Профили JMS классифицируются в соответствии с группами, перечисленными в табл. 12.

Табл. 12 – Профили JMS

Для успешного выпуска электронных ключей после создания и настройки профилей необходимо выполнить привязку этих профилей к пользователям JMS (см. «Привязка профилей», с. 229).

Общие операции с профилями

Общее управление профилям осуществляется в разделе Профили Консоли управления JMS (Рис. 125).

Рис. 125 – Общий вид раздела Профили Консоли управления JMS

Общая информации по управлению профилями содержится в Табл. 13.

Табл. 13 – Общие операции с профилями

Настройка профиля выпуска электронных ключей

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Выпуск ключевых носителей.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 126 – Вкладка Общие

  3. В соответствующих полях введите (или отредактируйте) имя и описание профиля, после чего переходите на вкладку Параметры (Рис. 127).

Рис. 127 – Вкладка Базовые параметры выпуска

  4.  Выполните настройку, руководствуясь Табл. 14.

Табл. 14 – Параметры выпуска электронных ключей

Примечание. Если электронный ключ содержит несколько апплетов (приложений), то в соответствующей секции типа электронного ключа будет несколько вкладок (Рис. 128). Каждая вкладка соответствует апплету (приложению) в памяти электронного ключа. В этом случае необходимо выполнить настройку для каждого из этих апплетов (приложений).

Рис. 128 – Окно настройки параметров выпуска электронных ключей с несколькими приложениями

  5. При необходимости, выполните настройку печати документов (вкладки Печать заявки на выпуск КН и Печать акта выдачи КН) при выпуске электронного ключа (подробнее о настройке шаблона печатной формы см. «Настройка параметров печати при выпуске объектов JMS», с. 235).

  6. По окончании всех настроек нажмите кнопку Создать (Рис. 127, с. 103) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Настройка профиля клиентского агента

Профиль клиентского агента определяет, какие операции с электронными ключами, назначенными пользователю или подключенными к компьютеру, доступны пользователю при открытии сеанса работы с JMS из клиента (функция Открыть сессию в клиенте JMS).

Важно! В случае если профиль клиентского агента не привязан к учетной записи пользователя (см. «Привязка профилей», с. 229), в клиенте JMS при открытии сеанса пользователя:

• будет недоступно действие Выпуск для подключенных электронных ключей, которые еще не выпущены;
• будут недоступны действия Заменить и Отключить для всех электронных ключей, назначенных пользователю. (В текущей версии клиента JMS в процессе выполнения замены или отключения электронного ключа выдается окно предупреждения с соответствующим сообщением об ошибке).

Для создания/настройки профиля клиентского агента выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Настройки клиентского агента.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

  3. В полях Имя и Описание введите название и описание профиля соответственно (либо отредактируйте существующие), после чего перейдите на вкладку Самостоятельный выпуск.

  4. Выполните настройку, руководствуясь табл. 15.

Табл. 15 – Настройка параметров самостоятельного выпуска

Примечание. При изменении настроек профиля клиентского агента, в частности в опциях, разрешающих/запрещающих самостоятельный выпуск электронных ключей, для вступления в силу данных настроек на стороне клиента (а также в приложении JWA Tray на клиентской стороне) в течение его текущего сеанса работы, следует последовательно закрыть, а затем снова открыть сеанс пользователя.

  5. Перейдите на вкладку Синхронизация.

  6. Выполните необходимые настройки, руководствуясь табл. 16.

Табл. 16 – Настройки автоматической синхронизации

  7. Перейдите на вкладку Ограничения по работе с КН.

  8. Выполните настройку, руководствуясь табл. 17.

Табл. 17 – Ограничения по работе с электронными ключами

  9. Перейдите на вкладку Смена PIN-кода.

  10. При необходимости отредактируйте следующие настройки:

  10.1. Время, отводимое пользователю для смены PIN-кода с момента установки опции – позволяет задать время, которое будет предоставлено пользователю на смену PIN-кода с момента включения соответствующей настройки;

  10.2. Периодичность напоминания о необходимости смены PIN-кода до истечения срока – позволяет задать интервал в минутах, через который пользователю будет отображаться предупреждение о необходимости смены PIN-кода электронного ключа до истечения срока действия этого PIN-кода;

  10.3. Периодичность напоминания о необходимости смены PIN-кода после истечения срока – позволяет задать интервал в минутах, через который пользователю будет отображаться предупреждение о необходимости смены PIN-кода электронного ключа после истечения срока действия этого PIN-кода.

  11. Нажмите ОК, чтобы сохранить изменения.

Настройки параметров инициализации

eToken Pro (Java) / JaCarta PRO

Примечание. Тип профиля Инициализация eToken Pro (Java) / JaCarta PRO по умолчанию не отображается в консоли управления JMS. Для того, чтобы профиль начал отображаться следует включить в JMS поддержку ЭК eToken Pro (Java) / JaCarta PRO (приложение/апплет ProJava). Подробно процедура включения поддержки приложений ЭК (апплетов) описана в руководстве по настройке и установке [2], раздел «Добавление поддержки моделей ЭК / профилей в JMS».

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Инициализация eToken Pro (Java) / JaCarta PRO.
    • чтобы изменить существующий профиль, выберите этот профиль (например, Инициализация eToken Pro (Java) / JaCarta PRO по умолчанию) в центральной части окна консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится страница следующего вида:

Рис. 129 – Вкладка Общие свойств профиля инициализации

  3. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно, после чего перейдите на вкладку Параметры. Отобразится страница следующего вида.

Рис. 130 – Вкладка Параметры свойств профиля инициализации

  4. Выполните необходимые настройки, руководствуясь табл. 18.

Табл. 18 - Настройка параметров инициализации электронных ключей

  5. Перейдите на вкладку Политика PIN-кода. Отобразится страница следующего вида.

Рис. 131 – Вкладка Политика PIN-кода свойств профиля инициализации

  6. Выполните необходимые настройки, руководствуясь табл. 19.

Табл. 19 – Настройка параметров PIN-кода пользователя электронного ключа

  7. Перейдите на вкладку Дополнительные параметры.

Отобразится страница следующего вида.

Рис. 132 – Вкладка Дополнительные параметры свойств профиля инициализации

  8. Выполните необходимые настройки, руководствуясь табл. 20.

Табл. 20 – Настройка дополнительных параметров инициализации электронных ключей

  9. Перейдите на вкладку Приложения.

Отобразится страница следующего вида.

Рис. 133 – Вкладка Приложения свойств профиля инициализации

  10. Отметьте нужные комбинации приложений

  11. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль). Изменения, внесенные в профиль, будут сохранены.

JaCarta PKI

  12. В консоли управления JMS перейдите в раздел Профили.

  13. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Инициализация JaCarta PKI.
    • чтобы изменить существующий профиль, выберите этот профиль (например, Инициализация JaCarta PKI по умолчанию) в центральной части окна консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 134 – Вкладка Общие

  14. В соответствующих полях введите (или отредактируйте) имя и описание профиля, после чего переходите на вкладку Параметры (Рис. 135).

Рис. 135 – Вкладка Параметры

  15. Выполните настройку, руководствуясь табл. 21.

Табл. 21 - Настройка параметров инициализации

  16. Перейдите на вкладку Политика качества PIN-кода (Рис. 136).

Рис. 136 – Вкладка Политика качества PIN-кода

  17. Эта вкладка позволяет настроить качество PIN-кодов, используемых с электронными ключами, которые будут инициализированы с настраиваемым профилем.

  18. Выполните настройку, руководствуясь табл. 22.

Табл. 22 – Политики качества PIN-кодов

  19. Перейдите на вкладку Приложения (Рис. 137).

Рис. 137 – Вкладка Приложения

  20. Отметьте нужные комбинации приложений.

  21. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Изменения, внесенные в профиль, будут сохранены.

DataStore

Примечание. Тип профиля Инициализация DataStore по умолчанию не отображается в консоли управления JMS. Для того, чтобы профиль начал отображаться, следует включить в JMS поддержку ЭК DataStore (приложение/апплет Storage). Подробно процедура включения поддержки приложений/апплетов ЭК  описана в руководстве по настройке и установке [2], раздел «Добавление поддержки моделей ЭК / профилей в JMS».

В консоли управления JMS перейдите в раздел Профили.

1. Выполните одно из следующих действий:

• • чтобы создать новый профиль, нажмите Создать выберите тип профиля Инициализация DataStore.
  • чтобы изменить существующий профиль, выберите этот профиль (например, Инициализация DataStore по умолчанию) в центральной части окна консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится страница следующего вида

Рис. 138 – Вкладка Общие свойств профиля инициализации

  2. В соответствующих полях введите (или отредактируйте) имя и описание профиля, после чего переходите на вкладку Параметры.

Отобразится страница следующего вида

Рис. 139 – Вкладка Параметры свойств профиля инициализации

  3. Выполните настройку, руководствуясь табл. 23.

Табл. 23 – Настройка параметров инициализации

  4. Переходите на вкладку Приложения.

Отобразится страница следующего вида:

Рис. 140 – Вкладка Приложения свойств профиля инициализации

  5. Отметьте нужные комбинации приложений.

  6. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Изменения, внесенные в профиль, будут сохранены.

JaCarta SF/ГОСТ

Примечание. Перед созданием профилей для выпуска электронных ключей JaCarta SF/ГОСТ следует с помощью утилиты «Программа Главного Администратора» (из комплекта поставки ключей данного типа) создать ключевой контейнер администратора доступа (файл с расширением .kka) для его использования в процедуре создания профиля в JMS, либо убедиться, что нужный kka-контейнер уже импортирован в JMS (см. «Импорт/экспорт контейнеров JaCarta SF/ГОСТ», с 221).

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать, выберите тип профиля Инициализация JaCarta SF/ГОСТ.
    • чтобы изменить существующий профиль, выберите этот профиль (например, Инициализация JaCarta SF/ГОСТ по умолчанию) в центральной части окна консоли управления JMS, после чего по нажатию на нём правой кнопкой мыши выберите Свойства.

Отобразится страница следующего вида.

Рис. 141 – Вкладка Общие

  3. На вкладке Общие в соответствующих полях введите (или отредактируйте) имя и описание профиля.

Вкладка Ключевой контейнер

  4. Перейдите на вкладку Ключевой контейнер:

Рис. 142 – Вкладка Ключевой контейнер

  5. В поле Контейнер JaCarta SF/ГОСТ нажмите три точки (…), выберите необходимый контейнер и нажмите Выбрать, или импортируйте соответствующий контейнер из файла, нажав Импорт (подробнее импорт контейнера JaCarta SF/ГОСТ описан в разделе «Импорт/экспорт контейнеров JaCarta SF/ГОСТ», с. 221).

Вкладка Параметры

  6. Перейдите на вкладку Параметры.

Рис. 143 – Вкладка Параметры

  7. Выполните настройки, руководствуясь Табл. 24.

Табл. 24 – Настройка параметров профиля инициализации JaCarta SF

Вкладка Журналирование

  8. Перейдите на вкладку Журналирование.

Рис. 144 – Вкладка Журналирование

  9. Выполните настройки, руководствуясь Табл. 25.

Табл. 25 – Настройка параметров журналирования ЭН

Вкладка Информация о КН

  10. Перейдите на вкладку Информация о ключевом носителе.

Рис. 145 – Вкладка Информацию о ключевом носителе

  11. Выполните настройки, руководствуясь Табл. 26.

Табл. 26 – Настройка информации о пользователе КН

Вкладка Приложения

  12. Перейдите на вкладку Приложения.

  13. Отметьте нужные комбинации приложений.

  14. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Настройки профиля выпуска сертификатов в центре сертификации Microsoft

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Выпуск сертификатов - УЦ Microsoft CA.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Рис. 146 – Вкладка Общие профиля выпуска сертификатов

  3. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.          

Настройка параметров подключения

  4. Перейдите на вкладку Подключение.

Окно примет следующий вид.

Рис. 147 – Вкладка Подключение профиля выпуска сертификатов

  5. Выполните необходимые настройки, руководствуясь табл. 27.

Табл. 27 – Настройка параметров подключения к удостоверяющему центру

Рис. 148 – Настройки подключения к Прокси-серверу для УЦ MSCA

Порядок использования режима По параметрам при настройке выбора сертификата

Режим По параметрам  позволяет выбирать не жестко заданный сертификат (как в случае По отпечатку), а произвольный, удовлетворяющий двум критериям отбора: имени удостоверяющего центра (поле Кем выдан) и идентификатору расширенного назначения ключа (поле Улучшенный ключ). Настройка параметра осуществляется путем выбора одного из сертификатов (кнопка обзора ), который должен служить образцом для установки значений двух указанных выше полей (критериев отбора).

Рис. 149 – Механизм поиска По параметрам на примере профиля выпуска сертификата MSCA

Если в хранилище, в котором осуществляется поиск По параметрам, имеется несколько сертификатов, удовлетворяющих заданным критериям, то среди них будет выбран один из действующих сертификатов. Если вы хотите гарантировать выбор единственного сертификата, то в соответствующем хранилище следует оставить только этот действующий сертификат, удовлетворяющий критериям отбора.

Режим По параметрам следует использовать только при настройке выбора сертификата Enrollment Agent (в профиле выпуска сертификата в MSCA) и только в кластерной конфигурации JMS, поскольку данный режим позволяет при обращении к произвольному узлу кластера использовать сертификат, выпущенный специально для данного узла и при этом удовлетворяющий заданным критериям отбора.

Настройки на вкладке Типы приложений

  6. Перейдите на вкладку Типы приложений.

Окно примет следующий вид.

Рис. 150 – Вкладка Типы приложений

  7.  Отметьте нужные комбинации приложений.

Настройка параметров режимов выпуска сертификатов

  8. Перейдите на вкладку Параметры режимов выпуска.

Окно будет выглядеть следующим образом.

Рис. 151 – Вкладка Параметры режимов выпуска профиля выпуска сертификатов

  9. Выполните необходимые настройки, руководствуясь табл. 28.

Табл. 28 – Настройка параметров выпуска сертификатов

Настройка параметров ключевого контейнера

  10. Перейдите к секции Ключевой контейнер.

Окно примет следующий вид.

Рис. 152 – Вкладка Ключевой контейнер

  11. Выполните необходимые настройки, руководствуясь табл. 29.

Табл. 29 – Настройки ключевого контейнера

Настройка шаблонов полей сертификата

  12. Перейдите на вкладку Сертификат.

Отобразится следующее окно.

Рис. 153 – Вкладка Сертификат

  13. При необходимости отредактируйте поля сертификата (запроса на сертификат), который будет выпускаться на имя пользователей. Для этого выполните следующие действия:

  13.1. В секции с названием нужного поля нажмите Редактировать шаблон;

  13.2. Отредактируйте шаблон, руководствуясь сведениями, представленными в Табл. 30.

  13.3. В окне редактирования шаблона нажмите OK, чтобы сохранить изменения.

  13.4. В секции с названием нужного поля установите флаг Формировать с помощью шаблона.

  13.5. При необходимости повторите действия для других полей.

Табл. 30 – Настройка шаблонов полей сертификата

Настройки на вкладке Ключевые атрибуты пользователя

  14. Перейдите на вкладку Ключевые атрибуты пользователя.

Отобразится следующее окно.

Рис. 154 – Вкладка Ключевые атрибуты пользователя

  15. На вкладке отображаются списки атрибутов, сгруппированных по ресурсным системам. При необходимости отметьте атрибуты пользователя, при изменении которых в ресурсной системе (внешнем каталоге учетных записей) в JMS должен быть автоматически перевыпущен сертификат пользователя в момент синхронизации его электронного ключа. Для этого выполните следующие действия:

15.1. Установите флаг Включить отслеживание атрибутов.

15.2. Выберите ресурсную систему (соответствующий список атрибутов).

15.3. Если все необходимые для отслеживания атрибуты располагаются в окне в отображаемой части списка, отметьте их.

15.4. В противном случае установите флаг Показать все, после чего раскроется список, в котором будут отражены все атрибуты пользователя из ресурсных систем, зарегистрированные в JMS. Отметьте среди них необходимые.

Примечания:

1. Отслеживание изменений в указанных на данной вкладке атрибутах пользователя реализуется при выполнении плана обслуживания по умолчанию, а именно задачи Выявление рассинхронизации учетных записей из каталогов учетных записей, см. раздел «План обслуживания по умолчанию», с. 324. Перевыпуску подлежат только сертификаты в приложении на электронном ключе, выпущенные по данному профилю. Перевыпуск сертификата (т.е. отзыв имеющегося и выпуск нового) происходит в момент синхронизации электронного ключа (см. раздел «Синхронизация ЭК/ЗНИ », с. 47).
2. Базовая ресурсная система. Под базовой ресурсной системой подразумевается ресурсная система, к которой будет привязан профиль для выпуска сертификатов пользователей. Таким образом перечень атрибутов, перечисленных в Базовой ресурсной системе, является универсальным для всех доступных в JMS ресурсных систем. Каждый атрибут из базового набора имеет отображение на соответствующий атрибут в каждой ресурсной системе (см. Табл. 31, ниже).
3. В случае если в списке ресурсных систем присутствует только Базовая ресурсная система, это означает, что в подключенных в JMS ресурсных системах при первоначальной настройке не было выбрано ни одного атрибута. В этом случае для выбора будут доступны только атрибуты из базового списка (Базовой ресурсной системы).
4. Для контроля изменения атрибутов допускается выбор ресурсной системы, которая будет привязана к первичной ресурсной системе. В случае изменения атрибута, выбранного в такой «привязанной» ресурсной системе, также будет производиться перевыпуск сертификата.

Табл. 31 – Схема отображения атрибутов внешних ресурсных систем на базовый список атрибутов JMS

Прочие настройки профиля выпуска сертификатов

  16. При необходимости, выполните настройку печати соответствующих документов (вкладки Печать запроса на сертификат и Печать сертификата). Подробнее о настройке Шаблона печатной формы см. в разделе «Настройка параметров печати при выпуске объектов JMS», с. 235.

  17. Для сохранения профиля нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Настройки профиля выпуска сертификатов в УЦ AeCA

Профиль предназначен для работы с УЦ Aladdin Enterprise CA (УЦ AeCA).

Важно! Профиль становится доступен в web-интерфейсе Консоли управления JMS только после установки адаптера УЦ Aladdin Enterprise CA (подробнее см. руководство по установке и настройке JMS [2], раздел «Адаптер УЦ Aladdin Enterprise CA»).

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Выпуск сертификатов - Aladdin Enterprise CA.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Рис. 155 – Вкладка Общие профиля выпуска сертификатов

  3. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.

Настройка параметров подключения

  4. Перейдите на вкладку Подключение к УЦ.

Окно примет следующий вид.

Рис. 156 – Вкладка Подключение к УЦ профиля выпуска сертификатов

  5. Выполните необходимые настройки, руководствуясь Табл. 32.

Табл. 32 – Настройка параметров подключения к удостоверяющему центру

Настройки на вкладке Типы приложений

  6. Перейдите на вкладку Типы приложений.

Окно примет следующий вид.

Рис. 157 – Вкладка Типы приложений

  7. Отметьте нужные комбинации приложений (апплетов электронных ключей).

Примечание. По умолчанию часть приложений, таких как  Хранилище компьютера и Хранилище WPA, отсутствуют в списке на вкладке Типы приложений. Добавить данные приложения в список можно с помощью команды консольного агента Aladdin.EAP.Agent.Terminal applet enable (см. первую часть руководства администратора [2], раздел «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal»), либо в графическом приложении Web-консоль сервера JMS в разделе Конфигурация сервера в секции Безопасность (см. первую часть руководства администратора [2], раздел «Настройки используемых приложений»).

Настройка параметров ключевого контейнера

  8. Перейдите на вкладку Ключевой контейнер.

Окно примет следующий вид.

Рис. 158 – Вкладка Ключевой контейнер

  9. Выполните необходимые настройки, руководствуясь Табл. 33.

Табл. 33 – Настройки ключевого контейнера

Настройка параметров режимов выпуска сертификатов

  10. Перейдите на вкладку Параметры режимов выпуска.

Окно примет следующий вид.

Рис. 159 – Вкладка Параметры режимов выпуска профиля выпуска сертификатов

  11. Выполните необходимые настройки, руководствуясь Табл. 34.

Табл. 34 – Настройка параметров выпуска сертификатов

Настройка шаблонов полей сертификата

  12. Перейдите на вкладку Сертификат.

Отобразится следующее окно.

Рис. 160 – Вкладка Сертификат

  13. При необходимости отредактируйте поля сертификата (запроса на сертификат), который будет выпускаться на имя пользователей. Для этого выполните следующие действия:

  13.1. В секции с названием нужного поля нажмите Редактировать шаблон;

  13.2. Отредактируйте шаблон, руководствуясь сведениями, представленными в Табл. 36.

  13.3. В окне редактирования шаблона нажмите OK, чтобы сохранить изменения.

  13.4. При необходимости повторите действия для других полей.

Табл. 35 – Настройка шаблонов полей сертификата

Настройки на вкладке Ключевые атрибуты

  14. Перейдите на вкладку Ключевые атрибуты пользователя.

Отобразится следующее окно.

Рис. 161 – Вкладка Ключевые атрибуты

  15. На вкладке отображаются списки атрибутов, сгруппированных по ресурсным системам. При необходимости отметьте атрибуты пользователя, при изменении которых в ресурсной системе (внешнем каталоге учетных записей) в JMS должен быть автоматически перевыпущен сертификат пользователя в момент синхронизации его электронного ключа. Для этого выполните следующие действия:

  15.1. Установите флаг Включить отслеживание атрибутов.

  15.2. Выберите ресурсную систему (соответствующий список атрибутов).

  15.3. Если все необходимые для отслеживания атрибуты располагаются в окне в отображаемой части списка, отметьте их.

  15.4. В противном случае установите флаг Показать все, после чего раскроется список, в котором будут отражены все атрибуты пользователя из ресурсных систем, зарегистрированные в JMS. Отметьте среди них необходимые.

Примечания:

1. Отслеживание изменений в указанных на данной вкладке атрибутах пользователя реализуется при выполнении плана обслуживания по умолчанию, а именно задачи Выявление рассинхронизации учетных записей из каталогов учетных записей, см. раздел «План обслуживания по умолчанию», с. 324. Перевыпуску подлежат только сертификаты в приложении на электронном ключе, выпущенные по данному профилю. Перевыпуск сертификата (т.е. отзыв имеющегося и выпуск нового) происходит в момент синхронизации электронного ключа (см. раздел «Синхронизация ЭК/ЗНИ », с. 47).
2. Базовая ресурсная система. Под базовой ресурсной системой подразумевается ресурсная система, к которой будет привязан профиль для выпуска сертификатов пользователей. Таким образом перечень атрибутов, перечисленных в Базовой ресурсной системе, является универсальным для всех доступных в JMS ресурсных систем. Каждый атрибут из базового набора имеет отображение на соответствующий атрибут в каждой ресурсной системе (см. Табл. 36 и Табл. 37 для пользовательских и машинных сертификатов соответственно).
3. В случае если в списке ресурсных систем присутствует только Базовая ресурсная система, это означает, что в подключенных в JMS ресурсных системах при первоначальной настройке не было выбрано ни одного атрибута. В этом случае для выбора будут доступны только атрибуты из базового списка (Базовой ресурсной системы).
4. Для контроля изменения атрибутов допускается выбор ресурсной системы, которая будет привязана к первичной ресурсной системе. В случае изменения атрибута, выбранного в такой «привязанной» ресурсной системе, также будет производиться перевыпуск сертификата.

Табл. 36 – Схема отображения атрибутов внешних ресурсных систем на базовый список атрибутов JMS для сертификата пользователя

Табл. 37 – Схема отображения атрибутов внешних ресурсных систем на базовый список атрибутов JMS для сертификата рабочей станции (машинного сертификата)

Прочие настройки профиля выпуска сертификатов

  16. При необходимости, выполните настройку печати соответствующих документов (вкладки Печать запроса на сертификат и Печать сертификата). Подробнее о настройке Шаблона печатной формы см. в разделе «Настройка параметров печати при выпуске объектов JMS», с. 235.

  17. Для сохранения профиля нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Настройки профиля выпуска сертификатов в УЦ DogTag

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Выпуск сертификатов - УЦ DogTag;

• • • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

1. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.

Настройка параметров подключения

  4. Перейдите на вкладку Подключение.

  5. Выполните необходимые настройки, руководствуясь Табл. 38.

Табл. 38 – Настройка параметров подключения к удостоверяющему центру

Настройки на вкладке Приложения

  6. Перейдите на вкладку Приложения.

  7. Отметьте нужные комбинации приложений.

Настройка параметров режимов выпуска сертификатов

  8. Перейдите на вкладку Параметры режимов выпуска.

  9. Выполните необходимые настройки, руководствуясь Табл. 39.

Табл. 39 – Настройка параметров выпуска сертификатов

Настройка параметров ключевого контейнера

  10. Перейдите на вкладку Ключевой контейнер.

  11. Выполните необходимые настройки, руководствуясь Табл. 40.

Табл. 40 – Настройки ключевого контейнера

Настройки на вкладке Ключевые атрибуты

  12. Перейдите на вкладку Ключевые атрибуты.

  13. На вкладке отображаются раскрывающиеся списки атрибутов, сгруппированных по ресурсным системам. При необходимости отметьте атрибуты пользователя, при изменении которых в ресурсной системе (внешнем каталоге учетных записей) в JMS должен быть автоматически перевыпущен сертификат пользователя в момент синхронизации его электронного ключа. Для этого выполните следующие действия:

  13.1. Установите флаг Включить отслеживание атрибутов.

  13.2. Выберите ресурсную систему, чтобы раскрылся соответствующий список атрибутов.

  13.3. Если все необходимые для отслеживания атрибуты располагаются в окне в отображаемой части списка, отметьте их.

  13.4. В противном случае установите флаг Показать все атрибуты, после чего заново раскройте список, в котором будут отражены все атрибуты пользователя из ресурсных систем, зарегистрированные в JMS. Отметьте среди них необходимые.

Примечания:

1. Отслеживание изменений в указанных на данной вкладке атрибутах пользователя реализуется при выполнении плана обслуживания по умолчанию, а именно задачи Выявление рассинхронизации учетных записей из каталогов учетных записей, см. раздел «План обслуживания по умолчанию», с. 324. Перевыпуску подлежат только сертификаты в приложении на электронном ключе, выпущенные по данному профилю. Перевыпуск сертификата (т.е. отзыв имеющегося и выпуск нового) происходит в момент синхронизации электронного ключа (см. раздел «Синхронизация ЭК/ЗНИ », с. 47).
2. Базовая ресурсная система. Под базовой ресурсной системой подразумевается ресурсная система, к которой будет привязан профиль для выпуска сертификатов пользователей. Таким образом перечень атрибутов, перечисленных в Базовой ресурсной системе, является универсальным для всех доступных в JMS ресурсных систем. Каждый атрибут из базового набора имеет отображение на соответствующий атрибут в каждой ресурсной системе (см. Табл. 41, ниже).
3. В случае если в списке ресурсных систем присутствует только Базовая ресурсная система, это означает, что в подключенных в JMS ресурсных системах при первоначальной настройке не было выбрано ни одного атрибута. В этом случае для выбора будут доступны только атрибуты из базового списка (Базовой ресурсной системы).
4. Для контроля изменения атрибутов допускается выбор ресурсной системы, которая будет привязана к первичной ресурсной системе. В случае изменения атрибута, выбранного в такой «привязанной» ресурсной системе, также будет производиться перевыпуск сертификата.

Табл. 41 – Схема отображения атрибутов внешних ресурсных систем на базовый список атрибутов JMS

Прочие настройки профиля выпуска сертификатов

  14. При необходимости, выполните настройку печати соответствующих документов (вкладки Печать запроса на сертификат и Печать сертификата). Подробнее о настройке Шаблона печатной формы см. в разделе «Настройка параметров печати при выпуске объектов JMS», с. 235.

  15. Для сохранения профиля нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

Настройки профиля для выпуска сертификатов в режиме офлайн

Профиль Выпуск сертификатов (режим офлайн) становится доступен в консоли управления JMS после установки специального компонента JMS «Коннектор к Offline Certification Authority», позволяющего выпускать сертификаты пользователей в аккредитованных удостоверяющих центрах, не имеющих сетевого подключения к телекоммуникационным сетям общего пользования.

Для начала работы с профилем Выпуск сертификатов (режим офлайн) выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Выпуск сертификатов (режим офлайн).
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Рис. 162 – Вкладка Общие профиля выпуска сертификатов

  3.  В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.

Настройка параметров подключения к УЦ

  4. Перейдите на вкладку Подключение к УЦ.

Окно примет следующий вид.

Рис. 163 – Вкладка Подключение к УЦ профиля выпуска сертификатов

  5. Выполните необходимые настройки, руководствуясь Табл. 42.

Табл. 42 – Настройка параметров подключения к удостоверяющему центру

Настройки на вкладке Типы приложений

  6. Перейдите на вкладку Типы приложений, выполните настройки по аналогии с настройкой вкладки Типы приложений профиля выпуска сертификатов в центре сертификации Microsoft (см. раздел «Настройки на вкладке Типы приложений», с. 135).

Настройка параметров режимов выпуска сертификатов

  7. Перейдите на вкладку Параметры режимов выпуска.

Окно будет выглядеть следующим образом.

Рис. 164 – Вкладка Параметры режимов выпуска профиля выпуска сертификатов

  8. Выполните необходимые настройки, руководствуясь Табл. 43.

Табл. 43 – Настройка параметров выпуска сертификатов

Настройка параметров ключевого контейнера

  9. Перейдите в секцию Ключевой контейнер выполните настройки по аналогии с настройкой параметров секции Ключевой контейнер профиля выпуска сертификатов в центре сертификации Microsoft (см. раздел «Настройка параметров ключевого контейнера», с. 138).

Настройка шаблонов полей сертификата

  10. Перейдите на вкладку Сертификат.

Отобразится следующее окно.

Рис. 165 – Вкладка Сертификат

  11. При необходимости отредактируйте поля сертификата (запроса на сертификат), который будет выпускаться на имя пользователей. Для этого выполните следующие действия:

  11. 1. В секции с названием нужного поля нажмите Редактировать шаблон;

  11.2. Отредактируйте шаблон, руководствуясь сведениями, представленными в Табл. 44, с. 167.

  11.3. В окне редактирования шаблона нажмите OK, чтобы сохранить изменения.

  11.4. В секции с названием нужного поля установите флаг Формировать с помощью шаблона.

  11.5. При необходимости повторите действия для других полей.

Табл. 44 – Настройка шаблонов полей сертификата

Настройки на вкладке Ключевые атрибуты

  12. Перейдите на вкладку Ключевые атрибуты, выполните настройки по аналогии с настройкой параметров на вкладке Ключевые атрибуты профиля выпуска сертификатов в центре сертификации Microsoft (см. раздел «Настройки на вкладке Ключевые атрибуты», с. 142).

Прочие настройки профиля выпуска сертификатов

  13. При необходимости, выполните настройку печати соответствующих документов (вкладки Печать запроса на сертификат и Печать сертификата). Подробнее о настройке Шаблона печатной формы см. в разделе «Настройка параметров печати при выпуске объектов JMS», с. 235.

  14. Нажмите OK, чтобы сохранить изменения.

 Создание и настройка профиля Внешние объекты

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Внешние объект (Рис. 166);
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Рис. 166 – Создание профиля внешнего объекта

  3. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.

  4. На вкладке Общие и заполните поле Имя:

Рис. 167 – Вкладка Общие на странице Создание профиля

  5. Перейдите на вкладку Взятие под управление.

Рис. 168 – Вкладка Взятие под управление

  6. Отметьте нужные приложения (типы электронных ключей) или их комбинации, в которых следует проверять на наличие внешних объектов (сертификатов).

Примечание. При выборе комбинации приложений необходимо согласовать такую комбинацию с настройками в секции Параметры криптографии таким образом, чтобы у всех выбранных приложений имелся хотя бы один общий поставщик криптографии, поддерживаемый данными приложениями (как на Рис. 169). Если у выбранных типов приложений не будет общих поддерживающих криптопровайдеров, то в секции отобразится соответствующее сообщение («Нет доступных криптопровайдеров для выбранной комбинации апплетов»).

Рис. 169 – Общий криптоарофайдер у двух выбранных типов приложений

  7. В секции (таблице) Сертификаты удостоверяющих центров для внешних объектов (Рис. 168, выше) загрузите список сертификатов УЦ, которые могут быть необходимы для дополнительной фильтрации сертификатов (т.е. регистрации в качестве внешних объектов только тех сертификатов, которые были выпущены данными УЦ). Для этого нажмите Добавить и в окне выбора файлов добавьте необходимые файлы сертификатов. (Для удаления сертификата из таблицы, выберите сертификат в таблице и нажмите Удалить).

Добавление сертификатов УЦ не является обязательным действием.

Примечание. Чтобы отбор сертификатов для их регистрации в качестве внешних объектов по признаку их выпуска указанным УЦ сработал корректно, необходимо предварительно сохранить на сервер JMS сертификат корневого УЦ и  цепочку сертификатов УЦ (см. раздел «Регистрация в JMS сертификатов сторонних УЦ (внешних объектов)», с. 342).

  8. Опция Игнорировать профили выпуска объектов для приложения, содержащего внешние объекты при ее выборе позволяет не выпускать сертификаты DogTag и т.п. для записи в те приложения электронного ключа, которые содержат внешние объекты.

  9. После добавления сертификатов УЦ следует выполнить настройку отмеченных криптопровайдеров. Для этого в секции Параметры криптографии напротив соответствующего криптопровайдера нажмите Настроить (Рис. 169, выше).

  10. Откроется страница настройки работы с сертификатами УЦ, ассоциированными с данным криптопровайдером:

Рис. 170 – Страница Настройки криптопровайдера

  11. Выполните необходимые настройки, руководствуясь Табл. 45.

Табл. 45 – Настройка отбора внешних объектов по выпускающим УЦ

  12. После настройки всех криптопровайдеров в окне настройки профиля нажмите Сохранить (Рис. 168, выше) и переходите к привязке профиля (подробнее см. раздел «Привязка профилей», с. 229).

Важно! Регистрация сертификата в качестве внешнего объекта на основании настроенного профиля производится в соответствии с описанием из раздела «Процедура автоматической регистрации внешних объектов», ниже.

Процедура автоматической регистрации внешних объектов

Регистрация внешних объектов (сертификатов) осуществляется в автоматическом режиме в процессе выпуска (синхронизации) электронного ключа в соответствии с подключенным профилем типа Внешние объекты. Если на электронном ключе находится сертификат, выпущенный сторонним УЦ, и у пользователя электронного ключа подключен профиль внешних объектов, применимый для приложения на данном электронном ключе, то распознавание данного сертификата и его регистрация в качестве внешнего объекта происходит в следующем порядке:

1. Выбирается первый поставщик криптографии, отмеченный в настройках профиля внешних объектов (вкладка Взятие под управление);
2. Выполняется попытка распознавания сертификата данным поставщиком криптографии.
3. Если сертификат был распознан поставщиком криптографии, то проверяется, не выпущен ли данный сертификат одним из УЦ, выбранным в настройках данного поставщика криптографии.

  3.1. Если список сертификатов УЦ для данного поставщика криптографии пуст, то сертификат регистрируется в JMS как внешний объект.

  3.2. В противном случае проверяется подпись сертификата на электронном ключе (с помощью сертификата УЦ с проверкой цепочки сертификатов), при этом игнорируются срок действия сертификата и списки отзыва сертификатов.

  3.2.1. При положительном результате проверки данный сертификат на электронном ключе регистрируется как внешний объект.

  3.2.2. В противном случае данный сертификат игнорируется.

  4. Если сертификат не был распознан поставщиком криптографии, то он игнорируется.

  5. Если поставщиков криптографии больше не осталось, процедура завершается.

  6. В противном случае, выбирается следующий поставщик криптографии и выполняется шаг. 2.

Профиль настроек синхронизации рабочей станции

Примечание. Вступление в силу данного профиля на рабочей станции наступает либо при его автоматической загрузке (выполняется раз в сутки), либо при перезагрузке рабочей станции с установленным клиентским агентом JMS (JWA).

Для создания / редактирования профиля выполните следующие действия

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Настройки синхронизации рабочей станции (Рис. 166);

• • • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Рис. 171 – Создание профиля настройки синхронизации рабочей станции

  3. Отобразится страница следующего вида.

Рис. 172 – Вкладка Общие на странице Создание профиля

  4. В полях Имя и Описание введите (или отредактируйте) название и описание профиля соответственно.

Расписание синхронизации программных СКЗИ

  5. Перейдите на вкладку Расписание синхронизации программных СКЗИ.

Страница примет следующий вид.

Рис. 173 – Вкладка Расписание синхронизации программных СКЗИ

  6. Выполните настройку, руководствуясь Табл. 46.

Табл. 46 – Настройка расписания синхронизации программных СКЗИ

Синхронизация хранилищ рабочих станций

  7. Перейдите на вкладку Синхронизация хранилищ рабочих станций.

Страница примет следующий вид.

Рис. 174 – Вкладка Расписание синхронизации программных СКЗИ

  8. Выполните необходимые настройки, руководствуясь Табл. 47.

Табл. 47 – Настройки автоматической синхронизации

Синхронизация СКЗИ и лицензий

  9. Перейдите на вкладку Синхронизация СКЗИ и лицензий.

Страница примет следующий вид.

Рис. 175 – Вкладка Синхронизация СКЗИ и лицензий

Примечание. Вкладка Синхронизация СКЗИ и лицензий доступна (отображается) только при условии добавления в JMS лицензии на поддержку СКЗИ.

  10. Выполните настройку, руководствуясь Табл. 48.

Табл. 48 – Настройка параметров синхронизации СКЗИ и лицензий

Открытие сессии пользователя

  11. Перейдите на вкладку Открытие сессии пользователя.

Страница примет следующий вид.

Рис. 176 – Вкладка Открытие сессии пользователя

  12. Установите флаг Открывать сессию под текущей доменной учетной записью, если при запуске приложения JWA Tray (подробнее о приложении см. в руководстве по установке [2] и руководстве пользователя [1]) следует выполнить автоматическую аутентификацию пользователя (Вход в JMS) от имени учетной записи пользователя, открывшего сеанс работы с ОС Astra Linux.

  13. Для завершения редактирования/создания профиля нажмите Создать.

 Настройка профиля выпуска аппаратных OTP-токенов

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Выпуск аппаратных OTP-токенов.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 177 – Вкладка Общие

  3.  В соответствующих полях введите (или отредактируйте) имя и описание профиля, после чего переходите на вкладку Параметры выпуска (Рис. 178).

Рис. 178 – Вкладка Параметры выпуска

  4. Выполните настройки, руководствуясь Табл. 49.

Табл. 49 – Параметры выпуска аппаратных OTP-токенов

  5. В случае, если в поле Алгоритм было выбрано одно из значений, начинающееся с ТOTP…, выберите вкладку TOTP, в противном случае перейдите к шагу 7, с. 185 (настройки на вкладке HOTP).

Окно примет следующий вид.

Рис. 179 – Вкладка TOTP

  6. Выполните настройки, руководствуясь Табл. 50.

Табл. 50 – Параметры выпуска TOTP-токенов

  7. Выберите вкладку HOTP.

Окно примет следующий вид.

Рис. 180 – Вкладка HOTP

  8. Выполните настройки, руководствуясь Табл. 51.

Табл. 51 – Параметры выпуска HOTP-токенов

  9. Выберите вкладку Параметры обновления.

Окно примет следующий вид.

Рис. 181 – Вкладка Параметры обновления

  10. Выполните настройки, руководствуясь Табл. 52.

Табл. 52 – Параметры обновления профиля

  11. По окончании всех настроек нажмите кнопку Создать (Рис. 181, с. 187) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Настройка профиля выпуска программных OTP-токенов

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Выпуск программных OTP-токенов.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 182 – Вкладка Общие

  3. В соответствующих полях введите (или отредактируйте) имя и описание профиля.

Примечание. В поле Имя следует ввести информативное и понятное конечному пользователю название профиля, отображающее назначение OTP-токена, который будет применяться пользователем для аутентификации в определенной информационной системе, например OTP-токен для входа в Систему XYZ.

Данное имя будет отображаться в пользовательском интерфейсе (в личном кабинете пользователя) JWM-портала.

Вкладка Параметры выпуска

  4. После редактирование полей на вкладке Общие переходите на вкладку Параметры выпуска (Рис. 183).

Рис. 183 – Вкладка Параметры выпуска

  5. Выполните настройки, руководствуясь Табл. 53.

Табл. 53 – Параметры выпуска программных OTP-токенов

Вкладка TOTP

  6. В случае, если в поле Алгоритм было выбран алгоритм по спецификации TOTP, выберите вкладку TOTP (в противном случае перейдите к шагу 8, с. 193 – настройки на вкладке HOTP).

Окно примет следующий вид.

Рис. 184 – Вкладка TOTP

  7. Выполните настройки, руководствуясь Табл. 54.

Табл. 54 – Параметры выпуска программных TOTP-токенов

  8. Выберите вкладку HOTP.

Окно примет следующий вид.

Рис. 185 – Вкладка HOTP

  9. Выполните настройки, руководствуясь Табл. 51, с. 186.

Вкладка Параметры обновления

  10. Выберите вкладку Параметры обновления.

Окно примет следующий вид.

Рис. 186 – Вкладка Параметры обновления

  11. Выполните настройки, руководствуясь Табл. 55.

Табл. 55 – Параметры обновления профиля

Вкладка Список разрешенных стран

12. Выберите вкладку Список разрешенных стран.

Окно примет следующий вид.

Рис. 187 – Вкладка Список разрешенных стран

  13. Выполните настройки, руководствуясь Табл. 56.

Табл. 56 – Установка списка разрешенных стран

Завершение настройки профиля

14. По окончании всех настроек нажмите кнопку Создать (Рис. 186, с. 195) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Примечание. При сохранении профиля выполняется проверка на завершённость других настроек, необходимых для успешного выпуска для пользователей программных  OTP-токенов.

1. При появлении предупреждения об отсутствии настройки Веб-сервиса безопасной передачи OTP-секрета (Рис. 188) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal a2fa configure, подробнее см. руководство по установке и настройке JMS [2].
2. При появлении предупреждения об отсутствии настройки SMTP-транспорта (Рис. 189) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal smtp configure, подробнее см. руководство по установке и настройке JMS [2].

Рис. 188 – Предупреждение о необходимости настроить веб-сервис безопасной передачи OTP-секрета

Рис. 189 – Предупреждение о необходимости включить и настроить SMTP-транспорт

Настройка профиля выпуска Telegram OTP-токенов

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Выпуск Telegram OTP-токенов.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 190 – Вкладка Общие

  3. В соответствующих полях введите (или отредактируйте) имя и описание профиля.

Примечание. В поле Имя следует ввести информативное и понятное конечному пользователю название профиля, отображающее назначение Telegram OTP-токена, который будет применяться пользователем для аутентификации в определенной информационной системе, например Telegram OTP-токен для входа в Систему XYZ.

Данное имя будет отображаться в пользовательском интерфейсе (в личном кабинете пользователя) JWM-портала.

Вкладка Параметры выпуска

  4. После редактирование полей на вкладке Общие переходите на вкладку Параметры выпуска (Рис. 183).

Рис. 191 – Вкладка Параметры выпуска

  5. Выполните настройки, руководствуясь Табл. 53.

Табл. 57 – Параметры выпуска программных OTP-токенов

Вкладка Параметры обновления

6. Выберите вкладку Параметры обновления.

Окно примет следующий вид.

Рис. 192 – Вкладка Параметры обновления

  7. Выполните настройки, руководствуясь Табл. 55.

Табл. 58 – Параметры обновления профиля

Завершение настройки профиля

  8. По окончании всех настроек нажмите кнопку Создать (Рис. 192, с. 201) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Примечание. При сохранении профиля выполняется проверка на завершённость других настроек, необходимых для успешного выпуска для пользователей Telegram OTP-токенов.

  9. При появлении предупреждения об отсутствии настройки Веб-сервиса безопасной передачи OTP-секрета (Рис. 193) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal a2fa configure, подробнее см. руководство по установке и настройке JMS [2].

 10. При появлении предупреждения об отсутствии настройки SMTP-транспорта (Рис. 194) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal smtp configure, подробнее см. руководство по установке и настройке JMS [2].

Рис. 193 – Предупреждение о необходимости настроить веб-сервис безопасной передачи OTP-секрета

Рис. 194 – Предупреждение о необходимости включить и настроить SMTP-транспорт

Настройка профиля выпуска Messaging-токенов

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Выпуск Messaging-токенов.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 195 – Вкладка Общие

  3. В соответствующих полях введите (или отредактируйте) имя и описание профиля.

Примечание. В поле Имя следует ввести информативное и понятное конечному пользователю название профиля, отображающее назначение Messaging-токена, который будет применяться пользователем для аутентификации в определенной информационной системе, например Messaging-токен для входа в Систему XYZ.

Данное имя будет отображаться в пользовательском интерфейсе (в личном кабинете пользователя) JWM-портала.

После редактирование полей на вкладке Общие переходите на вкладку Параметры выпуска (Рис. 196).

Рис. 196 – Вкладка Параметры выпуска

  4. Выполните настройки, руководствуясь Табл. 59.

Табл. 59 – Параметры выпуска Messaging-токенов

  5.  Выберите вкладку SMS-оповещения.

Окно примет следующий вид.

Рис. 197 – Вкладка SMS оповещения

  6. Выполните настройки, руководствуясь Табл. 60.

Табл. 60 – Настройки SMS оповещений

  7. Выберите вкладку Параметры обновления.

Окно примет следующий вид.

Рис. 198 – Вкладка Параметры обновления

  8. Выполните настройки, руководствуясь Табл. 61.

Табл. 61 – Настройки параметров обновления

  9. По окончании всех настроек нажмите кнопку Создать (Рис. 198, с. 208) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Настройка профиля выпуска Push OTP-токенов

Push OTP-токен – это виртуальный токен с использованием Push-технологии, обеспечивающей протокол аутентификации с персонально аутентифицированного доверенного устройства, не требующей от пользователя ввода аутентификационной информации.

Примечание. Для обеспечения функционирования Push OTP-токенов следует установить безопасную передачу OTP-секрета и выполнить настройку сервиса A2FA c помощью команд configure и enable консольного агента Aladdin.EAP.Agent.Terminal  (см. первую часть руководства администратора [2], раздел «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal»), либо в графическом приложении Web-консоль сервера JMS в разделе Конфигурация сервера в секции JaCarta Authentication Server фрейм Веб-сервис безопасной передачи OTP-секрета (см. первую часть руководства администратора [2], раздел «Настройка подключения к JAS»).

Для настройки профиля выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Выпуск Push OTP-токенов.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 199 – Вкладка Общие

3. В соответствующих полях введите (или отредактируйте) имя и описание профиля.

Примечание. В поле Имя следует ввести информативное и понятное конечному пользователю название профиля, отображающее назначение OTP-токена, который будет применяться пользователем для аутентификации в определенной информационной системе, например Push OTP-токен для входа в Систему XYZ.

Данное имя будет отображаться в пользовательском интерфейсе (в личном кабинете пользователя) JWM-портала.

Вкладка Параметры выпуска

  4. После редактирование полей на вкладке Общие переходите на вкладку Параметры выпуска (Рис. 200).

Рис. 200 – Вкладка Параметры выпуска

  5. Выполните настройки, руководствуясь Табл. 62.

Табл. 62 – Параметры выпуска Push OTP-токенов

Вкладка TOTP

  6. Выберите вкладку TOTP.

Окно примет следующий вид.

Рис. 201 – Вкладка TOTP

  7. Выполните настройки, руководствуясь Табл. 54, с. 193.

Вкладка Параметры обновления

  8. Выберите вкладку Параметры обновления.

Окно примет следующий вид.

Рис. 202 – Вкладка Параметры обновления

  9. Выполните настройки, руководствуясь Табл. 63.

Табл. 63 – Параметры обновления профиля

Вкладка Список разрешенных стран

  10. Выберите вкладку Список разрешенных стран.

Окно примет следующий вид.

Рис. 203 – Вкладка Список разрешенных стран

  11. Выполните настройки, по аналогии с одноименной вкладкой Профиля выпуска программных OTP-токенов,Табл. 56, с. 196.

Завершение настройки профиля

  12. По окончании всех настроек нажмите кнопку Создать (Рис. 202, выше) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

Примечание. При сохранении профиля выполняется проверка на завершённость других настроек, необходимых для успешного выпуска для пользователей Push OTP-токенов.

1. При появлении предупреждения об отсутствии настройки Веб-сервиса безопасной передачи OTP-секрета (Рис. 204) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal a2fa configure, подробнее см. руководство по установке и настройке JMS [2].
2. При появлении предупреждения об отсутствии настройки SMTP-транспорта (Рис. 205) выполните соответствующую настройку в консольном агенте JMS (команда EAP.Agent.Terminal smtp configure, подробнее см. руководство по установке и настройке JMS [2].

Рис. 204 – Предупреждение о необходимости настроить веб-сервис безопасной передачи OTP-секрета

Рис. 205 – Предупреждение о необходимости включить и настроить SMTP-транспорт

Профиль управления ISO-образами JaCarta SF/ГОСТ

Для создания или настройки профиля записи ISO-образов JaCarta SF/ГОСТ выполните следующие действия:

1. В консоли управления JMS перейдите в раздел Профили
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать, выберите тип профиля Управление ISO-образами.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию на нём правой кнопкой мыши выберите Свойства.

Отобразится страница следующего вида.

Рис. 206 – Вкладка Общие

  3. На вкладке Общие в соответствующих полях введите (или отредактируйте) имя и описание профиля.

  4. Перейдите на вкладку ISO Образы.

Рис. 207 – Вкладка ISO-образы

  5. Выполните настройку, руководствуясь Табл. 64.

Табл. 64 – Параметры записи ISO-образов JaCarta SF/ГОСТ

  6. Перейдите на вкладку Параметры.

  7. Выполните необходимые настройки, руководствуясь Табл. 65.

Табл. 65 – Параметры записи ISO-образов JaCarta SF/ГОСТ

  8. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

 Профиль обновления встроенного ПО JaCarta SF/ГОСТ

Для создания или настройки профиля обновления встроенного ПО JaCarta SF/ГОСТ выполните следующие действия:

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать, выберите тип профиля Обновление встроенного ПО.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию на нём правой кнопкой мыши выберите Свойства.

Отобразится страница следующего вида.

Рис. 208 – Вкладка Общие

  3. На вкладке Общие в соответствующих полях введите (или отредактируйте) имя и описание профиля.

  4. Перейдите на вкладку Параметры.

Рис. 209 – Вкладка Параметры

  5. Выполните настройку, руководствуясь Табл. 66.

Табл. 66 – Параметры обновления встроенного ПО JaCarta SF/ГОСТ

  6. Нажмите Создать (или Сохранить, если редактировался ранее созданный профиль).

 Импорт/экспорт контейнеров JaCarta SF/ГОСТ (kka-контейнеров)

Контейнеры JaCarta SF/ГОСТ (kka-контейнеры) или ключевые контейнеры администратора доступа служат для инициализации работы с ЗНИ (в заводской документации – ЭН, электронными носителями) JaCarta SF/ГОСТ, определяют механизм доступа к скрытым разделам данных ЗНИ и содержат другую служебную информацию. Для доступа к данным в контейнере требуется знание PIN-кода (пароля) данного контейнера. (Подробное описание см. в документации из комплекта поставки ЭН JaCarta SF/ГОСТ).

Контейнеры .kka необходимы для выпуска и синхронизации ЗНИ JaCarta SF/ГОСТ. Данные контейнеры создаются с помощью ПО из комплекта поставки ЗНИ JaCarta SF/ГОСТ.

Для добавления или создания учетной записи с kka-контейнером выполните следующие действия:

1. В консоли управления JMS перейдите в раздел JaCarta SF/ГОСТ -> Контейнеры JaCarta SF/ГОСТ.

Рис. 210 – Раздел JaCarta SF/ГОСТ -> Контейнеры JaCarta SF/ГОСТ консоли управления JMS

  2. Выполните одно из следующих действий:

• • если вы хотите добавить новую учетную запись с контейнером JaCarta SF/ГОСТ, справа вверху нажмите Импорт, откроется страница импорта контейнера (Рис. 211);
  • если вы хотите отредактировать существующую учетную запись с контейнером JaCarta SF/ГОСТ, в центральной части окна консоли управления JMS отметьте эту учетную запись, нажмите правой кнопкой мыши и в меню действий выберите Свойства.

Примечание. Если вы открыли уже зарегистрированную в JMS учетную запись контейнера, то для редактирования будет доступно только поле Имя.

Рис. 211 – Страница импорта контейнера JaCarta SF/ГОСТ

  3. Для импорта контейнера выполните необходимые действия, руководствуясь Табл. 67.

Табл. 67 – Параметры учетной записи контейнера JaCarta SF/ГОСТ

  4. Нажмите кнопку Импортировать в случае импортирования контейнера JaCarta SF/ГОСТ, либо Сохранить в случае редактирования ранее созданной учетной записи соответствующего контейнера.

Примечание. После сохранения контейнера в режиме редактирования (т.е. после нажатия на кнопку Сохранить) для выхода со страницы редактирования контейнера следует закрыть данную страницу (Рис. 212).

Рис. 212 – Закрытие страницы редактирования контейнера JaCarta SF/ГОСТ

Для экспорта контейнера JaCarta SF/ГОСТ, ранее импортированного в JMS, в разделе JaCarta SF/ГОСТ -> Контейнеры JaCarta SF/ГОСТ выберите в центральной части экрана необходимую учётную запись контейнера, нажмите на ней правой кнопкой мыши и выберите пункт Экспорт.  Файл контейнера будет записан в папку, назначенную по умолчанию для загрузок (для скачанных файлов) используемого web-браузера.

Для экспорта контейнера JaCarta SF/ГОСТ пользователю JMS должно быть предоставлено право на операцию «JaCarta SF/ГОСТ – Контейнеры: Экспорт»

Регистрация обновлений встроенного ПО JaCarta SF/ГОСТ

В JMS имеется возможность добавлять в БД файлы обновления встроенного ПО (прошивки) электронных ключей (ЭН) JaCarta SF/ГОСТ, и в дальнейшем управлять данными файлами.

Для создания учетной записи с файлом обновления встроенного ПО JaCarta SF/ГОСТ выполните следующие действия:

1. В консоли управления JMS перейдите в раздел JaCarta SF/ГОСТ -> Реестр обновлений встроенного ПО JaCarta SF/ГОСТ.

Рис. 213 – Раздел JaCarta SF/ГОСТ -> Реестр обновления встроенного ПО JaCarta SF/ГОСТ консоли управления JMS

2. Выполните одно из следующих действий:

• • если вы хотите добавить новую учетную запись с файлом обновления встроенного ПО JaCarta SF/ГОСТ, справа вверху нажмите Регистрация, откроется страница регистрации обновления встроенного ПО (Рис. 214);
  • если вы хотите отредактировать существующую учетную запись с файлом обновления встроенного ПО JaCarta SF/ГОСТ, в центральной части окна консоли управления JMS отметьте эту учетную запись, нажмите правой кнопкой мыши и в меню действий выберите Свойства.

Рис. 214 – Страница регистрации обновления встроенного ПО JaCarta SF/ГОСТ

  3. Для регистрации файла обновления встроенного ПО выполните необходимые действия, руководствуясь Табл. 68.

Табл. 68 – Параметры учетной записи файла обновления встроенного ПО JaCarta SF/ГОСТ

  4. Нажмите Зарегистрировать в случае регистрации файла обновления встроенного ПО JaCarta SF/ГОСТ, либо Сохранить в случае редактирования учетной записи ранее зарегистрированного файла обновления.

После регистрации новая учетная запись отобразится в реестре обновлений встроенного ПО JaCarta SF/ГОСТ:

Рис. 215 – Учетная запись в реестре обновлений встроенного ПО JaCarta SF/ГОСТ

Настройка профиля доступа в личный кабинет JWM

Примечание.  Профили Доступ в личный кабинет становятся доступны в консоли управления JMS после установки расширения JWM-коннектор для JMS (подробнее см. руководство по установке и настройке [2], раздел «JWM-коннектор для JMS») на компьютере, где развернуто приложение Консоль управления JMS.

Профиль Доступ в личный кабинет предназначен для массовой настройки свойств пользователей, на которых распространяется действие данного профиля (благодаря механизмам привязки профилей и фильтрации пользователей на основе Глобальных групп.)

Заданные в профиле права пользователей по отношению к объектам доступа из их личного кабинета на портале JWM будут занесены в личные настройки пользователей после выполнения Плана обслуживания настроек личного кабинета (см. раздел «План обслуживания настроек личного кабинета», с. 324).

Права пользователей по отношению к объектам доступа из их личного кабинета на портале JWM можно найти в свойствах пользователя на вкладке Личный кабинет.

Важно! При привязке профиля Доступ в личный кабинет к контейнеру ресурсной системы нужно убедиться, что к одному контейнеру привязано не более одного профиля.

Для создания (или настройки) профиля выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. Выполните одно из следующих действий:

• • • чтобы создать новый профиль, нажмите Создать выберите тип профиля Прочее -> Доступ в личный кабинет.
    • чтобы изменить существующий профиль, выберите этот профиль на правой панели в консоли управления JMS, после чего по нажатию правой кнопкой мыши выберите Свойства.

Отобразится следующее окно.

Рис. 216 – Вкладка Общие

  3. В соответствующих полях введите (или отредактируйте) имя и описание профиля.

После редактирование полей на вкладке Общие переходите на вкладку Права пользователя.

Рис. 217 – Вкладка Права пользователя

  4. Выполните настройки, руководствуясь Табл. 69.

Табл. 69 – Права пользователей по отношению к объектам личного кабинета на портале JWM

По окончании всех настроек нажмите кнопку Создать (Рис. 217, выше) или Сохранить (при редактировании профиля), чтобы сохранить изменения.

 Привязка профилей

Для выпуска электронных ключей после настройки профилей необходимо привязать эти профили к пользователям, на имя которых электронные ключи будут выпускаться.

Чтобы привязать созданные профили к пользователям, выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. В центральной панели отметьте контейнер, содержащий пользователей, к которым вы хотите привязать настроенные профили (например, контейнер FreeIPA), нажмите на нем правой кнопкой мыши и в появившемся меню выберите + Привязать профиль:

Рис. 218 – Выбор контейнера для привязки профиля

  3. Откроется перечень профилей.

Рис. 219 – Выбор профилей для привязки к контейнеру

  4. Отметьте профили, которые вы хотите привязать к выбранному контейнеру, и нажмите Привязать. Отобразится окно запроса на подтверждение привязки:

Рис. 220 – Окно запроса на подтверждение привязки профиля

  5. Для привязки профиля нажмите Да.

Список привязок отобразится на центральной панели с контейнерами ресурсной системы:

Рис. 221 – Результат привязки профилей к контейнеру ресурсной системы

Примечание. Привязку профилей можно также выполнить методом «перетаскивания мышью» профилей из правой панели на панель с деревом ресурсной системы.

Для отмены привязки профиля к контейнеру выполните следующие действия.

1. Выберите необходимую привязку профиля в центральной части окна.
2. Нажмите на ней правой кнопкой мыши и выберите пункт –Отменить привязку.

С примерами порядка настройки и привязки профилей можно ознакомиться в разделе «Примеры настроек профилей», с. 237.

Ограничение действия профилей через группы домена/глобальные группы JMS

Чтобы распространить действие привязки профиля только на определенных пользователей выбранного контейнера ресурсной системы (а также на определенные рабочие станции), используя группы домена (или ресурсной системы, такой как FreeIPA или Active Directory) или глобальные группы JMS, выполните следующие действия.

Если вы планируете ограничить действие привязки профиля за счет глобальных групп JMS, такие группы предварительно нужно создать (см. «Глобальные группы JMS», с. 297).

1. В консоли управления JMS перейдите в раздел Профили.

Окно консоли будет выглядеть следующим образом.

Рис. 222 – Привязки профилей

  2.  В центральной части окна отметьте привязку, действие которой необходимо ограничить глобальной группой, нажмите на ней правой кнопкой и выберите Свойства.

Отобразится окно следующего вида.

Рис. 223 – Свойства привязки профиля

  3. В секции Фильтр безопасности нажмите Добавить.

Отобразится окно следующего вида.

Рис. 224 – Окно выбора групп для фильтра привязки

  4. В верхнем поле выберите тип групп для фильтрации (Глобальные группы или группы домена ресурсной системы, Рис. 225). По умолчанию выбраны Глобальные группы.

Рис. 225 – Выбор типа группы для фильтрации

  5. При выборе фильтра по глобальным группам отобразится соответствующее окно (по умолчанию, Рис. 224). Выберите в нем необходимые группы и нажмите Выбрать.

  6. При необходимости добавить доменные группы, в верхнем поле выберите домен (ресурсную систему, Рис. 225).

Отобразится окно следующего вида:

Рис. 226 – Окно выбора доменных (локальных) групп

  7. Отметьте доменную (локальную) группу (группы), которой вы хотите ограничить область действия привязки профиля, после чего нажмите Выбрать.

  8. Выбранные группы отобразятся в списке Фильтр безопасности (Рис. 227).

Рис. 227 – Окно выбора доменных (локальных) групп

  9. В секции Фильтр безопасности выберите один из двух пунктов:

• • По вхождению – профиль действует только для членов указанных групп;

• • По исключению – профиль действует для всех, кроме членов указанных групп.

  10. Повторите необходимые действия, если необходимо создать фильтр с использованием других групп JMS.

  11. Нажмите Сохранить, чтобы сохранить изменения и закрыть окно.

Наследование профилей

В JMS контейнеры (например, cn=accounts) ресурсных систем (например, FreeIPA) наделены настраиваемым признаком наследования профилей. Наследование профилей вложенным контейнером означает, что действие профилей, привязанных к вышестоящему контейнеру, переносится на данный вложенный контейнер. По умолчанию наследование профилей в JMS разрешено во всех контейнерах.

Для того чтобы запретить/разрешить наследование профилей у контейнера, выполните следующие действия.

1. В консоли управления JMS перейдите в раздел Профили.
2. На центральной панели с деревом ресурсной системы выберите необходимый контейнер, нажмите правой кнопкой мыши и выберите Запретить наследование (в случае запрета) или Разрешить наследование (в случае разрешения).
3. В окне подтверждения действия нажмите Да.

После запрета/разрешения наследования профилей изменения отразятся в полях Наследование и Унаследованные профили свойств контейнера (можно посмотреть, выбрав пункт Свойства по нажатию правой кнопкой мыши на контейнере).

Экспорт/импорт профилей

Чтобы экспортировать/импортировать профиль JMS, выполните следующие действия.

 Настройка параметров печати при выпуске объектов JMS

JMS позволяет настроить параметры печати документов, которые формируются при выпуске различных объектов в JMS (электронных ключей, ЗНИ и сертификатов). Настройка параметров печати осуществляется в свойствах профиля выпуска.

Существует возможность распечатать указанные в настройках профиля документы, как непосредственно в момент выпуска электронного ключа, так и по прошествии времени после выпуска электронного ключа (подробнее см. Акты и заявки).

В зависимости от профиля, в котором происходит настройка печати, возможна настройка параметров печати для следующих типов документов (см. табл. 70).

Табл. 70 – Параметры печати

Настройка параметров печати документов рассмотрена на примере вкладки Печать запроса на сертификат (см. «Настройка печати на примере вкладки Печать акта выдачи КН», ниже). Настройка параметров печати на вкладках Печать заявки на выпуск КН, Печать акта выдачи КН и Печать сертификата аналогична приведенному примеру.

Настройка печати на примере вкладки Печать акта выдачи КН

В настоящем разделе приводится типовой пример настроек печати на соответствующей вкладке профилей выпуска ЭК, ЗНИ и сертификатов.

Вкладка Печать акта выдачи КН выглядит следующим образом:

Рис. 228 – Вкладка Печать акта выдачи КН

Чтобы настроить печать документов, связанных с выпуском электронных ключей, выполните следующие действия:

1. В поле Шаблон печатной формы выберите из раскрывающегося списка выберите шаблон печатной формы (например Шаблон акта выдачи КН), по которому будет создан и распечатан документ.

 О создании и настройке Шаблона печатной формы подробнее см. в разделе «Подсистема печати», с. 280.

  2. Чтобы в процессе выпуска ключевого носителя/сертификата происходило формирование соответствующего документа следует установить флаг Формировать документ (Рис. 229, ниже). В случае если такой документ необходимо печатать в процессе выпуска, следует установить флаг Печатать (флаг становится активен только после выбора шаблона сертификата в поле Шаблон печатной формы).

При установке флага Печать в процессе выполнения процедуры выпуска ключевого носителя/сертификата пользователю будет показано окно запроса на распечатку соответствующего документа. В противном случае (флаг Печать не установлен) документ будет сформирован и сохранен в БД JMS, после чего его можно распечатать из раздела Акты и заявки консоли управления JMS (см. раздел «Акты и заявки», c. 242)

Важно! Если флаг Формировать документ не установлен, то документ не будет сформирован в системе, т.е. его нельзя будет распечатать не только во время выпуска ключевого носителя/сертификата, но и позже.

Рис. 229 – Пример корректной настройки печати документа

Примеры настроек профилей

Комплекс профилей, привязываемых в JMS к контейнеру (см. «Привязка профилей», с. 229), полностью определяет набор возможных действий в отношении ЭК/ЗНИ пользователя. Ниже представлены примеры действий для создания типовых наборов профилей и их настроек, которые необходимо выполнить, чтобы в JMS стали доступны основные операции с электронными ключами.

Профили для выпуска ЗНИ SF/ГОСТ из консоли управления JMS

Для выпуска ЗНИ SF/ГОСТ из консоли управления JMS необходимо выполнить привязку к пользователю (контейнеру пользователя в ресурсной системе) следующего набора профилей:

• профиль выпуска ключевого носителя (см. «Настройка профиля выпуска электронных ключей», с. 102); в настройках параметров выпуска (в профиле) нужно разрешить инициализацию в приложении SF (параметр Способ выпуска для консоли администратора).

Примечание. В JMS к одному пользователю (контейнеру) не должно быть привязано более одного профиля выпуска ключевого носителя

• профиль инициализации JaCarta SF/ГОСТ (см. «Настройки параметров инициализации» -> «JaCarta SF/ГОСТ», с. 125).

В случае выпуска ЭН пользователя в профиле инициализации SF/ГОСТ на вкладке Параметры (см. «Вкладка Параметры», с. 126) в параметре Режим инициализации следует установить значение Инициализация КН пользователя

В случае выпуска ЭН администратора доступа в параметре Режим инициализации следует установить значение Инициализация КН администратора.

Профили для выпуска ЗНИ SF/ГОСТ из клиентского приложения JMS

Для того чтобы в клиенте JMS стал доступен выпуск ЗНИ SF/ГОСТ (ЭН Пользователя) следует настроить и привязать к пользователю (к его контейнеру) профили, указанные в разделе «Профили для выпуска ЗНИ SF/ГОСТ », выше. При этом в настройках параметров профиля выпуска ключевого носителя нужно разрешить инициализацию в приложении SF для клиента JMS (параметр Способ выпуска для клиентского агента).

Кроме того, необходимо создать (если он еще не создан) и привязать к пользователю профиль клиентского агента, а также настроить в нем параметры, разрешающие самостоятельный выпуск электронного ключа (см. «Настройка профиля клиентского агента», с. 106).

Профили для выпуска администратором электронного ключа с сертификатом

Для выпуска электронного ключа с сертификатом из консоли управления JMS необходимо выполнить привязку к пользователю (контейнеру пользователя в ресурсной системе) следующего набора профилей:

• профиль выпуска ключевого носителя (см. «Настройка профиля выпуска электронных ключей», с. 102);

Примечание. В JMS к одному пользователю (контейнеру) не должно быть привязано более одного профиля выпуска ключевого носителя

• профиль выпуска сертификата (см. например «Настройки профиля выпуска сертификатов в УЦ DogTag», с. 155).

Примечание. К одному пользователю (контейнеру) может быть привязано несколько профилей выпуска сертификата. Число выпускаемых сертификатов на электронном ключе будет равно числу таких привязанных профилей.

В случае если при выпуске электронного ключа требуется его очистка (инициализация) и установка заданных параметров аутентификации (PIN-кодов по умолчанию, парольной политики и др.), следует также:

• создать (если отсутствует) и привязать соответствующий профиль инициализации ключевого носителя (см. «Настройки параметров инициализации», с. 110)
• в профиле выпуска ключевого носителя в настройках параметров выпуска нужно разрешить инициализацию в соответствующем приложении (параметр Способ выпуска для консоли администратора).

Профили для выпуска пользователем электронного ключа с сертификатом

Для того чтобы в клиенте JMS стал доступен выпуск электронного ключа с сертификатом следует настроить и привязать к пользователю (к его учетной записи в JMS или контейнеру ) профили, указанные в разделе «Профили для выпуска администратором электронного ключа с сертификатом», выше, с тем отличием, что в случае настройки профиля инициализации ключевого носителя, в профиле выпуска ключевого носителя в настройках параметров выпуска для того чтобы разрешить инициализацию в соответствующем приложении следует настраивать параметр Способ выпуска для клиентского агента.

Кроме того, необходимо создать (если он еще не создан) и привязать к пользователю профиль клиентского агента, а также настроить в нем параметры, разрешающие самостоятельный выпуск электронного ключа (см. «Настройка профиля клиентского агента», с. 106).

Порядок настройки самостоятельного выпуска пользователями OTP-аутентификатора

Настройка самостоятельного выпуска пользователями OTP-аутентификатора из личного кабинета JWM использует специальные механизмы JMS, которые требуют выполнения дополнительных действий, отличных от стандартных настроек при выпуске других объектов JMS.

Примечание. Под OTP-аутентификаторами подразумеваются программный OTP-, Telegram OTP-, Messaging- и A2FA Push-токены.

Для настройки самостоятельного выпуска пользователями OTP-аутентификатора выполните следующие действия

1. Создайте профиль выпуска OTP-аутентификатора в зависимости от требуемого типа:

• • профиль выпуска программного OTP-токена (см. «Настройка профиля выпуска программных OTP-токенов», с. 188);
  • профиль выпуска Telegram OTP-токена (см. «Настройка профиля выпуска Telegram OTP-токенов», с. 198);
  • профиль выпуска Messaging-токена (см. «Настройка профиля выпуска Messaging-токенов», с. 203);
  • профиль выпуска Push OTP-токена (см. «Настройка профиля выпуска Push OTP-токенов», с. 209).

  2. Создайте глобальную группу для пользователей, которым необходимо предоставить право на самостоятельный выпуск OTP-аутентификатора (см. «Глобальные группы JMS», с. 297, группу можно оставить пустой, не добавляя в нее пользователей, подробнее см. далее)

  3. Выполните привязку профиля (см. «Привязка профилей», с. 229).

  4. Добавьте в привязку фильтр по глобальной группе, созданной на шаге 2 (создание фильтра см. в разделе «Ограничение действия профилей через группы домена/глобальные группы JMS», с. 231). Глобальную группу можно оставить пустой, поскольку специальный механизм индивидуального выпуска OTP-аутентификаторов будет заполнять эту группу автоматически.

 Примечание.

1. При отсутствии настройки фильтра по глобальной группе у пользователя не будет возможности отказаться от выпуска данного вида аутентификатора в момент, когда ему будет предоставлен список возможных аутентификаторов для выпуска.
2. Поскольку при использовании глобальной группы с профилями выпуска OTP-аутентификаторов такая группа может пополняться пользователями автоматически (в момент выпуска аутентификатора из Личного кабинета), это следует учитывать при настройке фильтра с помощью той же глобальной группы для привязки другого профиля (чтобы избежать неконтролируемого выпуска OTP-аутентификаторов при запуске плана обслуживания). В общем случае следует использовать отдельную глобальную группу для установки фильтра на каждый профиль выпуска OTP-аутентификатора.

  5. Создайте профиль доступа в личный кабинет (см. «Настройка профиля доступа в личный кабинет JWM», с. 227).

  6. Выполните привязку профиля (см. «Привязка профилей», с. 229) к тем пользователям, на которых распространяется право самостоятельного выпуска OTP-аутентификаторов.

Важно! При привязке профиля Доступ в личный кабинет к контейнеру ресурсной системы убедитесь, что к одному контейнеру привязано не более одного профиля.

  7. Проверьте и при необходимости измените план обслуживания настроек личного кабинета (см. «План обслуживания настроек личного кабинета», с. 324) и запустите его на выполнение (см. раздел «Запуск и просмотр результатов планов обслуживания», с. 310). Результатом работы плана обслуживания будет настройка прав самостоятельного выпуска OTP-аутентификаторов в личном кабинете для всех пользователей, на которых распространяется действие профиля доступа в личный кабинет.

Примечание. Для того чтобы убедиться, что после завершения плана обслуживания конкретному пользователю разрешен доступ к соответствующему порталу и право на выпуск OTP-аутентификатора, откройте свойства пользователя и на вкладке Личный кабинет и проверьте, что установлены соответствующие настройки, как, например, на Рис. 230, ниже.

Рис. 230 –Пример разрешений пользователя в ЛК для самостоятельного выпуска OTP-аутентификатора

  8. В настройках личного кабинета (раздел Настройки личного кабинета –> Выпуск OTP-аутентификаторов) у соответствующего профиля установите флаг Разрешить выпуск через личный кабинет (см. раздел «Раздел Выпуск OTP-аутентификаторов», Рис. 342 с. 382).

  9. В настройках личного кабинета (раздел Настройки личного кабинета –> Аутентификация консоли управления JMS) сделайте доступной соответствующую вкладку для аутентификации пользователей, например Вход по OTP (для OTP- и Push-токенов) и/или Вход по Messaging (для Messaging-токенов), подробнее см. «Раздел Аутентификация», с. 358.

Проверку самостоятельного выпуска можно произвести из личного кабинета пользователя на портале JWM на вкладке Устройства в секции Выпуск OTP-аутентификатора в JMS (см. руководство пользователя [1]).

Примечание. В случае настройки аутентификации по Push OTP-токену во внешней системе с использование JAS-плагина NPS не забудьте выполнить дополнительную настройку параметров данного плагина в реестре (параметр PushTokenAction=Pass). Подробнее см. руководство по установке и настройке JAS [3], раздел «Настройка JAS-плагина для NPS».

Профили для отключения и замены пользователем ЭК / ЗНИ

Для того чтобы в клиенте JMS пользователю стало доступно отключение (временная блокировка в JMS) и замена ЭК/ЗНИ следует настроить и привязать к пользователю профили, указанные:

• для случая ЭК: в разделах «Профили для выпуска администратором электронного ключа с сертификатом» и «Профили для выпуска пользователем электронного ключа с сертификатом», выше.
• для случая ЗНИ: в разделах «Профили для выпуска ЗНИ SF/ГОСТ из консоли управления JMS» и «Профили для выпуска ЗНИ SF/ГОСТ из клиентского приложения JMS», с. 238.

Кроме того, в настройках профиля клиентского агента следует установить признаки Разрешать отключение и Разрешать замену на вкладке Ограничения по работе с КН (см. «Настройка профиля клиентского агента», с. 106).

Выпуск машинного сертификата (сертификата АРМ)

JMS позволяет выпускать машинные сертификаты (или сертификаты АРМ) с закрытым ключом в соответствующее хранилище на рабочей станции с установленным компонентом JWA (JMS Web Agent), т.е. клиентом JMS. В JMS для выпуска такого сертификата используется абстрактная модель электронного ключа: сертификат выпускается на виртуальный «ключевой носитель», в качестве которого выступает соответствующее машинное хранилище сертификатов на рабочей станции (см. «Виртуальные электронные ключи WpaStore и MachineStore, с. 71).

Для обеспечения выпуска машинных сертификатов на рабочих станциях (АРМ) убедитесь, что данные рабочие станции принадлежат домену ресурсной системы (AD, FreeIPA и т.д.)  и зарегистрированы в JMS (см. раздел «Регистрация рабочих станций в JMS» c. 21) и на них установлен клиентский агент (JWA) (подробнее см. первую часть руководства администратора [2], раздел «Установка и первоначальная настройка JMS Web Agent (JWA)»).

Для подготовки выпуска такого сертификата выполните следующие действия.

1. Создайте профиль выпуска сертификата, как это описано в соответствующем разделе:

• раздел «Настройки профиля выпуска сертификатов в центре сертификации Microsoft», с. 130, — для выпуска сертификата в MSCA;
• раздел «Настройки профиля выпуска сертификатов в УЦ AeCA», с. 144, — для выпуска сертификата в УЦ AeCA;

при этом на вкладке Типы приложений выберите:

• приложение Хранилище компьютера в случае выпуска сертификата для компьютера под управлением OC Windows;
• приложение Хранилище WPA в случае выпуска сертификата для компьютера под управлением OC Linux.

Примечание. По умолчанию приложения Хранилище компьютера и Хранилище WPA отсутствуют в списке на вкладке Типы приложений. Добавить данные приложения в список можно с помощью команды консольного агента Aladdin.EAP.Agent.Terminal applet enable (см. первую часть руководства администратора [2], раздел «Приложение 2. Справочник команд консольного агента Aladdin.EAP.Agent.Terminal»), либо в графическом приложении Web-консоль сервера JMS в разделе Конфигурация сервера в секции Безопасность (см. первую часть руководства администратора [2], раздел «Настройки используемых приложений»).

  2. Создайте профиль Настройки синхронизации рабочей станции в соответствии с разделом «Профиль настроек синхронизации рабочей станции», с. 173.

  3. Выполните привязку профилей, настроенных на шагах 1—2 к контейнерам, содержащим обслуживаемые рабочие станции (см. «Привязка профилей», с. 229), и/или к отдельным рабочим станциям (см. «Ограничение действия профилей через группы домена/глобальные группы JMS», с.231), для которых следует выпускать сертификат в соответствующее хранилище средствами JMS.

Выпуск/синхронизация сертификата (при соблюдении всех указанных выше условий) выполняется в следующих случаях:

• при запуске клиентского агента JMS (JWA);
• по расписанию синхронизаций на вкладке Синхронизация хранилищ рабочих станций привязанного профиля Настройки синхронизации рабочей станции (см. «Профиль настроек синхронизации рабочей станции», с. 173).

Примечание. Для выпуска сертификата на рабочей станции под управлением ОС Linux требуется выполнить ряд подготовительных действий (подробнее см. первую часть руководства администратора [2], раздел «Подготовительные действия по поддержке машинных сертификатов (802.1x) на АРМ под управлением ОС Linux» )

Выпущенный в хранилище пользователя сертификат в консоли управления JMS отображается:

• в разделе Сертификаты;
• в свойствах соответствующей рабочей станции на вкладке Сертификаты.

После выпуска сертификат имеет статус Выпущен на КН и не отличается от сертификатов, выпущенных на электронных ключах.

Служебный объект «виртуального электронного ключа» (посредством которого выпускается сертификат) после выпуска сертификата отображается в разделе Ключевые носители консоли управления JMS как электронный ключ модели Machine Store (для приложения типа Хранилище компьютера, т.е. хранилище машинных сертификатов в ОС Windows), либо WpaStore (для приложения типа Хранилище WPA, т.е. хранилища машинных сертификатов в ОС Linux). Сертификат можно посмотреть также на вкладке Содержимое свойств этого «виртуального электронного ключа».