В статье описывается настройка интеграции Avanpost DS с Avanpost FAM для осуществления двухфакторной аутентификации (2FA) в веб-интерфейсе Avanpost DS и на компьютерах в домене Avanpost DS по протоколам LDAP и Kerberos.

Механизм интеграции Avanpost DS с Avanpost FAM посредством LDAP может также применяться при решении следующих задач:

• Первичная загрузка данных о пользователях из домена Avanpost DS в Avanpost FAM.
• Поддержка актуальности данных о пользователях в Avanpost FAM при их изменении в домене Avanpost DS.
• Загрузка информации о членстве пользователей в группах из Avanpost DS в Avanpost FAM.
• Проверка пароля в Avanpost DS при 2FA/MFA для корпоративных ресурсов.
• Проверка пароля в Avanpost DS при 2FA для серверов и компьютеров под управлением Windows и Linux.

Avanpost FAM поддерживает одновременную интеграцию с неограниченным количеством доменов, в качестве которых могут выступать несколько LDAP-каталогов как на базе Avanpost DS, так и на базе других служб каталогов.

Предварительные требования для интеграции с Avanpost FAM:

• Настроенный контроллер домена Avanpost DS.
• Сервер Avanpost FAM 1.3+.

Настройка интеграции состоит из этапов:

1. Настройка на стороне Avanpost DS

Шаг 1.1. Создать служебную учетную запись

Для этого требуется:

1. В разделе "Служебные учетные записи" веб-интерфейса Avanpost DS нажать .
2. В открывшейся форме указать в качестве наименования адрес Avanpost FAM.
3. Сохранить службу и скачать keytab-файл, который будет использоваться для дальнейшей аутентификации в Avanpost FAM.

Шаг 1.2. Настроить конфигурационный файл Avanpost DS на каждом контроллере домена

Для этого требуется:

1. Открыть для редактирования файл конфигурации Avanpost DS "/opt/avanpost/ads/config/config.yaml".

   sudo nano /opt/avanpost/ads/config/config.yaml

2. Добавить в конфигурационный файл секцию по шаблону:

   Шаблон /opt/avanpost/ads/config/config.yaml

   fam_auth:
     enabled: true
     endpoint: [IP-адрес сервера Avanpost FAM]:9007
     app_id: [ID приложения Avanpost DS в Avanpost FAM]
     server_name_override: [FQDN сервера Avanpost FAM]
     cert: [Сертификат DS для mTLS]
     key: [Ключ сертификата DS для mTLS]

   Параметры "cert" и "key" не обязательны для заполнения. Если оставить эти поля пустыми, соединение будет происходить без TLS.

   Пример /opt/avanpost/ads/config/config.yaml

   fam_auth:
     enabled: true
     endpoint: 10.10.5.149:9007
     app_id: f58080e8-f8cf-4c1a-8473-93059ec454ef
     server_name_override: master.apidp.ru
     cert: server_localhost.crt
     key: server_localhost.key

Шаг 1.3. Настроить политики двухфакторной аутентификации

Для настройки 2FA в веб-интерфейсе Avanpost DS требуется создать политику двухфакторной аутентификации интерфейса администрирования.
Для настройки 2FA на компьютерах в домене Avanpost DS требуется создать политику двухфакторной аутентификации LDAP и Kerberos.

2. Настройка на стороне Avanpost FAM

Шаг 2.1. Добавить пользователей из Avanpost DS в Avanpost FAM

Для автоматического импорта пользователей необходимо подключить Avanpost DS в качестве LDAP-провайдера в Avanpost FAM. Для этого требуется выполнить действия по инструкции: "Настройка LDAP с Avanpost DS".

После настройки LDAP-провайдера Avanpost FAM может выполнить первичную загрузку и создание пользователей, импортировав данные из домена Avanpost DS. Загрузка всех пользователей будет выполнена в результате первой синхронизации в соответствии с заданным расписанием.
После выполнения синхронизации в каталог Avanpost FAM будут автоматически добавлены пользователи, соответствующие заданному LDAP-фильтру. В качестве источника у таких пользователей автоматически будет указан соответствующий LDAP-каталог, а также будет зафиксирована дата и время создания пользователя.

При добавлении пользователей в Avanpost DS, подключенном к Avanpost FAM, система будет автоматически создавать пользователей, которые попадают под правила заданного LDAP-фильтра поиска пользователей.

При изменении атрибутов пользователя в домене Avanpost DS, подключенном к Avanpost FAM, система будет автоматически обновлять значения атрибутов, которые настроены в правилах маппинга.

Шаг 2.2. Настроить приложение для Avanpost DS

Для этого требуется выполнить действия по инструкции: "5.3.7. Управление Linux Logon-приложениями".

Шаг 2.3. Создать и настроить группу для приложения Avanpost DS

Для этого требуется:

1. В разделе "Группы" создать новую группу.
2. На вкладке "Пользователи" карточки созданной группы добавить всех пользователей из Avanpost DS.
3. На вкладке "Приложения" карточки созданной группы включить приложение Avanpost DS.
4. На вкладке "Безопасность" карточки созданной группы включить методы восстановления пароля:
   1. Avanpost Authenticator;
   2. TOTP;
   3. SMS;
   4. Email.