Вячеслав Громов

Свой СА-сервер

2025-05-29T19:18:40.379Z

Забавная ситуация: у клиента требуется свой собственный СА для выпуска внутренних сертификатов элподписи. Маленький сервис, казалось бы, но нет, из доступных (и не русских) только EJBCA... Поддержка вендора "советует установить и использовать DogTag" - так себе совет.

В итоге, как говорит коллега, следами cloud-программирования был написан вебсервис СА по выпуску сертификатов.

Выглядит просто, но работает отлично.

Для внутренних и доменных сервисов в самый раз. Например, для 1С: СЭД или вообще для всего что связано с сертификатами - в самый раз.

Конечно, важнее всего обезопасить вебсервис, чтобы избежать той же компроментации - но это уже другая история.

А пока - дело сделано.

И слава Богу

Трансляция потока музыки в сеть Интернет и на видеохостинги. Часть 3: Liquidsoap в контейнере

2025-04-23T21:47:01.380Z

Настройка Liquidsoap в docker-контейнере

Настройка перед установкой

debian/ubuntu

for pkg in docker.io docker-doc docker-compose docker-compose-v2 podman-docker containerd runc; do sudo apt-get remove $pkg; done
sudo apt-get update
sudo apt-get install ca-certificates curl
sudo install -m 0755 -d /etc/apt/keyrings
sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc
sudo chmod a+r /etc/apt/keyrings/docker.asc
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

alma linux/centos stream/redos

sudo dnf config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
sudo dnf install docker-ce docker-ce-cli containerd.io docker-compose-plugin

Запускаем службу Docker

sudo systemctl start docker.service
sudo systemctl enable docker.service

Структура файлов каталогов

/opt/radio				# Основной каталог
	    |
	    script.liq      # Скрипт работы Liquidsoap
	    music/			# Монтируемый каталог с медиа
	        |
	        songs       # Каталог с музыкой/подкастами
	          |
	          song1.mp3
	          song2.mp3
	          song3.mp3
	        jingles     # Каталог с джинглами
	          |
	          file1.mp3
	          file2.mp3
	          file3.mp3

Создаем каталоги

sudo mkdir -p /opt/radio/liquidsoap
sudo mkdir -p /opt/radio/music/{songs,jingles}

Редактируем файл /opt/radio/liquidsoap/docker-compose.yml

services:
	liquidsoap:
	  image: pltnk/liquidsoap
	  container_name: liquidsoap
	  restart: always
	  volumes:
	    - /opt/radio/script.liq:/etc/liquidsoap/script.liq
	    - /opt/radio/music:/music

Редактируем файл /opt/radio/script.liq

## Внизу файла замените:
## IP-АДРЕС-ХОСТА заменяем на внутренний ip-адрес хоста, где запущен сервис icecast2, куда мы будет транслировать аудиопоток
## ПАРОЛЬ-СТРИМА заменяем на пароль стрима, который мы указали в конфигурационном файле в icecast2
## ТОЧКА-МОНТИРОВАНИЯ заменяем на имя точки монтирования, которую мы указали в конфигурационном файле icecast2

# плейлист с джинглами
# указываем каталог с мр3-файлами джинглов. например, '/music/jingles'
jingles = mksafe(playlist(id="jingles",mode="randomize",reload_mode="watch",'/music/jingles'))

# дополнительная рандомизация
# отслеживает, чтобы последние два часа песни в рандоме не повторялись
l = playlog()
def check(r)
  m = request.metadata(r)
  if l.last(m) < 17200. then
    false
  else
    l.add(m)
    true
  end
end

# плейлист с треками стрима
# указываем каталог с мр3-файлами стрима. например, '/music/songs'
s = playlist(check_next=check,mode="randomize",'/music/songs')

# играем треки из каждого плейлиста, каждые 10 музыкальных треков - один джингл
radio = rotate(weights = [10, 1],[s,jingles])
radio = nrj(radio)

out = output.icecast(%mp3,
  host = "IP-АДРЕС-ХОСТА",
  port = 8000,
  password = "ПАРОЛЬ-СТРИМА",
  mount = "ТОЧКА-МОНТИРОВАНИЯ",
  fallible=true,
  radio
)

Размещаем медиа

В каталог /opt/radio/music/songs копируем все ваши mp3-файлы с музкальными композициями/подкастами
В каталог /opt/radio/music/jingles копируем все ваши джинглы

Запускаем liquidsoap

cd /opt/radio/liquidsoap
docker compose up

Ожидаем запуск и наблюдаем за работой

Сначала пройдёт процедура скачивания базового образа, затем будут выполнены команды запуска контейнера
Затем появятся журналы работы liquidsoap. Например, такие:

Container liquidsoap  Created
Attaching to liquidsoap
liquidsoap  | 2025/04/23 21:11:03 >>> LOG START
liquidsoap  | 2025/04/23 21:11:02 [main:3] Liquidsoap 2.0.3-1
liquidsoap  | 2025/04/23 21:11:02 [main:3] Using: graphics=[distributed with Ocaml] bytes=[distributed with OCaml 4.02 or above] pcre=7.4.6 sedlex=3.3 menhirLib=20211128 dtools=0.4.5 duppy=0.9.2 cry=0.6.7 mm=0.7.4 ogg=0.7.4 ogg.decoder=0.7.4 vorbis=0.8.0 vorbis.decoder=0.8.0 mad=0.5.3 dynlink=[distributed with Ocaml] lame=0.3.7 samplerate=0.1.6 taglib=0.3.10 camomile=1.0.2
liquidsoap  | 2025/04/23 21:11:02 [dynamic.loader:3] Could not find dynamic module for fdkaac encoder.
liquidsoap  | 2025/04/23 21:11:02 [clock:3] Using builtin (low-precision) implementation for latency control
liquidsoap  | 2025/04/23 21:11:03 [frame:3] Using 44100Hz audio, 25Hz video, 44100Hz main.
liquidsoap  | 2025/04/23 21:11:03 [frame:3] Video frame size set to: 1280x720
liquidsoap  | 2025/04/23 21:11:03 [frame:3] Frame size must be a multiple of 1764 ticks = 1764 audio samples = 1 video samples.
liquidsoap  | 2025/04/23 21:11:03 [frame:3] Targeting 'frame.duration': 0.04s = 1764 audio samples = 1764 ticks.
liquidsoap  | 2025/04/23 21:11:03 [frame:3] Frames last 0.04s = 1764 audio samples = 1 video samples = 1764 ticks.
liquidsoap  | 2025/04/23 21:11:03 [sandbox:3] Sandboxing disabled
liquidsoap  | 2025/04/23 21:11:03 [video.converter:3] Couldn't find preferred video converter: ffmpeg.
liquidsoap  | 2025/04/23 21:11:03 [audio.converter:3] Using samplerate converter: libsamplerate.
liquidsoap  | 2025/04/23 21:11:03 [test.mp3:3] Connecting mount test.mp3 for source@93.191.60.93...
liquidsoap  | 2025/04/23 21:11:03 [test.mp3:3] Connection setup was successful.
liquidsoap  | 2025/04/23 21:11:03 [clock.main:3] Streaming loop starts in auto-sync mode
liquidsoap  | 2025/04/23 21:11:03 [clock.main:3] Delegating synchronisation to CPU clock
liquidsoap  | 2025/04/23 21:11:03 [switch_2:3] Switch to switch_1.
liquidsoap  | 2025/04/23 21:11:03 [switch_1:3] Switch to mksafe.
liquidsoap  | 2025/04/23 21:11:03 [mksafe:3] Switch to safe_blank.
liquidsoap  | 2025/04/23 21:11:03 [decoder.id3v2:2] Error while decoding file tags: Invalid_argument("String.sub / Bytes.sub")
liquidsoap  | 2025/04/23 21:11:03 [jingles:3] Prepared "/music/jingles/Спасён_v1.mp3" (RID 1).
liquidsoap  | 2025/04/23 21:11:03 [mksafe:3] Switch to jingles with transition.
liquidsoap  | 2025/04/23 21:11:03 [songs:3] Prepared "/music/songs/Псалом 51 (на стихи Н.Басовского).mp3" (RID 0).
```

В этот момент можно перейти на icecast2 точку подключения и послушать, появился ли стрим.

И если всё ОК, звук есть, то завершите работу контейнера, нажав комбинацию клавиш Ctrl+C и дождитесь завершения работы контейнера.

Далее настроим автоматический запуск и работу нашего liquidsoap

Настройка работы liquidsoap, как сервис

Редактируем файл сервиса /etc/systemd/system/liquidsoap.service

[Unit]
Description=liquidsoap as a docker container
After=docker.service
Requires=docker.service

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/bin/bash -c "docker compose -f /opt/radio/liquidsoap/docker-compose.yml up --detach"
ExecStop=/bin/bash -c "docker compose -f /opt/radio/liquidsoap/docker-compose.yml stop"

[Install]
WantedBy=multi-user.target

Обновляем сервисы

sudo systemctl daemon-reload

Запускаем liquidsoap, как службу

sudo systemctl start liquidsoap

Переключаем службу в автозапуск

sudo systemctl enable liquidsoap

Заключение

Остаётся только дать ссылку на документацию к Liquidsoap https://www.liquidsoap.info/doc-2.3.2/

Надеюсь, что статьи помогут вам в работе ваших интернет-радиостанций.

С Богом всё получится!

Трансляция потока музыки в сеть Интернет и на видеохостинги. Часть 2: Liquidsoap и Icecast2

2025-04-19T21:36:24.636Z

Ранее, в статье https://teletype.in/@slakwik/WT_5jy3Ug6 описывал настройку стрима через Icecast+EZStream. Но со временем решил чуть «усложнить» стрим, разбавив стрим джинглами (аудиовставки с названием радиостанции) в случайном порядке и файлы для стрима брать просто из каталога (тоже, в случайном порядке).
Да и в целом, Liquidsoap работает стабильнее – не даром его используют на физических радиостанциях и эфирных студиях.

Пост будет продолжением\дополнением\обновлением предыдущего, только вместо EZStream мы настроим Liquidsoap, как источник аудиопотока.

Подготовка

Установите пакеты icecast2, liquidsoap и, если будете транслировать на видеохостинги, ffmpeg

У меня радиостанция работает на Raspberry Pi 3B, версии пакетов:

icecast2:
  Installed: 2.4.4-4+b1
liquidsoap:
  Installed: 1:2.2.5-debian-bookworm-1
ffmpeg:
  Installed: 7:5.1.5-0+deb12u1

Под разные операционные системы могут быть разные версии пакетов, но желательно подбирать посвежее. Так же обратите внимание, что Liquidsoap может менять синтаксис файлов стрима – указанное ниже подходит к указанной версии и выше.

Настраиваем Icecast2

### Файл конфигурации для Icecast2 /etc/icecast2/icecast.xml
"ПАРОЛЬСТРИМА" – паролья для подключения плеера ezstream
"ПАРОЛЬРЕЛЕЯ" – пароль для перенаправления потока (в моем случае не используется, но оставлен)
"ПАРОЛЬАДМИНА" – паролья от консоли администратора Icecast2

<icecast>
    <location>Saint-Petersburg, Russia</location>
    <admin>slakwik@ya.ru</admin>
    <limits>
        <clients>100</clients>
        <sources>3</sources>
        <queue-size>524288</queue-size>
        <client-timeout>30</client-timeout>
        <header-timeout>15</header-timeout>
        <source-timeout>10</source-timeout>
        <burst-on-connect>1</burst-on-connect>
        <burst-size>65535</burst-size>
    </limits>

    <authentication>
    <source-password>ПАРОЛЬСТРИМА</source-password>
    <relay-password>ПАРОЛЬРЕЛЕЯ</relay-password>
    <admin-user>admin</admin-user>
    <admin-password>ПАРОЛЬАДМИНА</admin-password>
    </authentication>

    <directory>
        <yp-url-timeout>15</yp-url-timeout>
        <yp-url>http://dir.xiph.org/cgi-bin/yp-cgi</yp-url>
    </directory>

    <hostname>station.spbchurch.ru</hostname>

    <listen-socket>
        <port>8000</port>
    </listen-socket>
    <http-headers>
        <header name="Access-Control-Allow-Origin" value="*" />
    </http-headers>

    <fileserve>1</fileserve>

    <paths>
        <basedir>/usr/share/icecast2</basedir>
        <logdir>/var/log/icecast2</logdir>
        <webroot>/usr/share/icecast2/web</webroot>
        <adminroot>/usr/share/icecast2/admin</adminroot>
        <alias source="/" destination="/status.xsl"/>
    </paths>

    <logging>
        <accesslog>access.log</accesslog>
        <errorlog>error.log</errorlog>
        <loglevel>3</loglevel> <!-- 4 Debug, 3 Info, 2 Warn, 1 Error -->
        <logsize>10000</logsize> <!-- Max size of a logfile -->
    </logging>

    <mount>
        <mount-name>/radio.mp3</mount-name>
        <charset>UTF-8</charset>
    </mount>
    <mount>
        <mount-name>/broadcast.mp3</mount-name>
        <charset>UTF-8</charset>
    </mount>
    <security>
        <chroot>0</chroot>
    </security>
</icecast>

Настраиваем Liquidsoap

Изменяем файл конфигурации службы

### Файл конфигурации службы Liquidsoap /etc/systemd/system/liquidsoap.service

[Unit]
Description=Liquidsoap Streaming Service
After=network.target

[Service]
# Указываем путь к файлу стрима. Например, /opt/spbchurch.liq
ExecStart=/usr/bin/liquidsoap /opt/spbchurch.liq
#/opt/nsr.liq
#spbchurch.liq
Restart=always
RestartSec=5
User=liquidsoap
Group=liquidsoap

[Install]
WantedBy=multi-user.target

Настраиваем файл стрима Liquidsoap

### Файл конфигурации стрима /opt/spbchurch.liq

# новый синтаксис настроек
# устанавливаем уровень 3 - для отладки достаточно
settings.log.level.set(3)
# если нужно - включаем вывод отладочной информации
#settings.log.stdout.set(true)
# если нужно включаем телнет-сервер для управления стримом (см. документацию ;-)
# server.telnet()

# включаем журналирование событий
log.file := true
# указываем путь к файлу-журналу
log.file.path := "/var/log/liquidsoap/stream.log"
log.stdout := false

# плейлист с джинглами
# указываем каталог с мр3-файлами джинглов. например, '/media/mp3'
jingles = mksafe(playlist(id="jingles",mode="randomize",reload_mode="watch",'/media/jingles'))

# дополнительная рандомизация
# отслеживает, чтобы последние два часа песни в рандоме не повторялись
l = playlog()
def check(r)
  m = request.metadata(r)
  if l.last(m) < 17200. then
    log.info("Rejecting #{m['filename']} (played #{l.last(m)}s ago).")
    false
  else
    l.add(m)
    true
  end
end

# плейлист с треками стрима
# указываем каталог с мр3-файлами стрима. например, '/media/mp3'
s = playlist(check_next=check,mode="randomize",'/media/mp3')

# играем треки из каждого плейлиста, каждые 10 музыкальных треков - один джингл
radio = rotate(weights = [10, 1],[s,jingles])
radio = nrj(radio)
#radio = crossfade(radio)

out = output.icecast(%mp3,
  host = "127.0.0.1",
  port = 8000,
  password = "ПАРОЛЬСТРИМА",
  mount = "radio",
  fallible=true,
  radio
)

Обновляем службу, запускаем Icecast2 и Liquidsoap

# обновление служб
sudo systemctl daemon-reload
# перезапуск службы
sudo systemctl restart icecast2
sudo systemctl restart liquidsoap

Проверяем работу

# проверка состояния Liquidsoap
# запускается долго, если сервер не самый мощный
# у меня на raspberry pi 3b запускается минут 5
#
# запускаем команду и ждем ответа Liquidsoap
# пошел ли стрим или ошибки при запуске стрима
sudo tail -f /var/log/liquidsoap/stream.log

Открываем браузер, вводим адрес своего стрима. Например, http://10.0.1.13:8000/broadcast.mp3
И если всё настроено верно – должен пойти стрим

Настройка Ffmpeg для трансляции видеопотока с вашим стримом

### Скрипт для запуска потока на видеохостинг

#!/bin/bash

# видеофайл, который будет являться "лицом" стрима. например, рядом с скриптом лежит файл vkradio.mp4
VIDEO="vkradio.mp4"

# адрес стрима icecast2 с локальной точкой подключения. например, http://10.0.1.13:8000/broadcast.mp3
BROADCAST="http://10.0.1.13:8000/broadcast.mp3"

# параметры стрима
RESOLUTION="640x480"
BITRATE="1500k"
FRAMERATE="5"

# URL для подключения к видеохостингу, ниже пример для Youtube
URL="rtmp://a.rtmp.youtube.com/live2/xxxx-xxxx-xxxx-xxxx-xxxx"

# сам скрипт запуска трансляции
/usr/bin/ffmpeg  -re -stream_loop -1 -i "$VIDEO" -i "$BROADCAST" -c:a aac -s "$RESOLUTION" -ab 128k -b:v "$BITRATE" -threads 2 -crf 22 -preset fast -vcodec libx264 -pix_fmt yuv420p -maxrate 2048k -bufsize 2048k -framerate $FRAMERATE -g 2 -strict experimental -f flv "$URL"

Примерно так это всё работает у меня сейчас (апрель 2025) и размещено по адресу radio.spbchurch.ru

В следующей статье я опишу, как поднять вебсайт, создать веб-страницу с плеером стрима и создание простой страницы со списком текущих треков

msg2eml

2025-02-19T13:40:21.147Z

Написал механизм конвертации msg в eml.

За основу взят старый скрипт с гитхаба.

Ссылка на репозиторий: https://gitverse.ru/slakwik/msg2eml/content/master

Завёл себе открытый репозиторий

2025-01-30T06:15:20.720Z

Много накопилось за годы работы администратором всякого разного, но делиться буду свежими наработками (после внедрения клиентам).

https://gitverse.ru/slakwik

Настройка трансляции в ВКВидео

2025-01-06T09:56:10.490Z

- Переходим на страницу vkvideo.ru

- Сверху-справа нажимаем кнопку «+» и выбираем «Начать трансляцию»

- Для трансляции из приложений (OBS, Wirecast и другие) выберите «Приложение»

- Добавьте обложку трансляции, название, описание и выберите категорию (Категория «Религия» есть только в RuTube) «Другое»

- Укажите время начала трансляции – оно важно для отображения на странице трансляции, однако можно начать и раньше и позже указанного времени

- Скопируйте URL и KEY со страницы

- Соедините URL и KEY. Например URL "rtmp://ovsu.okcdn.ru/input/", а KEY "7966703954х40_7283274680884_7ipхytpaiy" одной строкой будет rtmp://ovsu.okcdn.ru/input/7966703954х40_7283274680884_7ipхytpaiy

- Скопируйте полученную строку в ваше приложение (точно так же, как с Youtube)

- Настройте параметры трансляции, выбрав нужные галочки

- Включите параметр «Предварительный просмотр», чтобы можно было увидеть входящий поток от вашего приложения до старта трансляции

- Укажите дополнительные параметры трансляции, выбрав кто может видеть и комментировать вашу трансляцию

- Нажмите кнопку «Сохранить»

- Запустите трансляцию в вашем приложении

- После получения потока с вашего приложения в окне трансляции будет видна картинка и будет слышен звук – проверьте, что всё настроено как надо

- Нажмите кнопку «Опубликовать», чтобы трансляция стала доступна вашим подписчикам (они получат уведомление)

- Прямая ссылка на трансляцию будет доступна по кнопке «Поделиться»

Вот, собственно и всё. Как видите, ничего сложно нет.

:-)

Функционал АЛД ПРО, который не нужен

2024-11-08T19:50:48.026Z

Какие части этого продукта не использую, а какие использую с удовольствием? И чем ненужные заменяю?

Так вышло, что серьёзно работать с этим продуктом мне пришлось только с середины этого года.

И вот к концу года (уже) я отключил и не использую Групповые политики, редко использую развертывание ПК, не использую удаленный доступ на пк, сервер печати больше доставляет проблем, чем их решает, файловый сервер – так же, не использую dhcp-сервер изначально…

как раз сегодня подводил итоги под завершение проекта и делал скриншоты для документации и… снимков удивительно мало!

ну, то есть продукт может быть и окей, но неясно для кого.

Чем заменил:

- групповые политики (salt и мегакостыль salt+salt)) заменены на puppet

- система развертывания и поддержания пользовательских пк Foreman

- dhcp-сервер берите любой, он всё равно будет лучше той конфигурации, что предлагает алд про

- удаленный доступ отлично справляется rudesktop. Да, он единственный, что может попросить денег (условно), но он того стоит в больших количествах пк

- файловый сервер лучше поднять отдельный (и даже не один, чтобы поднять DFS), благо настраивать его не так и сложно, равно, как и сервер печати с сервером мониторинга – лучше поднять отдельно и управлять ими нормально.

Подвести итог, нужен алд про или нет… наверное нет.

Freeipa, foreman+puppetserver и несколько сервисных серверов без графики (Файловый, Печати, DHCP, Мониторинг, Журналирования)

Вендор алд про говорит, что у них есть всё и сразу, но верить им не стоит – продукт даже в версии 2.3.0 – очень сырой. И даже дело не в болезнях, а просто – продукт молодой.

Что дальше?

В некоторых предыдущих постах я начал упоминать почтовый сервер Communigate – тоже есть над чем подумать, но лучше я пока не видел, да и коллеги из отдела уже внесли несколько существенных изменений в структуру (например, кластер кластеров нормально работает пока только у нас, копировать календари из Exchange пока видимо только мы, и по загрузочным тестам мы смогли защититься даже для больших компаний)

Радиостанция христианской музыки

2024-11-08T11:11:14.053Z

Приведу текст со страницы радиостанции:

На радиостанции играет пополняемая коллекция гимнов, песен и псалмов в различных музыкальных стилях.
Изначальная идея заключалась в том, чтобы услышать традиционные гимны по-новому, но со временем это переросло в замену обычных песен.
Но чем дольше мы живем, тем больше понимаем, что всё происходящее вокруг имеет отражение и в окружающей нас музыке, и наше «радио» помогает нам прославлять Бога даже в обычных, бытовых обстоятельствах.

«Наставляйте друг друга псалмами, гимнами и духовными песнопениями. Пойте и прославляйте Господа от всего сердца.»
Послание эфесянам 5:19 НРП

«Пусть в вас живет слово Христа во всем его богатстве. Учите и наставляйте друг друга со всякой мудростью, и с благодарностью в своих сердцах пойте Богу псалмы, гимны и духовные песнопения.»
Послание колоссянам 3:16 НРП

Тексты песен (стихи) мы берём из книги «Песнь Возрождения 3300» или получаем от авторов стихов. Присылайте свои стихи на адрес slakwik@ya.ru.
Стили для песен, гимнов и псалмов подбираются не случайным образом, но с мыслью подчеркнуть текст и идею, а так же с целью дать послушать кому-то из тех людей, которым «не нравится слушать традиционные гимны».

Ссылка на телеграм канал, где некоторые из музыкальных композиций можно скачать.

Музыка распространяется свободно и может быть использована где угодно – мы будем только рады.

Слушать онлайн можно тут: https://spbchurch.ru/music.html

На странице есть и ссылка на каталог песен - всё можно скачать в mp3-файлах.

Скрипт синхронизации почтовых ящиков между CommuniGate и MSExchange

2024-11-08T10:52:45.342Z

Запускать можно везде, где установлены пакеты imapsync и parallel.

Заполните файл users_migrate.txt

АЛИАС-В-MSAD,ЛОГИН-В-CG,ПАРОЛЬ-ЛОГИНА-В-CG,EXCHANGE-СЕРВЕР,CG-СЕРВЕР
АЛИАС-В-MSAD,ЛОГИН-В-CG,ПАРОЛЬ-ЛОГИНА-В-CG,EXCHANGE-СЕРВЕР,CG-СЕРВЕР

EXCHSVCLOGIN="MSAD\\svc_mbxaccess" # Логин сервисной у-з в MS AD, которая имеет доступ к почтовым ящикам пользователей
EXCHSVCPWD='PaSSw0rd' # Пароль от сервисной у-з в MS AD, которая имеет доступ к почтовым ящикам пользователей
PROCS='30' # Количество одновременных сеансов
parallel --max-procs $PROCS --delay 1.4 --colsep ',' --arg-file users_migrate.txt --line-buffer --tagstring "from {1} on {4} to {2} via {5}: " \
        $DRYRUN imapsync --compress1 \
        --host1 {4} --user1 "$EXCHSVCLOGIN\\{1}" --password1 "$EXCHSVCPWD" \
        --host2 {5} --user2 {2} --password2 {3} \
        --syncinternaldates --useheader Message-ID --useheader Date --useheader Subject --useheader From --useheader To \
        --useheader Cc --useheader Bcc --useheader Reply-To --useheader In-Reply-To --useheader References --useheader Mime-Version \
        --useheader Content-Type --useheader Content-Transfer-Encoding --useheader Content-Disposition --useheader Content-Description \
        --useheader Content-ID --useheader Content-Location --useheader Content-Language --useheader Content-Base \
        --useheader Content-MD5 --sslargs2 SSL_verify_mode=0 --sslargs2 SSL_verify_mode=0 \
        --exclude '^Calendar\$' --exclude '^Contacts\$' --exclude '^\&BBoEMAQ7BDUEPQQ0BDAEQARM-' \
        --pidfile "/tmp/{2}_migrate.pid"

Строка "^\&BBoEMAQ7BDUEPQQ0BDAEQARM-" - это папка "Календарь", её синхронизировать нельзя, тк ломает Календарь в CG.

Avanpost FAM: Загадочные пропажи

2024-11-02T16:56:49.391Z

Для организации двухфакторной проверки продукт от Avanpost достаточно хороший.

Поддерживаются отказоустойчивые конфигурации, модули есть под почти все операционные системы, ТОТР можно хранить даже в Яндекс.Ключ.

Пользователей можно создавать прямо там, брать из Microsoft AD, Samba, Freeipa (ALD Pro, Avanpost DS).

База данных немного сложная связями, но специалистам будет просто сформировать отчётные скрипты для выгрузки нужных данных.

Веб-интерфейс Личного кабинета не сказать, чтобы удобный, но терпимый.
Какие-то вещи отключить можно, но только через css-стили.

Веб-интерфейс Административный такой же. Минусы, в невозможности выбора количества отображаемых элементов; малое количество отчетности для ИБ; журналы не выгрузить.

Почти забыл, о чём хотел сказать…

Вернёмся к выгрузке пользователей из каталогов.

Базовые настройки описывать большого смысла нет, документация у Avanpost хорошая.

Но, имейте ввиду, что выгрузки пользователей — это одно, а выгрузки групп — совсем другое.

В настройке списков пользователей мы можем указать большие, даже динамические группы по несколько тысяч пользователей.

Но в настройке выгрузки групп учитывайте нюанс, что каталоги выдают столько членов групп, сколько сможет.

Например, есть у вас группа allusers-g, которую вы настроили в каталоге, включили туда часть пользователей для тестирования, пусть даже 1000 пользователей. Тестирование прошло успешно и вы решаетесь развернуть на всех сотрудников. Добавляете остальные контейнеры в динамическую группу, количество пользователей в группе вырастает. И в какой-то момент вы обнаруживаете, что в Avanpost FAM пропали члены группы, которая раньше прекрасно синхронизировалась.

Окей, пользователи у вас остались и в аварийном режиме можно прокликать пару сотен страниц, чтобы добавить несколько тысяч пользователей в группу доступа.

Но в чём причина?

А причина в особенностях взаимодействия с каталогами. Если менеджер задач Avanpost FAM не смог выгрузить членов, то список членов групп очищается. И в моём случае, только из-за того, что членов в группе превысило 1500 объектов.

Поэтому, учитывайте эти особенности, разбивайте доступа на небольшие группы.

А так, продукт очень неплох. Могу рекомендовать точно, как админам, так и ИБ.

На неделе напишу про Avanpost DS. Пока скажу, что он мне тоже понравился, а как Каталог вообще отличный. Ничего особо лишнего, можно использовать в больших проектах, где есть свои системы развертывания и обслуживания устройств (мы у себя так сделали, тк ald pro, rudesktop и прочие системы слишком сырые, а где-то прикрутили что-то своё даже сбоку к ald pro))