Приложение c

Что такое альтернативный идентификатор входа?

В большинстве случаев пользователи используют имя участника-пользователя (имена участников-пользователей) для входа в свои учетные записи. Однако в некоторых средах, связанных с корпоративными политиками или локальными зависимостями бизнес-приложений, пользователи могут использовать другую форму входа в систему.

Примечание

Рекомендуется сопоставить UPN с основным SMTP-адресом. В этой статье рассматривается небольшая доля клиентов, которые не могут исправлять имя участника-пользователя.

Например, они могут использовать свой идентификатор электронной почты для входа в систему, и они могут отличаться от имени участника-пользователя. Это особенно распространено в ситуациях, когда их UPN не поддерживает маршрутизацию. Представьте себе, что пользователь Джейн Петров с именем участника-пользователя и адресом электронной почты . Мария может даже не знать имя участника-пользователя, так как она всегда использовала свой идентификатор электронной почты для входа. Использование любого другого метода входа вместо имени участника-пользователя означает альтернативный идентификатор. Дополнительные сведения о создании имени участника-пользователя см. в статье Заполнение userPrincipalName для Azure AD.

Службы федерации Active Directory (AD FS) (AD FS) позволяет федеративным приложениям использовать AD FS для входа с использованием альтернативного идентификатора. Это позволяет администраторам указать альтернативу имени участника-пользователя по умолчанию, который будет использоваться для входа. AD FS уже поддерживает использование любой формы идентификатора пользователя, принимаемого службами домен Active Directory (AD DS). При настройке альтернативного идентификатора AD FS позволяет пользователям выполнять вход с использованием настроенного альтернативного идентификатора, например идентификатора электронной почты. использование альтернативного идентификатора позволяет внедрять поставщики SaaS, такие как Office 365, без изменения локальных имен участников-пользователей. Он также позволяет поддерживать бизнес-приложения служб с помощью подготовленных для потребителей удостоверений.

Roundcube

Для подключения адресной книги в Roundcube открываем конфигурационный файл на сервере:

vi /var/www/webmail/config/config.inc.php

* в моем примере roundcube установлен в каталог /var/www/webmail.

Добавляем следующие строки:

* где:

autocomplete_addressbooks — перечень источников адресных книг. В нашем примере не первом месте идет база данных, на втором — LDAP.
ldap_public — список подключений к LDAP. В нашем примере будет одно со следующими параметрами:
- name — имя адресной книги.
- hosts — перечень ldap-сервером.
- port — порт для подключения к LDAP.
- use_tls — нужно ли использовать шифрованное соединение. В данном примере, нет, но если требуется, необходимо также изменить порт подключения.
- base_dn — в каком базовом контейнере искать учетные данные.
- bind_dn — учетная запись, от которой будет идти обращение к LDAP. Формат данной записи может отличаться в зависимости от реализации службы каталогов, например, во FreeIPA в качестве bind dn нужно будет прописать uid=gab,cn=users,cn=accounts,dc=dmosk,dc=local (при условии, что именно по данному пути расположена учетная запись).
- bind_pass — пароль для учетной записи, от которой будет идти обращение к LDAP.
- search_fields — поля, по которым будет осуществляться поиск учетной записи.
- name_field — поле для имени учетной записи.
- email_field — поле с email.
- filter — фильтр поиска учетных записей. В данном примере раскомметированный фильтр больше подходит для Microsoft Active Directory.
- * стоит иметь ввиду, что у разных реализаций LDAP поля могут иметь разные имена.
ldap_cache — место хранения кэша. Возможны варианты db, apc и memcache.
ldap_cache_ttl — время хранения кэша.

Открываем Roundcube и переходим в контакты. Мы должны увидеть новую адресную книгу с название, описанным в поле name.

Мост связей сайтов

Мост связи сайтов — это объект Active Directory, представляющий набор связей сайтов, все сайты которых могут обмениваться данными с помощью общего транспорта. Мосты связей сайтов позволяют подключать контроллеры домена, которые не соединены напрямую через канал связи для репликации друг с другом. Как правило, мост связей сайтов соответствует маршрутизатору (или набору маршрутизаторов) в IP-сети.

По умолчанию KCC может формировать транзитный маршрут через все связи сайтов, на которых имеются общие сайты. Если такое поведение отключено, каждая связь сайтов представляет собственную отдельную и изолированную сеть. Наборы связей сайтов, которые можно рассматривать как один маршрут, выражаются через мост связей сайтов. Каждый мост представляет среду изолированного взаимодействия для сетевого трафика.

Мосты связей сайтов — это механизм, логически отражающий транзитивное физическое подключение между сайтами. Мост связей сайтов позволяет KCC использовать любое сочетание входящих в него связей сайтов, чтобы определить наименее дорогостоящий маршрут к разделам каталога Interconnect, которые хранятся на этих сайтах. Мост связей сайтов не обеспечивает фактическое подключение к контроллерам домена. Если мост связей сайтов удален, репликация по Объединенным связям сайтов будет продолжаться до тех пор, пока не будут удалены ссылки.

Мосты связей сайтов необходимы только в том случае, если сайт содержит контроллер домена, на котором размещается раздел каталога, который также не размещается на контроллере домена соседнего сайта, но контроллер домена, на котором размещается этот раздел каталога, находится на одном или нескольких сайтах в лесу. Смежные сайты определяются как любые два или больше сайтов, входящих в одну связь сайтов.

Мост связей сайтов создает логическое подключение между двумя связями сайтов, предоставляя транзитный путь между двумя отключенными сайтами с помощью промежуточного сайта. В целях создания межсайтовых топологий (ISTG) мост подразумевает физическое подключение с использованием промежуточного сайта. Мост не подразумевает, что контроллер домена на промежуточном сайте предоставит путь репликации. Тем не менее, если промежуточный сайт содержал контроллер домена, на котором размещен раздел каталога для репликации, в этом случае мост связей сайтов не требуется.

Добавляется стоимость каждой связи сайтов, что приводит к созданию суммированных затрат для итогового пути. Мост связей сайтов будет использоваться, если промежуточный сайт не содержит контроллер домена, на котором размещается раздел каталога, а ссылка с более низкими затратами не существует. Если промежуточный сайт содержал контроллер домена, на котором размещается раздел каталога, два отключенных сайта настроили подключения репликации к промежуточному контроллеру домена и не используют мост.

Расширенные настройки

Настройка	Описание
Включить вложенные группы	Включить или отключить поддержку вложенных групп. Некоторые серверы каталогов позволяют вам определить группу в качестве члена другой группы. Группы в такой структуре называются вложенными группами. Вложенные группы упрощают разрешения, позволяя подгруппам наследовать разрешения от родительской группы.
Управление статусом пользователя локально	Если true, вы можете активировать и деактивировать пользователей в Crowd независимо от их статуса на сервере каталогов.
Отфильтровать истекших пользователей	Если значение true, учетные записи пользователей, отмеченные как истекшие в ActiveDirectory, будут автоматически удалены. Для кэшированных каталогов удаление пользователя произойдет во время первой синхронизации после истечения срока действия учетной записи. Примечание. Это доступно в Embedded Crowd 2.0.0 и выше, но недоступно в версии 2.0.0 m04.
Использовать постраничные результаты	Включить или отключить использование расширения LDAP для простого поиска поисковых запросов. Если пейджинг включен, поиск будет извлекать наборы данных, а не все результаты поиска сразу. Введите желаемый размер страницы — то есть максимальное количество результатов поиска, которое будет возвращено на страницу при включении результатов подкачки. Значение по умолчанию — 1000.
Перенаправление переходов	Выберите, разрешать ли серверу каталогов перенаправление запросов на другие серверы. Эта опция использует настройку конфигурации узла (JNDI lookup java.naming.referral). Обычно это необходимо для серверов Active Directory, настроенных без надлежащего DNS, для предотвращения ошибки ‘javax.naming.PartialResultException: Unprocessed Continuation Reference(s)’: («необработанного продолжения ссылки»).
Наивное соответствие DN	Если ваш сервер каталогов всегда возвращает согласованное строковое представление DN, вы можете включить наивное соответствие DN. Использование наивного соответствия DN приведет к значительному улучшению производительности, поэтому мы рекомендуем включить его там, где это возможно. Этот параметр определяет, как ваше приложение будет сравнивать DN, чтобы определить, равны ли они. Если этот флажок установлен, приложение выполнит прямое, нечувствительное к регистру, сравнение строк. Это стандартный и рекомендуемый параметр для Active Directory, поскольку Active Directory гарантирует формат DN. Если этот флажок не выбран, приложение проанализирует DN и затем проверит анализируемую версию.
Включить инкрементную синхронизацию	Включите инкрементную синхронизацию, если вам нужны изменения только после последней синхронизации, которая запрашивается при синхронизации каталога. Помните, что при использовании этой опции учетная запись пользователя, настроенная для синхронизации, должна иметь доступ на чтение: Атрибута uSNChanged всех пользователей и групп в каталоге, который необходимо синхронизировать. Объектов и атрибутов в контейнере удаленных объектов Active Directory. Если по крайней мере одно из этих условий не выполняется, вы можете оказаться в списке пользователей, которые добавлены (или удалены) из Active Directory, которая не добавляется (или удаляется) в приложении.
Интервал синхронизации (минуты)	Синхронизация — это процесс, с помощью которого приложение обновляет свое внутреннее хранилище данных пользователя, чтобы согласовать данные на сервере каталогов. Приложение отправляет запрос на ваш сервер каталогов каждые x минут, где «x» — это номер, указанный здесь. Значение по умолчанию — 60 минут.
Время ожидания чтения (в секундах)	Время, в секундах, ожиданиеь ответа, который будет получен. Если в течение указанного периода ответа нет, попытка чтения будет прервана. Значение 0 (ноль) означает, что нет предела. Значение по умолчанию — 120 секунд.
Время ожидания поиска (в секундах)	Время, в секундах, ожидания ответа от операции поиска. Значение 0 (ноль) означает, что нет предела. Значение по умолчанию — 60 секунд.
Время ожидания подключения (в секундах)	Этот параметр влияет на два действия. Значение по умолчанию равно 0. Время ожидания получения соединения из пула соединений. Значение 0 (ноль) означает, что нет предела, поэтому подождите бесконечно. Время, в секундах, ждать при открытии новых подключений к серверу. Значение 0 (ноль) означает, что будет использоваться таймаут сети TCP, который может составлять несколько минут.

Подключение консоли ADUC к домену из рабочей группы

Если вы хотите подключится консолью ADUC к контроллеру домена с машины, которая не включена в домен (состоит в рабочей группе, или стоит домашняя версия Windows), воспользуйтесь таким методом:

Запустите командную строку и выполните команду запуска остастки от имени другого пользователя: runas /netonly /user:winitproaaivanov mmc
В пустой консоли MMC выберите File->Add/Remove Snap-In
Перенесите оснастку Active Directory Users and Computers в правую панель и нажмите
Чтобы подключится к домену, щелкните по корню консоли и выберите Change domain. Укажите имя домена.

В результате консоль ADUC подключится к контроллеру домена, получит и отобразит структуру контейнеров (OU) данного домена Active Directory.

Десять команд PowerShell, которые должен знать каждый администратор Windows

Одним из основных инструментов управления доменами Active Directory является оснастка «Active Directory — пользователи и компьютеры» Active Directory (ADUC).

Адаптер ADUC используется для выполнения типичных задач администрирования домена и управления пользователями, группами, компьютерами и организационными подразделениями в домене Active Directory.

По умолчанию консоль Active Directory — пользователи и компьютеры () установлена на сервере, когда она продвигается на контроллер домена во время выполнения роли доменных служб Active Directory (AD DS).

Чтобы использовать оснастку ADUC в Windows 10, сначала необходимо установить Microsoft Remote Server Administration Tools (RSAT).

RSAT включает в себя различные инструменты командной строки, модули PowerShell и оснастки для удаленного управления серверами Windows, Active Directory и другими ролями и функциями Windows, которые работают на серверах Windows.

Как установить Active Directory — пользователи и компьютеры на Windows 10?

По умолчанию RSAT не установлен в Windows 10 (и других настольных операционных системах Windows).

Средства удаленного администрирования сервера (RSAT) позволяют ИТ-администраторам удаленно управлять ролями и компонентами в Windows Server 2016, 2012 R2, 2012, 2008 R2 с рабочих станций пользователей под управлением Windows 10, 8.1, 8 и Windows 7.

RSAT напоминает средства администрирования Windows Server 2003 Pack (), который был установлен на клиентах под управлением Windows 2000 или Windows XP и использовался для удаленного управления сервером. RSAT не может быть установлен на компьютерах с домашними выпусками Windows.

Форумы

Чтобы установить RSAT, у вас должна быть профессиональная или корпоративная версия Windows 10.

Совет. Как вы можете видеть, пакет RSAT доступен для последней версии Windows 10 1803.

WindowsTH-RSAT_WS_1709 и WindowsTH-RSAT_WS_1803 используются для управления Windows Server 2016 1709 и 1803 соответственно.

Если вы используете предыдущую версию Windows Server 2016 или Windows Server 2012 R2 / 2012/2008 R2, вам необходимо использовать пакет WindowsTH-RSAT_WS2016.

Выберите язык вашей версии Windows 10 и нажмите кнопку «Download».

В зависимости от битности вашей ОС выберите нужный файл * .msu:

Для Windows 10 x86 — загрузите WindowsTH-RSAT_ (69.5 MB);
Для Windows 10 x64 — загрузите WindowsTH-RSAT_ (92.3 MB);

CredSSP encryption oracle remediation – ошибка при подключении по RDP к виртуальному серверу (VPS / VDS)

Установите загруженный файл (Обновление для Windows KB2693643), дважды щелкнув по нему.

c:InstallWindowsTH-RSAT_ /quiet /norestart

8 ответов

Поставщик членства в Active Directory ASP.NET выполняет аутентифицированное связывание с Active Directory с использованием указанного имени пользователя, пароля и «строки подключения». Строка подключения состоит из имени сервера LDAP, и находится полный путь к объекту-контейнеру, в котором указан указанный пользователь.

Строка подключения начинается с URI .

Для имени сервера вы можете использовать имя контроллера домена в этом домене — скажем, «dc1.corp.domain.com». Это дает нам таким образом.

Следующий бит — это полный путь к объекту-контейнеру, в котором находится пользователь привязки. Предположим, вы используете учетную запись «Администратор», а имя вашего домена — «corp.domain.com». Учетная запись «Администратор» находится в контейнере с именем «Пользователи», расположенном на одном уровне ниже корня домена. Таким образом, полнофункциональным DN контейнера «Пользователи» будет: . Если пользователь, с которым вы связываетесь, находится в подразделении, а не в контейнере, путь будет включать «OU = ou-name».

Итак, используя учетную запись в OU с именем , который является подразделением OU с именем , который является подразделением OU домена с именем будет иметь полностью квалифицированный путь .

Объедините с полным пути к контейнеру, в котором находится пользователь привязки (например, ), и у вас есть «строка подключения».

(Вы можете использовать имя домена в строке подключения в отличие от имени контроллера домена. Разница в том, что имя домена будет разрешено к IP-адресу контроллера домена any в домен. Это может быть как хорошим, так и плохим. Вы не зависите от того, что какой-либо один контроллер домена должен работать и работать для поставщика членства, но имя, как правило, разрешается, например, DC в удаленном месте с пятнистым сетевое подключение, то у вас могут возникнуть проблемы с работающим поставщиком членства.)

Введите в командной строке.

Например: получает строки подключения для всех пользователей с именами, начинающимися с Ja *.

Я просто использую этот инструмент от Softerra (они делают отличный бесплатный браузер LDAP), чтобы получить User DN от текущего пользователя:
http://www.ldapbrowser.com/download.htm

У меня всегда были проблемы с поиском правильного способа ввода OU. Команда предоставит вам список правильных имен всех подразделений в вашем домене. Не уверен, что это поможет для более крупной организации.

Установите средства администрирования удаленного сервера: http: //www.microsoft.com/en-us/download/details.aspx?id=7887
Откройте командную строку и введите сервер> dsquery

Для получения дополнительной информации, пожалуйста, проверьте это сообщение (внизу сообщения):
http://www.schiffhauer.com/mvc-5-and -активное-каталог-аутентификации /

Полный синтаксис находится в http://www.faqs.org/rfcs/rfc2255. HTML

Если вы откроете ADSIedit, он должен показать вам путь, когда вы выберете Connect To …

Я нашел самый простой способ :

Вы также можете найти от

Я получил их с сервера Microsoft Windows 2012 R2

NПОПЫТКА

KCC — это встроенный процесс, который выполняется на всех контроллерах домена и создает топологию репликации для Active Directory леса. KCC создает отдельные топологии репликации в зависимости от того, выполняется ли репликация на сайте (внутрисайтовая) или между сайтами (межсайтовой). KCC также динамически корректирует топологию, чтобы она соответствовала добавлению новых контроллеров домена, удалению существующих контроллеров домена, перемещению контроллеров домена на сайты, изменяющимся затратам и расписаниям, а также к контроллерам домена, которые временно недоступны или находятся в состоянии ошибки.

В пределах сайта подключения между контроллерами домена с возможностью записи всегда упорядочиваются по двунаправленному кругу с дополнительными подключениями для уменьшения задержки на больших сайтах. С другой стороны, межсайтовая топология является слоем распределения деревьев. Это означает, что между двумя сайтами каждого раздела каталога существует одно межсайтическое соединение, которое обычно не содержит ярлыки. Дополнительные сведения о охвате деревьев и Active Directory топологии репликации см. в статье Технический справочник по топологии репликации Active Directory ( https://go.microsoft.com/fwlink/?LinkID=93578 ).

На каждом контроллере домена KCC создает маршруты репликации, создавая односторонние объекты входящих подключений, которые определяют подключения других контроллеров домена. Для контроллеров домена на одном сайте KCC автоматически создает объекты подключения без вмешательства администратора. При наличии нескольких сайтов вы настраиваете связи сайтов между сайтами, а единое средство проверки согласованности знаний на каждом сайте автоматически создает подключения между сайтами.

улучшения KCC для Windows Server 2008 rodc

существует ряд улучшений KCC для размещения нового доступного контроллера домена только для чтения (RODC) в Windows Server 2008. Типичным сценарием развертывания для RODC является филиал. Топология репликации Active Directory, наиболее часто развернутая в этом сценарии, основана на конструкции «звезда», где контроллеры домена ветви на нескольких сайтах реплицируются с небольшим количеством серверов-плацдармов на сайте концентратора.

Одним из преимуществ развертывания RODC в этом сценарии является однонаправленная репликация. Серверы-плацдармы не должны реплицироваться с RODC, что снижает нагрузку на администрирование и использование сети.

однако одна из задач администрирования, выделенная топологией hub в предыдущих версиях операционной системы Windows Server, заключается в том, что после добавления нового контроллера домена-плацдарма в концентратор не существует автоматического механизма повторного распределения подключений репликации между контроллерами домена ветви и контроллерами домена концентратора, чтобы воспользоваться преимуществами нового контроллера домена концентратора.

для Windows Server 2008 rodc нормальная работа KCC обеспечивает некоторую перераспределение. Новые функции включены по умолчанию. Его можно отключить, добавив следующий набор разделов реестра на RODC:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

«Random BH LoadBalancing Allowed»1 = Enabled (по умолчанию), 0 = отключено

Дополнительные сведения о том, как работают эти улучшения KCC, см. в разделе Планирование и развертывание служб домен Active Directory для филиалов ( https://go.microsoft.com/fwlink/?LinkId=107114 ).

Репликация данных в Active Directory

Репликация — это процедура копирования, которую проводят при необходимости хранения одинаково актуальных сведений, существующих на любом контроллере.

Она производится без участия оператора. Существуют такие виды содержимого реплик:

Реплики данных создаются из всех существующих доменов.
Реплики схем данных. Поскольку схема данных едина для всех объектов леса Активных Директорий, ее реплики сохраняются на всех доменах.
Данные конфигурации. Показывает построение копий среди контроллеров. Сведения распространяются на все домены леса.

Основными типами реплик являются внутриузловая и межузловая.

В первом случае, после изменений система находится в ожидании, затем уведомляет партнера о создании реплики для завершения изменений. Даже при отсутствии перемен, процесс репликации происходит через определенный промежуток времени автоматически. После применения критических изменений к каталогам репликация происходит сразу.

Процедура репликации между узлами происходит в промежутках минимальной нагрузки на сеть, это позволяет избежать потерь информации.

Параметры синхронизации

•Различающееся имя — Путь (различающееся имя) к узлу в дереве Active Directory. Если оставить этот параметр пустым, будет выполнена синхронизация всего дерева AD. Нажмите кнопку Обзор рядом с различающимся именем. Отобразится ваше дерево Active Directory. Выберите верхнюю запись, чтобы синхронизировать все группы с ESET PROTECT, или добавьте только группы, которые вы хотите добавить. Выполняется синхронизация только компьютеров и подразделений. Когда закончите, нажмите кнопку ОК.

•Исключенные различающиеся имена. Определенные узлы в дереве Active Directory можно исключить (игнорировать).

•Игнорировать отключенные компьютеры (только в Active Directory). Компьютеры, отключенные в Active Directory, можно игнорировать.

ВАЖНО!
Если после нажатия кнопки Обзор возникает ошибка Server not find in Kerberos database, используйте полное доменное имя Active Directory вместо IP-адреса.

Настройка параметров соединения с LDAP-сервером

Чтобы настроить параметры соединения с LDAP-сервером, выполните следующие действия:

В главном окне веб-интерфейса программы в дереве консоли управления выберите раздел Параметры, подраздел LDAP.
В нижней части рабочей области выберите LDAP-сервер, параметры соединения с которым вы хотите настроить.
В блоке параметров Параметры соединения c LDAP-сервером выбранного сервера по любой ссылке откройте окно Параметры соединения c LDAP-сервером.
В блоке параметров Параметры LDAP-сервера в списке LDAP-сервер выберите одну из следующих внешних служб каталогов:
- generic LDAP, если вы хотите добавить соединение с сервером LDAP-совместимой службы каталогов (например, Red Hat Directory Server).
- Active Directory, если вы хотите добавить соединение с сервером Microsoft Active Directory.
В блоке параметров Параметры LDAP-сервера в поле Адрес сервера введите IP-адрес в формате IPv4 или FQDN-имя LDAP-сервера, к которому вы хотите подключиться.
В блоке параметров Параметры LDAP-сервера в списке Порт подключения укажите порт подключения к LDAP-серверу.
LDAP-сервер, как правило, принимает входящие соединения на порт 389 по протоколам TCP или UDP. Для подключения к LDAP-серверу по протоколу SSL обычно используется порт 636.
В блоке параметров Параметры LDAP-сервера в списке Тип подключения выберите один из вариантов использования шифрования данных при подключении к LDAP-серверу:
- SSL, если вы хотите использовать SSL.
- TLS, если вы хотите использовать TLS.
- Без шифрования, если вы не хотите использовать технологии шифрования данных при подключении к LDAP-серверу.
  После выхода обновления Microsoft (подробнее см. ADV190023 LDAP Channel Binding and LDAP Signing) необходимо будет использовать SSL- или TLS-шифрование при подключении к Active Directory. Если вы продолжите использовать вариант Без шифрования, программа не сможет подключаться к Active Directory, могут возникнуть ошибки в правилах обработки сообщений, пользователи не смогут подключаться к персональному хранилищу.
В блоке параметров Параметры аутентификации в поле Имя пользователя LDAP-сервера введите имя пользователя LDAP-сервера, у которого есть права на чтение записей каталога (BindDN). Введите имя пользователя в одном из следующих форматов:
- (если требуется), если вы хотите добавить соединение с сервером LDAP-совместимой службы каталогов (например, Red Hat Directory Server).
  Например, вы можете ввести имя пользователя,где – имя пользователя LDAP-сервера, – доменное имя каталога, к которому относится учетная запись пользователя, – имя родительского домена, в котором находится каталог.
- (если требуется) или , если вы хотите добавить соединение с сервером Microsoft Active Directory.
  Например, вы можете ввести имя пользователя , где – имя пользователя LDAP-сервера,– доменное имя каталога, к которому относится учетная запись пользователя.
В блоке параметров Параметры аутентификации в поле Пароль пользователя LDAP-сервера введите пароль доступа к LDAP-серверу пользователя, указанного в поле Имя пользователя LDAP-сервера.
В блоке Параметры поиска в поле База поиска введите DN (Distinguished Name – уникальное имя) объекта каталога, начиная с которого Kaspersky Secure Mail Gateway осуществляет поиск записей.
Вводите базу поиска в формате (если требуется).
Нажмите на кнопку Проверить.
Нажмите на кнопку Применить.
Окно Параметры соединения c LDAP-сервером закроется.

Google

Для использования провайдера маркера доступа учетных данных необходимо создать учетную запись (или использовать имеющуюся) и иметь зарегистрированный проект в оснастке https://console.developers.google.com.

Ниже представлена пошаговая инструкция по регистрации учетной записи, созданию проекта и выполнению настройки параметров Open ID Connect для использования в связке с программной системой 1С:Предприятие.

2.1. Регистрация нового пользователя

Обратите внимание, что при регистрации портал может запросить реальный номер контактного телефона, на который отправляется код подтверждения

По факту заполнения всех полей необходимо согласиться с политикой конфиденциальности и перейти к следующему этапу настройки.

2.2. Создание проекта

Следующий шаг настройки – это создание проекта и регистрация службы идентификации, которая будет выдавать и обслуживать маркеры доступа пользователей.

В первую очередь необходимо перейти в консоль разработчика Google: откройте в браузере страницу https://console.developers.google.com, используя учетные данные пользователя (существующего, либо созданного на этапе 1.1)

В консоли разработчика необходимо нажать на кнопку «Создать», находясь в разделе «Панель управления».

В открывшемся мастере создания проектов укажите идентификатор проекта, выберите местоположение и завершите процесс создания элемента с помощью кнопки «Создать».

После создания проекта необходимо выбрать его в консоли разработчика Google и перейти к разделу «Учетные данные». В этом разделе нажмите кнопку «Создать учетные данные».

Мастер настройки учетных данных предложит вам способ настройки и регистрации приложения и целевых пользователей. Необходимо выбрать настройку User Type «Внешний» и нажать кнопку «Создать».

В открывшемся окне настройки запроса доступа OAuth необходимо указать авторизованный домен, нажать на кнопку «Сохранить» и перейти к настройке ключа API OAuth2 аутентификации.

Для создания учетных данных нажмите соответствующую кнопку в консоли разработчика .

В окне создания идентификатора укажите следующие обязательные параметры:

Тип приложения — веб приложение
Название — произвольное название API аутентификации пользователей, которое будет отображаться в окне настройки проекта;
Разрешенные источники Javascript — домен, на котором расположены информационные базы, без указания путей публикации;
Разрешенные URI перенаправления — перечислите адреса, на которые провайдер маркеров доступа пользователей может выполнить перенаправление. Как минимум необходимо указать начальную страницу публикации. Адрес страницы публикации информационной базы строится про принципу: http(s)://имя домена/имя публикации/authform.html.

По факту заполнения всех полей нажмите кнопку «Создать». После создания будет отображено окно с информацией о идентификаторе OAuth клиента и его секретном коде. Скопируйте полученный идентификатор и приступите к настройке файла публикации информационной базы (default.vrd).

2.3. Пример настройки OpendID Connect с помощью провайдера маркеров доступа Google

<![CDATA[

{

«name»: «google_oidc»,

«title»: «Google»,

«discovery»: «https://accounts.google.com/.well-known/openid-configuration»,

«clientconfig»: {

«authority»: » https://accounts.google.com/»,

«client_id»: «<client-id>»,

«redirect_uri»: «http://<web-server-name>/<publication-name>/authform.html»,

«response_type»: «id_token token»,

«filterProtocolClaims»: false,

«loadUserInfo»: false

}

]]]>

</providers>

</openidconnect>

Параметры, которые необходимо изменить выделены полужирным шрифтом:

<client-id> — идентификатор клиента группы приложений, который был указан при регистрации в консоли управления AD FS
<web-server-name> — имя сервера, на котором выполнена публикация информационной базы на веб сервере
<publication-name> — имя публикации информационной базы.

По факту заполнения правильных данных необходимо сохранить файл и попробовать снова запустить один из клиентов 1С:Предприятия. Вместо окна авторизации откроется окно выбора провайдера с возможность входа с помощью логина и пароля, указанного для провайдера.