Дополнение 4 к релизу VMBitrix 9.0.3: NTLM
Роль ntlm возвращена и адаптирована для работы в VMBitrix 9-ой версии.
Для работы роли мы собираем и поставляем наш пакет bx-mod_auth_ntlm_winbind версии 0.0.0. Пакет содержит модуль mod_auth_ntlm_winbind для Apache.
Пока курс по 9-ой версии машины не обновлен, про работу роли можно почитать в архивном курсе для 7-ой версии:
ВНИМАНИЕ! Информация в курсе по 7-ой версии частично устарела.
Манипуляции с NTLM выполняются в разделе сайты 8. Configure pool sites -> 7. Configure NTLM auth for sites.
В подменю раздела вернутся пункты, позволяющие:
- включить ntlm авторизацию на машине и для выбранного сайта сразу (1. Configure NTLM settings for the site)
- подключить сайт(ы) к уже настроенной ntlm авторизации (2. Use existing NTLM settings for the site)
- НОВИНКА! отключить ntlm авторизацию для всех сайтов и удалить настройки ntlm для машины (3. Delete NTLM settings)
При разработке и тестировании использовались:
- роль AD в WIndows Server 2012
- роль AD в WIndows Server 2016
- роль AD в WIndows Server 2019
- роль AD в WIndows Server 2022
Включение ntlm авторизации (Configure NTLM settings for the site)
Перед настройкой в меню машины, на сайте обязательно обновите модуль AD/LDAP интеграция (ldap) до версии 24.100.0.
В административной части продукта создайте подключение к AD серверу (/bitrix/admin/ldap_server_edit.php?lang=ru), указав:
- Активен - Да
- Название подключения
- Домен для NTLM авторизации
- Сервер и порт
- Логин и пароль пользователя с правами на чтение дерева
После проверяем подключение кнопкой. И если все успешно выбираем Корень дерева (base DN).
ВНИМАНИЕ! Обязательно заполните поле Домен для NTLM авторизации, машина будет его использовать в дальнейшей настройке.
Пример на картинке 1:
Так же настройте:
- параметры схемы сервера (AD\LDAP)
- соответствие полей пользователя и атрибутов LDAP
- импорт отделов и структуры компании
- соответствие групп пользователей
- периодическую синхронизацию
Возвращаемся в меню машины в пункт 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 1. Configure NTLM settings for the site.
Запускаем мастер и указываем данные:
- NetBIOS Hostname (default server1) - имя сервера в пуле, в примере server1
- NetBIOS Domain/Workgroup Name (ex. TEST) - домен, в примере TEST22
- Full Domain Name: (ex. TEST.LOCAL) - fqd домена, в примере TEST22.LOCAL
- Domain password server (ex. TEST-DC-SP.TEST.LOCAL) - контроллер домена, в примере DC.TEST22.LOCAL
- Domain admin user name (default Administrator) - имя пользователя и его пароль, в примере AdministratorX / ************
- Enter the site name (default) - имя сайта, в примере: b24.vmx37.vms.local
Пример на картинке 2:
Запустится задача ntlm_create_**********, которая:
- установит необходимые пакеты
- сконфигурирует службы и перезапустит их
- введет машину в домен
- для указанного сайта добавит настройки ntlm авторизации в модуле ldap:
После механизм начинает работать следующим образом:
- неавторизованный посетитель приходит на сайт, где обработчиком события он перенаправляется на открытый порт Apache: 8890 для протокола http или 8891 для протокола https
- Apache выполняет NTLM-авторизацию пользователя и пользователь перенаправляется назад на сайт по http на 80 порт или по https на 443 порт
- следующие переходы по сайту пользователь выполняет в обычном режиме
Поддерживается работа по https для ssl LE сертификатов или для самоподписанных ssl сертификатов в случае:
- если у сайта до настройки ntlm роли был установлен ssl сертификат
- если сначала включили ntlm роль, а потом настраивается ssl сертификат
Подключение существующего сайта к уже настроенной ntlm авторизации (Use existing NTLM settings for the site)
Предполагается, что уже есть сайт, для которого была включена ntlm авторизация и проведена ей настройка.
На ином, существующем сайте необходимо настроить подключение к AD, пример заполнения полей указан выше.
Вернутся в меню машины в пункт 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 2. Use existing NTLM settings for the site.
Перейти в пункт, указать имя сайта.
Пример на картинке 3:
Запустится задача ntlm_update_**********, которая для указанного сайта добавит настройки ntlm авторизации в модуле ldap.
По завершению для выбранного сайта включится механизм авторизации, описанный выше.
Отключение ntlm авторизацию для всех сайтов и удаление настроек ntlm для машины (Delete NTLM settings)
Удаление настроек ntlm авторизации происходит:
- для всех сайтов
- для используемой машины
Запускается в пункте меню 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 3. Delete NTLM settings.
Мастер запросит данные почти аналогичные включению ntlm, за исключением имени сайта:
- NetBIOS Hostname (default server1) - имя сервера в пуле, в примере server1
- NetBIOS Domain/Workgroup Name (ex. TEST) - домен, в примере TEST22
- Full Domain Name: (ex. TEST.LOCAL) - fqd домена, в примере TEST22.LOCAL
- Domain password server (ex. TEST-DC-SP.TEST.LOCAL) - контроллер домена, в примере DC.TEST22.LOCAL
- Domain admin user name (default Administrator) - имя пользователя и его пароль, в примере AdministratorX / ************
Пример на картинке 4:
Запустится задача ntlm_delete_**********, которая:
- для всех сайтов удалит настройки ntlm авторизации в модуле ldap каждого сайта
- выведет машину из домена
- остановит службы и перезапустит необходимые
- удалит необходимые пакеты, файлы и т.д.
По завершению на всех сайтах вернется обычный механизм авторизации.
Роль ntlm возвращена и адаптирована для работы в VMBitrix 9-ой версии.
Для работы роли мы собираем и поставляем наш пакет bx-mod_auth_ntlm_winbind версии 0.0.0. Пакет содержит модуль mod_auth_ntlm_winbind для Apache.
Пока курс по 9-ой версии машины не обновлен, про работу роли можно почитать в архивном курсе для 7-ой версии:
ВНИМАНИЕ! Информация в курсе по 7-ой версии частично устарела.
Манипуляции с NTLM выполняются в разделе сайты 8. Configure pool sites -> 7. Configure NTLM auth for sites.
В подменю раздела вернутся пункты, позволяющие:
- включить ntlm авторизацию на машине и для выбранного сайта сразу (1. Configure NTLM settings for the site)
- подключить сайт(ы) к уже настроенной ntlm авторизации (2. Use existing NTLM settings for the site)
- НОВИНКА! отключить ntlm авторизацию для всех сайтов и удалить настройки ntlm для машины (3. Delete NTLM settings)
При разработке и тестировании использовались:
- роль AD в WIndows Server 2012
- роль AD в WIndows Server 2016
- роль AD в WIndows Server 2019
- роль AD в WIndows Server 2022
Включение ntlm авторизации (Configure NTLM settings for the site)
Перед настройкой в меню машины, на сайте обязательно обновите модуль AD/LDAP интеграция (ldap) до версии 24.100.0.
В административной части продукта создайте подключение к AD серверу (/bitrix/admin/ldap_server_edit.php?lang=ru), указав:
- Активен - Да
- Название подключения
- Домен для NTLM авторизации
- Сервер и порт
- Логин и пароль пользователя с правами на чтение дерева
После проверяем подключение кнопкой. И если все успешно выбираем Корень дерева (base DN).
ВНИМАНИЕ! Обязательно заполните поле Домен для NTLM авторизации, машина будет его использовать в дальнейшей настройке.
Пример на картинке 1:
Так же настройте:
- параметры схемы сервера (AD\LDAP)
- соответствие полей пользователя и атрибутов LDAP
- импорт отделов и структуры компании
- соответствие групп пользователей
- периодическую синхронизацию
Возвращаемся в меню машины в пункт 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 1. Configure NTLM settings for the site.
Запускаем мастер и указываем данные:
- NetBIOS Hostname (default server1) - имя сервера в пуле, в примере server1
- NetBIOS Domain/Workgroup Name (ex. TEST) - домен, в примере TEST22
- Full Domain Name: (ex. TEST.LOCAL) - fqd домена, в примере TEST22.LOCAL
- Domain password server (ex. TEST-DC-SP.TEST.LOCAL) - контроллер домена, в примере DC.TEST22.LOCAL
- Domain admin user name (default Administrator) - имя пользователя и его пароль, в примере AdministratorX / ************
- Enter the site name (default) - имя сайта, в примере: b24.vmx37.vms.local
Пример на картинке 2:
Запустится задача ntlm_create_**********, которая:
- установит необходимые пакеты
- сконфигурирует службы и перезапустит их
- введет машину в домен
- для указанного сайта добавит настройки ntlm авторизации в модуле ldap:
- опция Использовать NTLM авторизацию - да
- опция Сервер домена по умолчанию - будет выбрано значение Домен для NTLM авторизации, настроенное в подключение к AD
- опция Включить переадресацию NTLM авторизации (на порты 8890 и 8891) - да
- регистрация зависимости модулей main и ldap - да
После механизм начинает работать следующим образом:
- неавторизованный посетитель приходит на сайт, где обработчиком события он перенаправляется на открытый порт Apache: 8890 для протокола http или 8891 для протокола https
- Apache выполняет NTLM-авторизацию пользователя и пользователь перенаправляется назад на сайт по http на 80 порт или по https на 443 порт
- следующие переходы по сайту пользователь выполняет в обычном режиме
Поддерживается работа по https для ssl LE сертификатов или для самоподписанных ssl сертификатов в случае:
- если у сайта до настройки ntlm роли был установлен ssl сертификат
- если сначала включили ntlm роль, а потом настраивается ssl сертификат
Подключение существующего сайта к уже настроенной ntlm авторизации (Use existing NTLM settings for the site)
Предполагается, что уже есть сайт, для которого была включена ntlm авторизация и проведена ей настройка.
На ином, существующем сайте необходимо настроить подключение к AD, пример заполнения полей указан выше.
Вернутся в меню машины в пункт 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 2. Use existing NTLM settings for the site.
Перейти в пункт, указать имя сайта.
Пример на картинке 3:
Запустится задача ntlm_update_**********, которая для указанного сайта добавит настройки ntlm авторизации в модуле ldap.
По завершению для выбранного сайта включится механизм авторизации, описанный выше.
Отключение ntlm авторизацию для всех сайтов и удаление настроек ntlm для машины (Delete NTLM settings)
Удаление настроек ntlm авторизации происходит:
- для всех сайтов
- для используемой машины
Запускается в пункте меню 8. Configure pool sites -> 7. Configure NTLM auth for sites -> 3. Delete NTLM settings.
Мастер запросит данные почти аналогичные включению ntlm, за исключением имени сайта:
- NetBIOS Hostname (default server1) - имя сервера в пуле, в примере server1
- NetBIOS Domain/Workgroup Name (ex. TEST) - домен, в примере TEST22
- Full Domain Name: (ex. TEST.LOCAL) - fqd домена, в примере TEST22.LOCAL
- Domain password server (ex. TEST-DC-SP.TEST.LOCAL) - контроллер домена, в примере DC.TEST22.LOCAL
- Domain admin user name (default Administrator) - имя пользователя и его пароль, в примере AdministratorX / ************
Пример на картинке 4:
Запустится задача ntlm_delete_**********, которая:
- для всех сайтов удалит настройки ntlm авторизации в модуле ldap каждого сайта
- выведет машину из домена
- остановит службы и перезапустит необходимые
- удалит необходимые пакеты, файлы и т.д.
По завершению на всех сайтах вернется обычный механизм авторизации.
