Для отправки кодов Email OTP необходимо настроить SMTP-подключение от Indeed AM к CommuniGate, указать сервисную почтовую учётную запись для отправки сообщений и обеспечить заполнение e-mail адреса у пользователей в каталоге LDAP/Active Directory.

В данном сценарии CommuniGate используется как SMTP-сервер, через который Indeed AM отправляет пользователям одноразовые коды подтверждения.

Предварительная подготовка:

• ОС: Ubuntu 22.04
• Документация CommuniGate
• Версия дистрибутива CommuniGate 6.5-5.
  Ссылка для скачивания серверной части

Установка сервера CommuniGate.

1. После скачивания пакета с дистрибутивом, требуется его установить:
   sudo apt install ./CGatePro-Linux_6.5-5-security-update.amd64.deb
   
   
2. Проверка свободных портов для почтовика
   sudo ss -lntp | grep -E ':(25|465|587) '
   
   
3. Включить CommuniGate и добавить в автозагрузку
   sudo systemctl enable --now CommuniGate
   sudo systemctl status CommuniGate
   
   
4. Подключение к панель управления (в качестве примера используется IP 192.168.1.250):
   http://ip-address:8010 - панель администратора
   https://ip-address:9010 - панель администратора
   https://ip-address:8100 - вход в почту
   
   При успешной установке получаем приветственное окно с соглашением, а также необходимо указать пароль для сервисного пользователя CM postmaster:
   
   

1. Настройка CommuniGate
1.1. Создать почтовый домен

В CommuniGate будет создан внутренний домен, необходимо добавить дополнительный алиас домена, который используется пользователями:

Например: indeed.testcm (название произвольное)



Укажите алиас, а также отключите способы аутентификации по умолчанию.

После модификации станет доступен выбор методов аутентификации, необходимо убрать GSSAPI и NTLM, т.к. провайдер email-otp не поддерживает данные способы авторизации. После чего еще раз модифицировать конфигурацию.

1.2. Создать почтовые учётные записи

В созданном домене необходимо создать минимум две учётные записи:

1. Сервисная учётная запись (в качестве примера создадим с именем email-sender), от имени которой Indeed AM отправляет письма с кодами
2. Почтовый ящик пользователя (в качестве примера создадим с именем test-user1), на который должен прийти код

В продуктовой среде используются реальные почтовые адреса пользователей.

1.3. Настроить SSL/TLS

Далее убедитесь, что далее используется уровень продвинутый дял интерфейса консоли

Для защищённого SMTP-подключения необходимо настроить сертификаты на стороне CommuniGate.

В CommuniGate необходимо импортировать:

корневой сертификат УЦ;
серверный сертификат;
цепочку сертификатов, если она используется.

Сертификат должен быть доверенным для сервера Indeed AM. Если используется внутренний УЦ, корневой сертификат должен быть добавлен в доверенные на сервере Indeed AM.

Далее нам нужно указать цепочку для настройки SSL соединения. Из серверного сертификата извлекаем закрытый ключ сертификат домена:

openssl pkcs12 -in server.pfx -nocerts -out private.key -nodes

openssl pkcs12 -in server.pfx -clcerts -nokeys -out domain.crt

Добавляем содержимое закрытого ключа private.key. Содержимое сертификата можно посмотреть в текстовом редакторе.

-----BEGIN PRIVATE KEY-----
[содержимое]
-----END PRIVATE KEY-----

Ниже появится поле для указания доменного сертификата (содержимое domain.crt)

Также рекомендуется указать корневой сертификат, если используются промежуточные, то нужно указать в поле последовательно содержимое сертификатов.

Пример:

-----BEGIN CERTIFICATE-----
[Содержимое корневого сертификата]
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
[Содержимое промежуточного сертификата]
-----END CERTIFICATE-----

1.5. Открыть SMTP-порт

Для работы сценария необходимо обеспечить сетевой доступ от сервера Indeed AM до CommuniGate.

Обычно используется порт: 587/TCP

Проверить доступность порта можно с сервера Indeed AM:

Test-NetConnection <SMTP_HOST> -Port 587

Открытие портов для CM:

2. Проверка e-mail пользователя в Active Directory

Indeed AM должен получить e-mail пользователя из LDAP/AD-атрибута.

Обычно используется атрибут: mail

У пользователя в Active Directory должен быть заполнен e-mail.

3. Настройка LDAP-атрибута в Indeed AM

В конфигурации Indeed AM необходимо указать, из какого LDAP/AD-атрибута брать e-mail пользователя.

В блоке сопоставления пользовательских атрибутов должен быть указан атрибут mail (../core/app-settings.json).

Пример:

"UserMapRules": {
"Attributes": {
"Email": "mail"
}
}

После изменения конфигурации необходимо перезапустить соответствующие компоненты Indeed AM, чтобы настройки были применены.

4. Настройка Email OTP в Management Console

В Management Console необходимо перейти к настройкам аутентификатора Email OTP и указать параметры SMTP-подключения.

В адресе указываем DNS имя.

В панели управления CommuniGate также нужно будет указать явное dns-имя.

5. Проверка работы

Инициируем вход в систему по Email OTP:

Авторизуемся в почте CommuniGate по https://communigate.indeed.black:9100 (указываем свой DNS)

Получаем код на почту и успешно авторизуемся в систему