Варианты развертывания службы идентификации пользователей

Доступны следующие варианты развертывания службы идентификации пользователей Kaspersky NGFW:

• Развертывание на одном устройстве – компоненты службы идентификации пользователей и необходимые программы устанавливаются на одном устройстве в единственном экземпляре.
• Развертывание в отказоустойчивом кластере – компоненты службы идентификации пользователей и необходимые программы разворачиваются в кластере, состоящем из двух узлов, один из которых считается основным, а другой – резервным. Если основной узел недоступен, служба идентификации пользователей автоматически переключается на использование резервного узла. В качестве узлов могу выступать виртуальные машины или хосты.

Минимальные требования к устройствам

В зависимости от варианта развертывания на устройстве или узлах (в случае развертывания в кластере) должна быть установлена операционная система Astra Linux версии 1.8.3 или Ubuntu версии 22.04.

Для работы компонентов службы идентификации пользователей на устройстве или узлах необходимо установить следующие программы и их зависимости:

• Для обоих вариантов развертывания:
  • Docker.
  • OpenSSL и keytool.
  • PostgreSQL.
  • Java Development Kit.
• Для развертывания на одном устройстве: Docker Compose.
• Для развертывания в отказоустойчивом кластере на обоих узлах:
  • Pacemaker.
  • pcs.

Минимальные аппаратные требования к устройствам:

• 4 ядра CPU;
• объем оперативной памяти: 4 ГБ;
• свободное пространство на жестком диске: 50 ГБ.

Этапы развертывания службы идентификации пользователей

Сценарий развертывания службы идентификации пользователей состоит из следующих этапов:

1. Подготовка конфигураций для компонентов службы идентификации пользователей

   Для каждого компонента службы идентификации пользователей подготовьте файлы конфигурации в формате YAML.

2. Создание сертификатов

   Выпустите сертификаты для компонентов службы и подключения к контроллерам домена Microsoft Active Directory.

3. Настройка удаленного подключения к контроллеру домена

   Настройте подключение через WinRM по протоколу HTTPS к контроллеру домена Microsoft Active Directory.

4. Развертывание службы идентификации пользователей

   В зависимости от выбранного варианта выполните необходимые действия для развертывания службы идентификации пользователей:

   • Для развертывания на одном устройстве: подготовьте базы данных пользователей и запустите компоненты службы идентификации пользователей.
   • Для развертывания в отказоустойчивом кластере: подготовьте базы данных пользователей и настройте доступ к ним с основного и резервного узлов, подготовьте компоненты службы идентификации пользователей на обоих узлах, настройте кластер с помощью Pacemaker.
5. Развертывание компонента Captive-портал. Опционально

   Разверните и настройте компонент Captive-портал с возможностью ручного ввода данных для аутентификации для определения принадлежности трафика пользователю.