2.1 Требования к программному обеспечению

Требования к конфигурации программного обеспечения (далее по тексту – ПО) компьютера, при которых гарантируется корректная работа SecurLogon, приведены в таблице (Таблица 3).

Таблица 3 – Требования к программному обеспечению

2.2. Требования к вводу ПК в домен Active Directory

2.2.1. Ввод ПК под управлением ОС Astra Linux в домен

Для успешного применения настройки сетевой аутентификации ввод ПК под управлением ОС Astra Linux в домен Windows Active Directory или в домен Samba должен быть выполнен с использованием инструментария sssd:

• графический инструмент fly-admin-ad-sssd-client;
• инструмент командной строки astra-ad-sssd-client.

2.2.1.1. Установка пакета realmd

Для установки пакета realmd:

• скачайте пакет realmd (версия пакета должна соответствовать установленному обновлению ОС);
• установите скачанный пакет сервиса D-Bus, позволяющий проводить настройку аутентификации и членства в домене, выполнив команду:

sudo apt install Загрузки/realmd_ххх_хх.deb

2.2.1.2. Установка графического инструмента fly-admin-ad-sssd-client

Для установки графического инструмента fly-admin-ad-sssd-client выполните команду:

sudo apt install fly-admin-ad-sssd-client

В процессе установки графического инструмента будет автоматически установлен инструмент командной строки astra-ad-sssd-client.

2.2.1.3. Ввод ПК в домен с использованием графического инструмента
fly-admin-ad-sssd-client

Установленный инструмент fly-admin-ad-sssd-client доступен в графическом меню: «Пуск» → «Панель управления» → «Сеть» → «Настройка клиента SSSD Fly».

Для ввода ПК под управлением Astra Linux в домен Active Directory запустите инструмент fly-admin-ad-sssd-client, в графическом интерфейсе которого укажите имя домена, логин и пароль администратора домена, после чего нажмите кнопку <Подключиться> (Рисунок 4).

Рисунок 4 – Окно настройки клиента SSSD Fly

2.2.1.4. Ввод ПК в домен с использованием инструмента командной строки
astra-ad-sssd-client

Для ввода ПК в домен:

1) выполните команду:

sudo astra-ad-sssd-client -d dc01.example.com -u Администратор

где:

• «–d dc01.example.com» – имя контроллера домена;
• «–u Администратор» – имя администратора домена;
• Пример диалога при выполнении команды:

compname = astra01

domain = dc01.example.com

username = admin

введите пароль администратора домена:

ok

продолжать? (y\N)

y

настройка сервисов...

Завершено.

Компьютер подключен к домену.

Для продолжения работы, необходимо перезагрузить компьютер!

2) для завершения подключения к домену перезагрузите ПК, выполнив команду:

sudo reboot

Примечание. Подсказка по команде astra-ad-sssd-client:

sudo astra-ad-sssd-client -h

Usage: astra-ad-sssd-client <ключи>

ключи:

-h,--help   справка по команде

-d   домен (если не указан, берется из hostname.resolv.conf)

-y   отключает запрос подтверждения

-i   информация по текущему подключению

-u   логин администратора домена

-n   сервер времени

-px получает пароль администратора домена от внешнего сценария через перенаправление стандартного ввода (stdin)

-p   пароль администратора домена

-U   удаление

--par   позволяет указать параметры команды вручную

3) после перезагрузки ПК проверить статус подключения к домену можно следующими способами:

• получить билет Kerberos от имени администратора домена:

kinit admin@dc01.example.com

• проверить статус подключения к домену:

sudo astra-ad-sssd-client -i

Примечание. Подробная инструкция по вводу ПК под управлением ОС Astra Linux в домен приведена на официальном сайте https://wiki.astralinux.ru/.

2.2.2. Ввод ПК под управлением РЕД ОС в домен

2.2.2.1. Проверка настройки сети

Перед вводом ПК под управлением РЕД ОС в домен проверьте настройки сети, выполнив команду:

ping -c 3 dc.win.redos

где dc.win.redos – имя контроллера домена.

Примечание. Пример вывода указанной команды:

PING dc.win.redos (10.81.1.196) 56(84) bytes of data.

64 bytes from dc.win.redos (10.81.1.196): icmp_seq=1 ttl=128 time=0.320 ms

64 bytes from dc.win.redos (10.81.1.196): icmp_seq=2 ttl=128 time=0.601 ms

64 bytes from dc.win.redos (10.81.1.196): icmp_seq=3 ttl=128 time=0.701 ms

2.2.2.2. Обновление утилиты join-to-domain

Для обновления утилиты join-to-domain до последней версии выполните команду:

sudo dnf update join-to-domain

2.2.2.3. Ввод ПК в домен с использованием утилиты join-to-domain в графическом режиме

Для ввода ПК в домен:

• перейдите в раздел «Главное меню» → «Системные» → «Ввод ПК в домен» для запуска утилиты join-to-domain в графическом режиме;
• введите пароль суперпользователя root в окне запроса аутентификации;
• выберите тип домена на базе Windows (Active Directory) / Sambaили FreeIPA, после чего нажмите кнопку <Оk>;
• в окне утилиты join-to-domain заполните поля, где укажите имя домена, логин и пароль администратора домена, имя подключаемого ПК;
• нажмите кнопку <Да> для запуска процесса присоединения ПК к домену;
• в случае успешного ввода ПК в домен появится соответствующее уведомление;
• перезагрузите ПК и войдите в РЕД ОС, используя логин и пароль пользователя домена.

2.2.2.4. Ввод ПК в домен с использованием утилиты join-to-domain в консольном режиме

Для ввода ПК в домен:

• откройте консоль и выполните запуск скрипта join-to-domain.sh с привилегиями суперпользователя root;
• в интерактивном режиме произведите настройку необходимых параметров для ввода ПК в домен;
• перезагрузите ПК и войдите в РЕД ОС, используя логин и пароль пользователя домена.

Примечание. Подробная инструкция по вводу ПК под управлением РЕД ОС в домен приведена на официальном сайте https://redos.red-soft.ru/base/arm/arm-domen/arm-msad/join-to-domain/.

2.2.3. Ввод ПК под управлением ОС Альт в домен

2.2.3.1. Установка пакета task-auth-ad-sssd

Для ввода ПК под управлением ОС Альт в домен Active Directory установите пакет task-auth-ad-sssd:

sudo apt-get install task-auth-ad-sssd

2.2.3.2. Настройка сети

Перед вводом ПК в домен должна быть выполнена настройка сети в консольном или графическом режиме.

Для настройки сети в графическом режиме:

1) задайте имя ПК, выполнив команду:

hostnamectl set-hostname host-15.test.alt

2) в качестве первичного DNS укажите DNS-сервер домена. Для этого создайте файл /etc/net/ifaces/eth0/resolv.conf со следующим содержимым:

nameserver 192.168.0.113

где 192.168.0.113 – IP-адрес DNS-сервера домена;

3) укажите службе resolvconf использовать DNS контроллера домена для поиска. Для этого в файле /etc/resolvconf.conf добавьте/отредактируйте следующие параметры:

interface_order='lo lo[0-9]* lo.* eth0'

search_domains=test.alt

где:

• eth0 – интерфейс, на котором доступен контроллер домена;
• alt – домен;

4) обновите DNS адреса, выполнив команду:

resolvconf -u

В результате в файле /etc/resolv.conf появятся строки:

search test.alt

nameserver 192.168.0.113

2.2.3.3. Ввод ПК в домен в графическом режиме

Для ввода ПК в домен:

• в Центре управления ОС перейдите в раздел «Пользователи» → «Аутентификация»;
• в открывшемся окне выберите пункт «Домен Active Directory», заполните необходимые поля и нажмите кнопку <Применить>;
• в окне запроса введите имя и пароль пользователя, имеющего право подключать ПК в домен, и нажмите кнопку <ОК>;
• в случае успешного подключения ПК к домену будет выведено соответствующее уведомление;
• перезагрузите ПК.

2.2.3.4. Ввод ПК в домен в консольном режиме

Для ввода ПК в домен откройте консоль и выполните команду:

system-auth write ad test.alt host-15 test 'administrator' 'Pa$$word'

Joined 'HOST-15' to dns domain 'test.alt'

Примечание. Подробная инструкция по вводу ПК под управлением ОС Альт в домен приведена на официальном сайте https://docs.altlinux.org/ru-RU/alt-education/10.0/html/alt-education/activedirectory-login--chapter.html.

2.3. Требования к техническому обеспечению

Минимальные требования к техническому обеспечению ПК с установленным SecurLogon, при которых обеспечивается корректная работа программы, приведены в таблице (Таблица 4).

Таблица 4 – Требования к техническому обеспечению

2.4. Требования к совместимости

2.4.1. Поддерживаемые устройства аутентификации

Для надежного хранения ключевой информации могут быть использованы следующие модели устройств аутентификации (токенов, электронных ключей):

• JaCarta 2 ГОСТ;
• JaCarta PRO;
• JaCarta PRO/ГОСТ;
• JaCarta-2 PRO/ГОСТ;
• JaCarta PKI;
• JaCarta PKI/Flash;
• JaCarta PKI/ГОСТ/Flash;
• JaCarta-2 PKI/ГОСТ;
• JaCarta PKI/ГОСТ;
• JaCarta SF/ГОСТ;
• JaCarta SecurBIO;
• Aladdin LiveOffice;
• Рутокен ЭЦП 2.0/3.0;
• eToken PRO (Java).

2.4.2. Поддерживаемое ПО

Пользователи SecurLogon имеют возможность работать со следующими доменными службами:

• Microsoft Active Directory;
• Samba Domain Controller;
• ALD PRO;

Пользователи SecurLogon имеют возможность работать со следующими центрами сертификации (далее по тексту – ЦС):

• Aladdin Enterprise Certificate Authority;
• Dog Tag Certificate System;
• Microsoft Certificate Services.

2.5. Требования к пользовательским сертификатам

Для успешной двухфакторной аутентификации с использованием сертификатов необходимо выполнение следующих условий:

1) на токен необходимо записать открытый ключ (сертификат) и закрытый ключ пользователя, помещенные в один контейнер;

2) пользовательские сертификаты должны содержать следующие поля:

• «Поставщик (Issuer)» – поле идентификации ЦС, выдавшего сертификат владельцу:
  • CN (CommonName) – наименование поставщика, подписывающего сертификат;
  • DC (DomainComponent) – компонент DNS имени (адреса) владельца сертификата, указывается несколько раз, в каждом случае как часть DNS пути;

Примечание. Пример заполненного поля Issuer:

CN = DC_WIN-CA

DC = dc

DC = test

• «Субъект (Subject)» – поле идентификации субъекта (владельца) сертификата:
  • CN (CommonName) – наименование субъекта (владельца) сертификата;
  • DC (DomainComponent) – компонент DNS имени (адреса) владельца сертификата, указывается несколько раз, в каждом случае как часть DNS пути;

Примечание. Пример заполненного поля Subject:

CN = Domain User Test

DC = dc

DC = test

• дополнительное имя субъекта SAN (SubjectAltName) – дополнительные реквизиты владельца сертификата:

• • OtherName (Другое имя) – логин и домен пользователя по следующему шаблону: Principal Name=login@domain.ru.

Примечание. Пример заполненного поля SubjectAlternativeName | Other Name:

Principal Name=d_user@dc.test

• у сертификата должен быть установлен период действия;
• в сертификате должны быть указаны CRL или OCSP (при наличии).