RDP record contracts without agent¶
Modul RDP record contracts without agent deklaruje smlouvu, která opravňuje skupiny uživatelů známé produktu Bastion k přímému přístupu k aplikacím RDP bez agenta nebo aplikacím VNC prostřednictvím site (Edge Gateway). Jde o stejný obecný formulář jako u běžné smlouvy RDP, rozšířený o možnost přístupového tokenu, který lze zkontrolovat a odvolat na vyhrazené kartě.
Přímý přístup se provádí pomocí přihlašovacího jména ve tvaru login/domain:application (například test_user/DOMAIN:t1234). Cílit lze pouze na domény, které používají identifikaci přihlašovacím jménem a heslem (domény SAML jsou vyfiltrovány).
Chování připojení
Pokud je heslo správné a aplikace autorizovaná, aplikace se spustí podle své konfigurace; aliasy Vault, pokud jsou definovány, se respektují. V případě potřeby se zobrazí další dialogová okna pro zadání přihlašovacího jména a hesla (SSO „ask“), komentáře nebo cílového serveru u dynamických aplikací. Některé možnosti aplikace závisí na klientovi RDP (rozlišení, přesměrování schránky, tiskárny, ...) a v tomto režimu je nelze respektovat; režimy console a restrictedadmin se naopak respektují.
Předpoklad: povolení služby nahrávání na Edge Gateway¶
Přímý přístup RDP zajišťuje vyhrazená instance xrdp na Edge Gateway. Ve výchozím nastavení není povolena: naslouchá v síti, což by zbytečně rozšiřovalo plochu útoku platforem, které tuto funkci nepoužívají. Smlouva zde deklarovaná proto nemá žádný účinek, dokud služba není povolena na serverech Edge Gateway vybraných site.
Na každém dotčeném serveru Edge Gateway:
1 | |
Tato instance musí také vědět, které instance Edge Gateway má dotazovat, aby se dostala k serveru Mediation Controller: jde o nastavení xmlrpc-connect v souboru /etc/ipdiva/careserver/careserver.xml, stejné, jaké používá přímé nahrávání s agentem.
Seznam smluv¶
Hlavní tabulka zobrazuje existující smlouvy ve stránkovaném zobrazení (15, 25 nebo 50 řádků na stránku):
| Sloupec | Popis |
|---|---|
| Name | Název smlouvy. Před názvem je ikona: barevný zámek u povolené smlouvy, nebarevný zámek u zakázané smlouvy. |
| Groups | Počet vybraných skupin uživatelů. |
| Sites | Počet vybraných site. |
| Applications | Počet vybraných aplikací. |
Rozbalením řádku se zobrazí podrobnosti smlouvy: skupiny (seskupené podle domény), site, kategorie a jednotlivé prostředky.
Vyhledávací pole na panelu nástrojů filtruje seznam průběžně (spustí se 700 ms po posledním stisknutí klávesy nebo okamžitě klávesou Enter).
Kromě přidání, úpravy a odstranění nabízí panel nástrojů Enable a Disable: tyto hromadné akce se použijí na aktuální výběr.
Přidání smlouvy¶
Tlačítko + otevře okno Add Contract se třemi kartami, kterým předcházejí následující pole:
| Pole | Popis |
|---|---|
| Name | Povinné. Řetězec tvořený pouze mezerami se odmítne. |
| Description | Volný text. |
| Allow users to use authentication tokens | Umožňuje uživatelům získávat v rámci této smlouvy opakovaně použitelné tokeny. Pokud není zaškrtnuto, následující pole je zašedlé. |
| Authentication tokens valididy in days (0 to disable token expiration) | Aktivní, pouze pokud je zaškrtnuto předchozí zaškrtávací políčko. Hodnota 0 způsobí, že platnost tokenů nikdy nevyprší. |
Tlačítko Validate je povoleno pouze tehdy, když je vybrána alespoň jedna skupina, jeden site a jedna aplikace.
Dvousloupcový seznam (vlevo dostupné, vpravo vybrané) s rozevíracím seznamem Domain nad levým seznamem pro filtrování skupin podle domény ověřování. Výběr se provádí přetažením. Domény SAML jsou vyloučeny (vyžaduje se ověřování přihlašovacím jménem a heslem).
Dvousloupcový seznam (vlevo dostupné, vpravo vybrané). Výběr přetažením a tlačítko Select all.
Strom kategorií aplikací a jejich aplikací. Zaškrtnutím kategorie se najednou vyberou všechny její aplikace; zaškrtnutím jediné aplikace se kategorie zobrazí tučně, což signalizuje částečný výběr. Zrušením zaškrtnutí kategorie se zruší zaškrtnutí i celého jejího obsahu.
Po vytvoření je smlouva ve výchozím nastavení povolena.
Úprava smlouvy¶
Vyberte smlouvu v seznamu a klikněte na ikonu Properties nebo na řádek dvakrát klikněte. Okno Contract Edition nabízí stejné karty, předvyplněné. Uložte kliknutím na Validate.
Odstranění smlouvy¶
Vyberte jednu nebo více smluv a klikněte na tlačítko ×. Vyžaduje se potvrzení (popisek přizpůsobený jednotnému nebo množnému číslu).
Povolení nebo zakázání smluv¶
Vyberte jeden nebo více řádků v tabulce a poté klikněte na panelu nástrojů na Enable nebo Disable. Enable je k dispozici, pokud je alespoň jedna vybraná smlouva zakázaná, Disable, pokud je alespoň jedna vybraná smlouva povolená.
Tokeny přímého přístupu RDP¶
Modul RDP direct access tokens uvádí tokeny, které uživatelé vystavili v rámci smluv RDP bez agenta umožňujících tokeny. Umožňuje token odvolat před vypršením jeho platnosti.
Seznam tokenů¶
| Sloupec | Popis |
|---|---|
| Username | Identifikátor uživatele, který token vystavil. |
| Application | Název aplikace, na kterou token cílí. |
| Expiration | Datum a čas vypršení platnosti ve formátu DD/MM/YYYY HH:MM. |
Seznam je stránkovaný (15, 25 nebo 50 řádků na stránku).
Filtry a hledání¶
| Prvek | Popis |
|---|---|
| Domain | Rozevírací seznam dostupných domén. Domény SAML jsou vyloučeny. Počáteční výběr převezme doménu předanou jako parametr, jinak první doménu v seznamu. |
| Pole hledání | Filtr podle podřetězce. Spustí se 700 ms po posledním stisknutí klávesy. |
Odstranění tokenu¶
Vyberte jeden nebo více tokenů a klikněte na tlačítko ×. Vyžaduje se potvrzení. Pokud příkaz selže, zobrazí se chybová zpráva.
Nevratná akce
Po odstranění již token nelze použít: uživatel musí požádat o nový, aby obnovil přímý přístup.