Režim synchronizace – Active Directory / Open Directory / LDAP

Pro vytvoření nové serverové úlohy přejděte v hlavním menu webové konzole na záložku Úlohy a klikněte na tlačítko Nová… > Serverová úloha. Případně si nejprve vyberte požadovaný typ úlohy ze stromové struktury a poté klikněte na tlačítko Nová > Serverová úloha.

Obecné

V této části zadejte obecné informace o vytvářené úloze, jako je název a volitelně popis. Pro přiřazení štítku klikněte na možnost Vybrat štítky.
V rozbalovacím menu Úloha si vyberte typ úlohy, kterou chcete vytvořit a konfigurovat. Pokud jste typ úlohy definovali před kliknutím na tlačítko Nová, její typ již bude předvybrán. Na základě typu úlohy se mění možnosti její konfigurace a chování (viz seznam klientských úloh).

Dále si můžete vybrat jednu z níže uvedených možnosti pro vytvoření podmínky spuštění:

•Spustit úlohu okamžitě po dokončení – tuto možnost vyberte, pokud chcete úlohu spustit okamžitě poté, co kliknete na tlačítko Dokončit.

•Pokud si chcete definovat vlastní podmínku spuštění, vyberte možnost Nastavit podmínku spuštění a následně se zpřístupní sekce Podmínka spuštění a Rozšířená nastavení.

Pokud chcete jen vytvořit úlohu a spouštět ji ručně, případně vytvoříte podmínku spuštění později, nevybírejte žádnou možnost.

Nastavení

Obecné nastavení

Nejprve vyberte nadřazenou statickou skupinu, do které chcete počítače synchronizovat. Případně vytvořte novou kliknutím na možnost Nová statická skupina.

•Objekty k synchronizaci – synchronizovat můžete Počítače a skupiny nebo Pouze počítače.

•Akce při výskytu kolize během vytváření počítače – pokud se při synchronizaci vyskytnou duplicitní záznamy, pomocí této možnosti vyberte akci, jak chcete tuto situaci vyřešit:

oPřeskočit (synchronizovaná zařízení nebudou přidána)

oPřesunout (synchronizovaná zařízení budou přesunuta do podskupiny)

oDuplikovat (synchronizovaná zařízení budou přidána pod jiným názvem)

•Akce při odstranění počítače – pokud počítač neexistuje, můžete jej Odstranit nebo Přeskočit.

•Akce při odstranění skupiny – pokud skupina neexistuje, můžete ji Odstranit nebo Přeskočit.

Pokud jako Akci při odstranění skupiny vyberete možnost Přeskočit, při smazání skupiny (organizační jednotky) z Active Directory, nedojde k odstranění počítačů, které jsou členem této skupiny v ESET PROTECT On-Prem - i když máte zároveň nastaveno Odstranit u možnosti Akce při odstranění počítače.

•Režim synchronizace – Active Directory / Open Directory / LDAP

Více informací o správě počítačů v ESET PROTECT On-Prem synchronizovaných s Active Directory naleznete v Databázi znalostí.

Nastavení připojení k serveru

Pokud ESET PROTECT Server běží na zařízení se systémem Windows připojeném k doméně, stačí vyplnit pouze pole Server. Všechny další kroky konfigurace Active Directory můžete přeskočit. Synchronizace s více doménami je možná v případě, že je mezi nimi navázána důvěra.

•Server – Zadejte název nebo IP adresu svého doménového řadiče.

•Uživatelské jméno – Uživatelské jméno pro přihlášení k doménovému řadiči zadávejte v následujícím formátu:

oDOMAIN\username (pro ESET PROTECT server spuštěný na Windows)

ousername@FULL.DOMAIN.NAME nebo username (pro ESET PROTECT Server spuštěný na Linuxu).

Ujistěte se, že název domény zadáváte velkými písmeny. Tím zajistíte bezchybné ověření při dotazování se Active Directory serveru.

•Heslo – zadejte heslo k uživatelskému účtu.

ESET PROTECT Server se systémem Windows používá ve výchozím nastavení pro všechna připojení ke službě Active Directory (AD) šifrovaný protokol LDAPS (LDAP přes SSL). Protokol LDAPS můžete nastavit také na virtuální appliance ESET PROTECT.

Pro úspěšné připojení k AD prostřednictvím LDAPS je nutné splnit následující předpoklady:

1.Na doménovém řadiči musí být nainstalovaný certifikát stanice. Pro vystavení certifikátu pro doménový řadič postupujte podle následujících kroků:

a)Otevřete si Server Manager, klikněte na tlačítko Manage > a Add Roles and Features a nainstalujte Active Directory Certificate Services > Certification Authority. V Trusted Root Certification Authorities se vytvoří nová certifikační autorita.

b)Klikněte na oznámení (žlutý trojúhelník) v části Server Manager a nakonfigurujte Active Directory Certificate Services na cílovém serveru. V části Role Services vyberte možnost Certifikační autorita. Konfiguraci dokončíte kliknutím na Další.

c)Přejděte na Start, zadejte certlm.msc a stiskněte klávesu Enter pro spuštění Certifikátů Microsoft Management Console. Klikněte na Certificates - Local Computer > Personal. Klikněte pravým tlačítkem myši do prázdného pole a vyberte možnost All Tasks > Request New Certificate > Enroll Domain Controller.

d)Ověřte, zda vydaný certifikát obsahuje doménový řadič FQDN.

e)Na serveru ESET PROTECT importujte vygenerovanou certifikační autoritu do úložiště certifikátů (pomocí nástroje certlm.msc nástroje) > Místní počítač > složka Trusted Root Certification Authorities.

f)Restartujte server ESET PROTECT.

2.Při zadávání nastavení připojení k serveru AD zadejte do pole Server nebo Název serveru FQDN doménového řadiče (stejný jako je v certifikátu řadiče domény). IP adresa již není pro LDAPS dostatečná.

Pokud chcete mít zálohu v podobě spojení prostřednictvím LDAP protokolu, aktivujte možnost Použít LDAP místo Active Directory a zadejte atributy odpovídající vašemu serveru. Případně v sekci Předvolby klikněte na tlačítko Vybrat, a nechte atributy načíst na základě svého výběru:

•Active Directory

•macOS Server Open Directory (názvy počítačů)

•macOS Server Open Directory (IP adresy počítačů)

•OpenLDAP se Samba záznamy – definujte parametry DNS název v Active Directory.

Pokud vyberete Použít LDAP místo Active Directory a předvolbu Active Directory můžete do Podrobností o zařízení načítat atributy z Active Directory. Podporovány jsou atributy typu DirectoryString. Pro zjištění atributů na doménovém řadiči můžete použít například ADExplorer. Níže uvádíme možné nastavení:

Pole v detailech počítače	Pole v úloze pro synchronizaci
Pole	Atribut názvu počítače
Popis	Atribut popisu počítače

Nastavení synchronizace

•Distinguished name – cesta (Distinguished Name) k uzlu ve stromové struktuře Active Directory. Pokud ponecháte toto pole prázdné, synchronizuje se celý AD strom. Na řádku Distinguished Name klikněte na tlačítko Procházet. Následně se zobrazí strom Active Directory. Pro synchronizaci všech skupin vyberte kořen stromu, případně vyberte jen konkrétní část, kterou chcete přidat do ESET PROTECT On-Prem. Mějte na paměti, že se synchronizují pouze organizační jednotky a počítače. Akci dokončete kliknutím na tlačítko OK.

Zjištění Distinguished Name

1.Otevřete si Active Directory Users and Computers.

2.Klikněte na View a vyberte možnost Advanced Features.

3.Klikněte pravým tlačítkem myši na svou doménu a z kontextového menu vyberte možnost Properties. Dále přejděte na záložku Attribute Editor.

4.Najděte řádek distinguishedName. Výstup by měl vypadat následovně: DC=ncop,DC=local.

•Vyloučené distinguished name – pomocí této možnosti můžete vyloučit ze synchronizace konkrétní uzly stromové struktury Active.

•Ignorovat deaktivované počítače (pouze v Active Directory) – vybráním této možnosti budou při synchronizaci skupiny přeskočeny deaktivované počítače v Active Directory.

Pokud po kliknutí na tlačítko Procházet obdržíte chybové hlášení: Server not found in Kerberos database, místo IP adresy zadejte plně kvalifikované jméno serveru (FQDN).

Synchronizace ze serveru běžícího na Linuxu

Podmínka spuštění

V části podmínka spuštění můžete definovat parametry pro spuštění úlohy. Každá serverová úloha má právě jednu podmínku spuštění. To znamená, že pro každou serverovou úlohu je nutné vytvořit novou podmínku spuštění. Tato sekce se zpřístupní, pokud v části Obecné aktivujete možnost Nastavit podmínku spuštění. Úlohu můžete vytvořit bez podmínky spuštění. Přidat ji můžete později nebo úlohu kdykoli spustit ručně.

Rozšířená nastavení

V této části můžete vytvořit pokročilá pravidla pro aktivaci podmínky spuštění a tzv. throttlingem zabránit nadměrnému spouštění úlohy. Definování throttlingu je volitelné.

Souhrn

V této části se zobrazí souhrnné informace o vytvářené úloze. Zkontrolujte, zda nastavení odpovídá vašim představám, pokračujte kliknutím na Dokončit.

U každé úlohy je v sekci Úlohy se zobrazuje její průběh, ikona stavu a podrobnosti.

Serverovou úlohu pro nasazení agenta můžete spustit. ESET Management Agenta nasaďte do počítačů synchronizovaných z Active Directory.

˄˅