Для интеграции с Indeed PAM по протоколу Radius подходят 2 агента Indeed MFA -- FRA и NPS Extension.

Предварительные требования:

• Для внутренних пользователей PAM (доступно с версии PAM 3.2) -- В консоли управления Indeed MFA добавлены пользователи, логин/псевдоним которых совпадает с логином внутренних пользователей РАМ.
• Для доменных пользователей -- Домен синхронизирован с Indeed MFA. Проверка агентов проходит с доменными пользователями.
• Сценарий с FRA -- Развёрнут, настроен и проверен агент FRA.
  
• Сценарий с NPS Extension -- Расширение-агент установлено, настроено и проверено на сервере NPS.
  

Содержание:

1. Настройки со стороны Indeed РАМ
2. Сценарий с агентом FRA
   
3. Сценарий с расширением NPS

Настройки со стороны Indeed PAM

Настройки со стороны PAM выполняются для компонента PAM IDP в соответствии с документацией развёрнутой версии РАМ (далее даны ссылки для версии 3.5), через мастер конфигурации, либо путём редактирования конфигурационного файла IDP.
Метод проверки подлинности -- необходимо указать PAP.
MS‑CHAP v2 доступен в сценарии с агентом FRA, при соблюдении условий, указанных в разделе по настройкам FRA этой статьи.

В зависимости от версии PAM, с его стороны может быть параметр "CheckMessageAuthenticator".
В сценарии с NPS его необходимо отключить, так как со стороны NPS он не отправляется в ответе при проверке подлинности PAP.

При применении изменений из мастера конфигурации дополнительных действий не требуется.
При внесении изменений вручную параметры применятся после перезапуска пула приложения IDP в IIS (Windows) / перезапуска контейнера pam-idp командой docker restart pam-idp (Linux).
Файл конфигурации IDP appsettings.json находится по пути C:\inetpub\wwwroot\idp / /etc/indeed/indeed-pam/idp для ОС Windows/Linux соответственно.

Пример содержимого appsettings.json после внесения изменений (в расшифрованном виде):

Настройки со стороны агента FRA

Агент FRA поддерживает работу по методам PAP и MS‑CHAP v2.
В последнем случае поддерживается только PUSH аутентификация, и агент FRA должен быть настроен дополнительно как Radius-прокси для поддержки MS‑CHAP v2.

В файл clients.conf необходимо внести запись для Radius-клиента PAM, указав адрес сервера с компонентом PAM IDP и общий секрет, ранее указанный при настройке PAM.
В зависимости от версии PAM, с его стороны может быть параметр "CheckMessageAuthenticator".
Для работы с ним в раздел клиента необходимо добавить дополнительные параметры:

require_message_authenticator = yes
limit_proxy_state = auto



После внесения изменений в файл достаточно выполнить команду docker restart fra, после этого агент будет готов принимать запросы от Indeed PAM IDP.


Настройки со стороны NPS / NPS Extension.

Настройки выполняются в оснастке "Сервер Политики Сети".
Необходимо создать Radius-клиента, указав адрес сервера с компонентом PAM IDP и общий секрет, ранее указанный при настройке PAM.




В сетевых политиках необходимо создать политику для РАМ, разрешающую доступ.
В методах проверки подлинности необходимо выбрать PAP, так как NPS Extension работает только по нему.

После внесения изменений рекомендуется отключить NPS Extension, чтобы убедиться, что по текущим настройкам PAM успешно работает с NPS.
При попытке входа через PAM IDP не должен запрашиваться второй фактор аутентификации в таком случае, а на сервере NPS должно появиться событие о предоставлении доступа пользователю на основе созданной ранее политики:



После проверки достаточно включить NPS Extension обратно, и сервер NPS будет готов готов принимать запросы от Indeed PAM IDP с запросом второго фактора аутентификации.