Настройка доменной аутентификации Kerberos

Развернуть всё | Свернуть всё

Kaspersky EDR Expert позволяет использовать доменную аутентификацию по протоколу Kerberos. Доменная аутентификация позволяет вам включить безопасную аутентификацию в Консоли OSMP без повторного ввода пароля в корпоративной сети (единый вход).

Сначала вам нужно настроить контроллер домена для использования Kerberos и создать файл keytab. Подробнее см. документацию к контроллеру домена.

SCRIL (для интерактивного входа требуется смарт-карта) поддерживается для Microsoft Active Directory.

Создание файла keytab для FreeIPA и AldPro

Чтобы создать файл keytab:

1. Создайте учетную запись, которая будет использоваться IAM для доступа к контроллеру домена.
2. Если Сервер администрирования находится за пределами домена FreeIPA/AldPro, добавьте запись DNS и запись устройства:

   ipa dnsrecord-add <zoneName> <recordName> --a-rec <Administration Server IP address>

   ipa host-add --password=<password> <Administration Server host address>

3. Укажите тип PAC при создании HTTP-сервиса для Сервера администрирования:

   ipa service-add HTTP/<console_host>.<smp_domain>@<DOMAIN WRITTEN IN CAPITAL LETTERS> --ok-to-auth-as-delegate=true --pac-type PAD

   Здесь <console_host> – это имя устройства службы, а <smp_domain> – это доменное имя. Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

4. Укажите учетную запись для аутентификации:

   ipa service-allow-retrieve-keytab HTTP/<Administration Server host address>@<DOMAIN WRITTEN IN CAPITAL LETTERS> --user=<user>

5. Экспортируйте файл keytab:

   ipa-getkeytab -s <domain controller address> -p HTTP/<Administration Server host address>@<DOMAIN WRITTEN IN CAPITAL LETTERS> -k /tmp/h.keytab

Создание файла keytab для Microsoft Active Directory

Чтобы создать файл keytab:

1. Создайте учетную запись, которая будет использоваться IAM для связи с контроллером домена.
2. Включите следующие параметры для учетной записи:
   • Запрет изменения пароля пользователем.
   • Kerberos AES 256-разрядное шифрование.

   Вы можете включить параметр Срок действия пароля не ограничен, чтобы избежать повторной выдачи файла keytab каждый раз, когда истекает срок действия пароля.

3. Добавьте имя субъекта-службы (SPN) в учетную запись:

   setspn -S HTTP/<> <DOMAIN WRITTEN IN CAPITAL LETTERS>\<user>

4. Экспортируйте файл keytab:

   ktpass -out C:\<folder>\<keytab file name> -princ HTTP/<console_host>.<smp_domain>@<DOMAIN WRITTEN IN CAPITAL LETTERS> -mapuser <user>@<DOMAIN WRITTEN IN CAPITAL LETTERS> -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass <user password> -mapop set

   Здесь <console_host> – это имя устройства службы, а <smp_domain> – это доменное имя. Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

Создание файла keytab для Samba

Чтобы создать файл keytab:

1. Создайте учетную запись, которая будет использоваться IAM для связи с контроллером домена:

   samba-tool user add <user>

2. Добавьте имя субъекта-службы к учетной записи:

   samba-tool spn add HTTP/<console_host>.<smp_domain> <user>

   Здесь <console_host> – это имя устройства службы, а <smp_domain> – это доменное имя. Имя устройства службы и доменное имя являются частью FQDN-службы. Например, если значение переменной console_host равно console, а значение переменной smp_domain равно smp.local, тогда полное имя службы, предоставляющей доступ к Консоли OSMP, принимает значение console.smp.local.

3. Экспортируйте файл keytab:

   samba-tool domain exportkeytab /tmp/file.keytab --principal=HTTP/<console_host>.<smp_domain>

Включение доменной аутентификации Kerberos

Чтобы включить доменную аутентификацию Kerberos:

1. Выполните опрос контроллеров домена.
2. В главном окне приложения перейдите в раздел Параметры → Единый вход.
3. Включите параметр Аутентификация Kerberos.
4. Загрузите файл keytab.
5. Назначьте доменным пользователям роль, которая предоставляет доступ к Консоли OSMP.

   Доменная аутентификация Kerberos включена для доменных пользователей.