ALD Pro

Настройка односторонней синхронизации с системой управления каталогами ALD Pro

Название службы раздела ALD Pro: ideco-ald-rest, ideco-ald-backend. Список служб для других разделов доступен по ссылке.

Ideco NGFW поддерживает версии ALD Pro от 1.4 и выше.

ALD Pro предназначен для централизованного управления ресурсами под управлением ОС Astra Linux и может использоваться в организациях различного масштаба.

Руководства по эксплуатации ALD Pro доступны на официальном сайте.

Синхронизация с ALD Pro приостанавливается, если локальные пользователи Ideco NGFW находятся в группах AD. Для возобновления синхронизации вынесите локальных пользователей из групп ALD Pro. Автоматическая синхронизация произойдет через 15 минут.

Ввод сервера в домен

1. Перейдите в раздел Сервисы -> DNS -> Внешние DNS-серверы и добавьте IP-адрес DNS-сервера ALD:

2. Перейдите на вкладку Пользователи -> ALD Pro.

2. Нажмите на кнопку Добавить.

3. Заполните следующие поля:

• Домен - полное имя домена (не контроллера домена/хоста). Например, mydomain.example, а не astra.mydomain.example. Домен может содержать только латинские символы, цифры, подчеркивание, дефис и точку.

• IP-адрес DNS-сервера - IP-адрес устройства с установленной системой ALD Pro.

• Имя сервера Ideco NGFW - имя сервера, которое автоматически генерируется NGFW, можно указать вручную. Содержит буквенные символы (A-Z), цифры (0-9), а также не может начинаться или заканчиваться на дефис. Максимальное количество символов - 15.

• Логин и пароль администратора - эти данные не сохраняются на сервере и используются один раз для присоединения к домену. Пользователь может не быть администратором домена, но должен обладать правами на присоединения компьютеров к домену.

Инструкции по развертыванию и управлению ресурсами через ALD Pro доступны на официальном сайте.

Если в таблице большое количество интеграций, воспользуйтесь кнопкой Фильтры.

Импорт пользователей

ALD Pro поддерживает импорт двух типов групп:

• Группа пользователей - содержит несколько пользователей ALD.

• Подразделение - содержит дерево пользователей ALD, обладающих определенным уровнем доступа.

Из-за особенностей реализации ALD Pro заблокированные пользователи импортируются в Ideco NGFW без блокировки и считаются активными.

Для импорта пользователей выполните действия:

1. Перейдите в раздел Пользователи -> Учетные записи и создайте группу, в которую будут импортированы пользователи, нажав на .

2. Перейдите на вкладку ALD Pro, выберите домен, тип группы и нажмите Присоединить к домену.

Импортированных пользователей можно использовать в качестве объектов для авторизации, настройки VPN-подключений, создания правил (например, в Файрволе).

В дальнейшем пользователи будут автоматически синхронизироваться с ALD Pro каждые 15 минут.

Пользователь может быть импортирован только в одну группу Ideco NGFW. Если он находится в нескольких группах ALD Pro, он попадет только в одну группу, которая была импортирована последней.

Аутентификация пользователей

При аутентификации пользователей проверка осуществляется средствами Kerberos.

ALD Pro поддерживает два типа входа в систему:

• вход по логину/паролю.

• вход через SSO.

Настройка Ideco NGFW

Для настройки аутентификации выполните действия:

1. Перейдите в раздел Пользователи -> Авторизация -> Основное.

2. Активируйте опцию Веб-аутентификация.

3. Выберите тип входа в систему:

• Для входа по логину/паролю активируйте опцию Аутентификация через веб-интерфейс.

• Для входа через SSO активируйте опцию SSO-аутентификация через Active Directory и ALD Pro.

После заполнения поля Доменное имя Ideco NGFW и сохранения настроек будет выдан Let’s Encrypt сертификат, и пользователь будет перенаправляться на окно авторизации, минуя страницу исключения безопасности:

Если сертификат для такого домена уже загружен в разделе Сертификаты, то будет использоваться загруженный сертификат, новый сертификат выдаваться не будет.

Если NGFW не подключен к интернету или доменное имя не соответствует внешнему IP-адресу NGFW, то страница авторизации будет подписана корневым сертификатом NGFW.

Настройка клиентских машин для SSO-авторизации

На странице настроек браузера Mozilla Firefox (about:config в адресной строке) настройте следующие параметры:

• network.automatic-ntlm-auth.trusted-uris и network.negotiate-auth.trusted-uris добавьте адрес локального интерфейса Ideco NGFW (например, idecoNGFW.example.ru).

• security.enterprise_roots.enabled в значении true позволит Firefox доверять системным сертификатом и авторизовать пользователей при переходе на HTTPS-сайты.

Способы аутентификации импортированных пользователей:

• Авторизация по IP-адресу - подходит для пользователей с фиксированным IP-адресом. IP-адреса на NGFW необходимо прописать вручную каждому пользователю.

• Авторизация по VPN - подходит для аутентификации пользователей удаленных сетей.

Для настройки авторизации по VPN воспользуйтесь статьей VPN-подключения.