You are viewing an old version of this page. View the current version.

Compare with Current View Page History

« Previous Version 20 Next »


Компонент ADFS Extension реализует провайдер мультифакторной аутентификации для сервера Microsoft ADFS, добавляя в процесс получения доступа второй фактор.

Информация

Файлы для Indeed ADFS Extension расположены: indeed AM 7.0\Indeed ADFS Extension\<Номер версии>\

  • IndeedId.ADFS.Extension-v1.0.2.x64.ru-ru.msi - Пакет для установки Indeed ADFS Extension

Создание сервисной учетной записи.

  1. На контроллере домена необходимо создать сервисную учетную запись (gMSA).

  2. Открыть PowerShell с правами администратора и ввести команды:

    Примечание

    Вместо YouDnsHostName укажите полное имя своей машины.
    Пример
    Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10) New-ADServiceAccount -Name FSgMSA -DnsHostName YouDnsHostName -ServicePrincipalNames http/YouDnsHostName


Получение SSL сертификат для ADFS.

  1. Откройте локальный центр сертификации. (Win+R -> certsrv.msc).

  2. Создайте дубликат шаблона сертификата: "Веб-сервер".

    1. Откройте консоль шаблонов сертификатов. (Правая кнопка мыши по "Шаблоны сертификата" -> "Управление").

    2. Создать дубликат шаблона "Веб-сервер". (Правая кнопка мыши по "Веб-сервер" -> "Скопировать шаблон").

    3. Укажите имя для шаблона и установите значение "Заявка" для группы "Прошедшие проверку".



    4. На вкладке "Обработка запроса" включите параметр "Разрешить экспортировать закрытый ключ".

    5. Включите созданный шаблон (Правая кнопка мыши по "Шаблоны сертификата" -> "Создать" -> "Выдаваемый шаблон сертификата").

  3. Создайте запрос сертификата на сервере ADFS.
    1. Откройте оснастку "Сертификаты".
    2. Запросите сертификат.

    3. Выберите созданный сертификат.
    4. На вкладке "Субъект" в поле "Имя субъекта" укажите тип "Общее имя" в значение укажите имя вашего сервера ADFS.
    5. Выполнить заявку сертификата.

Экспорт сертификата.

  1. Экспортируйте сертификат. (Правая кнопка мыши по необходимому сертификату -> Все задачи -> Экспорт).

  2. Выберите "Экспортировать закрытый ключ".
  3. Выберите "Экспортировать все расширенные свойства".
  4. Укажите пароль с которым будет выгружен сертификат.
  5. Укажите путь и имя сертификата.
  6. Выполните экспорт.

Установка и настройка.

  1. Установить роль "Службы федерации AD" на отдельном сервере.

Настройка роли ADFS.

  1. Откройте мастер настройки службы федерации.
  2. В пункте "Подключение к AD DS" укажите учетную запись с правами Администратора.
  3. В пункте "Настройка свойств службы" необходимо импортировать сертификат созданный ранее в Центре сертификации для шифрования службы AD FS.
  4. Выберите сервисную учетную запись, созданную ранее.
  5. Все следующие настройки оставьте по умолчанию и завершите настройку. 

Проверка входа в ADFS.

  1. Проверить настройку можно через стандартную страницу ADFS: IdpInitiatedSignon. Для этого используйте URL: https://YourDomainName/adfs/ls/idpinitiatedsignon.htm
  2. Нажмите "Вход".
  3. Укажите доменный логин и пароль.

  4. После успешного ввода данных, ADFS сообщит что вход выполнен.

Установка и настройка ADFS Extension.

  1. Выполнить установку Indeed ADFS Extension через запуск инсталлятора IndeedId.ADFS.Extension-v1.0.2.x64.ru-ru.msi.

  2. Создайте конфигурационный файл MFAAdapter.json, содержащий следующие параметры.

    Информация

    ModeId может иметь разные ID провайдеров:

    {EBB6F3FA-A400-45F4-853A-D517D89AC2A3} - SMS OTP

    {093F612B-727E-44E7-9C95-095F07CBB94B} - EMAIL OTP

    {F696F05D-5466-42b4-BF52-21BEE1CB9529} - Passcode

    {0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0} - Software TOTP

    {AD3FBA95-AE99-4773-93A3-6530A29C7556} - HOTP Provider

    Пример
    { 
"ServerType":"eaNet", 
"EANetServerURL":"http://YourDomainName/easerver/", 
"ModeId":"{0FA7FDB4-3652-4B55-B0C0-469A1E9D31F0}", 
"LSUrl":"http://YourDomainName/ils/api", 
"LSEventCacheDirectory": "C:\\EventCacheEa\\" 
}


    1. Настройка при использовании SMS OTP Provider.

      Информация

      По умолчанию номер телефона получается из атрибута "telephoneNumber".

      Для смены атрибута по умолчанию необходимо добавить параметры в конфигурационный файл сервера (C:\inetpub\wwwroot\easerver\Web.config). 

      • Добавить тег "userMapRules" в теге "adUserCatalogProvider". 

      • Добавить тег "adObjectMapRule" в теге "userMapRules"с параметрами:
        •  "attribute="Phone"" - Указывает на изменяемый параметр.
        •  "adAttribute="mobile"" - Указывает с какого атрибута AD брать значение.
      • Добавить тег "objectTypeSettings".

      • Добавить тег "objectSetting" с параметрами "category="person" class="user""

        Пример
        <adUserCatalogProvider id="userId" serverName="ind.loc" containerPath="DC=ind,DC=loc" userName="userAdmin" password="Q1q2E3e4">
				<userMapRules>
						<adObjectMapRule attribute="Phone" adAttribute="mobile"/>
					<objectTypeSettings>
						<objectSetting category="person" class="user"></objectSetting>
					</objectTypeSettings>
				</userMapRules>
		</adUserCatalogProvider>

    1. Настройка при использовании EMAIL OTP Provider.

      Информация

      По умолчанию адрес электронной почты получается из атрибута "mail".

      Для смены атрибута по умолчанию необходимо добавить параметры в конфигурационный файл сервера (C:\inetpub\wwwroot\easerver\Web.config). 

      • Добавить тег "userMapRules" в теге "adUserCatalogProvider". 

      • Добавить тег "adObjectMapRule" в теге "userMapRules"с параметрами:
        •  "attribute="Email"" - Указывает на изменяемый параметр.
        •  "adAttribute="otherMailbox"" - Указывает с какого атрибута AD брать значение.
      • Добавить тег "objectTypeSettings".

      • Добавить тег "objectSetting" с параметрами "category="person" class="user""

        Пример
        <adUserCatalogProvider id="userId" serverName="ind.loc" containerPath="DC=ind,DC=loc" userName="userAdmin" password="Q1q2E3e4">
				<userMapRules>
						<adObjectMapRule attribute="Email" adAttribute="otherMailbox"/>
					<objectTypeSettings>
						<objectSetting category="person" class="user"></objectSetting>
					</objectTypeSettings>
				</userMapRules>
		</adUserCatalogProvider>


  3. Запустите PowerShell с правами администратора. Введите следующие данные:

    Информация

    YourPatch\MFAAdapter.json - укажите свой полный путь к конфигурационному файлу созданному ранее.

    Пример
    $typeName = "IndeedId.ADFS.MFAAdapter.MFAAdapter, IndeedId.ADFS.MFAAdapter, Version=1.0.0.0, Culture=neutral, PublicKeyToken=1ebb0d9282100d91" Register-AdfsAuthenticationProvider -TypeName $typeName -Name "Indeed Id MFA Adapter" -ConfigurationFilePath ‘YourPatch\MFAAdapter.json’

  4. Для удаления адаптера необходимо выполнить следующую команду:

    Пример
    Unregister-AdfsAuthenticationProvider -Name "Indeed Id MFA Adapter"

  5. Для обновления конфигурации необходимо выполнить следующую команду:

    Пример
    Import-AdfsAuthenticationProviderConfigurationData -Name "Indeed Id MFA Adapter" -FilePath ‘YourPatch\MFAAdapter.json’

Включение многофакторной аутентификации для ADFS.

  1. Откройте консоль управления AD FS.
  2. Выберите "Политики проверки подлинности", в окне "Действия" выберите "Изменить глобальную многофакторную проверку подлинности..."
  3. Добавьте пользователя/группу и включите следующие параметры:
    1. В пункте "Расположение" выберите "Экстрасеть" и "Интрасеть".
    2. Выберите использование провайдера "Indeed Id MFA Adapter".

Проверка многофакторной аутентификации ADFS.

  1. Откройте тестовую страницу ADFS: https://YourDomainName/adfs/ls/idpinitiatedsignon.htm
  2. Выполните вход.
  3. После ввода доменного логин/пароля укажите данные для второго фактора.
  4. После корректного ввода данных будет выполнен вход.




  • No labels