Управление служебными учетными записями

Раздел "Служебные учетные записи" веб-интерфейса администратора Avanpost DS предназначен для управления службами.

Внимание!

Доступ к разделу "Служебные учетные записи" в режиме просмотра имеют пользователи, состоящие в группе "All Users", в режиме полного доступа – пользователи, состоящие в группе "Administrators".

Служебная учетная запись в Avanpost DS представляет из себя групповую управляемую учетную запись для выполнения службы от имени этой УЗ на одном или более Компьютерах. Такая учетная запись не имеет пароля. Для нее создается случайный ключ Kerberos.
После создания служебной учетной записи ее необходимо добавить Компьютерам, на которых будет разрешено выполнение данной службы.

При выпуске ключа Kerberos для новой или существующей служебной учетной записи в ее атрибут "krbpasswordexpiration" записывается дата его истечения, рассчитываемая как текущее время плюс значение параметра "default_rotate_interval". Сервер спустя время, заданное в параметре "check_expiration_interval", обновляет ключи Kerberos, у которых дата "krbpasswordexpiration" прошла. Параметры "default_rotate_interval" и "check_expiration_interval" можно изменить в конфигурационном файле Avanpost DS. 

Пример /opt/avanpost/ads/config/config.yaml
kerberos:
  keys:
    default_rotate_interval: 720h
    check_expiration_interval: 12h

Навигатор по разделу:

1. Создание службы

Все службы, создаваемые в данном разделе, отображаются в контейнере "gmsa" в разделе "Иерархия".
Для создания службы необходимо:

  1. Нажать кнопку  , расположенную в правом верхнем углу раздела "Служебные учетные записи".
  2. В открывшейся форме указать наименование службы и нажать .


Рисунок. Создание службы

2. Удаление службы

Для удаления службы необходимо в разделе "Служебные учетные записи" отметить чекбоксы в строках записей требуемых служб, нажать → "Удалить" и подтвердить операцию удаления во всплывающем окне.


Рисунок. Удаление службы

3. Экспорт keytab-файла службы

Для экспорта keytab-файла службы необходимо в разделе "Служебные учетные записи" нажать символ "Ключ" (  ) в строке нужной службы. Файл загрузится на локальное устройство. 

4. Блокировка и разблокировка служб

4.1. Блокировка служб

Для блокировки компьютеров необходимо:

  1. В разделе "Служебные учетные записи" отметить нужные записи в списке;
  2. Нажать → "Заблокировать";


Рисунок. Блокировка службы

4.2. Разблокировка служб

Для разблокировки компьютеров необходимо:

  1. В разделе "Служебные учетные записи" отметить нужные записи в списке;
  2. Нажать → "Разблокировать";


Рисунок. Разблокировка службы

5. Карточка службы

Для просмотра подробной информации о службе и ее редактирования необходимо в разделе "Служебные учетные записи" нажать на запись службы в общем списке. Откроется Карточка службы.

5.1. Вкладка "Детали"

На вкладке "Детали" карточки службы доступны для изменения основные параметры службы: наименование, DN, статус.

5.1.1. Изменение службы

Для внесения изменений в основные параметры службы необходимо:

  1. Перейти в карточку требуемой службы на вкладку "Детали".
  2. Изменить значения полей и нажать .


Рисунок. Карточка службы. Вкладка "Детали"

5.2. Вкладка "Компьютеры"

На вкладке "Компьютеры" карточки службы расположен список компьютеров, которым назначена служба. На этих компьютерах разрешено выполнение службы от имени служебной учетной записи.


Рисунок. Карточка службы. Вкладка "Компьютеры"

На вкладке доступно:

  • Добавление компьютеров с помощью кнопки

  • Удаление компьютеров с помощью кнопки  

  • Поиск компьютеров в списке с помощью поисковой строки и кнопки  

5.2.1. Назначение службы компьютерам

Для назначения службы компьютерам необходимо:

  1. На вкладке "Компьютеры" карточки службы нажать кнопку .
  2. В открывшемся окне отметить компьютеры, которые требуется назначить данную службу, и нажать .


Рисунок. Карточка службы. Добавление компьютеров

5.2.2. Удаление объектов из группы

Для отмены назначения службы компьютерам необходимо:

  1. На вкладке "Компьютеры" карточки службы отметить нужные компьютеры в списке.
  2. Нажать .
  3. Подтвердить удаление во всплывающем окне.


Рисунок. Карточка службы. Удаление компьютеров

5.3. Вкладка "Атрибуты"

На вкладке "Атрибуты" карточки службы содержится список атрибутов службы и их значения в Системе Avanpost DS. 
По умолчанию атрибуты с пустыми значениями скрыты. Для их отображения необходимо отметить чекбокс "Показывать пустые значения".

Значение атрибута "serviceprincipalname" (SPN) служебной учетной записи недоступно для изменения. Значение SPN совпадает с наименованием службы.
Если для службы требуется указать более одного SPN, то необходимо создать соответствующее количество служебных учетных записей и назначить их компьютерам, на которых будет работать служба.

5.3.1. Изменение значений атрибутов

Для изменения значения атрибута необходимо:

  1. Нажать на требуемое значение в списке на вкладке "Атрибуты".
  2. Изменить значение.
  3. Нажать .


Рисунок. Карточка службы. Вкладка "Атрибуты"

5.4. Вкладка "Безопасность"

Вкладка "Безопасность" рассматривается в разделе "6.6. Управление доступом".

Обсуждение