Подключение к службе идентификации пользователей

Служба идентификации пользователей (далее также UAWS) предоставляет Kaspersky NGFW информацию о подключенных к решению пользователях и группах пользователей, что позволяет настраивать политики и правила Kaspersky NGFW для конкретных пользователей и групп пользователей. Служба в автоматическом режиме определяет, какому пользователю принадлежит тот или иной IP-адрес в сети, и передает эту информацию на сетевой экран для применения политик доступа, основанных на учетных данных.

Если в политике межсетевого экрана указана не отдельная учетная запись, а группа пользователей, система выполняет раскрытие этой группы: получает полный список всех входящих в нее пользователей, включая вложенные группы. Для каждого из этих пользователей определяется его текущий IP-адрес, после чего формируется актуальный набор соответствий "пользователь – IP-адрес". Этот набор используется при принятии решений о разрешении или блокировке трафика в соответствии с заданными правилами фильтрации.

Перед настройкой подключения убедитесь, что служба идентификации пользователей развернута.

Вы можете настроить подключение к службе идентификации пользователей в сетевых шаблонах или на устройстве Kaspersky NGFW. Параметры подключения, настроенного в сетевом шаблоне, автоматически распространяются на все устройства, которые используют этот шаблон.

Чтобы настроить подключение к службе идентификации пользователей:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к настройке параметров подключения одним из следующих способов:
   • Если вы хотите настроить подключение в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и перейдите в раздел Система → Служба идентификации пользователей.
   • Если вы хотите настроить подключение на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и перейдите в раздел Система → Служба идентификации пользователей.

   Откроется страница параметров подключения к службе идентификации пользователей.

3. При настройке подключения к службе идентификации пользователей на устройстве включите переключатель Переопределить, чтобы разблокировать для изменения параметры, унаследованные от сетевого шаблона.
4. Переведите переключатель Статус в положение Вкл, чтобы перейти к настройке подключения.
5. На вкладке Параметры соединения из раскрывающегося списка VRF выберите VRF, через который будет осуществляться подключение к службе идентификации пользователей.
6. Настройте параметры подключения к компонентам обработки событий (MapApp) и компоненту обработки групп пользователей (GroupApp):
   1. В блоке параметров MapApp выберите Тип адреса – в каком формате вводить адрес службы MapApp.
   2. Введите адрес службы MapApp в выбранном формате и порт.
   3. В блоке параметров GroupApp выберите Тип адреса – в каком формате вводить адрес службы GroupApp.
   4. Введите адрес службы GroupApp в выбранном формате и порт.
   5. В блоке параметров Интервалы обновления при необходимости измените значения по умолчанию для частоты обновления соответствия пользователей IP-адресам и состава групп пользователей.
7. Перейдите на вкладку Аутентификация и загрузите сертификаты, необходимые для подключения к службе идентификации пользователей:
   1. Загрузите публичный сертификат. Для этого нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

      Сертификат должен соответствовать следующим требованиям:

      • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
      • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, der. При этом допускается использовать другие форматы.
      • Максимальный размер файла – 64 КБ.
      • Поддерживаются следующие алгоритмы шифрования:
        • ED25519;
        • RSA.
      • Максимальная поддерживаемая длина ключа:
        • для ключей ED25519 – 256 бит;
        • для ключей RSA – 2048 бит.
      • Сертификат должен быть действующим. Вы не сможете загрузить просроченный сертификат или сертификат, срок действия которого еще не начался.
      • Значение поля Общее имя не должно быть пустым.
      • Сертификат должен быть с приватным ключом. Приватный ключ должен подходить к загруженному сертификату.

      Вы можете просмотреть загруженный сертификат после сохранения изменений, нажав Просмотреть.

   2. Загрузите публичный сертификат CA. Для этого нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл сертификата. Если сертификат не может быть загружен, отобразится сообщение об ошибке с описанием причины.

      Требования к сертификату CA аналогичны требованиям к публичному сертификату, указанным в предыдущем пункте.

      Вы можете просмотреть загруженный сертификат после сохранения изменений, нажав Просмотреть.

   3. Загрузите закрытый ключ сертификата. Для этого нажмите на кнопку Загрузить и в открывшемся окне выберите нужный файл закрытого ключа.

      Закрытый ключ должен соответствовать следующим требованиям:

      • Файл должен быть текстового формата (PEM) или бинарного формата (ASN.1).
      • Рекомендуется использовать файл с расширениями .crt, .cer, .cert, .pem, .der. При этом допускается использовать другие форматы.
      • Максимальный размер файла – 64 КБ.
      • Гарантированно поддерживаются следующие алгоритмы шифрования:
        • ED25519;
        • RSA.

        Рекомендуется не использовать алгоритмы RSASSA-PSS with MD5, MD5WithRSA, SHA-1, DSA.

      • Максимальная поддерживаемая длина ключа:
        • для ключей ED25519 – 256 бит;
        • для ключей RSA – 2048 бит.
      • Поддерживается только AES-шифрование приватного ключа.

        Во избежание несанкционированного доступа к трафику файл закрытого ключа необходимо хранить в защищенном месте.

   4. Если закрытый ключ защищен паролем, включите переключатель Ключ зашифрован и в поле Пароль введите пароль к закрытому ключу.
8. Нажмите Сохранить или Сохранить и закрыть, чтобы сохранить изменения.

Подключение к службе идентификации пользователей настроено.