Настройка доменной аутентификации для Сервера администрирования с помощью флагов

Поддерживается только Simple/SASL аутентификация (по паролю; SASL DIGEST-MD5; SASL EXTERNAL-TLS) на Сервере администрирования через Microsoft Active Directory.

Аутентификация FreeIPA/ALD Pro не поддерживается.

Чтобы выполнить доменную Simple/SASL аутентификацию:

1. На контроллере домена настройте протокол LDAPS (LDAP over TLS).

   Для этого получите, установите и настройте на контроллере домена корневой и/или промежуточный сертификат центра сертификации, выдавшего сертификат контроллеру, либо самоподписанный сертификат контроллера домена. Порядок настройки сертификата для LDAPS описан в документации Microsoft Active Directory.

2. В поле SAN сертификата укажите адреса всех контроллеров доменов и имя домена.

   При аутентификации Сервер администрирования выполнит строгую проверку сертификата контроллера домена.

3. Поместите сертификат контроллера домена в системное хранилище сертификатов.

   Если вы хотите хранить сертификат в отдельной директории, задайте путь к файлу сертификата LDAP-сервера с помощью флага KLNAG_LDAP_SSL_CACERT:

   klscflag -fset -pv klnagent -n KLNAG_LDAP_SSL_CACERT -t s -v "/var/opt/kaspersky/ldap_cert.crt"

Сканирование домена выполнено.

Нажмите здесь, чтобы просмотреть примеры установки сертификата контроллера домена в системное хранилище сертификатов для различных операционных систем.

Настройка доменной Simple/SASL аутентификации выполняется с помощью следующих флагов:

• KLNAG_LDAP_REFERRAL_BEHAVIOR – управляет обработкой реферального ответа при поиске пользователя на контроллере домена, который используется для аутентификации.
  

  Реферальные ответы (LDAP referral) – это механизм перенаправления LDAP-запросов в случаях, когда на контроллере домена отсутствует копия запрашиваемого раздела. Подробную информацию о реферальных ответах см. в документации Microsoft.

  Значение по умолчанию: KLNAG_LDAP_REFERRAL_BEHAVIOR = 1

• KLNAG_LDAP_USR_INFO_IGNORE_REF_ERR – управляет обработкой реферального ответа при запросе дополнительных данных этого пользователя.

  Значение по умолчанию: KLNAG_LDAP_USR_INFO_IGNORE_REF_ERR = 0

Рекомендуется оставлять значения флагов по умолчанию, за исключением следующих случаев:

• В вашей инфраструктуре несколько контроллеров домена и/или несколько доменных зон, а учетная запись, используемая для аутентификации на Сервере администрирования, может находиться на разных контроллерах домена и иметь отличающийся SID. При этом реферальные ответы (LDAP referral) от глобального каталога не приводят к недоступным контроллерам.

  Для флага KLNAG_LDAP_REFERRAL_BEHAVIOR установите значение 2, выполнив команду:

  ./klscflag -fset -pv klnagent -n KLNAG_LDAP_REFERRAL_BEHAVIOR -t d -v 2

• В вашей инфраструктуре возможны реферальные ответы, указывающие на недоступные контроллеры домена (например, из-за сетевых ограничений).

  Установите значения флагов KLNAG_LDAP_REFERRAL_BEHAVIOR=0 и KLNAG_LDAP_USR_INFO_IGNORE_REF_ERR=1, выполнив команды:

  ./klscflag -fset -pv klnagent -n KLNAG_LDAP_REFERRAL_BEHAVIOR -t d -v 0

  ./klscflag -fset -pv klnagent -n KLNAG_LDAP_USR_INFO_IGNORE_REF_ERR -t d -v 1