Identity Cloud : 4.2. Настройка Authenticator Desktop в ОС Windows

[ ] [ Общие сведения ] [ Установка и настройка компонента на стороне Identity Cloud ] [ Настройка конфигурации Authenticator Desktop ] [ Настройка аутентификации по сертификату ] [ Обычная установка Authenticator Desktop на рабочей станции под управлением ОС Microsoft Windows ] [ Установка и настройка компонента на стороне сервера MS AD ] [ Настройка Avanpost Authenticator Desktop на рабочей станции ] [ Обновление Avanpost Authenticator Desktop ] [ Настройка механизма дистрибуции ] [ Проверка установки установки Avanpost Authenticator Desktop ] [ Приложение А. Пример конфигурационного файла avanpost_fam_agent.dll.config ] [ Приложение Б. Эндпоинты Authenticator Desktop ]

Общие сведения

Компонент Avanpost Authenticator Desktop (Avanpost FAM Agent)  устанавливается локально для решения следующих задач:

• осуществления 2FA/MFA в унаследованных десктопных приложениях при использовании механизма аутентификации Enterprise SSO;
• SSO при переключении между унаследованными десктопными приложениями, подключенными посредством механизма Enterprise SSO.

В Authenticator Desktop осуществляется автоматическая передача информации о сессии из компонентов Windows Logon/Linux Logon. В случае успешной аутентификации пользователя посредством Windows Logon/Linux Logon повторная аутентификация с использованием Authenticator Desktop (FAM Agent) не требуется.

В случае, если пользователь проявляет активность на рабочей станции, Authenticator Desktop автоматически продлевает время жизни сессии, не требуя повторного прохождения аутентификации. 

Avanpost Authenticator Desktop корректно работает в многопользовательской среде, такой как Windows Server с ролью «Службы удалённых рабочих столов» (RDS). В данном режиме работы каждый пользователь, подключающийся по RDP, запускает собственный экземпляр Агента в рамках своей сессии. Агент перехватывает только окна десктопных приложений, принадлежащие текущей сессии пользователя. При этом перехват окон других пользователей исключён, что обеспечивает изоляцию и безопасность.

Допускаются следующие варианты установки компонента на рабочих станциях пользователей: 

• локальная установка на рабочей станции;
• настройка через групповые политики.

Локальная установка Avanpost Authenticator Desktop рекомендуется в следующих случаях:

1. Рабочая станция расположена не в домене (например, если в качестве рабочей станции используется ноутбук, не подключенный к домену, либо домашний компьютер сотрудника).
2. Сервер расположен не в домене из соображений безопасности.

Установка Avanpost Authenticator Desktop через групповые политики рекомендуется в следующих случаях:

1. Планируется установка Avanpost Authenticator Desktop на большое количество устройств.
2. Сервер и рабочие станции расположены в домене.

Локальная установка выполняется следующим образом:

1. Выполняется установка и настройка компонента на стороне Identity Cloud.
2. Выполняется установка и настройка компонента на рабочей станции пользователя.

Настройка через групповые политики выполняется следующим образом:

1. Выполняется установка и настройка компонента на стороне Identity Cloud.
2. Выполняется установка и настройка компонента на рабочей станции пользователя.

У администратора есть возможность настраивать конфигурационный файл Authenticator Desktop следующим образом:

• автоматическая настройка через Discovery-документ;
• настройка конфигурационного файла с вводом параметров вручную.

Поддерживаются следующие ОС Windows:

• Microsoft Windows Desktop 7;
• Microsoft Windows Desktop 8;
• Microsoft Windows Desktop 10;
• Microsoft Windows Desktop 11;
• Microsoft Windows Server 2012R2;
• Microsoft Windows Server 2016;
• Microsoft Windows Server 2019;
• Microsoft Windows Server 2022.

Установка и настройка компонента на стороне Identity Cloud

Настройка компонента в интерфейсе административной консоли Avanpost Identity Cloud осуществляется в следующей последовательности: 

1. Зайти во вкладку создания приложения, нажав кнопку "Добавить приложение" в сервисе "Приложения".
2. На этапе "Основные настройки" требуется ввести наименование и выбрать тип OAuth/Open ID Connect (более подробно процесс создания и управления приложениями описан в разделах Управление приложениями и Управление OpenID Connect-приложениями).
   

3. На этапе "Настройки интеграции" необходимо установить настройки приложения (более подробно описано в Шаг 2. Настройки интеграции для OIDC-приложения). Обязательно требуется задать значения параметров в графе Secret (произвольный секретный ключ, который будет использоваться для подключения к приложению) и Redirect URIs (URL-адрес, на который пользователь будет перенаправлен после успешной аутентификации).
   

   Администратор может сменить секретный ключ (например, при компрометации ключа) в профиле созданного приложения во вкладке "Настройки" в разделе "Смена секрета". Секретный ключ должен совпадать с тем, который задается в конфигурационном файле/в мастере установки на рабочей станции пользователя.

   
   

4. На этапе "Настройки аутентификации" выбрать факторы аутентификации приложения, установив переключатели напротив тех или иных факторов (более подробно описано в Шаг 3. Настройки аутентификации для OIDC-приложения).
   

5. На этапе "Завершение" установить флажок "Сделать приложение активным" и сохранить (более подробно описано в Шаг 4. Завершение для OIDC-приложения).
6. После создания приложения требуется найти его в режиме "Приложения" и зайти в профиль, нажав на название приложения. Зайти во вкладку "Настройки" и нажать для перехода в режим редактирования.
7. В режиме редактирования следует задать следующие параметры: 
    – ID synonym - Cиноним идентификатора приложения;
    – Allowed grant types - Перевести переключатель в положение "Активно" () для следующих Grant Types: Refresh token и Password.
   
8. Перейти во вкладку создания приложения, нажав кнопку "Добавить приложение" в сервисе "Приложения".
   
9. На этапе "Основные настройки" ввести наименование и выбрать тип Enterprise SSO (более подробно описано в разделе Шаг 1. Основные настройки для Enterprise SSO-приложений).

10. На этапе "Настройки интеграции" в текстовое поле ввести шаблон приложения (более подробно описано в Шаг 2. Настройки интеграции для Enterprise SSO-приложений):
    

    Шаблон приложения представлен в виде JSON-блока, содержащего параметры, определяющие признаки перехвата окон десктопного приложения, и последовательный набор команд для заполнения и сабмита формы аутентификации десктопного приложения. Шаблон может меняться по мере развития Authenticator Desktop. Разработка шаблона приложения описана в разделе Разработка шаблона Enterprise SSO.

    {
      "authenticateTemplates": [
        {
          "commands": [
            {
              "commandType": "Sleep",
              "sleepTime": 100
            },
            {
              "commandType": "TextEntry",
              "textMessage": "$user"
            },
            {
              "commandType": "KeyPress",
              "code1": "TAB"
            },
            {
              "commandType": "TextEntry",
     
              "textMessage": "$password"
            },
            {
              "commandType": "KeyPress",
              "code1": "RETURN"
            }
          ],
          "grab": [
            {
              "windowName": "Login",
              "processName": "mockauth"         
            },
            {
              "windowName": "Login2",
              "processName": "mockauth",
              "windowClassName": "SomeWindowClassNameIfItNeed"
            }
          ]
        }
      ],
      "changePasswordTemplates": [
        {
          "commands": [
            {
              "commandType": "Sleep",
              "sleepTime": 100
            },
            {
              "commandType": "TextEntry",
              "textMessage": "$user"
            },
            {
              "commandType": "KeyPress",
              "code1": "TAB"
            },
            {
              "commandType": "TextEntry",
              "textMessage": "$password"
            },
            {
              "commandType": "KeyPress",
              "code1": "TAB"
            },
            {
              "commandType": "TextEntry",
              "TextMessage": "$newpassword"
            },
            {
              "commandType": "KeyPress",
              "code1": "RETURN"
            }
          ],
          "grab": [
            {
              "windowName": "ChangePassword",
              "processName": "mockauth"
            }
          ]
        }
      ]
    }
    
    

11. На этапе "Настройки аутентификации" следует выбрать факторы аутентификации приложения, установив переключатели напротив тех или иных факторов (более подробно в Шаг 3. Настройки аутентификации для Enterprise SSO-приложений).

12. На этапе "Завершение" установить флажок "Сделать приложение активным" и сохранить.

13. Создать новую группу. Для этого необходимо нажать кнопку "Добавить группу" в режиме "Группы" и в открывшейся вкладке ввести запрашиваемые параметры (более подробно в Добавление новых групп).

14. Добавить в группу пользователей, которые будут аутентифицироваться в настроенных приложениях. Ручное добавление пользователей администратором реализуется в профиле группы. Также доступ пользователя к группам и ролям допускается редактировать в УЗ пользователя. 

15. Назначить ранее созданные OAuth/Open ID Connect и Enterprise SSO-приложения в данную группу. Для этого в профиле группы во вкладке "Приложения" созданной группы установить переключатель в положение "Активно" () напротив созданных приложений.

16. Для настройки централизованной аутентификации в desktop-приложениях через Avanpost Identity Cloud в учетных записях пользователей зайти во вкладку "Приложения" в раздел "Учетные записи" в графу "Приложение" и выбрать в выпадающем списке FAM_Agent.

17. Для Упрощения настройки на стороне клиента при помощи Discovery-документа следует: 
    1. Перейти в раздел "Системные настройки" режима "Сервис".
    2. В разделе "Конфигурация FAM Агента" в параметре "OpenID-приложение для агента" выбрать из выпадающего списка настроенное OIDC-приложение и нажать кнопку "Сохранить".
18. Для использования Avanpost Authenticator Desktop совместно в контексте механизма Unified SSO требуется выполнить дополнительную настройку приложений, в которые пользователи смогут аутентифицироваться USSO (более подробная настройка описана в статье Настройка Unified SSO):
    1. Для ранее созданных OpenID Connect/Reverse Proxy/SAML-приложений перейти во вкладку "Настройки интеграции" в профиле приложения и установить флаг в чекбокс "Включить USSO" (для приложений типа Enterprise SSO использование механизма USSO доступно автоматически и не требует дополнительной настройки). 
    2. При необходимости использования встроенных механизмов аутентификации операционных систем совместно с Unified SSO приложений настроить Windows Logon и/или Linux Logon-приложения.
    3. При необходимости использования LDAP-аутентификации настроить Bridge-компонент (более подробно описание настройки LDAP-механизмов представлено в статье Настройка Bridge-компонента и Управление LDAP Proxy-приложениями).

       Для того, чтобы после входа через Windows/Linux Logon/LDAP-механизмы дальнейшая аутентификация проходила бесшовно, процесс аутентификации, настроенный для LDAP Proxy/Windows/Linux Logon-приложения, и процесс аутентификации, настроенный для OIDC-приложения Authenticator Desktop, должны быть идентичны. В случае, если процессы отличаются, будет запрошено прохождение дополнительных факторов, которые не запрашивались в процессе Windows/Linux Logon/LDAP-аутентификации. Для изменения факторов аутентификации настроенных приложений требуется скорректировать факторы во вкладке MFA в профиле настроенных приложений (функционал основных вкладок описан в разделе Управление приложениями). Если для приложений, в которые аутентифицируется пользователь посредством USSO, были настроены дополнительные факторы аутентификации, они также будут запрошены при попытке пользователя авторизоваться в данных приложениях.

    4. Убедиться, что пользователи, которые должны аутентифицироваться посредством USSO, добавлены в группы, предоставляющие доступ к приложениям из всей цепочки USSO-аутентификации (например, если пользователь должен аутентифицироваться через встроенные механизмы аутентификации Windows в 1C:Предприятие, то ему должен предоставлен доступ к соответствующему Windows Logon-приложению, OIDC-приложению компонента Authenticator Desktop и OIDC-приложению, настроенному для 1C:Предприятие). 

Настройка конфигурации Authenticator Desktop

Администратору доступны дополнительные настройки использования Avanpost Authenticator Desktop в административной консоли Identity Cloud. Настройки располагаются в разделе "Системные настройки" режима "Сервис". Настройка дополнительных параметров Authenticator Desktop доступна в подразделе "Конфигурация FAM Агента":

Настройка аутентификации по сертификату

Authenticator Desktop поддерживает аутентификацию пользователей с использованием сертификата, записанного на аппаратный ключевой носитель (смарт-карта, USB-токен). Данная функция позволяет входить в веб-приложения без ввода пароля учётной записи, используя только сертификат. Если у пользователя имеется один доступный сертификат, Агент выбирает автоматически выбирает его для аутентификации. Если сертификатов несколько, пользователю отображается список доступных сертификатов для выбора. Если токен защищён PIN-кодом, Authenticator Desktop запрашивает ввод. 

Поддерживаются следующие токены:

• Рутокен ЭЦП;
• JaCarta;
• Другие PKCS#11-совместимые токены.

Для полноценного использования функциональности требуется корректно настроенный метод аутентификации "Сертификат" в административной консоли Authenticator Desktop:

1. Создать и настроить метод аутентификации "Сертификат" (порядок настройки более подробно описан в шаге 7 статьи Настройка метода ЭП/сертификат).
2. Перейти в профиль OIDC и Enterprise SSO-приложений, настроенных для Authenticator Desktop, и войти на вкладку "MFA".
3. В списке шагов выбрать "Сертификат" и установить переключатель в положение "Активно".
4. Убедиться, что аутентификация по сертификату настроена корректно:

   1. Во время авторизации через Агент выбрать фактор «Сертификат» и нажать "Продолжить".

   2. В случае, если привязанных сертификатов несколько, выбрать один и инициировать аутентификацию. 

   3. Ввести PIN-код, в случае если он установлен на используемый аппаратный носитель. 
   4. Убедиться, что аутентификация прошла успешно.

Обычная установка Authenticator Desktop на рабочей станции под управлением ОС Microsoft Windows

Установка Avanpost Authenticator Desktop осуществляется пошагово при помощи мастера установки. В процессе установки у пользователя есть возможность отменить установку нажатием кнопки "Отмена" или вернутся на предыдущий шаг нажатием кнопки ""Назад". Установка осуществляется в следующей последовательности:

1. Перед установкой следует загрузить компонент Authenticator Desktop, представляющий собой установочный MSI-файл.
2. Запустить скачанный MSI-файл и перейти в мастер установки Authenticator Desktop.
3. Ознакомиться с описанием и нажать кнопку "Далее".
4. Указать путь к директории, в которую будет установлен Агент и нажать кнопку "Далее".
5. Нажать кнопку "Установить" и дождаться окончания установки.
6. Дождавшись окончания установки, нажать кнопку "Готово".
7. Запустить установленное приложение Authenticator Desktop и ввести в открывшемся окне  в графе "Адрес FAM Server" значение base URL Identity Cloud. Прочие настройки компонента будут актуализированы автоматически.

   В случае, если установка проведена корректно, но Агент выдает информационное сообщение "Не удалось установить соединение с сервером системы аутентификации", следует выполнить следующие действия (подробнее настройки описаны в Настройка Authenticator Desktop на рабочей станции):

   1. Во вкладке "Общие" установить флаг "Показать расширенную конфигурацию".
   2. Перейти в появившуюся вкладку "Расширенные". 
   3. Установить флаг "Игнорировать ошибки сертификата SSL/TLS".
8. В случае, если планируется совместное использование Authenticator Desktop и Windows Logon, также необходимо:
   1. Установить и настроить компонент FAM Windows Logon (для настройки следует использовать статью Установка и настройка FAM Windows Logon).
   2. Перезагрузить рабочую станцию.
   3. Выполните вход в ОС через Windows Logon и убедиться, что Authenticator Desktop запустился в аутентифицированном состоянии.

Установка и настройка компонента на стороне сервера MS AD

Если планируется установка Avanpost Authenticator Desktop на большое количество устройств, рекомендуется использовать способ установки через GPO (групповые политики).

Настройка компонента в интерфейсе сервера MS AD осуществляется в следующей последовательности: 

1. Перед установкой следует загрузить в произвольный каталог компонент Avanpost Authenticator Desktop, представляющий собой установочный MSI-файл.
2. Войти в консоль управления групповыми политиками (GPMS). Для этого следует открыть командную строку (Win+R), ввести gpmc.msc и нажать OK. 

   Консоль управления групповыми политиками (GPMS) доступна, если на контроллер домена установлена роль Active Directory Domain Service (AD DS). Установка ролей осуществляется через Диспетчер серверов. В диспетчере серверов следует войти с стандартное меню "Add roles and features" и выбрать компонент Group Policy Management.

3. В консоли управления групповыми политиками необходимо создать пакет (Конфигурация компьютера → Политики → Конфигурация программ → Установка программ, ЛКМ → Создать → Пакет).
   
   
   
   
4. Задать сетевой путь до установочного MSI-файла Avavpost Authenticator Desktop.
   
   
5. В открывшемся окне "Развертывание программ" выбрать метод развертывания "Назначенный" и нажать "ОК".
   
   
   
   
6. Убедиться, что установленный Avanpost Authenticator Desktop отобразился в списке раздела "Установка программ".
7. Для настройки Authenticator Desktop следует отредактировать конфигурационный файл avanpost_fam_agent.dll.config (находится в корневом каталоге c установочным файлом). Настройка параметров конфигурационного файла осуществляется согласно Приложению А.

Настройка Avanpost Authenticator Desktop на рабочей станции

Настройка Authenticator Desktop на рабочей станции пользователя осуществляется в интерфейсе запущенного приложения. Приложение содержит следующие вкладки:

• О программе – Основные данные о компоненте (наименование, версия, ссылка для перехода в личный кабинет);
• Общие – Базовые настройки компонента;
• Расширенные – Владка расширенных конфигурационных настроек компонента (доступна после установки флага "Показать расширенную конфигурацию" во вкладке "Общие");
• Плагины – Вкладка управления плагинами;
• Токены – Вкладка управления токенами.

Обновление Avanpost Authenticator Desktop

Стандартная процедура обновления включает в себя следующие действия: 

1. Скачать актуальную версию Avanpost Authenticator Desktop (получать информацию о пакетах обновлений Authenticator Desktop возможно через облачный сервис компании Avanpost в соответствии с настройками механизма дистрибуции).
2. Запустить установку скачанного MSI-пакета.
3. Мастер установки предложит выполнить обновление Avanpost Authenticator Desktop (перенос настроек конфигурации в обновленную версию осуществляется автоматически).
4. Дождавшись завершения обновления, перезагрузить устройство, на котором было произведено обновление Avanpost Authenticator Desktop.

Identity Cloud интегрируется с облачным сервисом публикации информации о доступных пакетах обновлений через REST API. Эндпоинты для получения информации о версиях Authenticator Desktop представлены в приложении В.

Настройка механизма дистрибуции

В Avanpost Identity Cloud реализован механизм автоматического предложения загрузки и установки Authenticator Desktop (FAM Agent) пользователям в процессе аутентификации. При аутентификации через Identity Cloud автоматически определяется целевая платформу и проверяется, установлен ли Authenticator Desktop на рабочей станции пользователя. Если Authenticator Desktop не обнаружен, пользователю отображается экран с предложением загрузить дистрибутив для его ОС (при этом пользователь может вручную выбрать дистрибутив для другой платформы или пропустить шаг установки, если это не требуется).

Механизм дистрибуции предназначен для автоматизации процесса распространения и обновления клиентских компонентов Authenticator Desktop среди пользователей системы. Функциональность позволяет администратору централизованно управлять версиями дистрибутивов, обеспечивая пользователей актуальными пакетами для установки. Механизм дистрибуции предназначен для решения следующих задач:

• предоставление пользователям ссылок для скачивания актуальных версий Authenticator Desktop;
• централизованное управление версиями дистрибутивов для различных операционных систем;
• автоматическое информирование пользователей о необходимости обновления
• управление источниками дистрибутивов.

Настройка доступна в режиме "Сервис" из раздела "Настройка механизма дистрибуции". Раздел содержит следующую информацию и возможности:

Для сохранения изменений следует нажать кнопку "Сохранить", для отказа от изменений – кнопку "Отмена".

При отсутствии сетевого соединения с packages.avanpost.ru или при возникновении ошибок доступа система отображает сообщение об ошибке. В данном случае следует выполнить следующие действия:

• Проверить сетевую доступность ресурса packages.avanpost.ru.
• Убедиться, что межсетевые экраны и прокси-серверы не блокируют соединение.
• При необходимости настроить исключения в правилах сетевого доступа.

Проверка установки установки Avanpost Authenticator Desktop

В режиме доступа к рабочей станции совершить следующие действия:

1. Инициировать вход на рабочую станцию.
2. Выбрать Avanpost Authenticator Desktop в качестве способа аутентификации.
3. Пройти аутентификацию в соответствии с настроенным сценарием аутентификации.

В режиме доступа по RDP совершить следующие действия:

1. Инициировать подключение по RDP на рабочую станцию.
2. Пройти аутентификацию в соответствии с настроенным сценарием аутентификации.

Приложение А. Пример конфигурационного файла avanpost_fam_agent.dll.config

Для ОС семейства Windows: конфигурационный файл компонента Authenticator Desktop располагается по пути: C:\Users\<windowsUsername>\AppData\Local\Avanpost\appsettings.toml;

Конфигурационный файл "avanpost_fam_agent.dll.config" может быть настроен следующим образом:

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <appSettings>
    <add key="gRPCServerAddress" value="10.10.161.81:9007" />
    <add key="FAMServerUrl" value="https://apidp.ru" />
    <add key="OpenIDConfigurationUrl" value="https://apidp.ru/.well-known/openid-configuration" />
    <add key="OpenIDClientId" value="d9212935-1380-41ca-b100-dba7412827cf" />
    <add key="OpenIDSecret" value="d9212935" />
    <add key="ServerCertificatePath" />
    <add key="SSLTargetName" />
    <add key="TemplateRefreshTimerMinutes" value="125" />
    <add key="DefaultLanguage" value="ru-RU" />
    <add key="IgnoreFaultyCertificate" value="False" />
  </appSettings>
</configuration>

Таблица – Значения ключей конфигурационного файла

Приложение Б. Эндпоинты Authenticator Desktop