Управление Reverse Proxy-приложениями Avanpost FAM


[ Добавление Reverse Proxy-приложения ] [ Шаг 1. Основные настройки ] [ Шаг 2. Настройки интеграции ] [ Настройка Reverse Proxy-приложения ]

Avanpost FAM реализует возможность подключения приложений посредством механизма Reverse Proxy, предназначенного для случаев подключения к системе единой аутентификации унаследованного веб-приложения без поддержки стандартных IdP-протоколов. Более подробные данные по настройке сетевого интерфейса Reverse Proxy можно найти в разделе Настройка Reverse Proxy. 

Добавление Reverse Proxy-приложения

Первичная настройка Reverse Proxy-приложения осуществляется при добавлении нового приложения. Для этого требуется нажать кнопку "Добавить приложение" в режиме "Приложения" и выполнить настройку в открывшемся интерфейсе. Процесс настройки содержит в себе два шага:

  1. Основные настройки.
  2. Настройки интеграции.

Шаг 1. Основные настройки

На данном шаге продукт предлагает ввести следующие параметры.

Название параметраОписание параметра
НаименованиеНазвание приложения
Тип

Типы механизма интеграции приложения:

  • OAuth/OpenID Connect;
  • SAML;
  • RADIUS;
  • Reverse Proxy;
  • Enterprise SSO;
  • Windows Logon;
  • Linux Logon;
  • LDAP Proxy;
  • Exchange ActiveSync.

Для настройки Reverse Proxy-приложения выбрать опцию "Reverse Proxy".

Процесс аутентификации

Выбрать из выпадающего списка один из настроенных процессов аутентификации

Показывать приложение пользователям

Чекбокс "Показывать приложение пользователям":

  • при установленном флажке приложение будет показываться пользователям в личном кабинете вне зависимости от наличия у них доступа к приложению;
  • при выключенном флажке приложение не будет показываться пользователям, не имеющим доступа к приложению.
Сделать активным

Чекбокс "Сделать приложение активным":

  • при установленном флажке приложение включается сразу после создания;
  • при выключенном флажке приложение выключено после создания: для включения потребуется нажать "Включить приложение" (выпадающий список "Еще" в профиле приложения).

Для перехода к следующему шагу требуется нажать "Вперед" после установки параметров. Для отказа от создания приложения следует нажать "Отмена". 

Шаг 2. Настройки интеграции

На данном шаге предлагается ввести следующие параметры.

Название параметра

Описание параметра

Базовый URLURL-адрес, на который пользователь будет перенаправлен при переходе из личного кабинета.
Внутренний URL приложения (проксируемый)Целевой адрес (хост или IP-адрес), на котором размещено и доступно со стороны Сервера Avanpost FAM целевое веб-приложение.
Настройки аутентификации
Метод аутентификации

Выбрать метод аутентификации из выпадающего списка:

  • Без аутентификации - Аутентификация не выполняется при входе в приложение;
  • Базовый - Базовая схема HTTP-аутентификации посредством логина и пароля, закодированных в формате base64;
  • Пользовательский скрипт - Используется динамический скрипт MFA;
  • Форма - Для доступа к приложению заполняется форма на стороннем сервисе.
Скрипт

В выпадающем списке следует выбрать скрипт, которые будет использоваться при аутентификации.

Администратору доступны скрипты типа ReverseProxy, настраиваемые во вкладке "Редактор скриптов" режима "Сервис". Более подробно - в разделе Разработка скрипта MFA.

Параметр доступен при выборе метода аутентификации "Пользовательский скрипт".

URL выхода

URL-адрес, на который пользователь будет перенаправлен при выходе из приложения.

Параметр доступен при выборе метода аутентификации "Пользовательский скрипт" и "Форма".

URL страницы входа

URL-адрес формы на стороннем сервисе, с которой взаимодействует Avanpost FAM, заполняя данные для входа в приложение.

Параметр доступен при выборе метода аутентификации "Форма".

Поле для имени пользователя

Идентификатор (атрибут name) поля, куда вводится логин пользователя. Поле находится в форме на стороннем сервисе, с которым взаимодействует Avanpost FAM.

Параметр доступен при выборе метода аутентификации "Форма".

Поле для пароля

Идентификатор (атрибут name) поля, куда вводится пароль пользователя. Поле находится в форме на стороннем сервисе, с которым взаимодействует Avanpost FAM.

Параметр доступен при выборе метода аутентификации "Форма".

Для завершения создания приложения требуется нажать "Создать" после установки параметров, для отказа от создания приложения - "Отменить", для возврата к предыдущему шагу - "Назад".

Настройка Reverse Proxy-приложения

Настройка созданного Reverse Proxy-приложения доступна в его профиле. В профиле осуществляется управление параметрами, общими для всех приложений (описаны в разделе Управление приложениями). Также в профиле осуществляется управление специфическими параметрами Reverse Proxy-приложений во вкладке "Настройки".

Вкладка "Настройки" позволяет осуществлять редактировать настраиваемые атрибуты Reverse Proxy-приложений и содержит следующие разделы:

  • Настройки интеграции; 
  • Учётные записи приложения; 
  • Настройки безопасности;
  • Настройки регистрации.

Для внесения изменений в параметры того или иного раздела необходимо нажать  в соответствующем разделе. Для сохранения изменений следует нажать "Сохранить" в соответствующем разделе, для отмены изменений - "Отмена".

Название параметраОписание параметра
Настройки интеграции Reverse Proxy
Базовый URL

URL-адрес, на который пользователь будет перенаправлен при переходе из личного кабинета.

URL приложений, для которых сценарий аутентификации предполагает перенаправление пользователя в браузере на FAM Server (Access Server), должны быть добавлены в allowed_origins (секция [cors]) основного конфигурационного файла). Подробнее о требованиях к настройке секции в разделе Настройка конфигурационного файла статьи по установке Access Server.

Внутренний URL приложения (проксируемый)Целевой адрес (хост или IP-адрес), на котором размещено и доступно со стороны Сервера Avanpost FAM целевое веб-приложение.
Настройки аутентификации
Метод аутентификации

Выбрать метод аутентификации из выпадающего списка:

  • Без аутентификации - Аутентификация не используется;
  • Базовый - Базовая схема HTTP-аутентификации посредством логина и пароля, закодированных в формате base64;
  • Пользовательский скрипт - Используется динамический скрипт MFA;
  • Форма - Для доступа к приложению заполняется форма на стороннем сервисе.
Скрипт

В выпадающем списке следует выбрать скрипт, которые будет использоваться при аутентификации.

Администратору доступны скрипты типа Reverse Proxy Authentication, настраиваемые во вкладке "Редактор скриптов" режима "Сервис". Более подробно - в разделе Разработка скрипта MFA.

Параметр доступен при выборе метода аутентификации "Пользовательский скрипт".

URL выхода

URL-адрес, на который пользователь будет перенаправлен при выходе из приложения.

Параметр доступен при выборе метода аутентификации "Пользовательский скрипт" и "Форма".

URL страницы входа

URL-адрес формы на стороннем сервисе, с которой взаимодействует Avanpost FAM, заполняя данные для входа в приложение.

Параметр доступен при выборе метода аутентификации "Форма".

Поле для имени пользователя

Идентификатор (атрибут name) поля, куда вводится логин пользователя. Поле находится в форме на стороннем сервисе, с которым взаимодействует Avanpost FAM.

Параметр доступен при выборе метода аутентификации "Форма".

Поле для пароля

Идентификатор (атрибут name) поля, куда вводится пароль пользователя. Поле находится в форме на стороннем сервисе, с которым взаимодействует Avanpost FAM.

Параметр доступен при выборе метода аутентификации "Форма".

Настройки учетных данных
Разрешить пользователям устанавливать учётные данные

Чекбокс "Разрешить пользователям устанавливать учётные данные":

  • При установленном флажке включается механизм автоматической ротации паролей для учётных записей пользователей (локальный пароль пользователя автоматически изменяется в целевом приложении в фоновом режиме);
  • При выключенном флажке автоматическая ротация пароля не выполняется.

Например, пользователь аутентифицируется во внешнем приложении посредством Avanpost FAM. В процессе аутентификации FAM автоматически вставляет логин и пароль в окно аутентификации legacy-приложения. При установленном флаге осуществляется автоматическая ротация пароля, т.е. пароль во внешнем приложении автоматически изменяется через IDM-коннектор с заданной периодичностью.

Ограничить время действия пароля

Чекбокс "Ограничить время действия пароля":

  • при установленном флажке время пароля ограничивается и настраивается в графе "Время действия пароля в днях";
  • при выключенном флажке время действия пароля не ограничивается. 
Время действия пароля в дняхТекстовое поля для ввода времени действия изменяемого пароля в целевом приложении. Доступно при включенном переключателе "Ограничить время действия пароля".
Минимальная длина пароляМинимальное количество символов в пароле.
Минимальное количество изменённых символов пароляМинимальное количество символов, которое требуется изменить при установке нового пароля.
Пароль должен

Набор чекбоксов c требованиями к паролю. Установив флаги в те или иные чекбоксы администратор может настроить, что пароль должен:

  • Содержать цифры;
  • Содержать латинскую букву в нижнем регистре;
  • Содержать латинскую букву в верхнем регистре;
  • Содержать букву кириллицы в нижнем регистре;
  • Содержать букву кириллицы в верхнем регистре;
  • Содержать специальный символ.

При установленном флажке в соответствующем чекбоксе данное требование предъявляется при создании/изменении пароля.

Вести журнал паролей

Чекбокс для включения ведения журнала паролей (Avanpost FAM не позволяет пользователю задать пароль, совпадающий с заданным ранее, если он хранится в журнале паролей):

  • при установленном флаге ведется журнал паролей пользователя;
  • при выключенном флаге журнал паролей не ведется.
Размер журнала паролей

Задать количество записей в журнале паролей. Доступно при включенном чекбоксе "Вести журнал паролей".

Скрипт смены пароля

При соблюдении условий, прописанных в скрипте, установленный пароль сбрасывается. После сброса необходимо задать новый пароль для пользователя.

Выбрать из выпадающего списка (по умолчанию скрипт не выбран).  Администратору доступны скрипты типа Reverse Proxy Change Credentials, настраиваемые во вкладке "Редактор скриптов" режима "Сервис".

Настройки безопасности
Ограничивать количество активных сессий

Чекбокс "Ограничивать количество активных сессий":

  • при выключенном флажке количество сессий не ограничивается;
  • при включенном флажке открываются дополнительные настройки:
    • Максимальное количество сессий для пользователя - Строка ввода максимального количества сессий, доступных одному пользователю.
    • Чекбокс "Разрешить пользователю закрывать активные сессии":
      • при включенном флажке пользователь может самостоятельно завершать активные сессии (при превышении максимального числа сессий у пользователя автоматически возникает окно с возможностью завершения активных сессий);
      • при выключенном флажке пользователю запрещено самостоятельно завершать активные сессии.
Повысить уровень безопасности и отключить SSO для приложения

Чекбокс "Отключить":

  • при выключенном флажке технология единого входа SSO используется для данного приложения;
  • при включенном флажке SSO недоступно для данного приложения.
Настройки регистрации
Статус

Управление функцией самостоятельной регистрации пользователя применительно к приложению. Информация о всех возможностях управления саморегистрацией доступна в разделе Самостоятельная регистрация пользователей.

Выбрать из выпадающего списка:

  • По умолчанию - К пользователю применяется общая политика регистрации, настроенная для Avanpost FAM;
  • Включена - Пользователю доступна самостоятельная регистрация при входе в приложение;
  • Выключена - Пользователю недоступна самостоятельная регистрация при попытке входа в приложение, добавление пользователей осуществляется иными способами.
URL перенаправления после регистрации

URL-адрес, на который пользователь будет перенаправлен после регистрации. Текстовое поле доступно для заполнения при статусе "Включена".

Unified SSO

Включить

Чекбокс "Включить USSO":

  • при включении чекбокса для OIDC-приложения доступно использования специализированного механизма Unified SSO, предназначенного для выполнения кросспротокольной аутентификации при помощи компонента FAM Агент;
  • при выключенном чекбоксе механизм USSO не используется.
Режим для устаревших браузеров

Переключатель "Режим для устаревших браузеров":

  • при включении переключателя поддерживается аутентификация в приложениях с WebView, не поддерживающими кастомные URL-схемы (например, тонкий клиент 1С);
  • при выключенном переключателе работа с устаревшими браузерами не поддерживается.


Обсуждение