User directory

Active Directory organizational units or containers are used as user directory. A service account is required to work with directory, in order to read directory users properties.

Creating an account to use with user directory

1. Run the Active Directory Users and Computers snap-in
2. Open the context menu of organizational unit or container
3. Select Create - User item from the menu
4. Specify the user name, say, IPAMManager
5. Fill in the mandatory fields and complete the account creation

Alternatively, you can use an existing account. All Active Directory domain users have a right to read the properties of other users by default.

Video storage

Video storage is a network folder with configured access. A service account is required to access video storage. To access the video store you need a service account to perform read and write operations. It is recommended to use the existing IPAMManager account as the service one.

To create a network folder, follow these steps:

1. Create a folder on the network store.
2. Call the contextual menu of the folder you created, select the item Share with > Specific people.
3. Enter the username (IPAMManager) and click Add.
4. In the "Permission level" column, click the Read value next to the IPAMManager user and select Read/Write from the menu.
5. Finish creating a network folder by clicking Share.

Shadow file storage

Files that the user transfers to the target resource are copied to the storage. It is a network folder similar to a video storage.

Data storage

Indeed PAM uses Microsoft SQL Server or PostgreSQL Pro to store data. The following components require databases:

• Indeed PAM Core (DB IPAMCore, DB IPAMTasks)
• Indeed PAM IdP (DB IPAMIdP)
• Indeed Log Server (DB ILS)

Table creation, data read and write operations are performed under service account to use with data storage. The account should have the following database rights:

• db_owner - this is required to create tables upon the first request to database
• db_datareader - for read operations from database
  
• db_datawriter - for write operations to database

Database creation

Microsoft SQL Server

1. Run Microsoft SQL Management Studio (SSMS) and connect to Microsoft SQL Server instance
2. Open the context menu of Databases item
3. Select the New Database item
4. Specify a database name, for example IPAMCore, IPAMTasks, IPAMIdP, ILS
5. Click ОK

PostgreSQL Pro

1. Launch pgAdmin and connect to the PostgreSQL Pro server
2. Open the context menu of the Databases item 
3. Select Create, Database
4. Specify a database name, for example: IPAMCore, IPAMTasks, IPAMIdP, ILS
5. Click Save

Creating a service account to work with data storage

Microsoft SQL Server

Каталог пользователей

В качестве каталога пользователей используется домен Active Directory целиком или отдельные контейнеры и подразделения. Для работы с каталогом необходима сервисная учётная запись, которая будет выполнять чтение свойств пользователей находящихся в каталоге.

Создание учётной записи

Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).

• Вызовите контекстное меню домена, контейнера или подразделения.
• Выберите пункт Создать (Create) - Пользователь (User)
• Укажите имя, например, IPAMService
• Заполните обязательные поля и завершите создание учётной записи.

Или используйте уже созданную учётную запись, по умолчанию права на чтение есть у всех в домене Active Directory. 

Хранилище данных

Для хранения данных Indeed PAM использует СУБД Microsoft SQL Server, базы данных необходимы для следующих компонентов:

• Indeed PAM Core
• Indeed PAM IDP
• Indeed Log Server

Создание таблиц, чтение и запись данных выполняется от имени сервисной учётной записи с правами:

• db_owner - требуется при первом обращении к БД для создания таблиц
• db_datareader - операции чтения из БД
  
• db_datawriter - операции записи в БД

Создание баз данных

• Запустите Microsoft SQL Management Studio (SSMS) и выполните подключение к экземпляру Microsoft SQL Server.
• Откройте контекстное меню пункта Базы данных (Databases)
• Выберите пункт Новая база данных (New Database)
• Укажите имя базы данных, например: IPAMCORE, IPAMIDP, ILS
• Нажмите Ок

Создание имени для входа и назначение прав

1. Start Microsoft SQL Management Studio (SSMS) and connect to the Microsoft SQL Server instance
2. Expand the Security item
3. Open the context menu of Logins item
   
4. Select the Create login item
   
5. Enter the name, for example IPAMSQLService
6. Select SQL Server authentication item and fill in the required fields
7. Switch to User Mapping item
   
8. Check IPAMCore, IPAMTasks, IPAMIdP and ILS databases
   
9. Check database roles

1. db_owner, db_datareader

1. and db_datawriter

Сервисные операции в домене Active Directory

Сервисные операции в домене Active Directory выполняются от имени сервисной учётной записи: 

• Проверка соединения с доменом
• Поиск учётных записей доступа
• Проверка пароля учётных записей доступа
• Изменение пароля учётных записей доступа

Выполнение операций Изменение пароля учётных записей доступа и Поиск учётных записей доступа требует предварительной настройки.

Для изменения пароля требуются права на сброс пароля, права предоставляются сервисной учётной записи на домен, контейнер или подразделение, в котором находятся учётные записи доступа.

Для поиска учётных записей доступа требуется создать или использовать уже созданную группу безопасности Active Directory, в которой будут числиться учётные записи доступа.

Создание сервисной учётной записи

• Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
• Откройте контекстное меню домена, контейнера или подразделения.
• Выберите пункт Создать (Create) - Пользователь (User)
• Укажите имя, например, IPAMDomainService
• Заполните обязательные поля и завершите создание учётной записи.

Или используйте уже созданную учётную запись.

Настройка изменения пароля учётных записей доступа

• Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
• Откройте контекстное меню домена, контейнера или подразделения.
• Выберите пункт Свойства (Properties)
• Перейдите на вкладку Безопасность (Security)
• Нажмите Добавить (Add)
• Выберите учётную запись IPAMDomainService и нажмите Ок
• Нажмите Дополнительно (Advenced)
• Выберите учётную запись IPAMDomainService и нажмите Изменить (Edit)
• Установите для поля Применяется к: (Applies to:) значение Дочерние объекты: Пользователь (Descendant User objects)
• В разделе Разрешения: (Permissions:) отметьте флажком Сброс пароля (Reset password)
• Сохраните внесённые изменения

Настройка поиска учётных записей доступа

• Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
• Откройте контекстное меню домена, контейнера или подразделения.
• Выберите пункт Создать (Create) - Группа (Group)
• Укажите имя, например, IPAMPrivilegedAccounts
• В секции Область действия группы (Group scope) установите переключатель Глобальная (Global)
• В секции Тип группы (Group type) установите переключатель Группа безопасности (Security)
• Сохраните внесённые изменения

Или используйте уже созданную группу безопасности.

Сервисные операции для ресурсов Windows

Сервисные операции для ресурсов Windows выполняются от имени доменных или локальных сервисных учётных записей: 

• Проверка соединения с доменом
• Поиск учётных записей доступа
• Проверка пароля учётных записей доступа
• Изменение пароля учётных записей доступа

Выполнение операций Изменение пароля учётных записей доступа и Поиск учётных записей доступа требует предварительной настройки.

Настройка доменной учётной записи в качестве сервисной

• Выполните вход на ресурс.
• Запустите оснастку Управление компьютером (Computer management)
• Перейдите в раздел Служебные программы (System tools) - Локальные пользователи (Local Users and Groups) - Группы (Groups)
• Откройте контекстное меню группы Администраторы (Administrators)
• Выберите пункт Свойства (Properties)
• Нажмите Добавить (Add)
• Выберите любую доменную учётную запись, которая будет использоваться в роли сервисной и нажмите Ок

Настройка локальной учётной записи в качестве сервисной

Если в качестве сервисной учётной записи будет использоваться локальный встроенный (built-in) администратор, то дополнительная настройка не требуется. Если в качестве сервисной учётной записи будет использоваться любая локальная учётная запись состоящая в группе Администраторы, то необходимо:

1. Click ОK

PostgreSQL Pro

1. Launch pgAdmin and connect to the PostgreSQL Pro server
2. Open the context menu of the Login/Group Roles item
3. Select Create, Login/Group Role
4. Specify a Name, for example IPAMSQLService, in the Definition tab, enter the new password, in the Privileges tab, in the Can login? item select Yes, click Save
5. Go to the created databases, open the context menu, select Properties, specify the Owner as IPAMSQLService
6. Go to the Security tab, in Privileges add a new row, in the Grantee column select IPAMSQLService from the list, click on the cell in the Privileges column and select All and With grant option 
7. Click Save, repeat for the rest of the databases.

Service operations on Active Directory

Active Directory service operations are performed on behalf of the service account:

• Checking the connection to the Domain
• Domain accounts synchronization
• Checking the domain account password
• Changing the domain account password

Creating and configuring the service account to use with Active Directory

1. Start the Active Directory Users and Computers snap-in
2. Open the context menu of the Container or Organization Unit
3. Select Create - User item
4. Enter the name, for example IPAMService
5. Fill in the required fields and complete the creation of the account
6. Open the context menu of the Container or Organization Unit in which the access accounts are located
7. Select Properties item
   
8. Go to Security tab
9. Click Add
10. Select IPAMService account and click OK
11. ClickAdvanced
12. Select IPAMService account and click Edit
13. For the field Applies to: set value Descendant User objects
14. In the Permissions: section check Reset password
15. Save the changes

Create a security group for Active Directory Privileged access accounts 

1. Start the Active Directory Users and Computers snap-in.
2. Open the context menu of the Domain, Container or Organization Unit
3. Select Create - Group item
4. Enter the name, for example IPAMPrivilegedAccounts
5. Select Global in the Group scope section
6. Select Security in the Group type section
7. Save the changes

Service operations for Windows resources

The following service operations are performed at Windows resources on behalf of the domain or local service account:

• Checking of connection to resources
• Synchronization of local accounts
• Checking of local account passwords
• Changing of local account passwords

Configuring a domain account as service one

1. Log in to resource
2. Run the Computer management snap-in
3. Switch to System tools - Local Users and Groups - Groups section
4. Open the context menu of Administrators group
5. Select Properties item
6. Click Add
7. Select the domain account to be used as service one for the resource and click OK

Configuring a local account as service one

If you plan to use local built-in administrator account as service account, then no additional configuration is required. Otherwise, proceed as follows:

winrm s winrm/config/client @{TrustedHosts="Resource1.demo.local, Resource2.demo.local, Resource3.demo.local"}

@{TrustedHosts="Resource1.demo.local, Resource2.demo.local, Resource3.demo.local, NewResource.demo.local"}

winrm create winrm/config/Listener?Address=*+Transport=HTTPS{Hostname="Resource1.demo.local";CertificateThumbprint="..."}