RDP record contracts without agent¶
Модулът RDP record contracts without agent декларира договор, който упълномощава групи потребители, известни на Bastion, да осъществяват директен достъп до RDP приложения без агент или до VNC приложения чрез сайт (Edge Gateway). Това е същият общ формуляр като при обикновен договор за RDP, разширен с опцията маркер за достъп, който може да бъде прегледан и отменен от специален раздел.
Директният достъп се осъществява с потребителско име във формата login/domain:application (например test_user/DOMAIN:t1234). Могат да бъдат избрани само домейни, които използват идентификация с потребителско име и парола (домейните SAML се филтрират).
Поведение при свързване
Ако паролата е правилна и приложението е упълномощено, приложението се стартира според конфигурацията си; псевдонимите в модула Vault, когато са дефинирани, се спазват. При нужда се показват допълнителни диалогови прозорци за въвеждане на потребителско име и парола (SSO „ask“), коментар или целевия сървър за динамичните приложения. Някои опции на приложенията зависят от RDP клиента (разделителна способност, пренасочване на клипборда, принтери, ...) и не могат да бъдат спазени в този режим; режимите console и restrictedadmin от своя страна се спазват.
Предварително изискване: активиране на услугата за записване на компонента Edge Gateway¶
Директният RDP достъп се обработва от специален екземпляр на xrdp на компонента Edge Gateway. Той не е активиран по подразбиране: слуша в мрежата, което ненужно би разширило повърхността за атака на платформите, които не използват функцията. Следователно договор, деклариран тук, няма ефект, докато услугата не бъде активирана на компонентите Edge Gateway на избраните сайтове.
На всеки засегнат компонент Edge Gateway:
1 | |
Този екземпляр също трябва да знае кои екземпляри на Edge Gateway да запитва, за да достигне до компонента Mediation Controller: това е настройката xmlrpc-connect от /etc/ipdiva/careserver/careserver.xml, същата, която се използва от директното записване с агент.
Списък с договори¶
Основната таблица показва съществуващите договори в изглед, разделен на страници (15, 25 или 50 реда на страница):
| Колона | Описание |
|---|---|
| Name | Име на договора. Пред името има икона: оцветен катинар за активиран договор, неоцветен катинар за деактивиран договор. |
| Groups | Брой избрани групи потребители. |
| Sites | Брой избрани сайтове. |
| Applications | Брой избрани приложения. |
Разгъването на ред показва подробностите за договора: групи (групирани по домейн), сайтове, категории и отделни ресурси.
Поле за търсене в лентата с инструменти филтрира списъка в движение (задейства се 700 мс след последното натискане на клавиш или веднага с клавиша Enter).
Освен добавяне, редактиране и изтриване лентата с инструменти предлага Enable и Disable: тези групови действия се прилагат към текущия избор.
Добавяне на договор¶
Бутонът + отваря прозореца Add Contract с три раздела, предшествани от следните полета:
| Поле | Описание |
|---|---|
| Name | Задължително. Низ, съставен само от интервали, се отхвърля. |
| Description | Свободен текст. |
| Allow users to use authentication tokens | Позволява на потребителите да получават маркери за многократна употреба по този договор. Когато не е отметнато, следващото поле става сиво. |
| Authentication tokens valididy in days (0 to disable token expiration) | Активно само ако предишното квадратче за отметка е отметнато. Стойността 0 означава, че маркерите никога не изтичат. |
Бутонът Validate е активиран само когато са избрани поне една група, един сайт и едно приложение.
Списък с две колони (налични вляво, избрани вдясно) с падащ списък Domain над левия списък за филтриране на групите по домейн за удостоверяване. Изборът се извършва с плъзгане и пускане. Домейните SAML са изключени (изисква се удостоверяване с потребителско име и парола).
Списък с две колони (налични вляво, избрани вдясно). Избор с плъзгане и пускане и бутон Select all.
Дърво на категориите приложения и техните приложения. Отметването на категория избира наведнъж всички нейни приложения; отметването само на едно показва категорията в получер шрифт, за да сигнализира частичен избор. Премахването на отметката от категория премахва отметките и от цялото ѝ съдържание.
При създаването си договорът е активиран по подразбиране.
Редактиране на договор¶
Изберете договора в списъка и щракнете върху иконата Properties или щракнете двукратно върху реда. Прозорецът Contract Edition предлага същите раздели, предварително попълнени. Щракнете върху Validate, за да запишете.
Изтриване на договор¶
Изберете един или няколко договора и щракнете върху бутона ×. Изисква се потвърждение (етикетът се съобразява с единствено или множествено число).
Активиране или деактивиране на договори¶
Изберете един или няколко реда в таблицата, след което щракнете върху Enable или Disable в лентата с инструменти. Enable е налично, когато поне един избран договор е деактивиран, а Disable — когато поне един избран договор е активиран.
Маркери за директен RDP достъп¶
Модулът RDP direct access tokens изброява маркерите, издадени от потребителите по договори за RDP без агент, които разрешават маркери. Той позволява отмяна на маркер преди изтичането му.
Списък с маркери¶
| Колона | Описание |
|---|---|
| Username | Идентификатор на потребителя, издал маркера. |
| Application | Име на приложението, за което се отнася маркерът. |
| Expiration | Дата и час на изтичане във формат DD/MM/YYYY HH:MM. |
Списъкът е разделен на страници (15, 25 или 50 реда на страница).
Филтри и търсене¶
| Елемент | Описание |
|---|---|
| Domain | Падащ списък с наличните домейни. Домейните SAML са изключени. Първоначалният избор е домейнът, подаден като параметър, а в противен случай — първият домейн в списъка. |
| Поле за търсене | Филтър по подниз. Задейства се 700 ms след последното натискане на клавиш. |
Изтриване на маркер¶
Изберете един или няколко маркера и щракнете върху бутона ×. Изисква се потвърждение. Ако командата е неуспешна, се показва съобщение за грешка.
Необратимо действие
След изтриване маркерът вече не може да се използва: потребителят трябва да поиска нов, за да поднови директния достъп.