Настройка ADFS-интеграции

Развернуть все | Свернуть все

Чтобы разрешить пользователям, зарегистрированным в Active Directory (AD) вашей организации, входить в Kaspersky Security Center Cloud Console, вам необходимо настроить интеграцию со службами Active Directory Federation Services (AD FS).

Kaspersky Security Center Cloud Console поддерживает AD FS 3 (Windows Server 2016) или выше. AD FS должен быть опубликован и доступен в интернете. В качестве сертификата связи служба AD FS использует публичный доверенный сертификат.

Чтобы изменить параметры AD FS-интеграции, вам нужны права доступа для изменения прав пользователей.

Прежде чем продолжить, убедитесь, что вы выполнили опрос Active Directory.

Чтобы настроить AD FS-интеграцию:

1. В главном окне приложения нажмите на имя Сервера администрирования.

   Откроется окно свойств Сервера администрирования.

2. На вкладке Общие выберите раздел Параметры интеграции с AD FS.
3. Скопируйте URL обратного вызова.

   Этот URL понадобится вам для настройки интеграции в Консоли управления AD FS.

4. В Консоли управления AD FS добавьте группу приложений, а затем добавьте приложение, выбрав шаблон Server application (названия элементов интерфейса Microsoft приведены на английском языке).

   Консоль управления AD FS генерирует идентификатор клиента для нового приложения. Идентификатор клиента понадобится вам для настройки интеграции в Kaspersky Security Center Cloud Console.

5. В качестве URI перенаправления укажите URL обратного вызова, который вы скопировали в окне свойств Сервера администрирования.
6. Создайте секрет клиента. Секрет клиента понадобится вам для настройки интеграции с Kaspersky Security Center Cloud Console.
7. Сохраните свойства добавленного приложения.
8. Добавьте приложение в созданную группу приложений. Выберите шаблон Web API.
9. На вкладке Identifiers в список Relying party identifiers добавьте идентификатор клиента серверного приложения, которое вы добавили ранее.
10. На вкладке Client Permissions в списке Permitted scopes выберите allatclaims и openid.
11. На вкладке Issuance Transform Rules добавьте правило, выбрав шаблон Send LDAP Attributes as Claims:
    1. Укажите название правила. Например, вы можете назвать его "Group SID".
    2. Выберите Active Directory в качестве хранилища атрибутов, а затем сопоставьте Token-Groups as SIDs в качестве атрибута LDAP с "Группа SID" в качестве типа исходящего утверждения.
12. На вкладке Issuance Transform Rules добавьте правило, выбрав Send Claims Using a Custom Rule:
    1. Укажите название правила. Например, ActiveDirectoryUserSID.
    2. В поле Custom rule укажите:

       c:[Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/windowsaccountname", Issuer == "AD AUTHORITY"] => issue(store = "Active Directory", types = ("http://schemas.microsoft.com/ws/2008/06/identity/claims/primarysid"), query = ";objectSID;{0}", param = c.Value);

13. В Kaspersky Security Center Cloud Console снова откройте раздел Параметры интеграции с AD FS.
14. Переведите переключатель в положение Интеграция AD FS Включено.
15. Перейдите по ссылке Параметры и укажите файл содержащий сертификат или несколько сертификатов федерального сервера.
16. Перейдите по ссылке Параметры интеграции с AD FS и укажите следующие параметры:
    • URL издателя

      URL сервера федерации, работающего в вашей организации.

      В частности, Kaspersky Security Center Cloud Console добавляет ‘/.well-known/openid-configuration’ к URL эмитента и пытается открыть полученный URL (issuer_URL/.well-known/openid-configuration), чтобы узнать конфигурацию эмитента автоматически.

    • Идентификатор клиента

      Идентификатор клиента, который сервер федерации генерирует для идентификации Kaspersky Security Center Cloud Console. Вы можете найти идентификатор клиента в консоли управления AD FS в окне свойств серверного приложения, соответствующего Kaspersky Security Center Cloud Console.

    • Секрет клиента

      Вы генерируете секрет клиента в консоли управления AD FS, когда указываете свойства серверного приложения, которое соответствует Kaspersky Security Center Cloud Console.

    • Доменная аутентификация пользователей

      Участники выбранного вами домена смогут входить в Kaspersky Security Center Cloud Console, используя свои доменные учетные данные. Доменные имена появятся в списке после завершения опроса сети.

    • Имя поля для SID пользователя в идентификаторе токена

      Имя поля, которое ссылается на идентификатор безопасности (SID) пользователя в токене идентификатора. Название поля необходимо для идентификации пользователя в Kaspersky Security Center Cloud Console. По умолчанию это поле в токене идентификатора называется 'primarysid'.

    • Имя поля для массива SID групп пользователей в идентификаторе токена

      Имя поля, которое относится к массиву SID групп безопасности Active Directory, в которые входит пользователь. По умолчанию это поле в идентификаторе токена называется 'groupsid'.

17. Сохраните параметры.

Интеграция с AD FS завершена. Чтобы войти в Kaspersky Security Center Cloud Console с учетными данными AD, используйте ссылку в разделе Параметры интеграции с AD FS (Ссылка для входа в Kaspersky с AD FS).

После входа в Kaspersky Security Center Cloud Console с учетными данными AD распространяются следующие ограничения:

• Раздел Data Discovery недоступен в главном меню.
• Элемент Управление учетной записью недоступен в верхней панели.
• Вы не можете переключаться между рабочими областями.

При первом входе в Kaspersky Security Center Cloud Console через AD FS, консоль может реагировать с задержкой.

В начало