Каталог и политики

Вкладка «Каталог и политики» — единое AD-подобное дерево для управления хостами, пользователями, групповыми политиками и ролями. Построена по образцу оснасток Microsoft Active Directory Users and Computers и Group Policy Management: слева — дерево каталога, справа — содержимое выбранного узла.

В одном окне собрано управление хостами, пользователями, групповыми политиками, дистрибутивами, файлами, сертификатами, секретами и ролями.

Дерево каталога#

Дерево занимает левую панель. Корневые узлы фиксированы и сидируются системой; внутри них — встроенные категории, LDAP-структура и пользовательские коллекции. Политики раскрытых узлов подгружаются одним запросом. Число объектов в узле берётся из уже посчитанного состава, пока не включены поиск или фильтр состояния.

Узлы дерева#

Узел «Сертификаты» — хранилище доверенных CA и списков отзыва с версиями, метаданными X.509 и автозагрузкой CRL через Пограничный сервер; доставка на хосты — политикой из готового шаблона. Полное руководство — Сертификаты и списки отзыва.

Навигация#

• Раскрытие/сворачивание — клик по стрелке слева от узла.
• Выбор узла — клик по имени; справа в правой панели появляется содержимое.
• Контекстное меню коллекции — правый клик по узлу ветки «Все хосты и пользователи» (домен, подразделение, группа, категория, пользовательская коллекция): «Добавить фильтр», «Назначить политику», «Делегирование». У пользовательской коллекции ещё «Редактировать» и «Удалить», у корня домена — «Параметры».
• Разделы «Групповые политики», «Роли LSUS», «Секреты» и «Запуски сценариев» коллекциями не являются: фильтра, назначения политики и делегирования на них нет.
• «Групповые политики» — на самом корне только «Обновить дерево». Создать политику, шаблон, экспертный сценарий, папку сценариев или список исключений можно правым кликом по вложенному узлу. У папки сценариев — «Переименовать папку» и «Удалить папку». Подузел «Доставка сертификатов» — какие сертификаты и списки отзыва попадут в хранилища хоста; сами файлы лежат в корне дерева «Сертификаты». Новая такая политика создаётся в режиме аудита.
• «Роли LSUS» — «Создать роль». У роли — «Назначить пользователей…»; у пользовательской роли ещё «Удалить роль».
• «Секреты» — «Создать секрет».
• «Запуски сценариев» — «Создать кампанию» и «Создать расписание» (сразу открывается нужная подвкладка).
• Пункт виден при том же праве, что и соответствующая кнопка в правой панели. Правый клик по вложенному узлу сам узел не открывает: список справа переключается в момент выбора пункта «Создать…».
• Состояние раскрытия и выбранный узел сохраняются в URL — ссылку можно скопировать и поделиться.

Правая панель — представления#

При выборе коллекции (домен, OU, группа, категория «По ОС», пользовательская коллекция) правая панель показывает представления узла — сверху это переключатели, а не подвкладки верхнего уровня:

На панели «Политики» у коллекции хостов (пользовательская, OU, группа) и в окне фильтра рядом с «Роль: сервер» есть флажок «Разрешить экспериментальные конфигурации и сценарии». В дереве такая коллекция помечена значком испытаний. Привязать экспериментальную конфигурацию или экспертный сценарий к коллекции без флажка (и без предка с флажком) нельзя. Флажок на самом фильтре достаточен: не требуется отмечать родителя.

В карточке пользователя вкладка «Сессии» и бейдж «в системе» на вкладке «Хосты» — текущий вход: сессия есть и компьютер на связи. Компьютер, который просто включён, без входа этого человека, показан как «нет входа». «Последний вход» — когда этого человека видели в сессии, а не когда компьютер последний раз выходил на связь.

Локальные учётные записи#

Локальные (встроенные) учётки LSUS создаются и удаляются здесь, не в личном кабинете. Нужно право admin.users.operate. Узел «Локальные пользователи» в дереве — это другое: учётки операционной системы с агентов, не администраторы консоли и не LDAP.

• Создать — кнопка + на подвкладке «Пользователи»: логин, пароль (не короче 8 символов), email по желанию. Новая учётка получает роль «пользователь»; роль администратора назначают отдельно.
• Удалить — в карточке учётки и в контекстном меню строки. Подтверждение обязательно.
• Нельзя удалить учётку admin (даже если с неё сняли роль), свою собственную учётку и записи из LDAP/Kerberos. Нельзя удалить последнего пользователя с ролью администратора.

Сменить свой пароль — в личном кабинете. Сбросить чужой локальный пароль — в карточке учётки («Сменить пароль»).

GPO-представление групповой политики#

При выборе конкретной групповой политики (в узле «Групповые политики» или по клику на привязку в подвкладке «Политики») правая панель переключается в GPO-представление — по образцу карточки GPO в Group Policy Management Console.

В списке политик узла «Групповые политики» колонка назначения и группировка «По назначению» показывают путь коллекции в дереве (родители и конечный узел), а не только имя листа. Корень «Все хосты и пользователи» в путь не входит. Поиск в списке учитывает этот путь.

Коллекции#

Коллекция — это универсальный узел дерева, объединяющий хостов и/или пользователей. Коллекции бывают трёх видов:

Создание пользовательской коллекции#

Пользовательская коллекция задаётся фильтрами (а не ручным списком хостов): семейство и имя ОС, hostname/FQDN, подсеть, архитектура, LDAP OU/группа. Состав пересчитывается автоматически — новый хост, подошедший под фильтр, попадает в коллекцию без ручных действий.

1. Выберите узел в ветке «Все хосты и пользователи» (например, «Пользовательские коллекции LSUS») → «Добавить фильтр». На разделах «Групповые политики», «Роли LSUS», «Секреты» и «Запуски сценариев» этого пункта нет: это не коллекции хостов.
2. Задайте имя и при необходимости роль «сервер» (хуки установки). Для лабораторных коллекций включите «Разрешить экспериментальные сценарии»: тогда на эту коллекцию и её потомков можно назначить экспериментальные сценарии (черновики по-прежнему нельзя). Флажок не ставят на категории вроде «Все хосты и пользователи».
3. Настройте условия включения и условия исключения в таблицах на форме. «Добавить» открывает окно одного условия (ОС, сеть, LDAP). Кнопка у поля «Подсети и сайты» открывает дерево: в корне сайты из Администрирование → Подсети и назначение, их можно отметить целиком или выбрать отдельные подсети. Сверка идёт по текущим сетям. Свободный CIDR по-прежнему можно вписать вручную.
4. Сохраните — коллекция появится в дереве, состав пересчитается.

Компоновка фильтра:

• условия показаны таблицей на форме; правка одного условия — в отдельном окне;
• внутри одного условия поля объединяются по И, между условиями — по ИЛИ;
• объект, попавший под любое условие исключения, в коллекцию не входит;
• если условий включения нет — берутся все объекты скоупа родителя, затем вычитаются исключения. Это не как у LDAP-источника, где пустой список включений означает «никого не синхронизировать».
• фильтр всегда работает в скоупе родительского узла (в том числе LDAP OU/группы). Фильтр внутри пользовательской коллекции сужает её состав, а не весь каталог: вложенный узел не набирает хосты, которых нет у родителя.

Кнопки «Изменить» / «Предпросмотр» / «Удалить» у строки и «Обновить предпросмотр» внизу формы показывают, сколько объектов войдёт, сколько отсеется и какой итог.

LDAP-синхронизация#

LDAP-узлы (OU, группы) появляются в дереве автоматически после настройки каталога в Администрирование → Настройки → LDAP. Синхронизация идёт в фоне по расписанию: новые объекты добавляются, исчезнувшие переходят в tombstone (см. ниже). Время последней синхронизации видно в карточке узла (поле «LDAP-синк»).

Условие «Пользователи» и приоритетный хост#

Приоритетный хост — машина, за которой человек в основном работает сам, локально (как primary device в SCCM). По умолчанию один на пользователя, параметром — до N. В условии включения и исключения фильтра коллекции хостов блок «Пользователи (приоритетные хосты)» выбирает людей: отдельного человека, LDAP-группу, OU (с переключателем «с поддеревом / только узел») или пользовательский фильтр. В коллекцию входят приоритетные хосты выбранных людей.

Как это работает:

• Учёт работы — замерами. Задача воркера раз в 10 минут засчитывает время активных интерактивных сессий, и только пока хост на связи. SSH не считается; RDP и текстовая консоль — по параметрам. Потолок часов в сутки применяется к сумме учитываемых видов входа, сутки считаются в часовом поясе расписаний. Нет статистики интерактивного входа — нет приоритетного хоста, и условие такого человека не захватывает.
• Люди сверяются по принципалу каталога (ivanov@corp.local), а не по короткому логину: локальная ivanov не подменяет доменную. В пикере не выбираются «Встроенные учётные записи» — это учётки консоли LSUS.
• Компьютер каталога без агента под условие не попадает: сверка идёт через его управляемого двойника по имени.
• Состав группы или OU в каталоге подхватывает плановая сверка (раз в 15 минут): новый участник группы попадает в коллекцию без правки фильтра.
• Условие доступно и в списках исключений политик — например, не перезагружать принудительно ПК руководителей.

Приоритетный хост в интерфейсе:

• Карточка пользователя, вкладка «Хосты»: назначения с источником (авто/ручное) и датой, кандидаты с днями и часами, «Почему так» — последние события, кнопки «Назначить вручную» и «Снять ручное назначение». Ручное назначение до первого входа — способ подготовить ПК новому сотруднику.
• Карточка хоста, вкладка «Сведения»: для кого хост приоритетный, кнопка «Назначить пользователя».
• Список учёток: колонка «Приоритетный хост», фильтр «есть / нет / вручную», кнопки «Пересчитать сейчас» и экспорт/импорт CSV (логин;хост, логин в любом виде: ivanov, CORP\ivanov, ivanov@corp.local).

Типичные ситуации (при значениях по умолчанию):

Сроки и пороги — параметры группы «Приоритетный хост пользователя» (см. справочник переменных). Режим LSUS_PRIMARY_HOST_AUTO=0 — наблюдение: новые автоназначения не создаются, но уже существующие сохраняются (снимаются только жёсткие случаи — хост удалён, тег-исключение, учётка удалена из каталога); кандидаты считаются и видны в карточках и выгрузке, ручные назначения действуют.

Списки исключений политик#

Раздел «Списки исключений» живёт в дереве под «Групповые политики». Это не фильтр коллекции: хост остаётся членом группы (счётчики, соседние политики, отчётность), но выбранные GPO на него не применяются, и при включённой галке он не попадает ни в одну кампанию обновлений.

Состав набора — условия включения и исключения (та же таблица и окно одного условия, что у фильтра коллекции) плюс явные хосты. Пустые условия и пустой список хостов никого не режут. В карточке набора можно исключить целый тип политик (конфигурации, источники, опции ОС, hold-пакеты, GUI) — тогда не применяются и политики этого типа, которые появятся позже. Отдельно отмечаются конкретные политики других типов; фильтр «Все типы» только сужает список. На вкладке «Область» политики набор, сработавший по типу, помечен бейджем «весь тип» — снять его можно только в карточке списка. Галка «Исключить из всех кампаний обновлений» действует на Windows и Linux, в том числе на будущие кампании и на хосты, добавленные в кампанию вручную.

Исключение сильнее галки «Принудительно» и блокировки наследования (как «Запретить применение» в AD). Это не то же самое, что блокировка наследования на узле коллекции.

На вкладке «Область» карточки GPO связанные списки исключений стоят в таблице назначений (строка с иконкой и бейджем «исключение»). Кнопка «−» слева от «+» открывает окно «Добавить исключение»: политика не применяется к хостам списка, хост остаётся в коллекции.

В карточке хоста, вкладка «Состояние», видна секция «Исключённые политики» с именем набора и бейдж, если обновления заблокированы списком.

В списке хостов кампании причина «исключён списком …» стоит в той же колонке статуса, что и пауза оператора, и попадает в сводку «Приостановлено». Если задание уже создано, оно отменяется с этой причиной, а не висит в ожидании. Пауза — точечно в этой кампании; список — постоянное правило.

Право на создание и привязку списков — то же, что на управление аудиторией политик (config.rollout.operate).

LDAP-only хосты#

В подвкладке «Компьютеры» могут отображаться машины, которые есть в LDAP-каталоге, но на которые ещё не установлен агент LSUS. Такие хосты помечены оранжевым бейджем «нет агента» и выделены отдельным стилем строки.

Tombstone (исчезнувшие LDAP-объекты)#

При LDAP-синхронизации объекты, которые исчезли из каталога (удалены в AD/FreeIPA/ALD Pro), не пропадают из LSUS мгновенно. Они переходят в состояние tombstone (орфанные объекты) — чтобы не сломать назначенные политики и историю:

Настройка tombstone#

Период хранения tombstone задаётся в подвкладке «Параметры» корня домена (domain_root):

• Удалять tombstone через (дней) — срок, после которого исчезнувшие объекты удаляются автоматически (по умолчанию задаётся переменной LDAP_TOMBSTONE_DAYS).
• «Запустить очистку сейчас» — немедленно удалить tombstone-записи старше порога, не дожидаясь расписания.

Узел «Запуски сценариев»#

Узел дерева «Запуски сценариев» содержит три подвкладки для управления исполнением политик на хостах:

Жизненный цикл раскатки#

draft → approved → running → (paused) → completed / failed / canceled

1. Draft — раскатка создана, но не запущена. Можно настроить волны, когорты, gate.
2. Approved — прошла согласование (или создана с авто-approved).
3. Running — волны выполняются: precheck → apply → verify для каждой волны.
4. Paused — приостановлена администратором (resume продолжает с текущей волны).
5. Completed / Failed — все волны прошли успешно / есть ошибки.

Узел «Развертывания» (дистрибутивы ПО)#

Узел «Развертывания» — проводник дистрибутивов ПО (Firefox, VLC, 7-Zip и др.).

Мастер доставки приложений#

Запускается из карточки дистрибутива кнопкой «Доставить на хосты». Пять шагов:

1. Пакет и действие — какой дистрибутив, что делать (install, upgrade, repair, uninstall).
2. Установка и проверка — какие этапы уже настроены (определение, предпроверка, установка, контроль). Правка этапов — на вкладке «Установка и проверка» карточки приложения, не из окна мастера.
3. Целевые хосты — выбор аудитории через дерево коллекций. Экспериментальный сценарий ставится только на хосты из коллекций с включёнными испытаниями; остальные в предпросмотре аудитории отсекаются с причиной.
4. Безопасность раскатки — канарейка: сколько хостов в первой волне и сид выборки (одно и то же число даёт ту же пробную группу). Описание — прямо в форме шага.
5. Проверка и запуск — сводка, запуск раскатки. Высота окна мастера фиксирована, длинный шаг прокручивается внутри.

Узел «Роли LSUS»#

Управление ролями и правами доступа администраторов. При выборе роли правая панель показывает карточку с 4 вкладками:

Узлы «Файлы», «Сертификаты» и «Секреты»#

• Конфигурации — релизы, раскатки (rollouts), назначения (assignments), compliance-расписания, доставка приложений.
• Обзор интерфейса Master — общие паттерны (тулбар, фильтры, контекстное меню).
• Хосты — инвентаризация, теги (источники коллекций по фильтрам).
• Доступ и RBAC — роли LSUS (узел «Роли LSUS») и права.
• Обновление системы — релизная модель политик, доставка приложений, AI-мастер шаблонов.