Линейка решений службы каталога для перехода с Microsoft AD

Ядро Системы

Мультимастер
репликация

Ролевая модель

Групповые
политики

Журнал
безопасности

Доменный
клиент

Интеграция
с DNS сервером

Период длительного
сосуществования
с MS AD

Удобство
использования

Ключевые
инфраструктурные
сервисы

Ядро Системы

Ядро Системы обеспечивает централизованную аутентификацию и авторизацию пользователей
в Linux инфраструктуре. Ядро системы написано на языке GoLang без использования open source продуктов (компоненты ядра: LDAP server и центр распространения ключей Kerberos)
и обеспечивает высокую производительность, отказоусточивость и масштабируемость
в высоконагруженных средах.

Функции

Входят в оба решения

LDAP сервер обеспечивает централизованное
управление пользователями и компьютерами

Централизованная аутентификация
по протоколу LDAP (S) для приложений

Поддержка авторизации доступа к ресурсам
на основе групп позволяет централизованно
управлять доступом к сетевым ресурсам

Индексирование атрибутов ускоряет поиск
необходимых объектов каталога

Центр распространения ключей

Расширяемая схема дает возможность добавления новых атрибутов и классов объектов

Kerberos v5 является основой доменной аутентификации Kerberos V5 KDC обеспечивает AS и TGS обмен ключами

Реализована сквозная аутентификация
по протоколу Kerberos V5 (Kerberos Single Sign On) с поддержкой GSS-API

Поддержка доменной иерархии (OU) обеспечивает удобную и привычную администраторам структуру каталога

Функции

Входят в только в DS PRO

Аутентификация на основе сертификатов (поддержка PKINIT)

РОЛЕВАЯ МОДЕЛЬ ДОСТУПА

Ролевая модель доступа к объектам каталога повторяет привычную IT администраторам структуру MS AD и позволяет реализовать принцип наименьших привилегий
при делегировании полномочий

Функции

Входят в оба решения

Контроль доступа на основе членства в группах позволяет создавать группы ролей, обеспечивающие систематизацию предоставления доступа к ресурсам каталога

Гранулярный доступ на уровне атрибутов и классов объектов позволяет точечно настроить доступы в зависимости от требуемых привилегий группы ролей пользователя

Механизм наследования разрешений позволяет выполнять делегирование полномочий на отдельные ветви доменной иерархии

ЖУРНАЛ БЕЗОПАСНОСТИ

Журнал безопасности реализован по аналогии с MS AD и ведет учет событий, связанных с аутентифакацией пользователей в каталоге и любыми другими изменениями в каталоге.

Функции

Входят в оба решения

Журнал безопасности обеспечивает удобный и быстрый контроль событий для администраторов и сотрудников отдела безопасности

Учет событий аутентификации позволяет отслеживать удачные и неудачные попытки входа

Учет изменений в каталоге позволяет отслеживать все модификации каталога

Функции

Входят в только в DS PRO

Передача событий в SIEM дает возможность экспорта данных в другие системы (удобство для службы информационной безопасности)

Интеграция с dns сервером

Интеграция с DNS сервером автоматизирует регистрацию DNS записей, необходимых для работы каталога и обеспечивает целостность данных DNS зоны на всех контроллерах домена

Функции

Входят в оба решения

Хранение данных DNS зоны в каталоге обеспечивает целостность данных DNS на всех серверах

Безопасные динамические обновления клиентских DNS записей обеспечивает автоматическую регистрацию записей для рабочих станций и рядовых серверов

Автоматическая регистрация служебных DNS записей контроллеров домена обеспечивает динамическое обнаружение служб в сети

УДОБСТВО ИСПОЛЬЗОВАНИЯ

Функции, обеспечивающие удобство использования

Функции

Входят в оба решения

Удобная веб-консоль администратора дает возможность управления основным функционалом, наследуя принципы и подходы, принятые в MS AD

Войдет во второй релиз Public DS

UI доменного клиента (для трех Linux систем)

Корзина службы каталогов позволяет восстанавливать удаленные объекты

Мультимастер репликация

В рамках продукта реализован механизм мультимастер репликации, повторяющий схему MS AD и обеспечивающий отказоустойчивое хранение данных каталога. В том числе, в геораспределенных средах. Реализованный механизм репликации обеспечивает высокую доступность механизмов идентификации, аутентификации и авторизации.

Функции

Входят в оба решения

Мультимастер репликация (без необходимости назначения единого источника)

Механизм автоматического построения топологии обеспечивает применение любого изменения на все контроллеры домена в пределах сайта не более, чем за три операции

За счет надежной отказоустойчивой схемы репликации все контроллеры домена Avanpost DS имеют полную копию каталога, что обеспечивает катастрофоустойчивость хранения данных

Каждый контроллер домена имеет весь необходимый набор сервисов для обслуживания доменных клиентов и обеспечивает отказоустойчивость предоставления служб аутентификации в сети

Встроенные механизмы разрешения конфликтов позволяют обрабатывать одновременные изменения объектов на разных КД

Групповые политики

Групповые политики реализованы на базе доменного клиента, что позволяет избежать необходимости установки сложного внешнего ПО для управления конфигурациями и обеспечивает простоту и прозрачность применения конфигураций к рабочим станциям. Позволяет реализовать функционал групповых политик в привычной MS AD структуре.

Функции

Входят в оба решения

Перечень групповых политик:

Управление доступом к USB-устройствам и съемным носителям

Управление обновлением и репозиториями пакетов

Настройки безопасности ОС

Подключение сетевых дисков и перенаправление папок

Функции

Входят в только в DS PRO

Создание и загрузка собственных шаблонов групповых политик

•Парольные политики контролируют требования к сложности, времени жизни паролей учетных записей, а также управляют их блокировкой

•Политики файловой системы позволяют управлять практически любым параметром конфигурации рабочей станции Linux

•Политики SUDOers позволяют управлять правами локальных пользователей на выполнение команд и повышения привилегий

•Политики централизованного управления пакетами позволяют автоматизировать установку и удаление ПО, определить заданный набор ПО для групп рабочих станций

Управление принтерами и другими устройствами

Выполнение сценариев

Управление сетевыми параметрами

Управление настройками электропитания

Доменный клиент

Доменный клиент автоматизирует действия администраторов на рабочих станциях и рядовых серверах.

Функции

Входят в оба решения

Упрощает введение компьютера в домен, помогает избежать ошибок ручной настройки

Поддержка ALT Linux, Astra Linux, РЕД ОС

Возможность установки на неподдерживаемые ОС

Функции

Входят в только в DS PRO

Возможна кастомизация продукта: по запросу обеспечивается совместимость с другими ОС.

При введении компьютера в домен, доменный клиент настраивает диспетчер аутентификации (sssd), а также сквозную аутентификацию
по протоколу Kerberos

Доменный клиент автоматизирует выполнение рутинных операций по расписанию: обновление Kerberos ключей, обновление DNS записей

ПЕРИОД ДЛИТЕЛЬНОГО СОСУЩЕСТВОВАНИЯ С MS AD

Avanpost DS позволяет обеспечить прозрачный доступ пользователей к ресурсам компании в период длительного сосуществования с MS AD за счет двусторонних доверительных отношений, реализации глобального каталога и инструментов автоматизированной миграции.

Функции

Входят в оба решения

Бесплатная версия продукта позволяет установить доверительные отношения с одним доменом (двусторонние трасты) с MS AD

Инструменты миграции позволяют автоматизировать перенос данных из MS AD с сохранением оргструктуры, членства в группах, данных авторизации (SIDHistory) и паролей пользователей

Совокупность используемых технологий позволяет сохранить прозрачность доступа пользователей на всех этапах миграции и сосуществования

Функции

Входят в только в DS PRO

В платной версии продукта возможно построение леса доменов по аналогии с MS AD, а также установление доверительных отношений со множеством внешних доменов

Двусторонние доверительные отношения (kerberos trusts) позволяют пользователям из MS AD проходить аутентификацию при доступе к ресурсам в домене Avanpost DS и наоборот

Реализация глобального каталога в соответствии со схемой MS AD позволяет проводить авторизацию пользователей Avanpost DS на рабочих станциях Windows в домене MS AD

Ключевые инфраструктурные сервисы (интеграции)

Avanpost DS интегрируется с ключевыми инфраструктурными сервисами

Функции

Входят в оба решения

Почтовые Сервисы (Communigate Pro, Maillion, Мой Офис Почта, VKmail)

Файловые серверы (Samba, NFS)

Корпоративный портал (Bitrix)

ВКС (TrueConf, Яндекс Телемост)