LDAP, Kerberos и каталог

LSUS интегрируется с корпоративными каталогами — Microsoft Active Directory, FreeIPA, РЕД АДМ (Samba DC) и ALD Pro — для синхронизации пользователей, компьютеров и организационных единиц. Это позволяет видеть весь парк машин (включая те, где агент ещё не установлен), управлять доступом администраторов через доменные учётки и использовать SSO через Kerberos.

Поддерживаемые каталоги¶

Настройка источника LDAP¶

Администрирование → Настройки → LDAP

Создание источника¶

1. Нажмите «Добавить источник».
2. Заполните параметры подключения:

3. При необходимости — настройте маппинг атрибутов (ФИО, Email, Подразделение, Должность). По умолчанию:
   - AD: cn, mail, department, title
   - FreeIPA/ALD Pro: cn, mail, ou (вместо department), title

4. Настройте фильтрацию объектов (опционально) — какие OU и группы синхронизировать, а какие исключить. См. подробности в «Условия включения и исключения» ниже.

5. Задайте интервал синхронизации (по умолчанию 60 минут) и размер страницы LDAP (по умолчанию 1000, для больших каталогов — больше).

6. Нажмите «Проверить» — LSUS подключится к каталогу и покажет количество найденных пользователей/компьютеров.

7. «Сохранить» — источник создастся, первая синхронизация запустится автоматически.

Безопасность подключения (TLS)¶

При использовании LDAPS (ldaps://) или STARTTLS канал шифруется всегда. По умолчанию сертификат сервера не проверяется (как у большинства LDAP-клиентов) — это нормально для внутренних CA, но создаёт теоретический риск MITM. Для повышения безопасности включите проверку.

В форме источника нажмите кнопку «TLS: проверка …» — откроется окно «Безопасность подключения (TLS)»:

Условия включения и исключения¶

В форме редактирования источника условия фильтрации и TLS вынесены в отдельные поддмодалки, которые открываются кнопками-«таблетками»:

Условия включения (логика ИЛИ) — какие OU и группы синхронизировать:

Условия исключения — какие OU и группы вырезать из синхронизации (с красной рамкой):

Число в скобках показывает количество правил в каждом списке.

Логика списков:

Как добавить правило: нажмите «Добавить условие» в поддмодалке. Каждое правило — строка таблицы с тремя колонками:

Важно:

• Если список включения пуст — данные из источника не подгружаются в кэш. Чтобы синхронизировать «всё кроме...», добавьте правило включения на корень домена (Base DN) и перечислите исключения.
• Исключение приоритетнее включения: объект, попавший в любое условие-исключение, не синхронизируется, даже если подходит под условие включения.
• В ALD Pro / FreeIPA правило «поддерево» на OU из cn=orgunits дополнительно сопоставляется по атрибуту rbtadp (аккаунты физически лежат под cn=users/cn=computers).
• При изменении условий уже синхронизированные объекты, переставшие подходить, переводятся в состояние orphaned (tombstone) и перестают учитываться в коллекциях.

Глобальные параметры¶

На странице LDAP-настроек также доступны:

Синхронизация с каталогом¶

Что синхронизируется¶

Как часто¶

Синхронизация запускается автоматически по интервалу (по умолчанию 60 минут). Можно запустить вручную — кнопка «Синхронизировать» в настройках источника или в шапке дерева «Каталог и политики».

Tombstone (исчезнувшие объекты)¶

При синхронизации объекты, удалённые из каталога, не пропадают мгновенно:

Период хранения настраивается в Каталог и политики → корень домена → Параметры: поле «Удалять tombstone через (дней)» (по умолчанию 30). Кнопка «Запустить очистку сейчас» — немедленное удаление.

Отображение в дереве «Каталог и политик軶

После синхронизации LDAP в дереве появляется структура домена:

• Корень домена (domain_root) — корневой узел с полным деревом OU и групп.
• OU (ldap_ou) — организационные единицы, как в самом каталоге. Для ALD Pro — из cn=orgunits.
• Группы (ldap_group) — группы хостов и пользователей внутри своих OU.

Компьютеры¶

В подвкладке «Компьютеры» видны все машины из каталога:

• Хосты с установленным агентом LSUS — полный статус, heartbeat, ОС, обновления.
• Хосты без агента (LDAP-only) — помечены оранжевым бейджем «нет агента». Отображается информация из каталога (DN, OU, ОС). Действия (обновление, проверки) недоступны до установки агента.

Пользователи¶

В подвкладке «Пользователи» — доменные учётки, входящие в выбранный узел (прямо и через группы). Видно: ФИО, email, подразделение, должность.

Синхронизация дерева¶

Кнопка «Синхронизировать» (🔄) в шапке дерева запускает:
1. Перестроение встроенных категорий (по ОС).
2. Пересчёт счётчиков членов для каждого узла.
3. Обновление статусов tombstone.

Сама LDAP-синхронизация (загрузка данных из каталога) выполняется по расписанию или вручную из настроек LDAP.

Kerberos / SPNEGO¶

Администрирование → Настройки → Kerberos

Kerberos SSO позволяет администраторам входить в LSUS без ввода пароля — через доменную аутентификацию. Машина администратора должна быть членом домена, и браузер должен поддерживать SPNEGO.

Настройка¶

1. Создать service principal для LSUS-сервера в каталоге:

Для FreeIPA / ALD Pro:

ipa service-add HTTP/lsus-master.corp.loc@CORP.LOC
ipa-getkeytab -s dc1.corp.loc -p HTTP/lsus-master.corp.loc@CORP.LOC -k /tmp/lsus-server.keytab

Для AD:

# На Windows DC:
ktpass -princ HTTP/lsus-master.corp.loc@CORP.LOC -mapuser lsus-svc -pass * -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -out C:\lsus-server.keytab

# Или через Samba:
net ads keytab add HTTP -k /tmp/lsus-server.keytab

2. Загрузить keytab в LSUS: в настройках Kerberos выберите файл и нажмите «Сохранить».
3. (Рекомендуется) Положите krb5.conf рядом с keytab на сервере — путь сохраняется в настройках, и файл применяется при проверке тикета. Это важно для доменов, где FQDN сервера «уводит» realm при hostbased-канонизации SPN: без своего krb5.conf проверка SPNEGO может определить realm неверно. Поддерживаемые расположения: каталог рядом с keytab, KRB5_CONFIG или /app/data/kerberos/krb5.conf.
4. Проверить — нажмите «Проверить keytab»: LSUS покажет список SPN и статус GSSAPI.
5. Включить — установите чекбокс «Kerberos-аутентификация включена» и сохраните.
6. Перезапустите сервис LSUS.
7. Выберите «Как записать логин при первом входе» — полный (user@domain) или короткий (только имя). От этого зависит вид учётки, создаваемой при первом SSO-входе; существующие учётки находятся по обоим форматам.

Требования¶

• Сервер доступен по FQDN, совпадающему с SPN в keytab.
• На машине администратора — браузер с поддержкой SPNEGO (Chrome, Firefox, Edge).

Привязка политик к LDAP-узлам¶

Политики назначаются на узлы LDAP-дерева точно так же, как на коллекции:

1. Выберите OU или группу в дереве.
2. В подвкладке «Политики» нажмите «Назначить политику».
3. Выберите профиль и режим (audit / enforce).

Политики применяются ко всем хостам внутри выбранного OU/группы, у которых установлен агент LSUS. LDAP-only хосты (без агента) видны, но политики на них не выполняются.

Связанные страницы¶

• Каталог и политики — структура дерева, коллекции.
• Управление конфигурациями — политики, раскатки, назначения.
• Управление доступом — роли, RBAC, LDAP-пользователи.
• Администрирование — где находятся настройки.