ESET PROTECT On-Prem

Автономний режим | Підключитися до Інтернету

ESET PROTECT On-Prem – Зміст

# Режим синхронізації — Active Directory/Open Directory/LDAP

Скопіювати URL-адресу поточної статті Поділитись електронною поштою

Щоб створити серверне завдання, натисніть Завдання > Додати > Серверне завдання () або виберіть потрібний тип завдання на дереві й натисніть Додати > Серверне завдання ().

## Основна

У розділі Основне введіть основну інформацію про завдання, як-от назву й опис (необов’язково). Клацніть Вибрати теги, щоб призначити теги.
У розкривному меню Завдання виберіть тип завдання, яке потрібно створити й налаштувати. Якщо перед створенням завдання ви вибрали конкретний тип завдання, у меню Завдання параметри буде встановлено на основі попереднього вибору. Завдання (див. список усіх завдань) визначає параметри та поведінку завдання.

Ви можете вибрати серед перелічених нижче параметрів тригера завдання.

•Виконати завдання відразу після завершення. Виберіть цю опцію, щоб завдання виконалось автоматично після того, коли ви натиснете «Готово».

•Налаштувати тригер. Виберіть цю опцію, щоб увімкнути розділ Тригер, у якому можна налаштувати параметри тригера.

Щоб налаштувати тригер пізніше, не встановлюйте прапорці.

## Налаштування

### Загальні параметри

Натисніть Вибрати під назвою статичної групи. За замовчуванням для синхронізації комп’ютерів використовуватиметься домашня група виконавчого користувача. Або ви можете створити нову статичну групу.

•Об’єкти для синхронізації: Комп’ютери та групи або Лише комп’ютери.

•Обробка конфліктів під час створення комп’ютерів. Якщо під час синхронізації додаються комп’ютери, які вже є учасниками статичної групи, можна вибрати один з указаних нижче способів вирішення конфлікту.

o Пропустити (синхронізовані комп’ютери не додаватимуться).

o Перемістити (новий комп’ютер буде переміщено в підгрупу).

o Копіювати (новий комп’ютер створюється зі зміненою назвою).

•Обробка старіння комп’ютерів. Якщо комп’ютер більше не існує, його можна видалити або пропустити.

•Обробка старіння груп. Якщо група більше не існує, її можна видалити або пропустити.

|  | Якщо ви виберете для параметра Обробка старіння груп опцію Пропустити й видалите групу (підрозділ) з Active Directory, комп’ютери, які належали до групи в ESET PROTECT On-Prem, не видаляться, навіть якщо вибрати для параметра Обробка старіння комп’ютерів опцію Вилучити.

•Режим синхронізації — Active Directory/Open Directory/LDAP

Прочитайте статтю бази знань про керування комп’ютерами за допомогою синхронізації Active Directory в ESET PROTECT On-Prem.

### Параметри підключення до сервера

|  | Якщо сервер ESET PROTECT працює на комп’ютері з ОС Windows, який підключено до домену, потрібне лише поле Сервер. Усі наведені нижче кроки конфігурації Active Directory можна пропустити. Синхронізація між кількома доменами можлива, якщо установлено довірчий зв’язок.

•Сервер –Введіть назву сервера або IP-адресу контролера домену.

•ВхідВведіть ім’я користувача для контролера домену в такому форматі:

o DOMAIN\username (сервер ESET PROTECT, що працює на Windows)

o username@FULL.DOMAIN.NAME або username (сервер ESET PROTECT, що працює на Linux)

|  | Уведіть домен великими літерами. Такий формат потрібен для належної автентифікації запитів до сервера Active Directory.

•Пароль. Введіть пароль, який використовується для входу в контролер домену.

|  | Сервер ESET PROTECT у Windows за замовчуванням використовує зашифрований протокол LDAPS (LDAP через SSL) для всіх підключень Active Directory (AD). Окрім того, можна налаштувати LDAPS на віртуальному пристрої ESET PROTECT. Для успішного підключення AD через LDAPS налаштуйте вказані нижче параметри. 1.На контролі домену має бути інстальовано сертифікат комп’ютера. Щоб видати сертифікат для контролера домену, виконайте вказані нижче дії. a)Відкрийте Диспетчер сервера, натисніть Керувати > Додати ролі та функції й інсталюйте Служби сертифікації Active Directory > Центр сертифікації. Новий центр сертифікації буде створено в сховищі довірених кореневих центрів сертифікації. b)Клацніть сповіщення (жовтий трикутник) у розділі Диспетчер сервера і налаштуйте службу сертифікації AD CS на сервері призначення. У розділі Служби ролі виберіть Центр сертифікації. Щоб завершити налаштування, клацніть Далі. c)Перейдіть у меню Пуск > уведіть certlm.msc і натисніть клавішу ENTER, щоб запустити оснастку "Консоль керування MMC" для сертифікатів, потім виберіть Сертифікати — локальний комп’ютер > Особисті > правою кнопкою миші клацніть порожню панель > Усі завдання > Надіслати запит на новий сертифікат > роль Зареєструвати контролер домену. d)Переконайтеся, що виданий сертифікат містить FQDN контролера домену. e)На сервері ESET PROTECT імпортуйте створений центр сертифікації у сховище сертифікатів (за допомогою інструмента certlm.msc): у локальній машині виберіть папку Trusted Root Certification Authorities. f)Перезавантажте комп’ютер сервера ESET PROTECT. 2.Під час налаштування параметрів підключення до сервера AD введіть FQDN контролера домену (як зазначено в сертифікаті контролера домену) у полі Сервер або Хост. IP-адреси більше не достатньо для LDAPS.

Щоб увімкнути резервний протокол LDAP, поставте прапорець Використовувати LDAP замість Active Directory та введіть атрибути, які відповідають вашому серверу. Або виберіть попередні налаштовані параметри, натиснувши Вибрати, і атрибути заповняться автоматично.

•Active Directory

•Відкритий каталог macOS Server (імена хостів комп’ютерів)

•Відкритий каталог macOS X Server (IP-адреси комп’ютерів)

•Записи комп’ютерів OpenLDAP із Samba — Для налаштування параметрів DNS-імені в Active Directory.

Якщо вибрати опцію Використовувати LDAP замість Active Directory та попередні налаштування Active Directory, можна заповнити відомості про комп’ютер атрибутами зі структури Active Directory. Можна використовувати лише атрибути типу DirectoryString. Для перевірки атрибутів у контролері домену можна скористатись інструментом (наприклад, ADExplorer). У таблиці нижче наведено відповідні поля.

Поля з відомостями про комп’ютер | Поля завдання синхронізації
--- | ---
Ім’я | Атрибут імені хоста комп’ютера
Опис | Атрибут опису комп'ютера

### Параметри синхронізації

•Відмітне ім’я. Шлях (відмітне ім’я) до вузла на дереві Active Directory. Якщо не заповнити цю опцію, синхронізуватиметься все дерево Active Directory. Натисніть Огляд біля опції Відмітне ім’я. Відобразиться дерево Active Directory. Виберіть верхній запис, щоб синхронізувати всі групи з ESET PROTECT On-Prem, або виберіть лише певні групи, які потрібно додати. Синхронізуються лише комп’ютери та підрозділи. Коли завершите, натисніть OK.

|  | Визначення відмітного імені 1.Відкрийте програму Active Directory - користувачі й комп'ютери. 2.Клацніть Подання й виберіть пункт Розширені функції. 3.Клацніть правою кнопкою миші домен, потім клацніть Властивості й виберіть вкладку Редактор атрибутів. 4.Знайдіть рядок distinguishedName. Він має такий шаблонний вигляд: DC=ncop,DC=local.

•Виключені відмітні імена — Ви можете виключити (ігнорувати) певні вузли в дереві Active Directory.

•Ігнорувати вимкнені комп’ютери (лише в Active Directory) — Ви можете ігнорувати комп’ютери, вимкнені в Active Directory (завдання пропускатиме ці комп’ютери).

|  | Якщо після натискання кнопки Огляд з’являється помилка Server not found in Kerberos database, укажіть замість IP-адреси повне доменне ім’я AD сервера.

## Синхронізація із сервера Linux

Сервер ESET PROTECT, який працює на Linux, виконує синхронізацію дещо інакше, ніж комп’ютери з Windows. Нижче описано цей процес. 1.Необхідно вказати ім’я хоста й облікові дані контролера домену. 2.Сервер перевіряє облікові дані та перетворює їх на квиток Kerberos. 3.Сервер визначає відмітне ім’я домену (якщо його не вказано). 4.A) Якщо прапорець Використовувати LDAP замість Active Directory не встановлено: кілька викликів ldapsearch нумерують дерево. Спрощений приклад процесу отримання записів комп’ютера: kinit <username> (це одна команда, розділена на два рядки): ldapsearch -LLL -Y GSSAPI -h ad.domain.com -b 'DC=domain,DC=com' \ '(&(objectCategory=computer))' 'distinguishedName' 'dNSHostName' Б) Якщо прапорець Використовувати LDAP замість Active Directory встановлено: викликається той самий процес як в опції 4А, але користувач може налаштувати параметри. 5.Kerberos використовує механізм установлення зв’язку для автентифікації користувача та створення квитка, який можна використовувати послідовно з іншими службами для авторизації без надсилання пароля у відкритому вигляді (на відміну від опції Використовувати просту автентифікацію). 6.Потім утиліта ldapsearch використовує GSSAPI для перевірки в Active Directory отриманого квитка Kerberos. 7.Результати пошуку повертаються через незашифрований канал.

## Тригер

Розділ Тригер містить інформацію про тригери, які запускатимуть завдання. Кожне серверне завдання може мати лише один тригер. Кожен тригер може запускати лише одне серверне завдання. Якщо в розділі Основне не вибрано параметр Налаштувати тригер, тригер не створюється. Завдання можна створити без тригера. Таке завдання запускатиметься вручну, або ви можете додати тригер пізніше.

## Додаткові налаштування – Обмеження виконання завдання

Указавши обмеження виконання завдання, можна налаштувати розширені правила для створеного тригера. Установлювати обмеження виконання завдання необов’язково.

## Звіт

Усі налаштовані опції відображаються тут. Перевірте параметри й клацніть Готово.

У розділі Завдання відображаються індикатор перебігу, піктограма статусу та відомості кожного створеного завдання.

|  | Ви можете запустити серверне завдання "Розгортання агента", щоб розгорнути агент ESET Management на комп’ютерах, синхронізованих з Active Directory.

˄˅