Identity Cloud : 5.3.3. Управление RADIUS-приложениями

[ Добавление RADIUS-приложения ] [ Шаг 1. Основные настройки ] [ Шаг 2. Настройки интеграции ] [ Настройка RADIUS-приложения ] [ Вкладка "Настройки" ] [ Вкладка "RADIUS" ]

Avanpost Identity Cloud предоставляет функциональность RADIUS-сервера для приложений с поддержкой в NAS (Network Access Service - Сетевой сервер доступа) аутентификации через сторонний RADIUS Proxy. RADIUS — протокол безопасности, который предоставляет централизованный метод аутентификации пользователей путем обращения к внешнему серверу. RADIUS-сервер использует базу данных пользователей, которая содержит данные проверки подлинности для каждого пользователя. Таким образом, использование протокола RADIUS обеспечивает дополнительную защиту при доступе к ресурсам сети.

В процессе интеграции Avanpost Identity Cloud с RADIUS-приложением NAS-сервер обращается к UDP RADIUS-интерфейсу] Avanpost Identity Cloud. После этого инициируется сеанс аутентификации пользователя, который должен завершиться либо отправкой в адрес NAS сообщения RADIUS Access-Accept, либо сообщения RADIUS Access-Reject. При этом Avanpost Identity Cloud гибко подстраивается под различные сценарии взаимодействия с интегрируемыми системами.

Предположим, для защиты удаленного доступа сотрудников компания использует OpenVPN, интегрированный с Avanpost IC по протоколу RADIUS. Администратор создает на стороне Identity Cloud RADIUS-приложение, настраивая его в соответствии с данной инструкцией. На стороне OpenVPN также осуществляется настройка интеграции. После завершения настройки пользователь при подключении к VPN вводит логин и пароль. OpenVPN передаёт запрос в Identity Cloud, который проверяет первый фактор, а затем через Access‑Challenge запрашивает у пользователя подтверждение в мобильном приложении Avanpost Authenticator или ввод TOTP-кода. После успешного прохождения обоих факторов пользователь получает доступ к корпоративной сети.

Добавление RADIUS-приложения

Первичная настройка RADIUS-приложения осуществляется при добавлении нового приложения. Для этого требуется нажать кнопку "Добавить приложение" сервиса "Приложения" и перейти на вкладку добавления приложения.

Первичная настройка RADIUS-приложения осуществляется при добавлении нового приложения. Для этого требуется нажать кнопку "Добавить приложение" в режиме "Приложения" и выполнить настройку в открывшемся интерфейсе. Процесс настройки содержит в себе два шага:

Основные настройки.
Настройки интеграции.

Шаг 1. Основные настройки

На данном шаге продукт предлагает ввести следующие параметры.

Название параметра	Описание параметра
Наименование	Название приложения
Тип	Типы механизма интеграции приложения: `OAuth/OpenID Connect;` `SAML;` `RADIUS;` `Reverse Proxy;` `Enterprise SSO;` `Windows Logon;` `Linux Logon;` `LDAP Proxy;` `Exchange ActiveSync`. Для настройки RADIUS-приложения выбрать опцию "`RADIUS`"
Процесс аутентификации	Выбрать из выпадающего списка один из настроенных процессов аутентификации
Показывать приложение пользователям	Чекбокс "Показывать приложение пользователям": при установленном флажке приложение будет показываться пользователям в личном кабинете вне зависимости от наличия у них доступа к приложению; при выключенном флажке приложение не будет показываться пользователям, не имеющим доступа к приложению.
Сделать активным	Чекбокс "Сделать приложение активным": при установленном флажке приложение включается сразу после создания; при выключенном флажке приложение выключено после создания: для включения потребуется нажать "Включить приложение" (выпадающий список "Еще" в профиле приложения).

Для перехода к следующему шагу требуется нажать "Вперед" после установки параметров. Для отказа от создания приложения следует нажать "Отмена".

Шаг 2. Настройки интеграции

На данном шаге продукт предлагает ввести следующие параметры.

Название параметра	Описание параметра
IP-адрес как идентификатор	Чекбокс "IP-адрес как идентификатор": при установленном флажке в качестве идентификатора используется IP-адрес устройства; при выключенном флажке в качестве идентификатора используется NAS Identifier. Рекомендуется использовать IP-адрес, чтобы идентифицировать конфигурацию единичных сетевых устройств.
NAS Identifier	RADIUS-атрибут, используемый для идентификации клиента. Текстовое поле доступно для ввода при выключенном переключателе "IP-адрес как идентификатор". Рекомендуется использовать NAS Identifier, чтобы идентифицировать несколько однотипных сетевых устройств.
NAS IP (Source IP)	IP-адрес, используемый в качестве идентификатора клиента. Текстовое поле доступно для ввода при включенном переключателе "IP-адрес как идентификатор". При некорректном вводе выдается предупреждение.
Протокол аутентификации	Поддерживаемые протоколы аутентификации: `PAP` – протокол для аутентификации пользователя в NAS посредством передачи через сеть незашифрованного пароля. `CHAP` – протокол для аутентификации пользователя посредством передачи в NAS хеш-кода, вычисленного на основе пароля пользователя и строки запроса клиенту от CHAP-сервера. `MS-CHAP v2` – протокол для аутентификации пользователя посредством передачи в NAS хеш-кода без необходимости хранения на MS-CHAP v2-сервере пароля пользователя. `PASSWORDLESS` – беспарольный метод аутентификации.
Разрешить Access-Challenge	Ответ Access-Challenge от сервера на запрос Access-Request от клиента. Access-Challenge происходит, когда серверу RADIUS требуется дополнительная информация в другом запросе Access-Request перед аутентификацией пользователя. Чекбокс "Разрешить Access-Challenge" для разрешения ответа Access-Challenge от сервера: при установленном флажке ответ Access-Challenge от сервера разрешен; при выключенном флажке ответ Access-Challenge от сервера запрещен. Следует выключен переключатель, если в качестве второго фактора используется мобильное приложение Avanpost Authenticator или Telegram. В прочих случаях рекомендуется включить переключатель.
Проверять два фактора за один запрос	Чекбокс "Проверять два фактора за один запрос" для RADIUS-приложений, не поддерживающих сообщения типа Access-Challenge: при установленном флажке при запросе к RADIUS-серверу проверяются два фактора аутентификации; при выключенном флажке при запросе к RADIUS-серверу проверяется один фактор аутентификации. Настройка параметра доступна при выключенном чекбоксе "Разрешить Access-Challenge".
Строка-разделитель паролей	Разделитель, использующийся для передавать пароль после получения Challenge. Разделитель используется, чтобы отделить в запросе старый пароль от нового. Ввод доступен при включенном чекбоксе "Проверять два фактора за один запрос".
Включить транслитерацию кириллицы	Функция транслитерации ответа Access-Challenge от сервера позволяет переводить информационные сообщения (включая перевод информации о парольных политиках при несоответствии им нового пароля в процессе его изменения). При этом сообщение на русском языке выводится латиницей. Чекбокс "Включить транслитерацию кириллицы" для перевода информационных сообщений: при установленном флаге транслитерация выполняется; при выключенном флаге транслитерация не используется. Настройка параметра доступна при включенном чекбоксе "Разрешить Access-Challenge".
Разрешить смену пароля в диалоговом режиме	Чекбокс "Разрешить смену пароля в диалоговом режиме" для инициации смены пароля в результате истечения срока действия:: при установленном флаге пользователю предлагается ввести новый пароль для того, что сменить его во внешнем каталоге; при выключенном флаге пользователь не может изменить пароль, если он истек на стороне каталога. Настройка параметра доступна при включенном чекбоксе "Разрешить Access-Challenge".

Для завершения создания приложения требуется нажать "Создать" после установки параметров, для отказа от создания приложения – "Отменить", для возврата к предыдущему шагу – "Назад".

Настройка RADIUS-приложения

Настройка созданного RADIUS-приложения доступна в его профиле. В профиле осуществляется управление параметрами, общими для всех приложений (описаны в разделе Управление приложениями). Также в профиле осуществляется управление специфическими параметрами RADIUS-приложений во вкладках "Настройки" и "VSA".

Вкладка "Настройки"

Вкладка позволяет осуществлять редактировать настраиваемые атрибуты SAML-приложений и содержит следующие разделы:

Настройки интеграции RADIUS;
Настройки безопасности.

Для внесения изменений в параметры того или иного раздела необходимо начать изменять параметры в соответствующем разделе. Для сохранения изменений следует нажать "Сохранить" в соответствующем разделе, для отмены изменений - "Отмена".

Вкладка "Настройки" позволяет просматривать и управлять следующими настраиваемыми атрибутами.

Название параметра	Описание параметра
Настройки интеграции
IP-адрес как идентификатор	Чекбокс "IP-адрес как идентификатор": при установленном флажке в качестве идентификатора используется IP-адрес устройства; при выключенном флажке в качестве идентификатора используется NAS Identifier. Рекомендуется использовать IP-адрес, чтобы идентифицировать конфигурацию единичных сетевых устройств.
NAS Identifier	RADIUS-атрибут, используемый для идентификации клиента. Текстовое поле доступно для ввода при выключенном переключателе "IP-адрес как идентификатор". Рекомендуется использовать NAS Identifier, чтобы идентифицировать несколько однотипных сетевых устройств.
NAS IP (Source IP)	IP-адрес, используемый в качестве идентификатора клиента. Текстовое поле доступно для ввода при включенном переключателе "IP-адрес как идентификатор". При некорректном вводе выдается предупреждение.
Домен приложения по умолчанию
Протокол аутентификации	Поддерживаемые протоколы аутентификации: `PAP` – протокол для аутентификации пользователя в NAS посредством передачи через сеть незашифрованного пароля. `CHAP` – протокол для аутентификации пользователя посредством передачи в NAS хеш-кода, вычисленного на основе пароля пользователя и строки запроса клиенту от CHAP-сервера. `MS-CHAP v2` – протокол для аутентификации пользователя посредством передачи в NAS хеш-кода без необходимости хранения на MS-CHAP v2-сервере пароля пользователя. `PASSWORDLESS` – беспарольный метод аутентификации.
Разрешить Access-Challenge	Ответ Access-Challenge от сервера на запрос Access-Request от клиента. Access-Challenge происходит, когда серверу RADIUS требуется дополнительная информация в другом запросе Access-Request перед аутентификацией пользователя. Чекбокс "Разрешить Access-Challenge" для разрешения ответа Access-Challenge от сервера: при установленном флажке ответ Access-Challenge от сервера разрешен; при выключенном флажке ответ Access-Challenge от сервера запрещен. Следует выключен переключатель, если в качестве второго фактора используется мобильное приложение Avanpost Authenticator или Telegram. В прочих случаях рекомендуется включить переключатель.
Проверять два фактора за один запрос	Чекбокс "Проверять два фактора за один запрос" для RADIUS-приложений, не поддерживающих сообщения типа Access-Challenge: при установленном флажке при запросе к RADIUS-серверу проверяются два фактора аутентификации; при выключенном флажке при запросе к RADIUS-серверу проверяется один фактор аутентификации. Настройка параметра доступна при выключенном чекбоксе "Разрешить Access-Challenge".
Символ разделитель факторов	Символ-разделитель факторов, использующийся при проверке двух факторов в одном запросе Access-Request. Например, если используются факторы пароль и TOTP-токен, а в качестве разделителя символ "\|", то после ввода логина пользователь введет оба фактора в формате `password\|012345,` где 012345 - TOTP-токен`.` Текстовая строка доступна при включенном переключателе "Второй фактор".
Включить транслитерацию кириллицы	Функция транслитерации ответа Access-Challenge от сервера позволяет переводить информационные сообщения (включая перевод информации о парольных политиках при несоответствии им нового пароля в процессе его изменения). При этом сообщение на русском языке выводится латиницей. Чекбокс "Включить транслитерацию кириллицы" для перевода информационных сообщений: при установленном флаге транслитерация выполняется; при выключенном флаге транслитерация не используется. Настройка параметра доступна при включенном чекбоксе "Разрешить Access-Challenge".
Разрешить смену пароля в диалоговом режиме	Чекбокс "Разрешить смену пароля в диалоговом режиме" для инициации смены пароля в результате истечения срока действия:: при установленном флаге пользователю предлагается ввести новый пароль для того, что сменить его во внешнем каталоге; при выключенном флаге пользователь не может изменить пароль, если он истек на стороне каталога. Настройка параметра доступна при включенном чекбоксе "Разрешить Access-Challenge".
Настройки безопасности
Ограничить количество активных сессий	Чекбокс "Ограничивать количество активных сессий": при выключенном флажке количество сессий не ограничивается; при включенном флажке открываются дополнительные настройки максимального количества сессий.
Максимум сессий на пользователя	Строка ввода максимального количества сессий, доступных одному пользователю. Доступно при установленном флажке в чекбоксе "Ограничивать количество активных сессий".

Вкладка "RADIUS"

Вкладка "RADIUS" содержит единственный раздел "Настройки VSA". Раздел "Настройки VSA" позволяет управлять специфическими Vendor Specific-атрибутами (VSA) RADIUS-приложения. Vendor-Specific Attributes представляют собой настраиваемые атрибуты вендоров серверов удаленного доступа, которые позволяют передавать уникальные параметры между сервером авторизации и сетевым устройством. Использование Vendor Specific-атрибутов позволяет предоставлять пользователям несколько типов прав доступа. VSA можно применять совместно со стандартными атрибутами RADIUS. Атрибуты вендоров не являются обязательными. Однако VSA необходимо добавлять в файл словаря в тех случаях, когда это требуется для правильной работы аппаратного обеспечения NAS.

Более подробная информация о настройке словарей Vendor Specific-атрибутов для RADIUS-приложений в Avanpost Identity Cloud дана в разделе Настройка словарей RADIUS VSA (Vendor-Specific Attribute) для RADIUS-приложений.

Управление VSA RADIUS-приложениями осуществляется в разделе "Настройка вычисления VSA (Vendor Specific Attributes)", в котором доступны следующие параметры:

Вендор - Выбрать из выпадающего списка вендор NAS, к которому обращается приложение (допускается выбрать один вендор: если задать атрибут другого вендора, старые настройки автоматически удалятся);
Реестр атрибутов выбранного вендора. Содержит следующую информацию и возможности:
- Атрибут вендора – Имя атрибута;
- Тип – Тип атрибута;
- Значение – Присвоенное значение;
- Кнопка – Нажать для удаления атрибута вендора;
Кнопка "Добавить правило VSA" – Нажать, чтобы добавить новый атрибут VSA.

Выбор атрибутов VSA осуществляется из атрибутов, добавленных в словарь RADIUS VSA данного вендора. После выбора вендора администратор может добавить атрибут нажатием кнопки и удалить нажатием . Для каждого VSA осуществляется настройка следующих параметров:

Название атрибута

Значение атрибута

Атрибут вендора

Имя атрибута - Выбрать из названий атрибутов, предварительно настроенных в словаре RADIUS VSA данного вендора

Тип

Тип атрибута. Выбрать из выпадающего списка:

Группы пользователя – В значении передаются группы, в которых состоит пользователь;
Группы приложения – В значении передаются группы, у которых есть доступ к данном приложению;
Атрибут пользователя – Значение присваивается из основного или дополнительного атрибута;
Константа (Постоянное значение) – Постоянное значение, вводимое администратором.
Скрипт (Вычисляемое значение) – Значение, вычисляемое посредством скрипта (более подробно в разделе Разработка скрипта RADIUS).

Значение

Для типа Группы пользователя – Не вводится;
Для типа Группы приложения – Не вводится;
Значение из атрибута – Выбрать из выпадающего списка основных и дополнительных атрибутов пользователя;
Константа (Постоянное значение) – Ввести значение в поле.
Скрипт (Вычисляемое значение) – Выбрать скрипт, предварительно разработанный в разделе "Редактор скриптов" режима "Сервис".

После настройки VSA следует нажать "Сохранить" для сохранения изменений или "Отменить" для отказа от изменений.