Синхронизация пользователей и групп с Microsoft Active Directory

Если для управления пользователями ваша компания использует Microsoft Active Directory и вы хотите организовать для ваших пользователей доступ к Yandex Cloud, вам не нужно вручную создавать для них учетные записи в Yandex Cloud. Вместо этого вы можете синхронизировать с Yandex Identity Hub пользователей и группы, созданные в вашем каталоге Active Directory.

Синхронизация пользователей и групп выполняется агентом синхронизации Identity Hub AD Sync Agent, который может быть запущен на любом сервере под управлением ОС Linux или Windows.

Схема синхронизации:

На сервере, где запущен агент синхронизации, должны быть открыты следующие сетевые порты для входящего и исходящего трафика:

• Для обращения к API Yandex Cloud:

  • 443 (TCP) — для HTTPS;

• Для обращения к контроллеру домена Active Directory:

  • 389 (TCP) — для LDAP;
  • 636 (TCP) — для LDAPS;
  • 135 (TCP) — для MSRPC;
  • 49152:65535 (TCP) — диапазон портов для MSRPC dynamic;
  • 53 (TCP/UDP) и 88 (TCP/UDP) — для Kerberos.

Объекты синхронизацииОбъекты синхронизации

Агент Identity Hub AD Sync Agent синхронизирует с каталогом Active Directory следующие объекты:

• Пользователи.

• Атрибуты пользователей.

  Таблица сопоставления атрибутов пользователей:

  Имя атрибута в конфигурации агента	Имя атрибута в Active Directory (по умолчанию)	Имя атрибута в Yandex Identity Hub
  FullName	displayName	full_name
  GivenName	givenName	given_name
  FamilyName	sn	family_name
  Email	mail	email
  PhoneNumber	telephoneNumber	phone_number
  Username	userPrincipalName	username
  EmployeeId	employeeID	employee_id
  Department	department	department
  JobTitle	title	job_title
  CompanyName	company	company_name
  н/д	ObjectGUID	external_id

  В параметре user_attribute_mapping конфигурации агента вы можете настроить сопоставление имен атрибутов пользователя, отличных от заданных по умолчанию для Active Directory, или отключить синхронизацию отдельных атрибутов.

• Группы пользователей.

• Атрибуты групп пользователей.

  Таблица сопоставления атрибутов групп пользователей:

  Имя атрибута в конфигурации агента	Имя атрибута в Active Directory (по умолчанию)	Имя атрибута в Yandex Identity Hub
  Name	name	name
  Description	description	description
  н/д	ObjectGUID	external_id

  В параметре group_attribute_mapping конфигурации агента вы можете настроить сопоставление имен атрибутов групп пользователей, отличных от заданных по умолчанию для Active Directory, или отключить синхронизацию отдельных атрибутов.

• Членства пользователей в группах.

• Хеши паролей пользователей.

  Пароли пользователей хранятся в Active Directory не в открытом виде, а в виде хешей. Yandex Cloud, получив из каталога Active Directory хеш пароля пользователя, формирует на его основе собственный хеш с использованием современного и устойчивого к взлому алгоритма Argon2.

  Внимание

  Yandex Cloud не хранит в своих базах данных пароли пользователей в открытом виде.

Обратная запись паролей в Active DirectoryОбратная запись паролей в Active Directory

Агент синхронизации позволяет выполнять обратную запись паролей пользователей (password writeback) в Active Directory. Обратная запись паролей обеспечивает обновление пароля пользователя в Active Directory, если пароль этого пользователя был изменен на стороне Yandex Identity Hub в следующих случаях:

• пользователь, для которого настроена синхронизация с Active Directory, изменил свой пароль в Yandex Identity Hub;
• администратор организации сбросил пароль пользователя, для которого настроена синхронизация с Active Directory;
• пользователь, для которого настроена синхронизация с Active Directory, установил новый пароль в Yandex Identity Hub после того, как пароль этого пользователя был сброшен администратором.

Обратная запись паролей выполняется в следующем порядке:

1. Пользователь или администратор выполняют запрос на изменение пароля пользователя в Yandex Identity Hub.

2. Агент синхронизации предпринимает попытку обновить пароль этого пользователя в Active Directory.

   Попытка смены пароля в Active Directory может завершиться неудачей, например, если новый пароль не соответствует требованиям, заданным в политиках безопасности Active Directory.

3. Если попытка изменить пароль в Active Directory завершилась успехом, пароль пользователя изменяется также и на стороне Yandex Identity Hub.

4. Если попытка изменить пароль в Active Directory завершилась неудачей, пароль пользователя на стороне Yandex Identity Hub также остается неизменным.

Для работы обратной записи паролей аккаунту Active Directory, от имени которого агент выполняет синхронизацию, дополнительно нужны разрешения Change Password, Reset Password и Write pwdLastSet. Назначьте их на весь домен или на те Organization Units (OU), которые попадают под выбранные в конфигурации агента фильтры sync_settings.filter.

Настройка синхронизацииНастройка синхронизации

Чтобы реализовать синхронизацию пользователей и групп Yandex Identity Hub с Active Directory, необходимо выполнить предварительные настройки, как на стороне вашего контроллера домена с развернутыми службами Active Directory, так и на стороне Yandex Cloud.

Если для аутентификации на стороне Active Directory вы планируете использовать протокол Kerberos, самостоятельно установите на сервер компоненты, необходимые для работы этого протокола, и создайте файл keytab с ключами шифрования.

Настройка на стороне контроллера домена Active DirectoryНастройка на стороне контроллера домена Active Directory

Для корректной работы агента синхронизации на стороне Active Directory выполните следующие действия:

1. Создайте аккаунт пользователя домена или аккаунт gMSA, от имени которого агент будет выполнять синхронизацию.

2. Выдайте этому аккаунту следующие разрешения на домен, указанный в конфигурации агента в секции sync_settings.filter:

   • Replicating Directory Changes;
   • Replicating Directory Changes All.

   Если вы используете обратную запись паролей, дополнительно выдайте аккаунту следующие разрешения на Organization Units (OU), указанные в конфигурации агента в секции sync_settings.filter, или на весь домен:

   • Change Password;
   • Reset Password;
   • Write pwdLastSet.

3. На контроллере домена откройте сетевые порты для входящего трафика, поступающего с IP-адреса сервера, на котором установлен агент Identity Hub AD Sync Agent:

   • 389 (TCP) — для LDAP;
   • 636 (TCP) — для LDAPS;
   • 135 (TCP) — для MSRPC;
   • 49152:65535 (TCP) — диапазон портов для MSRPC dynamic;
   • 53 (TCP/UDP) и 88 (TCP/UDP) — для Kerberos.

4. (Опционально) Если вы планируете настраивать аутентификацию с использованием протокола Kerberos, настройте SPN.

Настройка на стороне Yandex CloudНастройка на стороне Yandex Cloud

Для корректной работы агента синхронизации на стороне Yandex Cloud выполните следующие действия:

• Создайте сервисный аккаунт, от имени которого синхронизация будет выполняться на стороне Yandex Identity Hub.

• Назначьте сервисному аккаунту следующие роли на организацию, в которой находится нужный пул пользователей:

  • organization-manager.userpools.syncAgent;
  • organization-manager.groups.viewer;
  • organization-manager.groups.externalCreator;
  • organization-manager.groups.externalConverter.

  Если вы планируете выгружать логи работы агента синхронизации в лог-группу Yandex Cloud Logging, дополнительно назначьте сервисному аккаунту роль logging.writer на соответствующую лог-группу или каталог, в котором она расположена.

• (Опционально) Создайте и сохраните авторизованный ключ сервисного аккаунта.

  Важно

  Авторизованный ключ не нужен, если агент синхронизации устанавливается на виртуальную машину Yandex Compute Cloud, к которой подключен сервисный аккаунт с необходимыми правами доступа.

Полезные ссылкиПолезные ссылки

• Агент синхронизации Identity Hub AD Sync Agent
• Синхронизировать пользователей и группы с Microsoft Active Directory