Konfigurace serveru Edge Gateway pro povolení ověřování Kerberos¶

Doporučuje se umístit účty správců domény AD do skupiny Protected Users. Jakmile jsou tyto účty umístěny do Protected Users, připojení NTLM již nejsou možná a použije se protokol Kerberos.

Aby se tato změna v CyberElements Bastion projevila, musí být na serverech Edge Gateway nakonfigurován balíček krb5-config, aby mohly používat Kerberos.

Poznámka

Aby tato část fungovala, musí být mezi servery Edge Gateway a serverem řadiče domény AD otevřen tok Kerberos (tento server funguje jako KDC, Kerberos Domain Controller).
Připomínáme, že ve výchozím nastavení jde o tok UDP 88. Následující konfigurace získává informace Kerberos přes DNS, proto je nutný také tok UDP 53.

Použijte následující příkazový řádek:

1	`dpkg-reconfigure krb5-config`

Zadejte realm Kerberos tak, že napíšete název své domény (FQDN) velkými písmeny.

Příklad

doména: domain.local
realm: DOMAIN.LOCAL

Poté odpovězte <NO>, abyste nemuseli provádět žádné ruční konfigurace. V takovém případě budou všechny informace týkající se Kerberos získány přes DNS.

Informace

Pro všechna pokročilá a ruční nastavení budete muset upravit soubor /etc/krb5.conf (po úpravě není nutné restartovat žádnou službu).
Informace o konfiguraci lze získat pomocí man 5 krb5.conf.

V této fázi, a pokud není vyžadováno silné ověřování Kerberos, by připojení k privilegovaným aplikacím RDP v režimu bez agenta (HTML5 nebo jiném) mělo fungovat s uživatelskými účty, které patří do Protected Users. Konfigurace aplikace RDP musí splňovat určité předpoklady.