Настройка RDG

Создание конфигурации ресурса

1. Зайдите в кабинет администратора.
2. Перейдите в «Ресурсы» и выберите RDG.
3. Добавьте новую конфигурацию.

4. Заполните настройки:

   • Название конфигурации: укажите любое имя, например, Kontur.ID.

   • Платформа: укажите операционную систему, на которой будет развернут серверный компонент RADIUS.

   • Порт Radius Adapter: укажите порт адреса машины, на которой будет развернут серверный компонент RADIUS.
   • Shared Secret: скопируйте и сохраните секрет — он понадобится для настройки RDG.
   • Запрос второго фактора: укажите «У всех» или настройте ограничения по группам пользователей.
   • Саморегистрация пользователей: включите или отключите саморегистрацию.
   • Домен: укажите домен, с которым будет взаимодействовать система.
5. Нажмите на кнопку «Сохранить и скачать».

В результате вы получите zip-архив, в котором содержится папка с настройками двухфакторной аутентификации.

Файлы конфигурации уже настроены и готовы к использованию для защиты на второй фактор.

Настройка RADIUS-сервера и RD Gateway

Чтобы настроить взаимодействие между серверами, на котором установлен RADUIS-адаптер и RD Gateway на Windows Server, выполните шаги по инструкции.

1. В меню «Tools» выберите «Network Police Server».

   

2. Перейдите в раздел «RADIUS Clients and Servers».
3. Нажмите правой кнопкой мыши на пункт «Remote RADIUS Server Groups» и выберите пункт «New».

   

4. Укажите «Group Name».
5. Нажмите на кнопку «Add».

   

6. Заполните данные о сервере:
   1. На вкладке «Address» укажите «Server»: адрес сервера, на котором установлен RADIUS-адаптер.

      Укажите IP-адрес 127.0.0.1 вместо явного IP-адреса сервера, если RADIUS-адаптер установлен на той же машине, на которой работают RDG и NPS.

      

   2. На вкладке «Authentication/Accounting» укажите данные из панели администратора Контур.ID: «Shared Secret», «Confirm shared secret», «Authentication port» (по умолчанию установлено значение 1812).

      

   3. На вкладке «Load Balancing» укажите рекомендуемое время:
      • «Number of seconds without response before request is considered dropped» — 60 секунд.
      • «Number of seconds between requests when is indentified as unavailable» — 61 секунд.

        

   4. Нажмите «ОК».
7. Нажмите «ОК».
8. Перейдите в раздел «Policies» → «Connection Request Policies».
9. Выберите политику подключения. По умолчанию политика TS GATEWAY AUTHORIZATION POLICY. Чтобы изменить, нажмите правой кнопкой мыши и выберите «Properties».

   

10. Перейдите на вкладку «Settings» и выберите пункт «Authentication».
11. Выберите пункт«Forward requests to the following remote RADIUS server group for authentication» и из раскрывающегося списка выберите созданную ранее группу серверов.

    

12. Нажмите «Apply».
13. Нажмите «OK».

Дополнительные возможности

"AuthorizationConfiguration": {
        "AuthorizationStrategy" : "AllUsers" |  "NoOneWithExceptions" |  "AllUsersWithExceptions",
        "AdGroupExceptions": ["UserGroups1","UserGroups2","UserGroups3"]
    }

...,
...,
"ActiveDirectoryConfiguration": {
    "AuthenticationType": "Kerberos",
    "ServerAddress": "domain:389",
    "Domain": "domain"
  }

Как происходит отправка приглашения

Как происходит отправка приглашения

Сотрудник вводит логин и пароль для подключения к RDP.

RADIUS-адаптер:

1. Делает запрос в API Kontur.ID:
   • Проверяет наличие пользователя в панели администратора Kontur.ID.
   • Проверяет наличие у пользователя двухфакторной аутентификации.
2. Получает результат запроса от API Kontur.ID.
3. Собирает данные для отправки приглашения сотруднику:
   • Почта пользователя из Active Directory,
   • Доменный логин от RDP
4. Отправляет запрос в API Kontur.ID на отправку приглашения.

API Kontur.ID:

1. Генерирует уникальную одноразовую ссылку.
2. Отправляет приглашение сотруднику на почту пользователя из Active Directory.

Сотрудник:

1. Входит через браузер в личный кабинет пользователя Kontur.ID по ссылке из почты.
2. Устанавливает и настраивает приложение Контур.Коннект.

После настройки сотрудник может подтвердить аутентификацию на устройстве.

Если в карточке пользователя Active Directory не указана почта, письмо для регистрации не отправится — необходимо пользователя регистрировать другими способами.

Устранение неполадок

[RADUISProxy.Decorators.AuthenticationHandlerLoggerDecorator] 2 factor processed successfully for user kontur