Документация Avanpost IDM 7 : 8.1. MS Active Directory

Навигатор по разделу:

1. Общие сведения

Avanpost IDM позволяет автоматизировать управление учётными записями (далее — УЗ) и правами доступа пользователей в управляемых ИС, подключаемых к IDM через службу каталогов MS Active Directory.

Коннектор AvanpostConnectorAD, состоящий из библиотеки (.dll) и конфигурационного файла (.json), устанавливается на сервере Avanpost IDM. С помощью коннектора создается подключение к управляемой системе Active Directory. Взаимодействие IDM с управляемой системой Active Directory осуществляется с использованием протокола LDAP v3 в одностороннем порядке:

1. IDM инициирует запрос;
2. AD исполняет запрос и возвращает результат исполнения запроса.

При наличии в организации нескольких доменов для каждого может быть реализован отдельный ресурс с уникальным контекстом, при этом передаваемые свойства могут быть настроены в составе одного конфигурационного файла.

2. Поддерживаемые функции

Коннектор Avanpost IDM к управляемой системе MS Active Directory обладает следующими функциональными возможностями:

1. Управление УЗ пользователей Active Directory:

• Создание УЗ пользователя;
• Изменение атрибутов УЗ пользователя;
• Блокировка УЗ пользователя;
• Разблокировка УЗ пользователя;
• Удаление УЗ пользователя;
• Получение атрибутов с генерируемыми в Active Directory значениями.

2. Управление доступом и мониторинг активности пользователей:

• Включение УЗ пользователя в группы доступа;
• Исключение УЗ пользователя из групп доступа;
• Получение времени последнего входа пользователя.

3. Управление организационной структурой (Organizational Unit - OU):

• Создание OU;
• Перемещение УЗ пользователя между OU.

4. Управление каталогами или файлами общего файлового хранилища:

• Проверка наличия у пользователя прав на использование каталога или файла;
• Назначение и отзыв у пользователя прав на использование каталога или файла.

3. Поддерживаемые управляемые системы

• Microsoft Windows Server 2019;
• Microsoft Windows Server 2016;
• Microsoft Windows Server 2012 R2; 
• Microsoft Windows Server 2012;
• Microsoft Windows Server 2008 R2; 
• Microsoft Windows Server 2008;  
• Microsoft Windows Server 2003.

4. Предварительные условия

Веб-сервис и сервер IDM должны быть установлены на Windows, либо сервис коннекторов должен быть установлен на Windows.

Для функционирования коннектора необходима служебная (техническая) учетная запись в AD. Служебная учетная запись должна быть включена в группу «Операторы учета» (Account Operators) и иметь права на изменение organizationUnit.

5. Используемые библиотеки

System.DirectoryServices, Version=5.0.0, Microsoft.

6. Порядок установки и настройки подключения

Для установки подключения через коннектор AvanpostConnectorAD к управляемой системе необходимо:

1. Установить коннектор Active Directory на сервере Avanpost IDM.
2. Создать служебную (техническую) УЗ в AD.
3. Настроить ресурс в IDM.

6.1. Порядок установки коннектора

Для установки коннектора на сервере Avanpost IDM необходимо:

1. Скопировать файл коннектора Avanpost.IDM.Connectors.ActiveDirectory и перенести его в папку с коннекторами.
2. Открыть и настроить конфигурационный файл ad-connector.config.json.
3. Выполнить настройку ресурса Active Directory в IDM.
4. Открыть IDM, пройти авторизацию и проверить наличие загруженных свойств в настройках ресурса.

6.2. Настройка ресурса Active Directory в IDM

Настройка ресурса Active Directory в IDM производится согласно руководству Администратора IDM (см. здесь) и состоит из следующих этапов:

1. Создание ресурса.
2. Настройка атрибутов ресурса. Для настройки атрибутов ресурса необходимо заполнить основные свойства ресурса:
   • "Название" — название ресурса;
   • "Библиотека коннектора" — имя библиотеки коннектора: ActiveDirectory.ProvisioningConnector.dll;
   • "Строка подключения" — информация, необходимая для подключения к ресурсу. Параметры строки подключения и примеры ее заполнения приведены ниже.
3. Настройка свойств УЗ пользователей в ресурсе. Перечень свойств является настраиваемым и может быть изменен в массиве атрибутов конфигурационного файла.
4. Настройка зависимостей свойств УЗ в профиле ресурса от свойств УЗ в другом профиле.
5. Настройка прав пользователей по умолчанию в ресурсе (через привязку профиля ресурса к роли – см. здесь).

6.3. Управление OU

Создание OU

Для создания организационного подразделения (OU) в IDM необходимо:

• Создать  роль для пользователя;
• Связать ее с ресурсом через соответствующий профиль;
• В шаблоне учетных записей профиля ресурса добавить свойство ou;
• Настроить заполнение свойства ou, а именно, определить и записать процедуру вычисления OU пользователя исходя из организационной структуры целевой системы (при назначении роли свойство будет получать значение в свойствах ресурса УЗ в соответствии с шаблоном);
• Передать параметр autoCreateOrganizationalUnit=true в строку подключения коннектора. Учетная запись пользователя будет помещена в необходимый OU организационной структуры AD.

Перевод пользователя

При обновлении OU в свойствах ресурса УЗ пользователя автоматически переместится в новую папку организационной структуры AD.

Перемещение УЗ пользователя в OU при увольнении

Для перемещения УЗ пользователя в другое OU при увольнении необходимо:

• Создать роль для пользователя, которая будет отзываться только при увольнении сотрудника;
• Настроить кадровую политику в части сценария выполнения увольнения: определить и записать процедуру переноса УЗ пользователей в OU, выделенную для УЗ уволенных сотрудников, при удалении роли в ресурсе.

Учетная запись пользователя будет помещена в OU для уволенных сотрудников организационной структуры AD.

6.4. Настройка времени работы пользователей

Атрибут УЗ logonHours в каталоге Active Directory позволяет ограничить время, в которое пользователь может залогиниться в операционную систему. Атрибут хранит в двоичном виде информацию о рабочих часах пользователя в каждый из дней недели. Подробнее об особенностях атрибута см. здесь.

Использование logonHours как свойства

Для ограничения времени работы пользователя с помощью атрибута logonHours, используемого как свойство ресурса, необходимо:

• создать на стороне IDM роль для пользователя;
• добавить свойство logonHours в ресурсе роли или свойствах ресурса;
• в значениях свойства прописать последовательность из 21 байта в десятичном формате, устанавливающих недельный график работы пользователя.

При назначении роли пользователю будет сформирован соответствующий рабочий график.

Использование logonHours как права

Для ограничения времени работы пользователя с помощью атрибута logonHours, используемого как право, необходимо:

• создать на стороне IDM роль для пользователя;
• в файле конфигурации в параметре logonHoursMap добавить схему отображения прав (графиков работы пользователя) на значения атрибута, записанные в шестнадцатеричном формате.

7. Конфигурация коннектора

Конфигурирование коннектора выполняется посредством создания (или копирования из дистрибутива поставки коннектора) и настройки конфигурационного файла ресурса MS Active Directory и передачи параметров подключения интерфейса IDM к службе MS Active Directory в строке подключения.

7.1. Файл конфигурации ресурса

Конфигурационной файл ресурса представляет собой расположенный локально файл в формате .json (ad-connector.config.json), хранящий конфигурацию ресурса.

Пример файла конфигурации

{
  "userName": "tb//{0}",
  "logonHoursMap": {
    "24/7": "",
    "Только будние": "00 00 E0 FF FF FF FF FF FF FF FF FF FF FF FF FF FF 1F 00 00 00",
    "С 9:00 до 19:00, будние": "00 00 00 C0 FF 00 C0 FF 00 C0 FF 00 C0 FF 00 C0 FF 00 00 00 00"
  },
  "domains": [
      {
        "server": "145.140.10.120",
        "keyPrefix": "TB",
        "domainName": "dc=tb,dc=ru",
        "port": 390,
        "usersContainers": [ "OU=Organization Structure", "OU=Дополнительный офис,OU=Organization Structure1" ],
        "removeContainer": "OU=2,OU=Organization Structure,DC=tb,DC=ru",
        "controller": "tb.dom.ru",
        "controllers": [ "tb.ru", "tb.dom.ru" ],
        "removeAccountBehavior": "Remove",
        "removeAllGroups": false,
        "loadPrimaryGroup": true
      }
  ],
  "attributes": [
    {
      "name": "ExtrAttr1",
      "description": "Дополнительный атрибут 1",
      "required": false
    },
    {
      "name": "ExtrAttr2",
      "description": "Дополнительный атрибут 2",
      "required": false
    }
  ]
}

Параметры конфигурации ресурса

Параметры домена в конфигурации ресурса

3.2 Строка подключения

Формат строки подключения

user=<Техническая учетная запись>;password=<пароль>;resourceid=<ИД ресурса>;path=<путь к файлу конфигурации ресурса>;

Примеры строки подключения

user=ap.com\administrator;password=********;resourceid=adtb;path=C:\connectors\ad-connector.config.json;

ser=ap.com\administrator;password=********;;resourceid=adtb;path=C:\connectors\ad-connector.config.json;AutoCreateOrganizationalUnit=false;UnlockUserAccount=false;UseDomainPrefix=true;GetNamesOfAllUsers=false;CheckExistenceUserWhenCreating=true;CheckExistenceContactWhenCreating=true;MustResetPasswordLogon=true;SetUserPrincipalNameIdmOnly=true;FillOuWithDomain=true;EnableSsl=true;SamAccountNameWithDomain=true;

Обязательные параметры

user — логин технической УЗ;

password — пароль технической УЗ;

resourceid — идентификатор ресурса;

path — путь к конфигурационному файлу ресурса.

Опциональные параметры

8. Схема атрибутов

Перечисленные ниже атрибуты УЗ могут использоваться в профилях ресурсов для настройки их свойств в УЗ (см. 5.1.4. Настройка интеграции с целевыми системами).

Стандартные атрибуты УЗ

Атрибуты для управления поведением коннектора

9. Методы API коннектора

Методы API коннектора реализуют функциональные возможности коннектора.

10. Проверка рабочего состояния подключения

 1. Проверка подключения к AD

Для проверки установки соединения c Active Directory следует на стороне IDM открыть профиль ресурса ресурса, перейти на вкладку "Шаблон учетных записей" и раскрыть выпадающий список выбора свойств для добавления в свойства ресурса. Если список пустой, то соединение с Active Directory отсутствует. Если в списке для выбора свойств ресурса доступны все атрибуты, соответствующие подключаемой среде Active Directory, то подключение через коннектор выполнено корректно.

2. Проверка сетевого соединения

Для проверки сетевого соединения следует подключиться к Active Directory при помощи telnet. При корректном подключении будет выполнен переход в среду Active Directory.

3. Проверка обработки запросов

Чтобы убедиться в правильной обработке запросов коннектором, следует открыть лог-файл, расположенный на сервере Avanpost IDM в папке коннектора, и проверить его на отсутствие ошибок.