= Настройка AD-аутентификации

Сервер под управлением ОС Windows или Linux, на котором установлен менеджер агентов, должен входить в домен _Active Directory_.
Чтобы обеспечить возможность аутентификации браузерных клиентов по протоколу _HTTP_, необходимо для соответствующего агента добавить ключ `--http.auth` в раздел args файла конфигурации менеджера агентов `am.ini`, который доступен для редактирования в консоли администрирования _AM Console_. Этот ключ указывает браузеру (при его подключении к серверу), что от браузера требуется встроенная авторизация.


Чтобы отключить аутентификацию по протоколу HTTP, можно использовать параметр `--http.auth.off`
Обратите внимание, что для подключения браузерных клиентов в файле конфигурации также необходимо обязательно задать ключ `--wasm` и порт (`http_port`) для подключения, как показано на рисунке выше.
Настройка аутентификации в среде Active Directory в ОС Linux. Ниже приводится пример настройки аутентификации в среде Active Directory в ОС Linux. Исходные параметры:


* имя домена в Active Directory, в который входят сервер и клиенты АСМО, – `mydomain.ru`
* DNS-имя сервера АСМО – `asmo.mydomain.ru`.

//-

. Присоедините сервер Linux к домену `mydomain.ru`.
. Создайте в Active Directory сервисную учётную запись, соответствующую серверу АСМО (далее asmosrv), которая будет обеспечивать взаимодействие с Active Directory. Рекомендуется для этих целей создавать учётную запись с типом *<Пользователь>*. Обязательно задайте пароль для этой учётной записи.
. С помощью утилиты setspn создайте на контроллере домена запись SPN (*Service Principal Name*) для сервера АСМО и привяжите её к учётной записи asmosrv. Используйте протокол HTTP, чтобы обеспечить возможность AD-аутентификации через браузер. Для этого выполните следующую команду:
+
[src, bash]
----
setspn -S HTTP/asmo.mydomain.ru asmosrv
----
+
. Проверьте заданное имя с помощью следующей команды:
+
[src, bash]
----
setspn -L asmosrv
----
+
. С помощью утилиты ktpass создайте на контроллере домена файл keytab для сервиса:
+
[src, bash]
----
ktpass -out asmo.keytab -princ HTTP/asmo.mydomain.ru@MYDOMAIN.RU -mapuser asmosrv -pass <пароль от asmosrv> -ptype KRB5_NT_PRINCIPAL -crypto all
----
+
. Если требуется использовать разные имена сервисов для обычных подключений и подключений HTTP/HTTPS, создайте два файла keytab и объедините их.
. Скопируйте файл asmo.keytab на сервер asmo.mydomain.ru в каталог `/opt/asmo/server/krb`. Обратите внимание, что, если учётная запись asmosrv была каким-либо образом изменена после создания файлов keytab, их необходимо будет создавать заново.
. Добавьте в файл pha.conf (находится в каталоге установки менеджера агентов или доступен для редактирования с помощью утилиты администрирования AM Console) следующие параметры krb.keytab, krb.service и krb.httpservice (при необходимости):
+
[src, ini]
----
krb.keytab = /opt/asmo/server/krb/asmo.keytab
krb.service = HTTP@asmo.mydomain.ru #SPN (для обычных подключений)
krb.httpservice = HTTP@asmo.mydomain.ru #SPN (для подключений HTTP)
----
+
. Перезапустите am с помощью команды `sudo systemctl restart asmod` (если правки вносились не через консоль управления AM Console).
. Если выполнены настройка пользователей (Настройка пользователей) и при необходимости заданы параметры запуска клиентов (Настройка параметров запуска и подключение клиентов), вы можете проверить работоспособность аутентификации в Active Directory, подключившись к агенту с помощью клиента.
. Проверка работоспособности keytab файла:
+
[src, bash]
----
kinit HTTP/asmo.mydomain.ru -V -k -t /opt/asmo/server/krb/asmo.keytab
----

#ПРЕДУПРЕЖДЕНИЕ#: Для сквозной аутентификации через Active Directory важное значение имеет точная синхронизация времени между клиентскими компьютерами и контроллером домена.
