• Развёртывание и настройка Icinga 2 на Debian 8.6. Часть 10. Аутентификация и авторизация пользователей Active Directory в Icinga Web 2 (Kerberos и SSO)

    30.03.2017 Автор:Алексей Максимов
    7 425 Просмотров 1 Комментарий

    В этой части нашего цикла заметок об Icinga будет рассмотрен пример того, как можно организовать доменную аутентификацию пользователей Active Directory (AD) с поддержкой Kerberos и Single sign-on (SSO) при подключении к веб-консоли Icinga Web 2.

    Если мы заглянем в опорный документ Icinga Web 2 Authentication, то узнаем, что веб-консоль Icinga Web 2 способна работать с аутентификаций, основанной на каталоге Active Directory, других реализациях LDAP-каталогов, базах данных MySQL или PostgreSQL, а также делегировать процесс аутентификации непосредственно веб-серверу. Так, как в рассматриваемом нами примере будут использоваться такие вещи, как аутентификация с помощью Kerberos и дополнительная авторизация с помощью PAM, выбран вариант с делегированием процесса аутентификации веб-серверу. При этом процедуры внутренней проверки прав доступа к объектам веб-консоли Icinga Web 2 будут выполняться через специально созданное подключение к AD, как к LDAP-каталогу.

    Читать далее...

  • Развёртывание и настройка oVirt 4.0. Часть 9. Интеграция oVirt с LDAP-каталогом Microsoft Active Directory

    04.10.2016 Автор:Алексей Максимов
    11 652 Просмотров 8 комментариев

    imageВ этой и последующей части серии записей о настройке среды управления виртуализацией oVirt 4.0 будет рассмотрен практический пример интеграции функционала разграничения прав доступа oVirt с внешним LDAP-каталогом на базе домена Microsoft Active Directory. Сначала мы пошагово рассмотрим процедуру настройки профиля интеграции oVirt c LDAP-каталогом, а затем, в отдельной заметке, рассмотрим настройку автоматической аутентификации пользователей на веб-порталах oVirt, настроив Single sign-on (SSO) на базе протокола Kerberos. Читать далее...

  • Exchange Web Service Managed API - The account does not have permission to impersonate the requested user

    26.03.2014 Автор:Алексей Максимов
    6 279 Просмотров 1 Комментарий

    imageВ одном из локальных проектов по разработке веб-приложения возникла задача создания Задач в почтовых ящиках пользователей Exchange Server 2010. Для этого была предпринята попытка использовать Exchange Web Service Managed API (через веб-службу на сервере клиентского доступа https://ClientAccessServer/EWS/Exchange.asmx). Как мне объяснил разработчик приложения, при попытке подключится к пользовательскому почтовому ящику для того, чтобы создать в нём Задачу от имени отдельной специально созданной для этой цели сервисной учетной записи, возникала ошибка "The account does not have permission to impersonate the requested user"

    image

    Что само по себе в общем-то ожидаемо и говорит о том, что у сервисной учетной записи, от имени которой идёт попытка манипулировать почтовым ящиком пользователей нет права олицетворять себя с этими пользователями (Impersonation Rights). Для того, чтобы предоставить такие права воспользуемся Exchange Management Shell.

    Читать далее...