Добрый день! Пытаюсь подружить домен на samba с ksc 15.1 linux, опрос домена прошел успешно, подтянулись пользователи и пк. Выбрал доменную уз, назначил ей роль на ксц, но при попытке авторизации в веб-консоли, идет долгая загрузка и выходит сообщение "Недопустимые учетные данные. Пожалуйста, проверьте учетные данные и попробуйте войти снова."(данные вводятся корректно уз@домен)

389 порт открыт, принудительная проверка сертификата отключена, машина с ксц находится в том же домене.  Не подскажите, в чем может быть проблема, где могут лежать логи по данной проблеме.

Здравствуйте, а что используется в качестве службы активного каталога?

У меня прямого доступа к домену нет, могу только сказать, что домен поднят на samba 

Если у вас ALD Pro, то его опрос пока не поддерживается в KSC Linux. 

Вы имеете ввиду авторизацию в веб-консоли доменной учеткой? У меня опрос домена прошел успешно, подтянулись все учетки, группы, пк

3 часа назад, Readkey11 сказал:

Вы имеете ввиду авторизацию в веб-консоли доменной учеткой?

Нет. Уточните у блока ИТ какое решение используется для службы активного каталога. 

12 часов назад, mike 1 сказал:

Нет. Уточните у блока ИТ какое решение используется для службы активного каталога. 

Samba dc 4

Добрый день, разобрался, помогло принудительное подкидывание корневого сертификата в хранилище сертификатов на нодах.

Можно подробнее?

В 27.08.2025 в 08:52, Readkey11 сказал:

Добрый день, разобрался, помогло принудительное подкидывание корневого сертификата в хранилище сертификатов на нодах.

Если идет речь об этом:

Чтобы включить доменную аутентификацию Kerberos:

1. Выполните опрос контроллеров домена.
2. В главном окне приложения перейдите в раздел Параметры → Единый вход.
3. Включите параметр Аутентификация Kerberos.
4. Загрузите файл keytab.
5. Назначьте доменным пользователям роль, которая предоставляет доступ к Kaspersky Security Center Web Console

ТО у меня на втором пункте всё застревает и просто идет анимация загрузки и не загружается

Edited November 17, 2025Nov 17 by RaffaelX

Загрузил я keytab пользователя но вот так происходит 

Помогите кто в теме. Что за сертификаты про которые писал Readkey11. Если идет речь о keytab файле то на кого делать его с какими snp 

У меня все опрашивается, все объекты KSC видит, но прогруженный keytab толку не дает

Edited November 19, 2025Nov 19 by RaffaelX

1 час назад, RaffaelX сказал:

Помогите кто в теме. Что за сертификаты про которые писал Readkey11. Если идет речь о keytab файле то на кого делать его с какими snp 

У меня все опрашивается, все объекты KSC видит, но прогруженный keytab толку не дает

Добрый день, у меня была проблема, что на сервере, где развернут ксц, команда ldapsearch отрабатывала с ошибкой ldap_sasl_bind(SIMPLE): Can't contact LDAP server (-1), при этом, если  отключить проверку сертификата, установив переменную окружения 

export LDAPTLS_REQCERT=never

То команда проходит. 

Я подгрузил корневой серт домена на ноды в хранилище сертов и авторизация в веб -консоль ксц прошла

 

у меня использовался ksc 15.4 linux на ос астра linux 1.8, авторизация в веб консоль проходила путем ввода доменного логина и пароля в окно авторизации веб консоли, без использования сквозной аутентификации (она на линуксовом ксц не работает)

6 часов назад, Readkey11 сказал:

Я подгрузил корневой серт домена на ноды в хранилище сертов и авторизация в веб -консоль ксц прошла

У вас есть свой CA (центр сертификации)? О каких НОДах идет речь? Для успешной авторизации по доменному пользователю нужно, чтобы работало ssl шифрование? 

В общем разобрался!

Исходные данные:

Система на котором KSC64 и Web Console: Debian 12 СУБД PostgreSQL 17 (на Debian 13 не работает, но хоть в требованиях честно написано только о Debian 11 и Debian 12)

Домен на Debian 12 Samba AD DC с Bind9_DLZ

Проблема с доменной аутентификации с единым входом (SSO)

Проблема возникла из-за, во-первых, нечёткой инструкции по настройке и, во-вторых, из-за "дискриминации по языковому признаку" 😊,

Начну с 2, именно почему-то в англоязычной инструкции чётко всё описано c какими параметрами SPN выпустить keytab на контроллере домена, причем почти для всех разновидностей: FreeIPA, AldPro, Microsoft Active Directory и Samba. А в русскоязычной инструкции просто: «Загрузите файл keytab.»

Русскоязычная инструкция:

https://support.kaspersky.ru/ksc-linux/16/310242

Английская:

https://support.kaspersky.com/ksc-linux/16/310242

Причем id документа идентичный:

 

По 1 пункту: всё как-то кусками, ссылка на ссылке. И как мне показалось, что если уж всё настроено, то нужно вход по SSO производить с учетки на которую выпущен keytab, т.е. вы должны находится вошедшим в системе того пользователя, с браузера которого заходите на web консоль по SSO (в инструкции я не нашел). Да возможно и работает с других учеток путем ввода учетных данных, но вероятность глюков больше. Нет в инструкции (я не нашел), как выглядит авторизация по SSO, когда все работает, как выходят диалоговые окна, что вводить в данных учётки с доменным именем или нет и т.д. А вот тут очень даже интересно. Браузер неправильную комбинацию запоминает и всё. Вы будете делать опрос домена, искать ошибки в выдачи ролей, заново грузить keytab новый еще что-то .... НО дело будет в том, что браузер запомнил предыдущее и нужно почистить кеш.  Дальше будут скрины. Не совсем наверное понятно написал 🙂

После опроса домена и выдачи роли доменному пользователю нужно сделать загрузку keytab файла, сделанного с SPN как в англоязычной инструкции. (кстати этот раздел «единый вход» тоже иногда подвисает)

Далее входим по «использовать доменную аутентификацию»

Дальше обязательно вводить учетку ввида user@example.com, а не просто user (хотя должно быть и так понятно мы же keytab грузили и роль выдавали после опроса домена). Вот тут и начинаются глюки, если ввести первый раз неправильно, то ошибка так будет выходить пока не почистить кеш, а вы будете искать причину в другом

Edited November 19, 2025Nov 19 by RaffaelX

11 часов назад, RaffaelX сказал:

В общем разобрался!

Исходные данные:

Система на котором KSC64 и Web Console: Debian 12 СУБД PostgreSQL 17 (на Debian 13 не работает, но хоть в требованиях честно написано только о Debian 11 и Debian 12)

Домен на Debian 12 Samba AD DC с Bind9_DLZ

Проблема с доменной аутентификации с единым входом (SSO)

Проблема возникла из-за, во-первых, нечёткой инструкции по настройке и, во-вторых, из-за "дискриминации по языковому признаку" 😊,

Начну с 2, именно почему-то в англоязычной инструкции чётко всё описано c какими параметрами SPN выпустить keytab на контроллере домена, причем почти для всех разновидностей: FreeIPA, AldPro, Microsoft Active Directory и Samba. А в русскоязычной инструкции просто: «Загрузите файл keytab.»

Русскоязычная инструкция:

https://support.kaspersky.ru/ksc-linux/16/310242

Английская:

https://support.kaspersky.com/ksc-linux/16/310242

Причем id документа идентичный:

 

По 1 пункту: всё как-то кусками, ссылка на ссылке. И как мне показалось, что если уж всё настроено, то нужно вход по SSO производить с учетки на которую выпущен keytab, т.е. вы должны находится вошедшим в системе того пользователя, с браузера которого заходите на web консоль по SSO (в инструкции я не нашел). Да возможно и работает с других учеток путем ввода учетных данных, но вероятность глюков больше. Нет в инструкции (я не нашел), как выглядит авторизация по SSO, когда все работает, как выходят диалоговые окна, что вводить в данных учётки с доменным именем или нет и т.д. А вот тут очень даже интересно. Браузер неправильную комбинацию запоминает и всё. Вы будете делать опрос домена, искать ошибки в выдачи ролей, заново грузить keytab новый еще что-то .... НО дело будет в том, что браузер запомнил предыдущее и нужно почистить кеш.  Дальше будут скрины. Не совсем наверное понятно написал 🙂

После опроса домена и выдачи роли доменному пользователю нужно сделать загрузку keytab файла, сделанного с SPN как в англоязычной инструкции. (кстати этот раздел «единый вход» тоже иногда подвисает)

Далее входим по «использовать доменную аутентификацию»

Дальше обязательно вводить учетку ввида user@example.com, а не просто user (хотя должно быть и так понятно мы же keytab грузили и роль выдавали после опроса домена). Вот тут и начинаются глюки, если ввести первый раз неправильно, то ошибка так будет выходить пока не почистить кеш, а вы будете искать причину в другом

По данному вопросу не подскажу тк моя версия ксц не 16я, данный пункт "Настройка доменной аутентификации Kerberos" появился только в документации 16й версии в версиях ниже его нет.  Я на этапе авторизации не использую кнопку "использовать доменную аутентификацию", а просто ввожу уз@домен и пароль от учетной записи и вхожу в веб консоль, опрос домена настраивал по данной статье https://support.kaspersky.ru/ksc-linux/15.4/257877

 

Что касается на каких нодах, то у меня развернут отказоустойчивый кластер, там активная и пассивная нода на них, у меня почему - то не проходил запрос команды ldapsearch, как я писал выше.

Тоже столкнулись с данной проблемой. Не может авторизоваться под  доменной учеткой. Если кто смог решить просьба  поделиться решением

11 часов назад, Владимир Костюков сказал:

Тоже столкнулись с данной проблемой.

Вводные данные будут? Описание проблем из разряда - тоже столкнулись мало информативны.  

Развернул ksc 16.1.  Добавил домен и произвёл опрос. Хосты есть, пользователей вижу. Создал keytab и загрузил его. При попытке зайти. По керберос возникает ошибка unauthorized. Ksc в домене ald pro

Если речь про SSO, то вероятно неправильно сгенерировали keytab файл. 

4 часа назад, mike 1 сказал:

Если речь про SSO, то вероятно неправильно сгенерировали keytab файл. 

Генерировал вот так:
ipa service-add HTTP/*****@*****.tld --ok-to-auth-as-delegate=true --pac-type PAD
ipa service-allow-retrieve-keytab HTTP/*****@*****.tld --user=admin
ipa-getkeytab -s dc.rnc.ald -p HTTP/*****@*****.tld -k /tmp/h.keytab

 

тоже испытываю проблему с этим. Опрос доменов настроил быстро. Группы, пользователи, ВМ появились.

keytab настроил по статье https://support.kaspersky.com/ksc-linux/16/310242 Microsoft Active Directory но при нажатии Use Domain Authentication получаю Unauthorised.

8 минут назад, Alexey555 сказал:

тоже испытываю проблему с этим. Опрос доменов настроил быстро. Группы, пользователи, ВМ появились.

keytab настроил по статье https://support.kaspersky.com/ksc-linux/16/310242 Microsoft Active Directory но при нажатии Use Domain Authentication получаю Unauthorised.

тоже по ней создавал keytab

У меня AldPro под рукой нет, я бы рекомендовал обратиться в техподдержку с официальным запросом. Скорее всего проблема в созданном keytab файле. 

5 часов назад, mike 1 сказал:

У меня AldPro под рукой нет, я бы рекомендовал обратиться в техподдержку с официальным запросом. Скорее всего проблема в созданном keytab файле. 

Вышла версия 16.2 и там все заработало при этом я просто обновил KSC

Edited April 14Apr 14 by Владимир Костюков

Жалко что 16.2 не сертифицированная версия тоже бы обновился.