Общие сведения
Механизм управления лицензиями Avanpost FAM представляет собой инструмент, который позволяет администраторам просматривать информацию о текущей лицензии и добавлять файлы лицензии через административную консоль. Это прозрачный, удобный и эффективный способ управления лицензиями, обеспечивающий безопасность и контроль использования функций Системы. Помимо прямого контроля лицензия предусматривает механизм грейс-периодов и поэтапной деградации функционала при превышении лимитов пользователей и истечении срока действия.
Совместимость механизмов лицензирования
Avanpost FAM поддерживает обратную совместимость действия механизма настройки лицензии через файл license.jwt (/opt/idp/license.jwt) с установкой лицензий через UI. Информация о лицензии, которая хранится и управляется через консоль администратора, считается приоритетной для принятия решений относительно доступа и функциональности продукта.
Начиная с версии Access Server 1.18.1 поддерживается лицензионный файл обновленного формата (JWT-подобный токен, подписанный алгоритмом RS512). Лицензионные файлы устаревшего формата продолжают обрабатываться в рамках обратной совместимости для версий 1.16–1.17.x. Для версий 1.18.1 и выше поддержка ключей старого формата прекращена.
Истечение срока лицензии
Поведение Avanpost FAM при истечении срока действия лицензии зависит от версии продукта.
Для версий продукта ниже 1.18.0 после истечения срока действия и завершения грейс-периода многофакторная аутентификация отключается, вход пользователей в приложения выполняется только по паролю. Доступ к приложениям сохраняется. Администратор Avanpost FAM получает уведомления об истечении срока лицензии на электронную почту. Уведомления отправляются за 14 дней / 3 дня / 1 день до истечения срока, предоставляя возможность своевременно продлить и обновить лицензию.
Для версий 1.18.0 и выше применяется поэтапная модель истечения срока лицензирования:
| Период | Описание |
|---|---|
| За 30 дней до истечения срока лицензии. | Администратору отправляется уведомление о необходимости продления лицензии. Изменения в функционале отсутствуют. |
| Грейс-период (30 дней после истечения срока лицензии) | Автоматически запускается грейс-период длительностью 30 дней, в течение которого сохраняется полный функционал. В течение грейс-периода администратору и пользователю отображаются соответствующие уведомления. |
| По окончании грейс-периода | Многофакторная аутентификация сохраняется в базовой конфигурации (ранее настроенные факторы продолжают применяться). Включаются следующие ограничения:
|
| Восстановление лицензии | При добавлении новой лицензии ограничения снимаются, полный функционал восстанавливается. |
Превышение количества пользователей
При лицензировании по числу пользователей Avanpost FAM контролирует занятость лицензионных мест и применяет следующие пороговые события:
| Сценарий | Описание |
|---|---|
| Приближение к лимиту | При приближении к пороговым значениям (90%, 95% от лимита) администратору отправляется соответствтующее уведомление. |
| Достижение лимита | При достижении 100% лимита запускается грейс-период длительностью 30 дней, в течение которого сохраняется полный функционал. Администратору отправляется уведомление с датой окончания грейс-периода. |
| По окончании грейс-периода | Многофакторная аутентификация сохраняется в базовой конфигурации (ранее настроенные факторы продолжают применяться). Дополнительные опции продукта (SSO, DC, AMFA, RBA) не отключаются. Длительность пользовательской сессии не сокращается. Включаются следующие ограничения:
|
| Снятие ограничений | Возможно только при установке новой лицензии с новым идентификатором. Повторный грейс-период по той же лицензии не предоставляется. |
Тестовая лицензия
Тестовая лицензия для продукта Avanpost FAM выдаётся по запросу. Для тестирования продукта MFA+ можно использовать тестовую лицензию, представленную в текущей документации. Более подробная информация о тестовых лицензиях находится в разделе Модель лицензирования.
Лицензирование FAM/MFA+
Отсутствие лицензии
При отсутствии лицензии функции Системы ограничиваются:
- отключается многофакторная аутентификация (MFA), вход в ресурс осуществляется только путем ввода пароля;
- отключается механизм Enterprise SSO: недоступен централизованный вход в группу приложений, для каждого приложения необходима отдельная аутентификация;
- отключается возможность создания новых пользователей.
Лицензия FAM
Полный доступ к Системе без ограничений по функциональности.
Лицензия MFA+
Лицензия на MFA+ имеет ряд ограничений в использовании функций Системы, отраженных в разделе Модель лицензирования продукта.
Ограничения функционала отображаются в пользовательском интерфейсе в форме предупреждений, указывающих на достижение лимита.
Добавление лицензии
Добавление новой лицензии осуществляется в следующей последовательности:
- Получить файл лицензии от официального представителя Аванпост.
- Удалить информацию о лицензии из конфигурационного файла (в противном случае при добавлении нового файла лицензии возникнет ошибка).
- В административной консоли Avanpost FAM Server перейти в раздел "Лицензии" режима "Сервис".
- Нажать кнопку "Добавить лицензию". Откроется окно для загрузки лицензии.
- Ввести jwt-токен в кодировке base64 в поле ввода или загрузить файл лицензии с локального устройства (нажать "Выбрать файл" и указать путь до файла лицензии).
- Нажать кнопку "Сохранить" для сохранения изменений (или кнопку "Отмена" для отказа от изменений).
Начиная с версии FAM Server 1.16, отключена поддержка лицензионных ключей старого формата (использовавшихся в версии 1.13 и ранее). При обновлении систему с версии 1.15 (или ниже), где использовался старый формат лицензии, перед обновлением необходимо получить и подготовить новый лицензионный ключ. В противном случае после обновления доступ к административной консоли будет заблокирован до ввода нового ключа.
Управление лицензиями
Просмотр информации о управление лицензиями производится в разделе «Лицензии» режима «Сервис» в административной консоли Avanpost FAM.
Информация о текущей лицензии включает в себя:
- Название продукта – название программного продукта, на который выдана лицензия;
- Тип лицензии:
- безлимитная (end of sale) – лимит числа пользователей не устанавливается и не отображается;
- по числу пользователей – отображается лимит числа пользователей;
- Доступные опции – отображаются приобретенные и установленные лицензии на опции (редакции) продукта:
- USSO – Unified SSO,
- DC – Device Control;
- RBA - Risk-Based Authentication;
- AMFA - Adaptive Multi-Factor Authentication.
- Допустимое число пользователей (для типа лицензии "По числу пользователей"):
- всего доступно – доступное число пользователей, которых можно зарегистрировать в FAM;
- зарегистрировано – число пользователей, которые уже зарегистрированы в FAM;
- Дата выпуска – дата выпуска лицензии на программный продукт);
- Дата окончания действия лицензии – дата, когда лицензия истекает и перестает быть действительной;
- Лицензиар – организация, которая выдала лицензию на программное обеспечение;
- Лицензиат – лицо, которое получило лицензию и имеет право использовать программное обеспечение.
Для MFA+ дополнительно включены следующие параметры:
- допустимое количество LDAP-провайдеров;
- допустимое количество Reverse Proxy приложений;
- допустимое количество Enterprise SSO приложений.
Важно
Лицензированию подлежат только те пользователи, которые имеют статус «Включен» в системе Avanpost FAM. Пользователи со статусом «Отключен» или «Заблокирован» не занимают лицензионное место. Лимит пользователей для типа лицензий, ограниченных по числу пользователей, отображается в графе "Допустимое число пользователей":
- Всего доступно - Параметр отображает общее количество доступных лицензий;
- Зарегистрировано - Параметр показывает количество использованных лицензий.
Возможность автоматического создания пользователей не ограничена количеством доступных лицензий, но пользователям, добавленным после превышения лимита, присваивается статус "Выключен". Пользователь со статусом "Выключен" не может пользоваться продуктом. Лицензия считается использованной, когда пользователю присваивается статус "Включен". Но администратор может освободить лицензию, переведя пользователя в статус "Выключен".
При настройке LDAP-синхронизации в реестре провайдеров отображается общее количество записей, обнаруженных в источнике. Для случаев, когда автоматическая загрузка пользователей происходит через LDAP-каталог, есть возможность упростить управление лицензиями. Для этого следует корректно настроить фильтры и включить флажок удаления пользователей, отсутствующих в текущей выборке, перейдя в настройки синхронизации каталогов (режим "Сервис" - "Настройки LDAP провайдеров" - "Настройки"). Включенный флажок позволяет автоматически удалять из системы пользователей, удаленных из LDAP-каталога.
Информация о загруженных лицензиях содержится в реестре лицензий, содержащем следующую информацию и возможности:
- ID лицензии - Уникальный идентификатор лицензии;
- Дата добавления - Дата и время добавления лицензии;
- Кнопка
- Удаление добавленной лицензии.