Как установить on‑prem версию ID от Контур.Эгиды

On-Premise (On-Prem) — способ размещения программного обеспечения на собственных серверах организации. On-Premise решение есть и у ID от Контур.Эгиды: оно позволяет организации сохранять контроль над данными и безопасностью. Расскажем, как установить on-prem версию в инфраструктуре компании.

Игорь Суставов Менеджер проектов по внедрению

Что такое on-prem версия

Серверная (On-Premise, On-Prem) версия — это способ размещения ID на собственных серверах организации.

On-Premise решение позволяет:

• разворачивать сервисы в изолированных сетях с минимальными внешними подключениями или отсутствующим доступом к интернету,
• управлять сетевыми взаимодействиями сервисов в периметре сети организации,
• хранить данные пользователей внутри сети организации.

У ID есть два вида серверных версий:

1. Гибридная версия. Подходит для подтверждения двухфакторной аутентификации через push, звонок или регистрацию сотрудников с помощью смс или электронной почты. Чтобы отправить push-уведомление, смс, email или совершить звонок на мобильное устройство сотрудника требуется обращение к внешнему сервису. Для этого On-Premise версия ID взаимодействует с облаком ID по защищённому соединению — HTTPS.

2. Изолированная версия. Подходит для подтверждения двухфакторной аутентификации через отправку OTP-кода и приглашение, которое генерируется с помощью ссылки. Технический специалист компании передаёт ссылку-приглашение внутри сети организации. В изолированной версии On-Premise обращение к внешним сервисам не требуется.

У серверной версии также есть отказоустойчивый вариант. В отличие от обычного орр устанавливается на 3 хоста. При выходе из строя одного хоста инсталляция продолжает работать.

Двухфакторная аутентификация

ID — защита учетных записей сотрудников: подключений через VPN, RDG, ActiveSync, ADFS (протоколы OpenID Connect, SAML), защита входа в Windows, OWA.

Оставить заявку

Как установить on-prem в инфраструктуре компании

Обычная версия

1. Убедитесь, что ваше оборудование соответствует техническим требованиям.

2. Для хоста, на котором будет установлен On-Premise, временно откройте доступ до облака ID. Доступ к облаку необходим для автоматического получения лицензии, см подробнее в разделе «Связь».

3. Выберите установку ISO-образа или установку на существующую ОС.

4. После установки настройте конфигурационный файл configs_variables.json.

   sudo /onprem/onprem-cli install

   #Для версии On-Premise 1.0.99 включительно и выше:

   • Чтобы запустить инсталляцию используйте команду:
     #Для версии On-Premise 1.0.86 включительно: sudo /onprem/onprem-cli standalone install

   • Чтобы узнать текущую версию следуйте инструкции, как узнать версию On‑Premise.

5. Проверьте, что запущены все нужные компоненты On-Premise. В терминале выполните команду для просмотра текущих запущенных и остановленных Docker-контейнеров:

   sudo docker ps -a

6. Убедитесь, что в конфигурации DNS-сервера или домена добавлена запись вида:
   kid.{domain} {kidHostIp}
   kid-portal.{domain} {kidHostIp}
   
   Пример конфигурации
   kid.example.ru 10.10.10.10
   kid-portal.example.ru 10.10.10.10

   В строке браузера наберите имя сайта kid.<имя_домена>, которое вы указали в настройках DNS и в файле configs_variables.json.

7. На сайте kid.<имя_домена> авторизуйтесь под учётной записью администратора инсталляции. Список записей UPN настраивается в файле configs_variables.json в блоке Organization.InstallationAdmins.

8. Если у вас ещё не настроен сертификат, установите и инициализируйте его.

9. Чтобы обеспечить безопасность On-Premise закройте все порты, кроме 80 и 443. В зависимости от условий, можно выполнить необходимые действия либо на сетевом оборудовании организации, либо на хосте, на котором развёрнут On-Premise, например, с помощью ufw см. в документации.

Отказоустойчивая версия

1. Чтобы использовать отказоустойчивую версию On-Premise, установите компоненты, которые входят в инсталляцию на каждый хост. Для работы Leader определите один хост, для работы Workers — два.

2. Убедитесь, что ваше оборудование соответствует техническим требованиям.

3. Выберите установку ISO-образа или установку на существующую ОС и установите инсталляцию на каждый хост.

4. Откройте порты в брандмауэре. 

5. Подготовьте кластер перед запуском инсталляции.

6. Запустите инсталляцию с помощью команду: sudo /onprem/onprem-cli distributed start

7. Проверьте, что запущены все нужные компоненты On-Premise. В терминале выполните команду для просмотра текущих запущенных и остановленных Docker-контейнеров на всех хостах: sudo docker ps -a

8. Убедитесь, что в конфигурации DNS-сервера или домена добавлена запись вида:
   kid.{domain} {leaderHostIp}
   kid.{domain} {workerHostIp1}
   kid.{domain} {workerHostIp2}
   kid-portal.{domain} {leaderHostIp}
   kid-portal.{domain} {workerHostIp1}
   kid-portal.{domain} {workerHostIp2}
   В строке браузера наберите имя сайта kid.<имя_домена>, которое вы указали в настройках DNS и в файле configs_variables.json.

9. На сайте kid.<имя_домена> авторизуйтесь под учётной записью администратора инсталляции. Список записей UPN настраивается в файле configs_variables.json в блоке Organization.InstallationAdmins.
   Если у вас ещё не настроен сертификат, установите и инициализируйте его.

10. Чтобы обеспечить безопасность On-Premise закройте все порты, кроме:
    
    На всех хостах:

    • 4789 UDP swarm.

    • 7946 TCP/UDP swarm;

    • 2377 TCP swarm;

    • 443 HTTPS;

    • 80 HTTP.
       

    На Leader хосте:

    • 5000 TCP registry. Настройка необходима только в случае использования локального Registry.

В зависимости от условий, можно выполнить необходимые действия либо на сетевом оборудовании организации, либо на хосте, на котором развёрнут On-Premise, например, с помощью ufw см в документации.

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку