การติดตั้งและดูแล Identity Connector สำหรับเชื่อม Microsoft AD และ OpenLDAP

Identity Connector คือ Agent ที่ติดตั้งบนเครื่อง Linux ในเครือข่ายภายในองค์กร ทำหน้าที่เชื่อม Sangfor Athena SASE กับ Microsoft AD หรือ OpenLDAP ในองค์กรอย่างปลอดภัย ใช้ทั้งตอน Sync ผู้ใช้ด้วย User Source และตอนตรวจรหัสผ่านด้วย Auth Source แบบ Microsoft AD หรือ OpenLDAP บทความนี้อธิบายการเตรียมเครื่อง การเพิ่ม Connector บน Console การติดตั้งบน Linux การทำ High Availability การตรวจสถานะ และการถอนการติดตั้ง สำหรับผู้ดูแลระบบที่เชื่อม Athena SASE กับ Directory ในองค์กร

เตรียมเครื่องสำหรับ Identity Connector

ขั้นตอนและ Spec ที่ต้องเตรียมแสดงอยู่ในส่วน Steps ของหน้า Manage Identity Connectors

• ใช้เครื่องเดียวกับ App Connector ของ ZTNA ได้ ถ้า Spec ของเครื่องเพียงพอสำหรับทั้งสองตัว แต่ไม่ควรติดตั้งบน Server ของ Application
• เพื่อความต่อเนื่องของบริการ แนะนำให้เตรียมเครื่องมากกว่าหนึ่งเครื่องสำหรับ High Availability

เพิ่ม Connector บน Console

1. ไปที่ Platform Management › Identity Management › User Management กด Manage User Sources แล้วกด Manage Identity Connectors (เข้าจาก Authentication Policies › Manage Auth Sources › Manage Identity Connectors ก็ได้)
2. กด Add กรอก Connector Name แล้วกด OK

3. ระบบแจ้งว่าสร้าง Connector สำเร็จ และดาวน์โหลดไฟล์ติดตั้งให้อัตโนมัติ การ์ดของ Connector ใหม่จะแสดง Abnormal จนกว่าจะติดตั้งเสร็จ ถ้าต้องการดาวน์โหลดไฟล์ติดตั้งอีกครั้ง ให้กดเมนู ⋯ ที่มุมขวาบนของการ์ด แล้วเลือก Download Connector

ติดตั้งบนเครื่อง Linux

1. ส่งไฟล์ติดตั้งไปยังเครื่อง Linux ด้วย SCP หรือ SFTP
2. แตกไฟล์ แล้วเข้าไปที่โฟลเดอร์ agent (ไฟล์ agent.secret อยู่ในโฟลเดอร์นี้แล้ว)

   tar -zxvf connector_package.tar.gz
   cd agent
   ls

3. รันสคริปต์ติดตั้งด้วยสิทธิ์ sudo

   sudo ./install.sh install

   บน Ubuntu การรันครั้งแรกจะตรวจ Environment และปรับ /bin/sh ให้ใช้ bash แล้วแสดงข้อความ "The environment check is complete. Run it again." ให้รันคำสั่งเดิมอีกครั้ง

4. เมื่อติดตั้งสำเร็จจะเห็นข้อความ install agent success. และ Connector จะลงทะเบียนกับ Platform ให้อัตโนมัติ
5. ตรวจสถานะ Service ต้องเห็น active (running)

   systemctl status idaas-agent

ตรวจสอบสถานะ

กลับมาที่ Manage Identity Connectors แล้วกด Refresh การ์ดของ Connector จะแสดง IP ของเครื่องที่ติดตั้ง พร้อมจุดสถานะสีเขียว จากนั้นจึงเลือก Connector นี้ใน User Source หรือ Auth Source แบบ Microsoft AD/OpenLDAP ได้

High Availability

• ติดตั้งไฟล์ติดตั้งของ Connector เดิมบนเครื่องที่สองด้วยขั้นตอนเดียวกัน ระบบจะรวมเป็น Cluster ให้อัตโนมัติ และการ์ดจะแสดง IP ของทุก Instance
• หนึ่ง Connector มีได้ 1 ถึง 5 Instance และแนะนำให้วาง Instance ไว้คนละ Physical Host
• หนึ่งองค์กรเพิ่ม Identity Connector ได้สูงสุด 5 ตัว (ปุ่ม Add ใช้งานได้จนกว่าจะครบจำนวนนี้)

การลบ Connector และถอนการติดตั้ง

1. ก่อนลบ ให้ย้าย User Source และ Auth Source ที่ใช้ Connector นี้ไปใช้ Connector อื่น หรือลบ Source เหล่านั้นก่อน หลังลบ Connector แล้ว ระบบจะเข้าถึง Microsoft AD หรือ OpenLDAP ผ่าน Connector นี้ไม่ได้อีก
2. ที่การ์ดของ Connector กดเมนู ⋯ แล้วเลือก Delete
3. การลบบน Console ไม่ได้หยุด Process ของ Connector บนเครื่อง ให้รันคำสั่งต่อไปนี้ในโฟลเดอร์ agent บนทุกเครื่องที่ติดตั้งเพื่อถอนการติดตั้ง

   sudo ./install.sh uninstall

การเฝ้าระวังและปัญหาที่พบบ่อย

• ถ้า Connector หยุดทำงาน การ Sync ผู้ใช้และการ Login ด้วย Microsoft AD/OpenLDAP จะได้รับผลกระทบ จึงควรทำ High Availability และตั้งการแจ้งเตือน
• ตั้งการแจ้งเตือนทาง Email ได้ที่ System › Alert and Monitor › Alert Settings หัวข้อ O&M Alerts รายการ Auth Connector Error (แจ้งเมื่อ Connector เข้าถึงไม่ได้ต่อเนื่อง 5 นาที) และ Department Sync Error
• เหตุการณ์ Sync ไม่สำเร็จบันทึกไว้ที่ Logs › System Logs › Platform & System (Log Source: Authentication Management)

ค่าในภาพเป็นค่าตัวอย่าง ให้เปลี่ยนเป็นค่าขององค์กร