ALD Pro

Настройка односторонней синхронизации с системой управления каталогами ALD Pro.

Название службы раздела ALD Pro: ideco-ald-rest; ideco-ald-backend. Список служб для других разделов доступен по ссылке.

Система ALD Pro предназначена для централизованного управления ресурсами на базе ОС Astra Linux и может использоваться в организациях различного масштаба.

Ideco NGFW поддерживает версии ALD Pro от 1.4.

Ввод сервера в домен

1. Перейдите в раздел Сервисы -> Защита и управление DNS -> Внешние DNS-серверы и добавьте IP-адрес устройства с установленной системой ALD Pro:

2. Перейдите на вкладку Пользователи -> ALD Pro.

3. Нажмите на кнопку Добавить.

4. Заполните поля:

Расшифровка полей

• Домен - полное имя домена (не контроллера домена/хоста). Например, mydomain.example, а не astra.mydomain.example. Домен может содержать только латинские символы, цифры, подчеркивание, дефис и точку;

• IP-адрес DNS-сервера - IP-адрес устройства с установленной системой ALD Pro;

• Имя сервера Ideco NGFW - имя сервера, которое можно сгенерировать в NGFW или указать вручную. Содержит буквенные символы (A-Z), цифры (0-9), а также не может начинаться или заканчиваться на дефис. Максимальное количество символов - 15;

• Логин и пароль администратора - данные не сохраняются на сервере и используются один раз для присоединения к домену. Пользователь может не быть администратором домена, но должен обладать правами на присоединение компьютеров к домену.

Если в таблице большое количество интеграций, воспользуйтесь кнопкой Фильтры.

Импорт пользователей

ALD Pro поддерживает импорт двух типов групп:

• Группа пользователей - содержит несколько пользователей ALD Pro;

• Подразделение - содержит дерево пользователей ALD Pro, обладающих определенным уровнем доступа.

Из-за особенностей реализации ALD Pro заблокированные пользователи импортируются в Ideco NGFW без блокировки и считаются активными.

Для импорта пользователей выполните действия:

1. Перейдите в раздел Пользователи -> Учетные записи и создайте группу, в которую будут импортированы пользователи, нажав на .

2. Перейдите на вкладку ALD Pro, выберите домен, тип группы и нажмите Присоединить к домену.

Импортированных пользователей можно использовать в качестве объектов для авторизации, настройки VPN-подключений, создания правил трафика (например, в Файрволе).

В дальнейшем пользователи будут автоматически синхронизироваться с ALD Pro каждые 15 минут.

Пользователь может быть импортирован только в одну группу Ideco NGFW. Если пользователь находится в нескольких группах ALD Pro то попадет только в ту группу, которая была импортирована последней.

Рекомендуем при создании пользователей указывать в логине домен, например [e-mail].

Аутентификация пользователей

При аутентификации пользователей проверка осуществляется средствами Kerberos.

ALD Pro поддерживает два типа входа в систему:

• Вход по логину/паролю;

• Вход через SSO.

Настройка Ideco NGFW

Для настройки аутентификации выполните действия:

1. Перейдите в раздел Пользователи -> Авторизация -> Основное.

2. Активируйте опцию Веб-аутентификация.

3. Выберите тип входа в систему:

• Для входа по логину/паролю активируйте опцию Аутентификация через веб-интерфейс;

• Для входа через SSO активируйте опцию SSO-аутентификация через Active Directory и ALD Pro.

После заполнения поля Доменное имя Ideco NGFW и сохранения настроек будет выдан Let’s Encrypt сертификат, и пользователь будет перенаправляться на окно авторизации, минуя страницу исключения безопасности:

Если сертификат для такого домена уже загружен в разделе Сертификаты, то будет использоваться загруженный сертификат, новый сертификат выдаваться не будет.

Если NGFW не подключен к интернету или доменное имя не соответствует внешнему IP-адресу NGFW, то страница авторизации будет подписана корневым сертификатом NGFW.

4. Настройте способы авторизации импортированных пользователей. Доступные способы:

• Авторизация по IP и/или MAC - подходит для пользователей с фиксированными IP- и/или MAC-адресами, на NGFW адреса прописываются вручную каждому пользователю;
• Авторизация по подсетям - подходит в случаях, когда не требуется регистрировать каждое устройство как отдельного пользователя NGFW, позволяет автоматически авторизовать большое количество устройств;
• Авторизация по VPN - подходит для аутентификации пользователей удаленных сетей.

Настройка клиентских машин для веб-аутентификации по SSO или NTLM

1. В зависимости от выбранного браузера выполните следующие действия:

Настройка браузера Yandex

1. Создайте файл mydomain.json в директории /etc/opt/yandex/browser/policies/managed/ и добавьте строки:

{ 
  "AuthServerAllowlist": "*.имя_домена",
  "AuthNegotiateDelegateAllowlist": "*.имя_домена"
}

2. Скачайте корневой сертификат NGFW из раздела Сервисы -> Сертификаты по кнопке .

3. В браузере Yandex перейдите на вкладку Настройки -> Системные -> Управление сертификатами -> Центры сертификации -> Импорт и добавьте сертификат в список доверенных.

4. Включите опции доверия для сертификата:

Настройка браузера Google Chrome

1. Создайте файл mydomain.json в директории /etc/opt/chrome/policies/managed/ и добавьте строки:

{ 
  "AuthServerAllowlist": "*.имя_домена",
  "AuthNegotiateDelegateAllowlist": "*.имя_домена"
}

2. Скачайте корневой сертификат NGFW из раздела Сервисы -> Сертификаты по кнопке .

3. В браузере Chromium перейдите на вкладку Настройки -> Конфиденциальность и безопасность -> Безопасность -> Настроить сертификаты -> Центры сертификации -> Импортировать и добавьте сертификат в список доверенных.

4. Включите опции доверия для сертификата:

Настройка браузера Chromium

1. Создайте файл mydomain.json в директории /etc/chromium/policies/managed/ и добавьте строки:

{ 
    "AuthServerAllowlist": "*.имя_домена" ,
    "AuthNegotiateDelegateAllowlist": "*.имя_домена"
}

2. Скачайте корневой сертификат NGFW из раздела Сервисы -> Сертификаты по кнопке .

3. В браузере Chromium перейдите на вкладку Настройки -> Конфиденциальность и безопасность -> Безопасность -> Настроить сертификаты -> Центры сертификации -> Импортировать и добавьте сертификат в список доверенных.

4. Включите опции доверия для сертификата:

Настройка браузера Mozilla Firefox

1. Запустите браузер и в адресной строке введите about:config, чтобы попасть в режим редактирования расширенных настроек.

2. Введите параметр security.enterprise_roots.enabled и дважды кликните по блоку, чтобы значение изменилось на True, что позволит Firefox доверять системным сертификатам и авторизовывать пользователей при переходе на HTTPS-сайты.

3. В параметрах network.automatic-ntlm-auth.trusted-uris и network.negotiate-auth.trusted-uris укажите имя_NGFW.имя_домена.

4. Скачайте корневой сертификат NGFW из раздела Сервисы -> Сертификаты по кнопке .

5. В настройках браузера Mozilla Firefox в пункте Приватность и Защита в разделе Защита выберите Просмотр сертификатов:

6. На вкладке Центры сертификации нажмите Импортировать и выберите скачанный с NGFW сертификат.

7. Включите опции доверия для сертификата.

2. На машине ALD-клиента, введенной в домен ALD Pro, добавьте IP локального интерфейса и доменное имя Ideco NGFW в директорию /etc/hosts. Пример: 192.168.100.10 ngfw.domain.ald.

Руководства по эксплуатации ALD Pro доступны на официальном сайте.