Индид представляет версию 9.7 продукта Indeed Access Manager (Indeed AM).

Подробнее о новых возможностях и улучшениях рассказываем в этой статье.

В версию 9.7 вошли следующие изменения и улучшения:

Мастер конфигурации

• В мастере конфигурации добавлена возможность запустить автоматическую установку сразу на всех хостах одной кнопкой Установить все. Для каждого хоста отображается отдельный прогресс установки и доступен свой лог-файл.
• В мастере конфигурации добавлена возможность включить шифрование конфигурационных файлов для каждого хоста при автоматической установке.
• В мастере конфигурации добавлена возможность настроить подключение к базе данных PostgreSQL для распределенного кеша. Если распределенный кеш не настроен, каждый хост использует собственный кеш в оперативной памяти.
• В мастере конфигурации на шаге Каталоги пользователей добавлена возможность настроить фильтрацию объектов каталога и оптимизацию поиска. Ранее эти параметры задавались вручную в конфигурационном файле Core Server. Для каталогов FreeIPA и ALD Pro фильтр, скрывающий системные контейнеры, задается по умолчанию.
• При проверке подключения к каталогу пользователей мастер конфигурации показывает подробную причину ошибки и проверяет срок действия сервисной учетной записи и ее пароля.
• Внесены улучшения в работу мастера конфигурации.

Indeed Key

• В Indeed Key Server добавлена отправка push-уведомлений на устройства Android через RuStore. Для этого серверу требуется доступ к сервису VKPNS.

Модули интеграции

• Настройки SAML- и OIDC-приложений Identity Provider перенесены из конфигурационного файла am/idp/app-settings.json в Management Console.
• Добавлена утилита миграции настроек приложений Identity Provider из конфигурационного файла в Management Console. Утилита не переносит параметры Сертификат поставщика услуг (SP) и Разрешенные адреса отправки форм (CSP), их необходимо добавить в Management Console вручную.
• В Identity Provider добавлена возможность задать время обновления кеша — интервал, в течение которого в кеше хранятся настройки клиентских приложений SAML и OIDC. Допустимы значения от 0 до 600 секунд, при значении 0 кеширование отключается.
• В Identity Provider добавлена возможность передавать в SAML- и OIDC-приложения атрибуты пользователя из Active Directory.
• В NPS RADIUS Extension добавлена политика, позволяющая не запрашивать подтверждение Indeed Key (Push) при повторных подключениях пользователя к Wi-Fi в течение заданного периода.
• В NPS RADIUS Extension для цепочек многофакторной аутентификации, содержащих доменный пароль (например, Windows Password + Software TOTP), теперь используется пароль, введенный пользователем при аутентификации, а не сохраненный в Access Manager.
• В модуле FreeRADIUS добавлен режим отказа без указания причины для защиты от перебора факторов аутентификации. При ошибке аутентификации модуль возвращает общий отказ в доступе (Access-Reject), не раскрывая, на каком этапе произошел отказ и какой из факторов введен неверно. Реальная причина отказа сохраняется во внутренних логах.
• В Linux Logon добавлена блокировка сессии при извлечении RFID-карты из считывателя IronLogic Z2 USB. Блокировка включается в Management Console.

Миграция модулей с Access Manager 8 на Access Manager 9

• Реализована поддержка модуля Enterprise SSO для единого входа в Windows- и веб-приложения, в том числе при отсутствии сети.
• Реализована поддержка модуля IIS Extension для двухфакторной аутентификации в веб-приложениях на базе IIS.

Аутентификаторы

• Добавлен провайдер Smart Card Provider для аутентификации по смарт-картам и USB-ключам с запросом PIN-кода и без него. Провайдер поддерживается в модулях Enterprise SSO, Windows Logon и Linux Logon.
• Добавлена возможность регистрировать аутентификатор Secured TOTP по готовому секрету TOTP, переданному в шаблоне регистрации. Это позволяет выпускать Secured TOTP в собственных мобильных приложениях организации.

События

• Добавлена автоматическая очистка событий Log Server. Включить очистку и задать срок хранения событий можно в мастере конфигурации, остальные параметры задаются в конфигурационном файле am/ls/clientApps.config.
• Добавлен ручной запуск очистки событий Log Server через API.
• В IIS Extension в событиях аутентификации теперь передается реальный IP-адрес клиента. Ранее в событиях отображался адрес сервера, на котором установлен IIS Extension.

Клиентские сертификаты

• Для модулей Enterprise SSO, IIS Extension, NPS RADIUS Extension, RDP Windows Logon и Windows Logon добавлена возможность использовать внешний клиентский сертификат из хранилища сертификатов Windows для HTTPS-подключения к Core Server. Сертификат задается через групповую политику или в реестре.
• В модулях Windows Logon, RDP Windows Logon, Enterprise SSO, IIS Extension, NPS RADIUS Extension и FreeRADIUS встроенный клиентский сертификат теперь подписан по алгоритму SHA-256 вместо SHA-1. Это обеспечивает совместимость с HAProxy 3.x и соответствует актуальным требованиям к TLS.
• В HAProxy добавлены режимы обработки клиентского сертификата. По умолчанию заголовок с сертификатом формируется только из сертификата, прошедшего проверку при mTLS-подключении.
• Core Server теперь поддерживает клиентские сертификаты в формате PEM, в том числе с URL-кодированием. Это позволяет настроить аутентификацию по клиентскому сертификату при использовании NGINX в качестве прокси-сервера.

Телеметрия

• В Core Server, Identity Provider, Management Console, User Console и Indeed Key Server добавлен экспорт телеметрии по протоколу OpenTelemetry (OTLP) со сквозной трассировкой запросов между компонентами. Телеметрия каждого компонента настраивается в секции OpenTelemetry конфигурационного файла app-settings.json.

Другие изменения

• Компоненты Access Manager переведены на платформу .NET 10.
• HAProxy обновлен до версии 3.4 для соответствия актуальным требованиям безопасности.
• В Core Server добавлена возможность включить тайм-аут LDAP-bind. Если сервер каталога не отвечает в течение заданного времени, подключение прерывается и выполняется попытка подключения к следующему серверу. По умолчанию тайм-аут выключен.
  
  

С документацией Indeed Access Manager 9.7 вы можете ознакомиться на портале: Документация Indeed Access Manager 9.7

Чтобы получить новую версию Indeed AM, обратитесь в нашу службу поддержки:

На сайте службы технической поддержки https://support.indeed-id.ru или по телефону 8 800 333-09-06.