Page History

...

Статус взаимодействия с интеграционной службой adctool с возможностью отправки команды на её перезапуск.
Список подключенных доменов, с информацией:
- название домена
- для каждого из серверов кластера WNAM:
  - типы и статус интеграционных сервисов (LDAP, IPA/LDAP и NTLM-коннекторы);
  - имя хоста
  - число доменных групп, найденных и отмеченных к дальнейшему использованию в профилях аутентификации.
  - дата и время последнего успешного обновления данных

Image RemovedImage Added

При нажатии на кнопку "Подключить новый домен AD" будет открыто окно с вводом параметров:

Image RemovedImage Added

Warning

Необходимо указать, как минимум, имя домена и верные учетные данные администратора, который будет подключать сервер WNAM к домену (предпочтительнее с ролью доменного администратора). Вместо этого, вы можете попросить администратора вашего домена ActiveDirectory делегировать вашей собственной доменной учетной записи право создавать записи о компьютерах в домене.

...

под собственным именем сервера, например, WNAM-15, для целей NTLM-взаимодействия (используя samba/winbind);
под именем сервера с постфиксом "-ADC", например, WNAM-15-ADC, для целей LDAP-взаимодействия (используя python/ldap3).

Обращаем внимание, что сервер WNAM будет введен в домен дважды, как две разные рабочие станции.

Warning

Для корректной работы LDAP-подключения необходимо, чтобы ваш контроллер домена поддерживал TLS-соединение по протоколу LDAP. Система WNAM не поддерживает подключение по LDAP без шифрования, т.к. он обязательно для создания машинной учётной записи. Для поддержки шифрования в канале LDAP необходимо включить на контроллере домена поддержку TLS, для чего на контроллер домена необходимо поместить SSL-сертификат с ключом. Для того, чтобы это сделать следует обратиться к документации вендора Майкрософт либо к более детальной инструкции.

WNAM поддерживает одновременное взаимодействие с несколькими несвязанными доменами (мульти-домен). Для этого вам необходимо установить на сервер WNAM специальную библиотеку libwinbind-client.so (вручную, или скриптом upgrade-adctool.sh, либо она уже присутствует в эталонном образе виртуальной машины).

Оба механизма взаимодействия используют надежную авторизацию, основанную на автоматически обновляемых Kerberos-тикетах. При проведении запросов к контроллеру домена применяется машинная авторизация вашего сервера WNAM и не используются служебные пользовательские учетные записи.

Если вы отключите чекбокс "Использовать для PEAP/NTLM (samba)" при создании подключения, запустится только LDAP-коннектор. Этого достаточно, если вы делаете подключение для проверки доменных учетных данных при логине через TACACS+, в веб-интерфейс WNAM, для сопоставления с группами/атрибутами при EAP-TLS авторизации.

Вы также можете указать, при необходимости, адрес вашего ближайшего LDAP-сервера, имя сайта Active Directory, если ваш домен очень большой и распределенный. Это позволит избежать ненужного поиска всех контроллеров в домене.

Если NETBIOS-имя вашего домена отличается от первой части (до точки) полного названия домена, что может случаться, если ваш домен создавался очень давно, укажите его старое имя (рабочей группы).

...

Если подключение к домену прошло успешно, в таблице будет отображена новая строка с информацией о статусе доменного подключения. При нажатии на строку правой кнопкой мыши открывается окно с информацией о группах домена и различных действиях с ним:

Image RemovedImage Added

Список групп домена можно загрузить по кнопке "Обновить список групп". Для больших доменов можно воспользоваться фильтром:

Image RemovedImage Added

В полученном списке можно отметить интересующие группы чекбоксами и сохранить его. Отмеченные группы появляются в окнах выбора групп, например, в профилях аутентификации. Также можно загрузить список атрибутов LDAP-объекта типа "Пользователь", для этого следует воспользоваться вкладкой "Атрибуты" и кнопкой "Получить...":

Image RemovedImage Added