Active Directory

Взаимодействие inRights PAM с конечными пользователями выполняется за счёт учётной записи, которая будет получать список пользователей и их атрибуты. 

Учётная запись для работы с каталогом пользователей

  1. Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
  2. Вызовите контекстное меню контейнера или подразделения.
  3. Выберите пункт Создать (Create) - Пользователь (User)
  4. Укажите имя, например, IRPAMManager
  5. Заполните обязательные поля и завершите создание учётной записи

Или используйте уже созданную учётную запись.

Учётная запись для сервисных операций в Active Directory 

  1. Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
  2. Вызовите контекстное меню контейнера или подразделения.
  3. Выберите пункт Создать (Create) - Пользователь (User)
  4. Укажите имя, например, IRPAMService
  5. Заполните обязательные поля и завершите создание учётной записи
  6. Откройте контекстное меню созданной учётной записи и выберите пункт Свойства (Properties)
  7. Перейдите на вкладку Член группы (Member Of) и нажмите Добавить (Add)
  8. Выполните поиск группы безопасности Администраторы домена (Domain Admins) и нажмите Ok
  9. Сохраните все изменения.

Или используйте уже созданную учётную запись.

Членство в группе безопасности Администраторы домена (Domain Admins) необходимо для сброса пароля доменным администраторам, которыми должен управлять inRights PAM. Если конечные пользователи не должны получать привилегии администратора домена, а inRights PAM не должен управлять этими учётными записями, то потребуется выполнить делегирование прав на сброс пароля для определённых контейнеров или домена в целом.

  1. Запустите оснастку Active Directory - пользователи и компьютеры (Active Directory Users and Computers).
  2. Откройте контекстное меню контейнера или подразделения.
  3. Выберите пункт Создать (Create) - Пользователь (User)
  4. Укажите имя, например, IRPAMService
  5. Заполните обязательные поля и завершите создание учётной записи.
  6. Откройте контекстное меню контейнера, подразделения или корня домена.
  7. Выберите пункт Свойства (Properties)
  8. Перейдите на вкладку Безопасность (Security)
  9. Нажмите Добавить (Add)
  10. Выберите учётную запись IPAMService и нажмите Ок
  11. Нажмите Дополнительно (Advanced)
  12. Выберите учётную запись IRPAMService и нажмите Изменить (Edit)
  13. Установите для поля Применяется к: (Applies to:) значение Дочерние объекты: Пользователь (Descendant User objects)
  14. В разделе Разрешения: (Permissions:) отметьте Сброс пароля (Reset password)
  15. Сохраните внесённые изменения 


Хранилище медиафалов и теневых копий

Файловые хранилища необходимы для агрегации и долгосрочного хранения видеозаписей, снимков экрана и передаваемых в сессиях файлов.

Учётная запись для работы с файловым хранилищем

Рекомендуется использовать уже созданную учётную запись IRPAMManager. Для работы с хранилищами требуется доменная учётная запись Active Directory.

Создание и настройка файлового хранилища 

  1. Выполните вход на сервер, который будет выступать в роли файлового хранилища.
  2. Создайте каталоги, например, MediaData и ShadowCopy
  3. Вызовите контекстное меню каталогов, выберите пункт Предоставить доступ к (Share with) и Отдельные люди (Specific people)
  4. Введите имя учётной записи, например, IRPAMManager и нажмите кнопку Добавить (Add)
  5. Выберите IRPAMManager из списка добавленных измените Уровень разрешений (Permission level) на Чтение и запись (Read/Write)
  6. Нажатием Поделиться (Share).

Хранилище данных

Для хранения данных inRights PAM использует следующие БД:

  • IRPAMCore - БД компонента inRights PAM Core, используется для хранения данных привилегированных учётных записей, ресурсов, разрешений, и прочих сервисных данных inRights PAM.
  • IRPAMJobs - БД компонента inRights PAM Core, используется для хранения задач по расписанию.
  • IRPAMIdP - БД компонента inRights PAM IdP, используется для хранения аутентификаторов пользователей и администраторов inRights PAM.
  • IRLS - БД компонента inRights Log Server, используется для хранения события inRights PAM.

БД IRLS не является обязательной, так как inRights Log Server может сохранять события как в БД, так и в EventLog.

Создание баз данных

Microsoft SQL Server

  1. Запустите Microsoft SQL Management Studio (SSMS) и выполните подключение к экземпляру Microsoft SQL Server.
  2. Откройте контекстное меню пункта Базы данных (Databases)
  3. Выберите пункт Новая база данных (New Database)
  4. Укажите имя базы данных, например: IRPAMCore, IRPAMTasks, IRPAMIdP, IRLS
  5. Нажмите Ок

PostgreSQL, PostgreSQL Pro

  1. Запустите pgAdmin и выполните подключение к экземпляру PostgreSQL
  2. Откройте контекстное меню пункта Базы данных (Databases)
  3. Выберите пункт Создать (Create) и База данных (Database)
  4. Укажите имя базы данных, например: IRPAMCore, IRPAMTasks, IRPAMIdP, IRLS
  5. Нажмите Сохранить (Save)

Создание и назначение учётной записи для работы с хранилищем данных

Microsoft SQL Server

  1. Запустите Microsoft SQL Management Studio (SSMS) и выполните подключение к экземпляру Microsoft SQL Server.
  2. Раскройте пункт Безопасность (Security)
  3. Откройте контекстное меню пункта Имена для входа (Logins)
  4. Выберите пункт Создать имя для входа (Create login)
  5. Укажите имя, например, IRPAMSQLService
  6. Выберите тип Проверка подлинности SQL Server (SQL Server authentication) и заполните необходимые поля
  7. Перейдите в пункт Сопоставление пользователей (User Mapping)
  8. Отметьте БД IRPAMCore, IRPAMTasks, IRPAMIdP и IRLS
  9. Отметьте права db_owner, db_datareader и db_datawriter
  10. Нажмите Ок

PostgreSQL, PostgreSQL Pro

  1. Запустите pgAdmin и выполните подключение к экземпляру PostgreSQL
  2. Откройте контекстное меню пункта Роли входа/группы (Login/Group Roles)
  3. Выберите пункт Создать (Create) и Роль входа/группы (Login/Group Role)
  4. Укажите Имя (Name) учётной записи, например, IRPAMSQLService
  5. Перейдите на вкладку Определения (Definition) и введите пароль для учётной записи
  6. Перейдите на вкладку Права (Privileges), выберите Да (Yes) для пунктов Вход разрешён? (Can login?) и Суперпользователь? (Superuser?)
  7. Нажмите Сохранить (Save)


Права db_owner для Microsoft SQL Server и Superuser для PostgreSQL требуются только для первого обращения к БД.

Генерация секрета для приложений

Для взаимодействия inRights PAM Gateway, SSH PROXY и ConsoleApp c inRights PAM IdP потребуется сгенерировать ключ и его хеш.

  1. Перейдите в каталог inRightsPAM_2.1.0\Misc\ConsoleApp
  2. Отредактируйте файл appsetting.json
  3. Введите https://1 в качестве значения для параметра apiUrl
  4. Введите https://2 в качестве значения для параметра idpUrl
  5. Запустите Командную строку (CMD).
  6. Запустите утилиту Pam.ConsoleApp.exe c параметром generate-secret
  7. Сохраните ключ и его хеш.