Вебинар №2. Как устроена система Avanpost FAM/MFA+: архитектура и компоненты

• Четыре клиентских компонента: мобильное приложение, Windows Lagon, Linux Lagon и агент.  

• Основной серверный компонент - Аванпост сервер, который требует базу данных PostgreSQL.  

• Сервер разработан на языке Go и является собственной разработкой компании.  

• Аванпост сервер является монолитным приложением, не микросервисом.  

• Планируется разделение на микросервисы для облачных инфраструктур.  

• В классических инфраструктурах планируется развитие отдельных прикладных компонентов.  

• Серверные компоненты кроссплатформенные, работают под Linux и Windows.  

• Планируется отказ от поддержки Windows из-за непопулярности.  

• Основные платформы: Astra Linux, Alt Linux, Red Hat Linux, CentOS, Oracle Linux.  

• Планируется развитие работы с контейнерами, но пока без готовых шаблонов.  

• Аванпост сервер предоставляет все необходимые сетевые интерфейсы.  

• Веб-интерфейс аутентификации, личный кабинет, административный интерфейс и обработчики для интеграции с LDAP и мобильными сервисами.  

• Используется шифрование и хэширование для защиты данных.  

• Пароли шифруются только при включенной парольной политике.  

• Хэширование используется для одноразовых кодов и паролей, алгоритм включает соль по умолчанию.  

• Компонент легко устанавливается и автоматизирован.  

• Доступны три формата поставки: TARGZ, DPPM и Docker Compose.  

• Docker Compose подходит для тестирования, но не для продуктивного использования.  

• Поддерживаются все версии операционных систем, включая последние.  

• Проблемы могут возникнуть только при линейной установке.  

• В серверной части нет зависимостей, что делает установку простой.  

• Пакет мобильных сервисов включает два компонента: брокер пуш-сообщений и компонент для взаимодействия с мобильным приложением.  

• Пуш-сервисы можно использовать или не использовать в зависимости от потребностей.  

• Взаимодействие с компонентами выполняется через сервер, что упрощает настройку и безопасность.  

• Мобильные сервисы независимы от внешних сервисов и работают напрямую с инфраструктурой заказчика.  

• Приложение может работать в изолированном окружении без доступа в интернет.  

• Это важно для сравнения с конкурентами, которые могут отслеживать запросы.  

• Компонент Агент работает под Windows и Linux, но не поддерживает все дистрибутивы Linux.  

• Интересен как дополнительный компонент для взаимодействия с инфраструктурой рабочей станции.  

• Может реализовывать новые сценарии, такие как централизованное завершение сессии пользователя.  

• Поддержка бизнес-кейсов, где администратор может влиять на рабочую станцию пользователя.  

• Поддержка аутентификаторов, подключаемых напрямую к устройству пользователя.  

• Пример использования: аутентификация по карточке S/MIME для веб-приложений.  

• Поддержка аутентификации по аппаратным аутентификаторам и в сценариях Enterprise S/MIME.  

• Компонент Windows Lagon устанавливается как замена стандартного провайдера операционных систем Windows.  

• Поддержка многофакторной аутентификации по сценарию, вычисляемому сервером.  

• Поддержка различных факторов аутентификации, включая логины, пароли и сертификаты.  

• Возможность беспарольного входа через QR-код.  

• Поддержка RDP для добавления второго фактора аутентификации.  

• Поддержка клиентской балансировки для геораспределенных кластеров.  

• Возможность аварийного входа с использованием одноразовых кодов.  

• Планы на вторую половину года по развитию сценариев аутентификации.  

• Поддержка всех многофакторных факторов аутентификации, кроме беспарольного входа по QR-коду.  

• Ограничения в графических оболочках операционных систем Linux.  

• Возможность реализации полностью беспарольного входа для Linux.  

• Прокси-компонент для подключения L2TP-приложений с поддержкой двухфакторной аутентификации.  

• Поддержка методов push и запрос на доступ в мобильное приложение.  

• Тестирование схемы с континентами от кода безопасности.  

• Особенности работы и ограничения по версиям операционных систем.  

• Поддержка устройств Huawei с двумя версиями: классической и адаптированной без Google сервисов.  

• Использование Apache и IIS для публикации системы пока не планируется.  

• Инжикс работает везде и не требует поддержки Apache или IIS.  

• Поддержка других веб-серверов и баз данных не планируется.  

• Поддерживается только PostgreSQL, так как он включен в сертифицированные дистрибутивы.  

• Идентификация пользователей через аппаратные факторы без сертификатов.  

• Возможность запроса пин-кода для устройств, поддерживающих эту функцию.  

• Пользователи могут работать в корпоративной сети и из дома.  

• Современные операционные системы позволяют подключаться к VPN до входа в систему.  

• Возможность создания отдельного VPN для аутентификации через VPN-провайдера.  

• Байпас режим отключает многофакторную аутентификацию.  

• Байпас используется для работы в условиях отсутствия сети.  

• Публикация DMZ для мобильных клиентов не рекомендуется.  

• Публикация DMZ для мобильных сервисов не рекомендуется.  

• Проблемы возникают на этапе настройки из-за жестких правил WAF.  

• Система ориентирована на автономную работу без внешних зависимостей.  

• Основной канал для поставки обновлений – DPRPM репозитории.  

• Планируется разрешить штатное обновление в июне.  

• Обновление пакетов возможно через версию, но рекомендуется фризить пакеты для безопасности.  

• Обновление версий возможно, но требует осторожности из-за возможных изменений в конфиг-файлах.  

• Интеграция с LDAP поддерживается, документация доступна на докса постстру.  

• Разработан собственный продукт для LDAP, ориентированный на высокую производительность и масштабируемость.  

• Продукт написан на Go и поддерживает различные топологии.  

• Встроенную репликацию, аналогичную MSDS, что делает его подходящим для сложных инфраструктур.  

• Продукт лицензируется отдельно и уже доступен для тестирования и предложений заказчикам.  

• Продукт совместим с LDAP, но не имеет значительных преимуществ перед другими каталогами.  

• Интеграция возможна без проблем, и практика по интеграции с FreeIPA и другими каталогами уже есть.  

• Интеграция с клиентами возможна, но требует дополнительных факторов аутентификации.  

• Официальная совместимость с Continenta подтверждена, и планируется публикация пресс-релиза.  

• Интеграционные решения активно развиваются и дополняются.  

• Партнерство в основном с отечественными решениями, подтверждена совместимость с Astra Linux.  

• Вопросы по интеграции лучше задавать через Q&A, где оперативно отвечают.  

• Накоплен опыт проектных инженеров по интеграции с прикладными системами.  

• Пересмотрена схема отказоустойчивости с синхронизацией через базу данных.  

• Планируется более надежное решение для крупных заказчиков с использованием Patron и Yeti CD.  

• Программная синхронизация будет ограничена, но применима для геораспределенных схем.  

• Программная синхронизация позволит аутентифицировать пользователей на разных площадках.  

• Планируется выпуск версии с функциональностью программной синхронизации учетных данных пользователей.  

• Решение применимо для сложных инфраструктур с ненадежной связью и репликацией.