Indeed AM 9.7: новые способы аутентификации и упрощенный переход с Indeed AM 8
Компания «Индид» представила Indeed Access Manager 9.7 (Indeed AM) — новую версию системы для многофакторной аутентификации и управления доступом пользователей. Обновление упрощает переход с предыдущих версий и развертывание системы, расширяет способы аутентификации и усиливает защиту корпоративных ресурсов.
Переход на версии Indeed AM 9 с сохранением существующих сценариев
Одним из ключевых изменений Indeed AM 9.7 стала поддержка модулей Enterprise SSO и IIS Extension, ранее доступных в Indeed AM 8. Теперь заказчики могут переходить на новую версию продукта, сохраняя привычные сценарии доступа и двухфакторной аутентификации в корпоративных приложениях без необходимости перестраивать существующие процессы управления доступом.
Модуль Enterprise SSO обеспечивает единый вход в Windows- и веб-приложения. Он централизованно хранит учетные данные пользователей и автоматически подставляет их в формы входа после прохождения аутентификации. При этом вход в приложения возможен даже без подключения к сети. IIS Extension позволяет использовать двухфакторную аутентификацию в веб-приложениях на базе Microsoft IIS, включая Outlook Web Access и Remote Desktop Web Access.
Аутентификация с помощью смарт-карт и USB-ключей
Еще одно нововведение версии 9.7 — поддержка аутентификации с помощью смарт-карт и USB-ключей. Новый провайдер Smart Card Provider позволяет использовать устройства Рутокен, JaCarta, ESMART и другие аппаратные аутентификаторы. Администраторы могут настроить вход с обязательным вводом PIN-кода при каждой аутентификации или без него. Использование PIN-кода обеспечивает дополнительную защиту в случае потери или кражи устройства, поскольку для получения доступа потребуется ввести код.
Новый провайдер доступен в модулях Enterprise SSO, Windows Logon и Linux Logon, что позволяет применять аппаратные аутентификаторы при входе в операционные системы и корпоративные приложения.
Настройка приложений Identity Provider через Management Console
В Indeed AM 9.7 компания «Индид» упростила настройку приложений, использующих протоколы SAML и OpenID Connect (OIDC). Администраторы могут управлять их параметрами непосредственно в консоли управления (Management Console) без ручного редактирования конфигурационных файлов. Для переноса существующих настроек предусмотрена утилита миграции.
Кроме того, Identity Provider получил возможность передавать в приложения атрибуты пользователей из Active Directory. Администратор выбирает необходимые данные из списка поддерживаемых атрибутов, после чего они передаются клиентскому приложению при аутентификации. Таким образом, сведения из корпоративного каталога можно использовать без дополнительных настроек на стороне приложения.
Новые возможности мастера конфигурации
Другие важные улучшения связаны с мастером конфигурации. В версии 9.7 он позволяет запускать автоматическую установку одновременно на нескольких хостах. Для каждого сервера отдельно отображается ход выполнения и формируется лог-файл. Это помогает контролировать установку и быстрее выявлять возможные ошибки. Через мастер также можно включить шифрование конфигурационных файлов, настроить распределенный кеш на базе PostgreSQL, фильтрацию объектов каталога и оптимизацию поиска пользователей.
Доработана проверка подключений к каталогам пользователей. При возникновении ошибки мастер отображает ее причину, например неверный пароль или истечение срока действия учетной записи. Система также предупреждает администратора об ограниченном сроке действия сервисной учетной записи или ее пароля. Обновления сокращают объем ручных настроек, упрощают развертывание Indeed AM на нескольких хостах и позволяют обнаруживать проблемы с подключением еще на этапе конфигурации.
Защита от перебора факторов аутентификации в FreeRADIUS
В модуле FreeRADIUS появился режим защиты от перебора факторов аутентификации. Он ограничивает информацию о причинах неуспешного входа, которую злоумышленники могут использовать при подборе учетных данных. При включенном режиме модуль возвращает общий ответ об отказе в доступе независимо от того, на каком этапе произошла ошибка. Благодаря этому по ответу системы нельзя определить, существует ли указанная учетная запись или какой именно фактор аутентификации был введен неверно.
При этом подробная причина отказа сохраняется во внутренних журналах событий. Администраторы могут использовать эти сведения для диагностики ошибок и расследования инцидентов информационной безопасности. Режим поддерживается для протоколов PAP и MS-CHAPv2.
«По мере развития корпоративной ИТ-инфраструктуры управление доступом становится сложнее. Компании подключают новые приложения, используют разные способы аутентификации, обеспечивая работу критичных систем. При этом любое обновление затрагивает не только вопросы безопасности, но и процессы, которые выстраивались годами. Поэтому при развитии Indeed AM мы учитываем возможность перехода на новые версии без отказа от привычных сценариев и стремимся сократить объем ручных операций при настройке и сопровождении системы. В версии 9.7 мы расширили поддержку аппаратных средств аутентификации, упростили администрирование и добавили дополнительные механизмы защиты от перебора учетных данных. Эти изменения позволяют компаниям постепенно развивать систему управления доступом с учетом новых требований к безопасности», — Николай Ильин, руководитель продукта Indeed AM в компании «Индид».
