Управління ідентичністю Ubuntu ADSys та Active Directory

“Гібридний флот” став реальністю: організації різноманітять операційні системи, при цьому Microsoft Active Directory (AD) залишається домінуючим джерелом ідентифікації. ІТ-адміністратори повинні забезпечити, щоб Linux-машини, такі як Ubuntu, поводилися як повноправні учасники в цій середовищі. Ефективне управління Linux вимагає універсального управління ідентичністю та політиками, забезпечуючи, щоб локальні механізми аутентифікації та налаштування системи на кінцевих пристроях Ubuntu підпорядковувалися центральному авторитету AD.

AD та демони служби безпеки системи (SSSD)

Для Ubuntu SSSD є основною технологією для інтеграції з Active Directory. Замість розрізнених конфігураційних файлів чи застарілих LDAP-скриптів, SSSD давно надає модульну архітектуру, яка абстрагує складнощі задніх провайдерів.

Коли SSSD налаштовано з провайдером AD, він спілкується з контролерами доменів, використовуючи стандартні протоколи: Kerberos для аутентифікації та LDAP для запитів до каталогу. SSSD автоматично відображає SID в UID/GID, перетворюючи Windows Security Identifiers (SID) на числові ідентифікатори користувачів (UID) та груп (GID) для доступу до файлів. Це усуває потребу вручну розширювати схему AD атрибутами Portable Operating System Interface (POSIX), значно знижуючи тертя при розгортанні.

Користувацькі флоту, особливо мобільні робочі станції, потребують надійного офлайн-доступу. SSSD забезпечує це, кешуючи паролі локально, зберігаючи користувачів аутентифікованими – навіть коли вони відключені від корпоративної мережі.

Потужність об’єктів політики груп (GPO) з Active Directory System Services (ADSys)

SSSD відповідає за ідентифікацію (“хто”), але історично не міг управляти конфігурацією (“що”) з тією ж глибиною, як клієнти Windows. Ця прогалина є основною цінністю для підприємств з ADSys.

ADSys є рідним клієнтом GPO для Ubuntu, що дозволяє ІТ-адміністраторам використовувати існуючі знання та інфраструктуру AD для управління флотами Ubuntu. Політики Active Directory застосовуються в двох точках: комп’ютерні політики при завантаженні та користувацькі політики при вході. Це відображає досвід управління Windows, забезпечуючи сумісність між Linux та Windows без вимоги до паралельних інструментів управління.

Швидка довідка: можливості ADSys

ADSys підтримує наступні можливості управління:

Функція	Опис
Управління привілеями	Централізовано надайте або відкликайти sudo-привілеї для користувачів та груп AD без ручного редагування локальних файлів /etc/sudoers на окремих машинах.
Виконання скриптів	Автоматизуйте конфігурацію, запланувавши виконання shell-скриптів при старті системи, завершенні роботи, вході або виході користувача, щоб виправити відхилення конфігурації.
Конфігурація робочого столу	Забезпечте специфічні налаштування робочого столу (наприклад, тайм-аут блокування екрану, фон, доступ до програм) через dconf settings framework.
Управління AppArmor	Забезпечте власні профілі AppArmor для обмеження можливостей застосунків на рівні системи, покращуючи безпеку кінцевого пристрою.

Вимоги до відповідності та безпеки з авто-реєстрацією сертифікатів

Інтеграція локальної аутентифікації з Active Directory є не тільки вимогою відповідності та безпеки для підприємств, а й зручністю. Центральна ідентифікація забезпечує дотримання політик безпеки та управління, складність паролів та пороги блокування акаунтів, незмінно по всьому гетерогенному флоту.

ADSys також підтримує авто-реєстрацію сертифікатів з Active Directory Certificate Services (AD CS). Клієнти реєструються на сертифікати машин, які демон сертифікації постійно моніторить і оновлює, покращуючи безпеку зв’язку та підтримуючи дотримання стандартів шифрування в застарілих корпоративних мережах.

Перевага Ubuntu Pro

Усі можливості ADSys надаються через Ubuntu Pro. Передплата Ubuntu Pro забезпечує доступ до клієнта ADSys та адміністративних шаблонів (.ADMX/.ADML), які потрібні для відображення специфічних налаштувань Ubuntu в Консолі управління політиками групи Windows.

Аутентифікація SSSD у поєднанні з забезпеченням політик ADSys надає рішення Canonical вирішальну перевагу: максимально використовує інвестиції в існуючу інфраструктуру AD, ставлячи системи Ubuntu на шлях відповідності, з підтримкою довгострокової підтримки (LTS), яку вимагають підприємства.

Дізнайтеся більше про управління ідентичністю

У нашому новому документі ми надаємо дієві шаблони та технічні специфікації для архітектури, визначення та забезпечення надійного контролю управління ідентичністю по всьому вашому серверному та робочому флоту, незалежно від операційної системи.

Ми здійснюємо технічний огляд сучасних парадигм ідентичності, включаючи детальні конфігурації для управління доступом до хмарної та локальної Linux-інфраструктури, та практичні стратегії для безшовної та безпечної інтеграції зі старими службами домену AD. Крім того, документ пропонує детальний аналіз переваг та етапів впровадження використання SSH сертифікатів для безперешкодної, підзвітної SSH аутентифікації, виходячи за межі простого управління ключами.

Читати документ про управління ідентичністю в підприємстві Ubuntu.