ALD Pro

Навигатор по разделу:

1. Общие сведения

Avanpost IDM позволяет автоматизировать управление учётными записями и правами доступа пользователей в подключенной службе каталогов ALD Pro через API веб-сервера и протокол LDAP.

Коннектор "AldPro.ProvisioningConnector", представляющий из себя библиотеку dll, устанавливается на сервере Avanpost IDM. С помощью коннектора создается подключение к управляемой службе каталогов ALD Pro. Взаимодействие IDM с управляемой службой каталогов осуществляется с использованием протокола LDAP v3 в одностороннем порядке:

  1. Avanpost IDM инициирует запрос;
  2. Служба каталогов исполняет запрос и возвращает результат исполнения запроса.

Примечание:

Подробнее о настройке ресурсов управляемых систем см. статью "6.1.4. Настройка интеграции с целевыми системами" руководства по администрированию.

2. Поддерживаемые функции

Коннектор Avanpost IDM к управляемой службе каталогов обладает следующими функциональными возможностями:

1. Управление УЗ пользователей:

  • Создание УЗ пользователя;
  • Изменение атрибутов УЗ пользователя;
  • Блокировка УЗ пользователя;
  • Разблокировка УЗ пользователя;
  • Удаление УЗ пользователя;
  • Получение атрибутов с генерируемыми значениями.

2. Управление доступом и мониторинг активности пользователей:

  • Включение УЗ пользователя в группы доступа;
  • Исключение УЗ пользователя из групп доступа;
  • Получение времени последнего входа пользователя.

3. Управление организационной структурой:

  • Создание, изменение, удаление подразделений;
  • Перемещение УЗ пользователя между подразделениями.

4. Управление каталогами или файлами общего файлового хранилища:

  • Проверка наличия у пользователя прав на использование каталога или файла;
  • Назначение и отзыв у пользователя прав на использование каталога или файла.

3. Порядок установки и настройки подключения

Для установки подключения через коннектор "AldPro.ProvisioningConnector" к управляемой системе необходимо:

  1. Установить коннектор на сервере Avanpost IDM.
  2. Создать служебную УЗ с правами администратора в подключаемой системе ALD Pro.
  3. Настроить ресурс для подключаемой управляемой системы в IDM.
  4. Проверить настроенную интеграцию.

4. Установка коннектора на сервере Avanpost IDM

Для установки коннектора на сервере Avanpost IDM необходимо поместить библиотеку коннектора "AldPro.ProvisioningConnector.dll" в директорию "/opt/avanpost/connectors" или на удаленный сервис коннекторов.

Примечание:

Подробнее о настройке удаленного сервиса коннекторов см. статью "5.4. Установка и настройка удаленного сервиса коннекторов Avanpost IDM" руководства по установке.

5. Настройка интеграции в Avanpost IDM

Для настройки интеграции управляемой системы в IDM необходимо выполнить шаги:

Шаг 5.1. Создать и настроить ресурс для подключаемой управляемой системы в Avanpost IDM.

Для этого требуется:

  1. В разделе "Интеграции"→"Целевые системы" веб-интерфейса администратора Avanpost IDM нажать и выбрать "Ресурс" из списка.
  2. В открывшейся форме указать произвольное название ресурса.
  3. Нажать . Ресурс будет добавлен в список в разделе "Целевые системы".

    Рисунок – Создание ресурса

  4. Нажать на созданный ресурс в списке. Откроется форма с настройками ресурса.
  5. На вкладке "Атрибуты ресурса" требуется указать следующие атрибуты:
    АтрибутЗначение
    КаталогКаталог в иерархии, в котором находится ресурс. Для смены каталога выбрать из выпадающего списка требуемый каталог.
    НазваниеПроизвольное название ресурса.
    Библиотека коннекторов

    Выбрать из выпадающего списка библиотеку коннекторов "AldPro.ProvisioningConnector". 

    Строка подключения

     Формат строки подключения

    Параметры в строке подключения записываются последовательно с указанием передаваемых значений после знака равно (=). Разделителем между параметрами служит точка с запятой (;).

    Шаблон строки подключения
    baseDn=[Домен];serveraddress=[IP-адрес];ldapPort=[Порт];url=[Веб-адрес сервера];login=[Логин];password=[Пароль];
useSsl=[true/false];readOnly=[true/false];clearTrashCan=[true/false];passwordValidPeriod=[Срок действия пароля пользователей];
    Пример строки подключения
    baseDn=dc=ald,dc=company,dc=ru;serveraddress=10.10.5.121;url=https://ald.company.ru/ad/;login=admin;password=Avanp0st;useSsl=false

    Обязательные параметры строки подключения

    Параметр

    Описание

    baseDnБазовый домен ALD Pro в формате 

    dc=[домен],dc=[верхний домен]

    serveraddressIP-адрес для LDAP подключения без порта
    ldapPortПорт для LDAP подключения. Значение можно не указывать при использовании стандартного порта
    urlВеб-адрес сервера ALD Pro
    loginЛогин пользователя ALD Pro с правами администратора
    passwordПароль пользователя ALD Pro с правами администратора

    Опциональные параметры строки подключения

    Параметр

    Описание

    useSsl
    Флаг использования SSL при подключении через LDAP

    Допустимые значения: true, false

    По умолчанию установлено значение false.

    readOnly
    Флаг использования ReadOnly режима коннектора

    Допустимые значения: true, false

    По умолчанию установлено значение false.

    clearTrashCan
    Флаг, отображающий факт удаления из корзиныт пользователя при удалении

    Допустимые значения: true, false

    По умолчанию установлено значение false.

    passwordValidPeriod
    Срок действия нового пароля при смене у пользователя. Выражается в днях. 

    По умолчанию установлено значение 30.

    Ресурс включенОтметить чекбокс для активации ресурса в системе.
    Число потоков синхронизацииУказать число потоков синхронизации ресурса с Avanpost IDM. 
    Использовать ограничение потоков синхронизации для операций чтенияОтметить чекбокс для использования ограничения потоков синхронизации для операций чтения.
    Использовать как источник почтовых адресовОтметить чекбокс, если ресурс является источником почтовых адресов.
    Применение изменений прав к ресурсуВыбрать из выпадающего списка "Все назначаемые ролью" или "Только недостающие".

    Примечание:

    Подробнее о настройке ресурсов см. статью "6.1.4. Настройка интеграции с целевыми системами" руководства по администрированию.

Шаг 5.2. Добавить профиль для созданного ресурса.

Требуется добавить хотя бы один общий или необщий профиль (по инструкции 5.2.1. или 5.2.2.)

5.2.1. Создание общего профиля ресурсов

Для создания общего профиля необходимо:

  1. Перейти в раздел "Интеграции"→"Целевые системы"  в веб-интерфейсе администратора Системы.
  2. Нажать и выбрать из списка "Общий профиль".
  3. Заполнить атрибуты профиля в открывшейся форме (Таблица).
  4. Нажать .

5.2.2. Создание необщего профиля ресурсов

Для создания необщего профиля необходимо:

  1. Перейти в раздел "Интеграции"→"Целевые системы"  в веб-интерфейсе администратора Системы.
  2. Нажать  в строке ресурса, в котором требуется создать профиль, и выбрать из открывшегося списка "Добавить профиль".
  3. Заполнить атрибуты профиля в открывшейся форме (Таблица).
  4. Нажать .

Таблица - Атрибуты профиля.

АтрибутЗначение
НазваниеУказать произвольное название профиля.
Профиль-источник учётных данных

Заполнять, только если в поле "Источник имен учетных записей" выбран вариант "Другой профиль".

Выбрать из списка уже созданных профилей источник учётных данных пользователей. 

Чекбокс "Синхронизировать пароли с источником учётных данных"Включает синхронизацию паролей с источником учётных данных.
Чекбокс "При создании учётных записей генерировать пароль"Включает генерацию первоначального пароля при создании УЗ пользователя в ресурсе.
Чекбокс "Разрешить неуникальность учетных записей по владельцу"Разрешает одному пользователю иметь более одной УЗ в ресурсе.
Чекбокс "Разрешить восстановление пароля"Разрешает восстановление пароля для УЗ в ресурсе.
Источник имен учетных записей

Выбрать из списка источник имен учетных записей:

  • Скрипт – для указания скрипта генерации имен учетных записей.

  • Другой профиль – для выбора другого профиля в качестве источника имен учетных записей.

Возможен вариант создания новых учетных записей только вручную. В таком случае необходимо задать скрипт возвращающий ошибку на запрос генерации имени УЗ.

Сценарий генерации имён учётных записей

Данное поле доступно, только если в поле "Источник имен учетных записей" выбран вариант "Скрипт".

Задать сценарий генерации имен учетных записей на Python.

Кнопка открывает окно редактирования скрипта.

При разработке скрипта для генерации логина сотрудника или юнита необходимо использовать параметры, описанные в статье: "10.6.1. Сценарии генерации логинов учетных записей".

Примечание:

Подробнее о юнитах см. статью "5.1.8. Настройка типов объектов и юнитов" руководства по администрированию.

После указания скрипта нажать и выбрать подходящий вариант в зависимости от того, кто будет владельцами учетных записей данного профиля:

  • "Проверить на сотруднике"
  • "Проверить на юните"

Например, владельцами пользовательских УЗ обычно являются сотрудники, а владельцами технических УЗ могут быть юниты, такие как рабочие группы.

После выбора одного из вариантов откроется окно со списком сотрудников или юнитов. Требуется выбрать объект в списке и нажать .
Во всплывающем окне будет указан результат отладочного запуска. В данном случае сгенерированное имя учетной записи.

Чекбокс "Отклонять возвращаемые имена для уже существующих учётных записей"

Данное поле доступно, только если в поле "Источник имен учетных записей" выбран вариант "Скрипт".

При отмеченном чекбоксе отклоняются возвращаемые скриптом имена УЗ, незарегистрированные в IDM, но существующие в ресурсе.

Примечание: По умолчанию существование или отсутствие УЗ в ресурсе не влияет на процесс назначения ролей.

Способ разрешения конфликтов

Данное поле доступно, только если в поле "Источник имен учетных записей" выбран вариант "Скрипт".

Выбрать из списка способ разрешения конфликтов при генерации имён УЗ:

  • Автоматический – по умолчанию к полученному имени прибавляется суффикс "_n" (n ϵ N), и используется первое незанятое имя (сценарий вызывается один раз и не участвует в разрешении конфликта).
  • Повторное выполнение – сценарий берёт на себя разрешение конфликтов, т.е. повторный вызов сценария должен вернуть следующий вариант имени.

Примечание: Номер попытки сохраняется в переменной Iteration, нумерация с 0.

Парольная политика

Выбрать из выпадающего списка одну из настроенных в IDM парольных политик.

Примечание:

Подробнее о настройке профилей ресурсов см. статью "6.1.4. Настройка интеграции с целевыми системами" руководства по администрированию.

Шаг 5.3. Провести синхронизацию прав и учетных записей с созданным ресурсом с помощью запланированных заданий.

Примечание:

Подробнее о работе с запланированными заданиями см. статью "6.1.9. Настройка запланированных заданий" руководства по администрированию.

6. Проверка настроенной интеграции

Для проверки настроенной интеграции с управляемой службой каталогов необходимо выполнить шаги:

Шаг 6.1. Проверка подключения к управляемой службе каталогов

Для проверки установки соединения с управляемой системой требуется:

  1. В веб-интерфейсе администратора Avanpost IDM открыть ресурс управляемой системы.
  2. На вкладке "Права" добавить глобальное право.

Если право успешно добавлено, то подключение управляемой системы через коннектор выполнено корректно.

Шаг 6.2. Проверка сетевого соединения

Для проверки сетевого соединения необходимо подключиться к управляемой службе каталогов при помощи telnet. При корректном подключении будет выполнен переход в среду службы каталогов.

Шаг 6.3. Проверка обработки запросов

Чтобы убедиться в правильной обработке запросов коннектором, требуется открыть лог-файл, расположенный на сервере Avanpost IDM в папке коннектора, и проверить его на отсутствие ошибок.

7. Методы API коннектора

МетодПараметрыОписание
CreateSession
  • connectionString – формат строки подключения к ресурс

Пример значения параметра:

baseDn=dc=ald,dc=company,dc=ru;serveraddress=10.10.5.121;
url=https://ald.company.ru/ad/;login=admin;password=Avanp0st;useSsl=false
Установка соединения, проверка возможности соединения с управляемой системой
GetAllRights
Получение списка групп доступа пользователей в управляемой системе. Наименование каждой группы пользователя передается в формате CN
SearchRights
  • searchString – имя группы пользователя в ALD Pro. Поиск осуществляется по полному имени или части имени группы
Поиск группы доступа из интерфейса IDM по имени
GetAllProperties

Возвращение списка значимых атрибутов пользователей, вычисляемых на основе классов пользователей. Метод предоставляет атрибуты УЗ целевой системы для связи со свойствами УЗ в IDM посредством настройки шаблона учетных записей в профиле ресурса.

Примечание:

Подробнее о настройке шаблонов УЗ в профилях ресурсов см. статью "6.1.4. Настройка интеграции с целевыми системами" руководства по администрированию.

GetUser
  • userId – идентификатор пользователя (uid)
Получение имени УЗ и статуса пользователя. Если УЗ не существует, то метод возвращает null.
Remove
  • userId – идентификатор пользователя (uid)
Удаление пользователя
CreateUser
  • user – учетная запись пользователя. Объект, включающий поля:
    • Id – идентификатор пользоватлея (строка)
    • Properties – набор пар ключ=значение, включающий ключи givennname, sn
  • password – пароль для учетной записи
Создание учетной записи пользователя в системе. При отсутствии OU пользователь по умолчанию создается в OU "users"
AddUserRights
  • userId – идентификатор пользователя (uid)
  • rightIds – непустой список идентификаторов групп пользователя (cn)
Добавление права пользователю
DropUserRights
  • userId – идентификатор пользователя (uid)
  • rightIds – непустой список идентификаторов групп пользователя (cn)
Изъятие прав у пользователя
EnableUser
  • userId – идентификатор пользователя (uid)
Разблокировка учетной записи пользователя (включение учетной записи пользователя).
DisableUser
  • userId – идентификатор пользователя (uid)
Блокировка учетной записи пользователя (выключение учетной записи пользователя).
LockUser
  • userId – идентификатор пользователя (uid)
Блокировка учетной записи пользователя (выключение учетной записи пользователя). Для работы метода необходимо указать legacylock=true в строке подключения коннектора
UnlockUser
  • userId – идентификатор пользователя (uid)
Разблокировка учетной записи пользователя (включение учетной записи пользователя). Для работы метода необходимо указать legacylock=true в строке подключения коннектора
GetUserLockStatus
  • userId – идентификатор пользователя (uid)
Получение статуса блокировки пользователя
GetUserEnableStatus
  • userId – идентификатор пользователя (uid)
Получение статуса пользователя
SetUserPassword
  • userId – идентификатор пользователя (uid)
  • password – новый пароль пользователя, отвечающий парольным политикам ресурса
Изменение пароля пользователя
ResetUserPassword
  • userId – идентификатор пользователя (uid)
Сброс пароля пользователя (будет выполнена смена пароля на случайно сгенерированный)
GetActiveUsers
Получение всех активных (включенных и незаблокированных) УЗ в ресурсе
GetRightsById
  • rightIds – непустой список идентификаторов групп пользователя (cn)
Получение полной информации о правах в ресурсе
GetUserProperties
  • userId – идентификатор пользователя (uid)
  • propertyIds – непустой список идентификаторов свойств
Получение значений свойств УЗ
GetUserRights
  • userId – идентификатор пользователя (uid)
Получение прав УЗ
SetUserProperties
  • userId – идентификатор пользователя (uid)
Установка значений свойств в существующей УЗ
GetObjects
  • parentId – тип объекта, который нужно получить. Доступные значения: query
  • typeId – JSON строка с данными объекта, который нужно получить. Состоит из объектов:

    • BaseDn - каталог для поиска объектов;

    • Attributes - список атрибутов, которые будут возвращены.
Пример JSON строки
{"BaseDn":"OU=Company,DC=avanpost,DC=ru","Attributes": ["uid","memberOf"]}
  • filter – ldap фильтр (с соблюдением синтаксиса фильтров ldap)
Получение объектов по заданному типу
CreateObject
  • objectModel – данные объекта, который нужно создать. Объект, включающий поля:
    • Id – идентификатор пользователя (строка)
    • Properties – свойства объекта (набор пар ключ=значение), включая свойства rbtadp (dn подразделения в орг структуре), description (описание).
    • typeId – тип объекта для создания. Доступные значения: group для создания групп и computergroup, для создания хост групп
Создание объектов
DeleteObject
  • typeId – тип объекта для удаления. Доступные значения: group для удаления групп и computergroup, для удаления хост групп
  • objectId – идентификатор группы или хост группы (cn объекта без "cn=")
Удаление объектов
UpdateObjectProperty
  • typeId – тип объекта для обновления. Поддерживаемые значения typeId:
    ЗначениеОписание

    computergroupaddmemeber

    Добавление компьютера в группу компьютеров

    computergroupdropmember

    Удаление компьютера из группы компьютеров

    rbtadp

    dn подразделения в организационной структуре

    description

    Описание

  • objectId – идентификатор группы или хостгруппы (cn объекта без "cn=")
  • property – свойство для обновления (Используется только поле property.Value. Поле property.PropertyId - не используется, но его требуется заполнить произвольным значением)
Изменение атрибутов объектов


Обсуждение