Вопросы по интеграции с AD и MFA

Версия 13.1 от Сергей Сжёнов на 09.02.2023, 13:20

Порядок организации услуги и зоны ответственности

Для подключения к услуге Заказчик:

  • заполняет и подписывает Бланк Заказа на предоставление Услуги;
  • отправляет отсканированную копию подписанного Заказа на e-mail presales@datafort.ru;
  • оригинал Бланка Заказа направляет Исполнителю в установленном Договором порядке;

Исполнитель в свою очередь:

  • проверяет корректность заполнения Бланка Заказа и осуществляет регистрацию Заказа;
  • уведомляет Заказчика по е-mail о принятии Заказа в работу;
  • проводит подключение к Услуге; и высылает на e-mail Заказчика инструкцию по доступу к Услуге.

Работы, выполняемые Исполнителем в рамках Услуги:

•           предоставление Клиенту всей необходимой информации о выполнения действий с его стороны;

•           настройка ipsec туннеля для интеграции с Active Directory на стороне Исполнителя

•           после проверки сетевой связности настройка коннектора с сервисом;

•           моделирование добавления, удаление пользователей в WorkSpace, получение подтверждение от Клиента, что вопросов по управлению пользователями нет.

Заказчик обязан со своей стороны:

 •          выполнить настройку на своей стороне, в соответствии с информацией, что будет предоставлена в рамках подключения к услуге;

  •         после завершения подключения, подтвердить корректное выполнение завершения задачи.

Общий алгоритм выполнения услуги состоит из двух пунктов:

  • создание ipsec тунеля site-to-site между шлюзом Клиента и Исполнителя;
  • подключение Active Directory.

В рамках интеграции с AD Клиента, у него будут запрошены 2 элемента:

  • сервисная учётная запись в домене заказчика. От нее необходим Distinguished Name и пароль (без спецсимволов—цифры и буквы в разном регистре, длина от 10.

Пример DN: cn=Robert Smith,ou=people,dc=example,dc=com)

Так же, необходимо проверить, что для УЗ выставлены опции Password never expires и User cannot change password, и снята галочка user must change password at next logon

  • имя доменной группы пользователей которым разрешён доступ в Example

Пример: Группа Example_Users, CN Example_Users,OU=ClientGroups,OU=_Client,OU=ClientUsers,DC=example,DC=com

Обратите внимание, что группа Example_Users должна содержать минимум одного пользователя для успешной интеграции

Для подключения услуги в целях избежания повторения сетей со стороны клиентов/хостера заранее Клиенту предлагается выбрать 2 пула из списка. Данные адреса выступают в роли right и left subnets в построении ipsec.

Right Subnets (Исполнитель)

Left Subnet (Заказчик)

100.64.0.0/24

100.64.1.0/24

100.64.2.0/24

100.64.3.0/24

100.64.4.0/24

100.64.5.0/24

100.64.6.0/24

100.64.7.0/24

100.64.8.0/24

100.64.9.0/24

В случае, если клиенту требуется услуга Мультифактор – она подключается только совместно с данным решением (интеграция с Active Directory через ipsec). В этом случае на стороне LDAP адаптера прописывается адрес API и ключи от страницы мультифактора, переданной клиенту.

Схема интеграции с сервисов каталогов

56.png

Важно: Исполнитель не несет ответственности за неправильную настройку на стороне Заказчика и невозможность предоставления услуги в случае невыполнения Заказчиком обязательств в рамках данного Описания услуги.