Общую информацию по работе со съемными устройствами хранения данных см. в статье Съемные устройства хранения данных в Astra Linux.


Данная статья неприменима к Astra Linux Special Edition РУСБ.10015-10


Создание доменного правила регистрации съемных устройств хранения данных

При поиске учтенных для пользователя устройств используется имя пользователя, под которым выполняется вход. Имя при входе может быть указано в краткой форме (без указания домена, например, user) или в полной форме (с указанием домена, например, user@astralinux.ru). Поиск всегда выполняется только в домене, в который входит пользователь.

  • Начиная с обновления БЮЛЛЕТЕНЬ № 2023-0426SE17 (оперативное обновление 1.7.4) независимо от формы имени, указанной при входе, поиск учтенных устройств выполняется по краткому имени пользователя. Соответственно, при регистрации устройств следует использовать краткие имена. Именно в такой краткой форме (без указания домена) задаются имена владельцев устройств при регистрации устройств с помощью web-интерфейса FreeIPA, также имена в такой форме могут быть заданы при помощи интерфейса командной строки (команда ipa parsecdevice-add);
     
  • В более ранних обновлениях имя пользователя при поиске используется точно в той форме, которая указана при входе. То есть:
    • если пользователь выполняет вход без указания домена (например, user), то будут найдены устройства, учтенные для владельца user;
    • если пользователь выполняет вход с указанием имени домена (например, user@astralinux.ru), то устройства, учтенные для владельца user найдены не будут. При регистрации устройств имена их владельцев с указанием имени домена могут быть заданы с помощью интерфейса командной строки (команда ipa parsecdevice-add).

Регистрация съемных устройств в домене FreeIPA осуществляется из web-интерфейса управления контроллера домена. Для регистрации устройств:

  1. Открыть web-интерфейс управления доменом.
  2. Выбрать раздел "Политика" → "Политика PARSEC".
  3. Выбрать в выпадающем списке "Учтенные устройства" ("Registered devices"):
  4. Задать удобное имя регистрируемого устройства, а также права доступа для пользователя и группы:
  5. Значение параметра "Device attributes" скопировать из графической утилиты "Политика безопасности". Для этого выполнить следующие действия:
    1. Запустить утилиту "Политика безопасности": "Пуск" - "Панель управления" - "Безопасность" - "Политика безопасности".
      Предупреждение о том, что компьютер находится под управлением домена можно игнорировать;
    2. Выбрать раздел "Устройства и правила" → "Устройства", затем нажать кнопку добавления устройства и следовать подсказкам мастера:

    3. При запросе мастера подключить устройство и выбрать появившееся устройство:

      Обращаем внимание, что необходимо прервать создание локального правила в  "Политика безопасности" (fly-admin-smc) без сохранения изменений.

    4. Скопировать значение правила определения устройства:

    5. Перейти в web-интерфейс FreeIPA и вставить скопированное правило определения устройства:

      Служебная доменная группа ipausers не является полноценной группой (POSIX-группой), не имеет числового идентификатора (GID), и поэтому неприменима при учете устройств. Для учета устройств рекомендуется создать отдельные доменные POSIX-группы (группы, имеющие GID).

    6. Выставить чек-бокс "Правила учета включены" ("Device is ON").
    7. Сохранить запись, нажав кнопку "Добавить".
    8. Запись об устройстве будет отображена в списке учтенных устройств.
    9. При необходимости уточнить связанные с МРД параметры учета устройства выбрать устройство в списке и указать уровень конфиденциальности (по умолчанию - ноль), а также категории конфиденциальности, маски аудита и дополнительные правила идентификации устройства в соответствующих вкладках:

После создания правил перед проверкой работоспособности правил в обязательном порядке необходимо отключить и повторно подключить устройство.

Подготовка устройств хранения данных для работы в режиме учета

Порядок подготовки устройств хранения данных для работы в качестве учтенных устройств см. в статье Съемные устройства хранения данных в Astra Linux.

Создание доменной группы пользователей для разрешения полуавтоматического монтирования

Для создания доменной группы пользователей, участие в которой разрешает пользователям полуавтоматическое монтирование (см. Съемные устройства хранения данных в Astra Linux):

  1. Создать доменную группу с именем floppy и номером 25. Это можно сделать в графическом web-интерфейсе FreeIPA или при наличии билета Kerberos администратора домена командой:

    ipa group-add floppy --gid=25

  2. Включить пользователей, которым должна быть предоставлена возможность полуавтоматического монтирования, в созданную группу.  Это можно сделать в графическом web-интерфейсе FreeIPA или при наличии билета Kerberos администратора домена командой:

    ipa group-add-member floppy --users=<имя_пользователя>

    Права, предоставляемые участием в группе, будут применены при следующем входе пользователя.