RDP record contracts without agent¶
Η λειτουργική μονάδα RDP record contracts without agent δηλώνει μια σύμβαση που εξουσιοδοτεί ομάδες χρηστών γνωστές στο Bastion να έχουν άμεση πρόσβαση σε εφαρμογές RDP χωρίς παράγοντα ή σε εφαρμογές VNC, μέσω μιας τοποθεσίας (Edge Gateway). Πρόκειται για την ίδια γενική φόρμα με μια συνηθισμένη σύμβαση RDP, εμπλουτισμένη με μια επιλογή διακριτικού πρόσβασης, το οποίο μπορεί να επιθεωρηθεί και να ανακληθεί από μια ειδική καρτέλα.
Η άμεση πρόσβαση πραγματοποιείται με ένα όνομα σύνδεσης της μορφής login/domain:application (για παράδειγμα test_user/DOMAIN:t1234). Μπορούν να στοχευθούν μόνο τομείς που χρησιμοποιούν αναγνώριση με όνομα σύνδεσης/κωδικό πρόσβασης (οι τομείς SAML εξαιρούνται).
Συμπεριφορά σύνδεσης
Αν ο κωδικός πρόσβασης είναι σωστός και η εφαρμογή εξουσιοδοτημένη, η εφαρμογή εκκινείται σύμφωνα με τη διαμόρφωσή της· τα ψευδώνυμα της λειτουργικής μονάδας Vault, όταν έχουν οριστεί, λαμβάνονται υπόψη. Εάν χρειάζεται, εμφανίζονται πρόσθετα παράθυρα διαλόγου για την εισαγωγή ονόματος σύνδεσης/κωδικού πρόσβασης (SSO «ask»), σχολίου ή του διακομιστή-στόχου για τις δυναμικές εφαρμογές. Ορισμένες επιλογές εφαρμογών εξαρτώνται από το πρόγραμμα-πελάτη RDP (ανάλυση, ανακατεύθυνση προχείρου, εκτυπωτές, ...) και δεν μπορούν να ληφθούν υπόψη σε αυτή τη λειτουργία· αντίθετα, οι λειτουργίες console και restrictedadmin λαμβάνονται υπόψη.
Προαπαιτούμενο: ενεργοποίηση της υπηρεσίας εγγραφής στο στοιχείο Edge Gateway¶
Η άμεση πρόσβαση RDP διεκπεραιώνεται από ένα αποκλειστικό στιγμιότυπο xrdp στο στοιχείο Edge Gateway. Δεν είναι ενεργοποιημένο από προεπιλογή: ακούει στο δίκτυο, πράγμα που θα διεύρυνε άσκοπα την επιφάνεια επίθεσης των πλατφορμών που δεν χρησιμοποιούν τη δυνατότητα. Επομένως, μια σύμβαση που δηλώνεται εδώ δεν έχει κανένα αποτέλεσμα μέχρι να ενεργοποιηθεί η υπηρεσία στα στοιχεία Edge Gateway των επιλεγμένων τοποθεσιών.
Σε κάθε σχετικό στοιχείο Edge Gateway:
1 | |
Αυτό το στιγμιότυπο πρέπει επίσης να γνωρίζει ποια στιγμιότυπα Edge Gateway να ερωτά για να φτάσει στο στοιχείο Mediation Controller: πρόκειται για τη ρύθμιση xmlrpc-connect του αρχείου /etc/ipdiva/careserver/careserver.xml, την ίδια που χρησιμοποιεί η άμεση εγγραφή με παράγοντα.
Λίστα συμβάσεων¶
Το κύριο πλέγμα εμφανίζει τις υπάρχουσες συμβάσεις σε σελιδοποιημένη προβολή (15, 25 ή 50 γραμμές ανά σελίδα):
| Στήλη | Περιγραφή |
|---|---|
| Name | Όνομα της σύμβασης. Ένα εικονίδιο προηγείται του ονόματος: ένα χρωματιστό λουκέτο για μια ενεργοποιημένη σύμβαση, ένα άχρωμο λουκέτο για μια απενεργοποιημένη σύμβαση. |
| Groups | Αριθμός επιλεγμένων ομάδων χρηστών. |
| Sites | Αριθμός επιλεγμένων τοποθεσιών. |
| Applications | Αριθμός επιλεγμένων εφαρμογών. |
Η επέκταση μιας γραμμής εμφανίζει τις λεπτομέρειες της σύμβασης: ομάδες (ομαδοποιημένες ανά τομέα), τοποθεσίες, κατηγορίες και μεμονωμένους πόρους.
Ένα πεδίο αναζήτησης στη γραμμή εργαλείων φιλτράρει τη λίστα σε πραγματικό χρόνο (ενεργοποιείται 700 ms μετά το τελευταίο πάτημα πλήκτρου ή αμέσως με το πλήκτρο Enter).
Εκτός από την προσθήκη, την επεξεργασία και τη διαγραφή, η γραμμή εργαλείων προσφέρει τις ενέργειες Enable και Disable: αυτές οι μαζικές ενέργειες εφαρμόζονται στην τρέχουσα επιλογή.
Προσθήκη σύμβασης¶
Το κουμπί + ανοίγει το παράθυρο Add Contract, με τρεις καρτέλες πριν από τις οποίες υπάρχουν τα ακόλουθα πεδία:
| Πεδίο | Περιγραφή |
|---|---|
| Name | Υποχρεωτικό. Μια συμβολοσειρά που αποτελείται μόνο από κενά απορρίπτεται. |
| Description | Ελεύθερο κείμενο. |
| Allow users to use authentication tokens | Δίνει στους χρήστες τη δυνατότητα να λαμβάνουν επαναχρησιμοποιήσιμα διακριτικά στο πλαίσιο αυτής της σύμβασης. Όταν δεν είναι επιλεγμένο, το επόμενο πεδίο εμφανίζεται με γκρι χρώμα. |
| Authentication tokens valididy in days (0 to disable token expiration) | Ενεργό μόνο αν είναι επιλεγμένο το προηγούμενο πλαίσιο ελέγχου. Η τιμή 0 κάνει τα διακριτικά να μη λήγουν ποτέ. |
Το κουμπί Validate ενεργοποιείται μόνο όταν έχουν επιλεγεί τουλάχιστον μία ομάδα, μία τοποθεσία και μία εφαρμογή.
Λίστα δύο στηλών (τα διαθέσιμα στοιχεία αριστερά, τα επιλεγμένα δεξιά) με ένα σύνθετο πλαίσιο Domain πάνω από την αριστερή λίστα για το φιλτράρισμα των ομάδων ανά τομέα ελέγχου ταυτότητας. Η επιλογή γίνεται με μεταφορά και απόθεση. Οι τομείς SAML εξαιρούνται (απαιτείται έλεγχος ταυτότητας με όνομα σύνδεσης/κωδικό πρόσβασης).
Λίστα δύο στηλών (τα διαθέσιμα στοιχεία αριστερά, τα επιλεγμένα δεξιά). Επιλογή με μεταφορά και απόθεση και κουμπί Select all.
Δέντρο κατηγοριών εφαρμογών και των εφαρμογών τους. Η επιλογή μιας κατηγορίας επιλέγει ταυτόχρονα όλες τις εφαρμογές της· η επιλογή μίας μόνο εφαρμογής εμφανίζει την κατηγορία με έντονη γραφή, για να επισημάνει μερική επιλογή. Η αποεπιλογή μιας κατηγορίας αποεπιλέγει επίσης όλο το περιεχόμενό της.
Κατά τη δημιουργία, η σύμβαση είναι ενεργοποιημένη από προεπιλογή.
Επεξεργασία σύμβασης¶
Επιλέξτε τη σύμβαση στη λίστα και κάντε κλικ στο εικονίδιο Properties ή κάντε διπλό κλικ στη γραμμή. Το παράθυρο Contract Edition προσφέρει τις ίδιες καρτέλες, προσυμπληρωμένες. Κάντε κλικ στο κουμπί Validate για αποθήκευση.
Διαγραφή σύμβασης¶
Επιλέξτε μία ή περισσότερες συμβάσεις και κάντε κλικ στο κουμπί ×. Ζητείται επιβεβαίωση (η ετικέτα προσαρμόζεται σε ενικό ή πληθυντικό).
Ενεργοποίηση ή απενεργοποίηση συμβάσεων¶
Επιλέξτε μία ή περισσότερες γραμμές στο πλέγμα και, στη συνέχεια, κάντε κλικ στο κουμπί Enable ή Disable στη γραμμή εργαλείων. Το κουμπί Enable είναι διαθέσιμο όταν τουλάχιστον μία επιλεγμένη σύμβαση είναι απενεργοποιημένη, το κουμπί Disable όταν τουλάχιστον μία επιλεγμένη σύμβαση είναι ενεργοποιημένη.
Διακριτικά άμεσης πρόσβασης RDP¶
Η λειτουργική μονάδα RDP direct access tokens παραθέτει τα διακριτικά που εκδόθηκαν από χρήστες στο πλαίσιο συμβάσεων RDP χωρίς παράγοντα που επιτρέπουν διακριτικά. Δίνει τη δυνατότητα ανάκλησης ενός διακριτικού πριν από τη λήξη του.
Λίστα διακριτικών¶
| Στήλη | Περιγραφή |
|---|---|
| Username | Αναγνωριστικό του χρήστη που εξέδωσε το διακριτικό. |
| Application | Όνομα της εφαρμογής στην οποία στοχεύει το διακριτικό. |
| Expiration | Ημερομηνία και ώρα λήξης, σε μορφή DD/MM/YYYY HH:MM. |
Η λίστα είναι σελιδοποιημένη (15, 25 ή 50 γραμμές ανά σελίδα).
Φίλτρα και αναζήτηση¶
| Στοιχείο | Περιγραφή |
|---|---|
| Domain | Σύνθετο πλαίσιο με τους διαθέσιμους τομείς. Οι τομείς SAML εξαιρούνται. Η αρχική επιλογή λαμβάνει τον τομέα που έχει δοθεί ως παράμετρος ή, διαφορετικά, τον πρώτο τομέα της λίστας. |
| Πεδίο αναζήτησης | Φίλτρο υποσυμβολοσειράς. Εκτελείται 700 ms μετά το τελευταίο πάτημα πλήκτρου. |
Διαγραφή διακριτικού¶
Επιλέξτε ένα ή περισσότερα διακριτικά και κάντε κλικ στο κουμπί ×. Ζητείται επιβεβαίωση. Αν η εντολή αποτύχει, εμφανίζεται μήνυμα σφάλματος.
Μη αναστρέψιμη ενέργεια
Μετά τη διαγραφή του, ένα διακριτικό δεν μπορεί πλέον να χρησιμοποιηθεί: ο χρήστης πρέπει να ζητήσει νέο για να ανανεώσει την άμεση πρόσβαση.