Создание баз данных пользователей на одном устройстве

Развернуть всё | Свернуть всё

Для работы компонентов службы идентификации пользователей вам нужно настроить параметры подключения к базам данных PostgreSQL и вручную создать базы данных для хранения информации о пользователях и группах LDAP-пользователей с помощью PostgreSQL. Более подробную информацию о работе с базами данных вы можете получить на официальном сайте PostgreSQL.

Чтобы настроить базы данных PostgreSQL:

1. Установите PostgreSQL:

   sudo apt install postgresql -y

2. Перейдите в директорию /etc/parsec, откройте файл mswitch.conf и измените значение параметра zero_if_notfound на yes для подключения к базам данных.
3. Перезапустите PostgreSQL:

   sudo systemctl restart postgresql

4. Если вы используете Kaspersky NGFW 1.1.2, создайте базу данных пользователей для компонента MapApp с помощью следующих команд:Подключитесь к консоли PostgreSQL:

   sudo -u postgres psql

5. Создайте пользователя uaws для использования компонентами службы идентификации пользователей:

   CREATE USER uaws WITH PASSWORD '<пароль>';

6. Создайте базу данных пользователей для компонента MapApp.

   Команды для создания базы данных компонента MapApp

   CREATE DATABASE usermap;

   ALTER DATABASE usermap OWNER TO uaws;

   \c usermap;

   CREATE SEQUENCE public.changeseq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.changeseq OWNER TO uaws;

   CREATE TABLE public.log_events (

   id bigint NOT NULL,

   username character varying(255) NOT NULL,

   domain character varying(255) NOT NULL,

   ipaddress character varying(15) NOT NULL,

   addtime timestamp without time zone NOT NULL,

   updatetime timestamp without time zone,

   expirytime timestamp without time zone,

   status character varying(16) NOT NULL,

   receivedtime timestamp without time zone,

   changeseq bigint NOT NULL

   )

   WITH (fillfactor='90', autovacuum_vacuum_scale_factor='0.005', autovacuum_vacuum_threshold='1000', autovacuum_analyze_scale_factor='0.005', autovacuum_analyze_threshold='1000', autovacuum_vacuum_cost_limit='8000', autovacuum_vacuum_cost_delay='1');

   ALTER TABLE public.log_events OWNER TO uaws;

   CREATE SEQUENCE public.log_events_changeseq_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_changeseq_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_changeseq_seq OWNED BY public.log_events.changeseq;

   CREATE SEQUENCE public.log_events_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_id_seq OWNED BY public.log_events.id;

   ALTER TABLE ONLY public.log_events ALTER COLUMN id SET DEFAULT nextval('public.log_events_id_seq'::regclass);

   ALTER TABLE ONLY public.log_events ALTER COLUMN changeseq SET DEFAULT nextval('public.log_events_changeseq_seq'::regclass);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_uq_user_domain_ip UNIQUE (username, domain, ipaddress) WITH (fillfactor='90');

   CREATE INDEX log_events_changeseq_idx ON public.log_events USING btree (changeseq);

   CREATE INDEX log_events_ip_upd_desc_idx ON public.log_events USING btree (ipaddress, updatetime DESC) WITH (fillfactor='90');

   CREATE INDEX log_events_ipaddress_idx ON public.log_events USING btree (ipaddress);

   CREATE INDEX log_events_receivedtime_idx ON public.log_events USING btree (receivedtime) WITH (fillfactor='90');

   CREATE INDEX log_events_status_idx ON public.log_events USING btree (status);

   Если вы используете Kaspersky NGFW 1.1.2, создайте базу данных пользователей для компонента MapApp с помощью следующих команд:

   Команды для создания базы данных компонента MapApp для Kaspersky NGFW 1.1.2

   CREATE DATABASE usermap;

   ALTER DATABASE usermap OWNER TO uaws;

   \c usermap;

   CREATE SEQUENCE public.changeseq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.changeseq OWNER TO uaws;

   CREATE TABLE public.log_events (

   id bigint NOT NULL,

   username character varying(255) NOT NULL,

   domain character varying(255) NOT NULL,

   ipaddress character varying(15) NOT NULL,

   addtime timestamp without time zone NOT NULL,

   updatetime timestamp without time zone,

   expirytime timestamp without time zone,

   status character varying(16) NOT NULL,

   receivedtime timestamp without time zone,

   changeseq bigint NOT NULL

   )

   WITH (fillfactor='90', autovacuum_vacuum_scale_factor='0.005', autovacuum_vacuum_threshold='1000', autovacuum_analyze_scale_factor='0.005', autovacuum_analyze_threshold='1000', autovacuum_vacuum_cost_limit='8000', autovacuum_vacuum_cost_delay='1');

   ALTER TABLE public.log_events OWNER TO uaws;

   CREATE SEQUENCE public.log_events_changeseq_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_changeseq_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_changeseq_seq OWNED BY public.log_events.changeseq;

   CREATE SEQUENCE public.log_events_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.log_events_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.log_events_id_seq OWNED BY public.log_events.id;

   ALTER TABLE ONLY public.log_events ALTER COLUMN id SET DEFAULT nextval('public.log_events_id_seq'::regclass);

   ALTER TABLE ONLY public.log_events ALTER COLUMN changeseq SET DEFAULT nextval('public.log_events_changeseq_seq'::regclass);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.log_events

   ADD CONSTRAINT log_events_uq_user_domain_ip UNIQUE (username, domain, ipaddress) WITH (fillfactor='90');

   CREATE INDEX log_events_changeseq_idx ON public.log_events USING btree (changeseq);

   CREATE INDEX log_events_ip_upd_desc_idx ON public.log_events USING btree (ipaddress, updatetime DESC) WITH (fillfactor='90');

   CREATE INDEX log_events_ipaddress_idx ON public.log_events USING btree (ipaddress);

   CREATE INDEX log_events_receivedtime_idx ON public.log_events USING btree (receivedtime) WITH (fillfactor='90');

   CREATE INDEX log_events_status_idx ON public.log_events USING btree (status);

7. Создайте базу данных групп LDAP-пользователей для компонента GroupApp.

   Команды для создания базы данных компонента GroupApp

   CREATE DATABASE groupapp;

   ALTER DATABASE groupapp OWNER TO uaws;

   \c groupapp;

   CREATE SEQUENCE public.changeseq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.changeseq OWNER TO uaws;

   CREATE SEQUENCE public.groupchilds_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.groupchilds_id_seq OWNER TO uaws;

   CREATE TABLE public.groupchilds (

   id bigint DEFAULT nextval('public.groupchilds_id_seq'::regclass) NOT NULL,

   dn character varying(255) NOT NULL,

   whenchanged character varying(30),

   parentid bigint NOT NULL,

   domain character varying(255)

   );

   ALTER TABLE public.groupchilds OWNER TO uaws;

   CREATE TABLE public.groups (

   id bigint NOT NULL,

   name character varying(255) NOT NULL,

   dn character varying(255),

   status character varying(15) NOT NULL,

   lastrequesttime timestamp without time zone NOT NULL,

   updatedtime timestamp without time zone,

   createdtime timestamp without time zone,

   deletedtime timestamp without time zone,

   whenchanged character varying(30),

   domain character varying(255)

   )

   WITH (autovacuum_vacuum_threshold='1000', autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.02', autovacuum_analyze_scale_factor='0.01');

   ALTER TABLE public.groups OWNER TO uaws;

   CREATE SEQUENCE public.groups_id_seq

   as bigint

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.groups_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.groups_id_seq OWNED BY public.groups.id;

   CREATE TABLE public.users (

   id bigint NOT NULL,

   username character varying(255) NOT NULL,

   samaccountname character varying(255) NOT NULL,

   groupid bigint,

   status character varying(15) NOT NULL,

   updatedtime timestamp without time zone,

   createdtime timestamp without time zone,

   deletedtime timestamp without time zone,

   changeseq bigint DEFAULT nextval('public.changeseq'::regclass) NOT NULL,

   domain character varying(255),

   whenchanged character varying(30)

   )

   WITH (autovacuum_freeze_min_age='10000000', autovacuum_enabled='true', autovacuum_vacuum_scale_factor='0.01', autovacuum_analyze_scale_factor='0.005', autovacuum_vacuum_threshold='5000', autovacuum_analyze_threshold='5000', autovacuum_vacuum_cost_limit='2000');

   ALTER TABLE public.users OWNER TO uaws;

   CREATE SEQUENCE public.users_id_seq

   START WITH 1

   INCREMENT BY 1

   NO MINVALUE

   NO MAXVALUE

   CACHE 1;

   ALTER TABLE public.users_id_seq OWNER TO uaws;

   ALTER SEQUENCE public.users_id_seq OWNED BY public.users.id;

   ALTER TABLE ONLY public.groups ALTER COLUMN id SET DEFAULT nextval('public.groups_id_seq'::regclass);

   ALTER TABLE ONLY public.users ALTER COLUMN id SET DEFAULT nextval('public.users_id_seq'::regclass);

   ALTER TABLE ONLY public.groupchilds

   ADD CONSTRAINT groupchilds_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.groups

   ADD CONSTRAINT groups_pkey PRIMARY KEY (id);

   ALTER TABLE ONLY public.users

   ADD CONSTRAINT test_constraint_1 UNIQUE (groupid, username);

   ALTER TABLE ONLY public.users

   ADD CONSTRAINT users_pkey PRIMARY KEY (id);

   CREATE UNIQUE INDEX groupchilds_dn_parent ON public.groupchilds USING btree (dn, parentid);

   CREATE INDEX idx_groups_name ON public.groups USING btree (name);

   CREATE INDEX idx_users_deletedtime_deleted ON public.users USING btree (deletedtime) WHERE ((status)::text = 'deleted'::text);

   CREATE INDEX idx_users_group_change_status ON public.users USING btree (groupid, changeseq DESC, status) INCLUDE (samaccountname, status);

   CREATE INDEX users_actual_changeseq_desc ON public.users USING btree (changeseq DESC) INCLUDE (groupid, samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_actual_changeseq_group_idx ON public.users USING btree (changeseq DESC, groupid) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_actual_gid_changeseq_desc ON public.users USING btree (groupid, changeseq DESC) INCLUDE (samaccountname) WHERE ((status)::text = 'actual'::text);

   CREATE INDEX users_domain_whenchanged_desc ON public.users USING btree (domain, whenchanged DESC);

   Start9577815/Если вы используете Kaspersky NGFW 1.1.2, создайте базу данных пользователей для компонента MapApp с помощью следующих команд:

   Команды для создания базы данных компонента GroupApp для Kaspersky NGFW 1.1.2

8. Завершите работу с PostgreSQL:

   \q

Базы данных подготовлены и могут быть использованы компонентами службы идентификации пользователей.

Если вы используете Kaspersky NGFW 1.1.2, для дополнительной защиты мы рекомендуем запретить удаленное подключения пользователю postgres и разрешить подключаться пользователю uaws с выбранных ip-адресов.

Чтобы обеспечить дополнительную защиту:

1. Откройте файл pg_hba.conf.
2. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное подключение для пользователя postgres:

      hostssl all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      hostssl all uaws <IP-адрес/подсеть> scram-sha-256

3. Укажите следующие значения и параметры, если вы используете SSL-протокол для подключения:
   1. Запретите удаленное SSL-подключение для пользователя postgres:

      host all postgres 0.0.0.0/0 reject

   2. Разрешите удаленное SSL-подключение для пользователя uaws с IP-адресов и подсети, из которой подключаются компоненты службы идентификации пользователей:

      host all uaws <IP-адрес/подсеть> scram-sha-256

4. Откройте файл postgresql.conf.
5. Укажите параметры SSL-сертификатов:

   ssl = on

   ssl_ca_file = '/etc/ssl/certs/ca.pem'

   ssl_cert_file = '/etc/ssl/certs/postgres.pem'

   ssl_key_file = '/etc/ssl/private/postgres.key'

Дополнительная защита будет установлена.