUS-секрета).

Управление созданными RADIUS-секретами выполняется во вкладке "RADIUS-секреты", в которой доступна следующая информация и возможности:

• Имя клиента – Идентификатор NAS (Network Access Server) клиента;
• Подсеть – Диапазон IP-адресов клиента;
• Действие – Действия с секретом (нажать кнопку "Удалить" для удаления секрета).