Механизм работы с службами каталогов

При формировании подсистемы безопасности репозитория в менеджере безопасности создаются пользователи и группы. Если предполагается вход в репозитории с использованием доменной/интегрированной доменной аутентификации, то в менеджере безопасности необходимо добавить доменных пользователей и группы.

«Форсайт. Аналитическая платформа» получает информацию о доменных субъектах безопасности из службы каталогов домена или глобального каталога, которые должны быть настроены в компьютерной сети. Механизм взаимодействия зависит от типа используемой службы каталогов и от операционной системы, которая установлена на сервере службы каталогов. Поддерживается работа с такими службами каталогов, как: Active Directory, OpenLDAP. Взаимодействие со службами каталогов осуществляется по протоколу LDAP.

Дополнительные настройки

Если осуществляется подключение к службе каталогов текущего домена (глобальному каталогу текущей сети) и служба сформирована на базе Active Directory (ОС Windows), то каких-либо дополнительных настроек на стороне «Форсайт. Аналитическая платформа» производить не требуется.

Если служба каталогов расположена на сервере с ОС Linux или необходимо подключиться к службе каталогов не текущей, а какой-либо другой сети (сервер с ОС Linux или Windows), то для взаимодействия будет использоваться OpenLDAP (открытая реализация протокола LDAP). Если доступ осуществляется с компьютера с ОС Linux, то используются системные библиотеки OpenLDAP. На компьютерах с ОС Windows потребуется установка стороннего программного обеспечения, предоставляющего реализацию OpenLDAP (например, OpenLDAP for Windows). Для работы аутентификации по протоколу GSSAPI в серверах LDAP и PostgreSQL требуется установка «MIT Kerberos for Windows 4.1» (разрядность должна совпадать с разрядностью используемой версии «Форсайт. Аналитическая платформа»). Также потребуется доработать конфигурационные файлы:

Ниже приведены примеры файла Settings.xml в зависимости от типа ОС, на базе которой работает служба каталогов. В атрибуте url необходимо указать адрес сервера службы каталогов, а в атрибуте base компоненты домена. Данную информацию можно получить у администратора сети, в которой расположен сервер.

Примечание. Задавать base одновременно в ldap.conf и в settings.xml одновременно нельзя.

<Configuration>
<Root>

<Key Name="PP">

<BIS>

<Key Name="System">

<Ldap Proto="LDAP" url="ldap://адрес и порт сервера службы каталогов" base="dc=...,dc=..." libldap="libldap.dll" liblber="libldap.dll" >

<user filter="(&amp;(objectClass=user)(sAMAccountType=805306368))" groupsFilter="(&amp;(member=%1)(objectClass=group)(sAMAccountType=268435456))">

<Key Name="a0" ldap="objectClass" filter="user"/>

<Key Name="a1" ldap="distinguishedName" map_to="DistinguishedName" get_full_domain="1"/>

<Key Name="a2" ldap="sAMAccountName" map_to="sAMAccountName" make_sam_account="1"/>

<Key Name="a3" ldap="cn" map_to="DisplayName"/>

<Key Name="a4" ldap="objectSid" map_to="Sid"/>

<Key Name="a5" ldap="description" map_to="Descr"/>

<Key Name="a6" ldap="name" map_to="LookupName"/>

<Key Name="a7" ldap="userPrincipalName" map_to="userPrincipalName"/>

</user>

<group filter="(&amp;(objectClass=group)(sAMAccountType=268435456))">

<Key Name="a1" ldap="objectClass" filter="group"/>

<Key Name="a2" ldap="distinguishedName" map_to="DistinguishedName" get_full_domain="1"/>

<Key Name="a3" ldap="cn" map_to="DisplayName"/>

<Key Name="a4" ldap="objectSid" map_to="Sid"/>

<Key Name="a5" ldap="description" map_to="Descr"/>

<Key Name="a6" ldap="name" map_to="LookupName"/>

<Key Name="a7" ldap="sAMAccountName" map_to="sAMAccountName"  make_sam_account="1"/>

</group>

<credentials realm="" username="..." password="..." mechanism="GSSAPI"/>

</Ldap>

<Gssapi libgssapi="libgssapi_krb5.so.2" libgssapi_32="gssapi32.dll" libgssapi_64="gssapi64.dll" libkrb5="libkrb5.so.3" libkrb5_32="krb5_32.dll" libkrb5_64="krb5_64.dll"/>

</Key>

</BIS>

</Key>

</Root>
</Configuration>

<Configuration>
<Root>

<Key Name="PP">

<BIS>

<Key Name="System">

<Ldap Proto="LDAP" url="ldap://адрес и порт сервера службы каталогов" base="dc=...,dc=..." libldap="libldap.dll" liblber="libldap.dll">

<user filter="(objectClass=posixAccount)" groupsFilter="(&amp;(|(memberUid=%1))(objectClass=posixGroup))">

<Key Name="a0" ldap="objectClass" filter="posixAccount"/>

<Key Name="a1" ldap="dn" map_to="DistinguishedName" get_full_domain="1"/>

<Key Name="a2" ldap="uid" map_to="name" make_upn="1" make_sam_account="1"/>

<Key Name="a3" ldap="cn" map_to="DisplayName"/>

<Key Name="a4" ldap="entryUUID" map_to="Sid" sid_prefix="1"/>

<Key Name="a5" ldap="description" map_to="Descr"/>

<Key Name="a6" ldap="name" map_to="LookupName"/>

</user>

<group filter="(objectClass=posixGroup)">

<Key Name="a1" ldap="objectClass" filter="posixGroup"/>

<Key Name="a2" ldap="dn" map_to="DistinguishedName" get_full_domain="1"/>

<Key Name="a3" ldap="cn" map_to="DisplayName" make_sam_account="1"/>

<Key Name="a4" ldap="entryUUID" map_to="Sid" sid_prefix="1"/>

<Key Name="a5" ldap="description" map_to="Descr"/>

<Key Name="a6" ldap="name" map_to="LookupName"/>

</group>

<credentials realm="" username="..." password="..." mechanism=""/>

</Ldap>

</Key>

</BIS>

</Key>

</Root>
</Configuration>