Windowsi salvestusagendi installimine

CyberElements Bastion kasutab Windowsi salvestusagenti, et lisada RDP-seanssidele uusi funktsioone:

• Võimalus filtreerida kasutajale juurdepääsetavaid TCP- ja UDP-vooge
• Võimalus käivitada seansi salvestamine iga kasutaja jaoks, kes loob ühenduse serveriga kasutajaportaali või Desktop-klienti läbimata (funktsioon direct access)

Lisaks jäädvustatakse kasutajaseansside ajal täiendavaid sündmusi:

• Akna avamine
• Akna sulgemine
• Programmi käivitamine
• Programmi sulgemine
• Lõikelaua sisu
• Kasutaja tegevus

Eeltingimused

Kliendi ühilduvus

Teavet selle kohta, kas agent ühildub erinevate Microsoft Windowsi operatsioonisüsteemidega, leiate ühilduvusmaatriksist.

Salvestusagent vajab nõuetekohaseks toimimiseks mõningaid eeltingimusi. Mõned neist on mõeldud ainult agendipõhise salvestusfunktsiooni jaoks RDP- ja HTML5 RDP-rakendustes, teised aga puudutavad agendipõhist otsejuurdepääsu.

Üldised eeltingimused

Salvestusagent saadab kasutaja seansi salvestise tagasi lahendusele CyberElements Bastion, luues ühenduse Edge Gateway komponendiga pordis TCP 8443. Selleks peab kahe arvuti vaheline võrguvoog olema avatud.

Salvestise turvaliseks saatmiseks Edge Gateway serverisse loob salvestusagent sellega TLS-i abil turvalise ühenduse. TLS tugineb sertifikaatide kasutamisele ja selleks, et ühendust peetaks usaldusväärseks ja turvaliseks, peavad olema täidetud järgmised tingimused:

• Serveri, antud juhul Edge Gateway serveri, sertifikaat ei tohi olla aegunud (maksimaalne kehtivuskuupäev).

• Serveri, antud juhul Edge Gateway serveri, sertifikaadi peab olema väljastanud sertifitseerimisasutus, mida arvuti, kuhu salvestusagent on installitud, peab usaldusväärseks.

  Lisateave

  Serveri, kuhu salvestusagent on installitud, usaldusväärsete sertifitseerimisasutuste kohalikus salves peab olema vähemalt salvestusserveri sertifikaadi juursertifitseerimisasutus (CA).

  Seetõttu tuleb:

  1. Hankida Edge Gateway serveris asuva salvestusteenuse sertifikaadi juur-CA.
  2. Laadida see CA üles serverisse, kuhu salvestusagent on installitud.
  3. Installida CA kohaliku arvuti sertifikaadisalve „Trusted Root Certification Authorities“.

  Näide PowerShelliga

  Saate .cer-vormingus sertifikaadi hõlpsalt PowerShelli kaudu importida.
  Selleks avage PowerShelli terminal arvuti administraatorina ja käivitage järgmine käsk:

  Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
  

  Asendage <PATH_TO_CERT> sertifikaadifaili teega.

  Näide PowerShelliga Systancia sertifikaadi jaoks ilma faile saatmata

  Selles näites installitakse Systancia juur-CA, mida kasutavad lahenduse CyberElements Bastion kliendid, kes kasutavad Systancia pakutud sertifikaate.

  Samuti on võimalik sertifikaat importida, ilma et peaks faili saatma/alla laadima arvutisse, kuhu salvestusagent on installitud.
  Selleks avage PowerShelli terminal arvuti administraatorina ja käivitage järgmised käsud:

  # Systancia Root certificate
  $base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
  FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
  RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
  MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
  Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
  IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
  UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
  DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
  ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
  GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
  Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
  GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
  TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
  IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
  BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
  XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
  EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
  BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
  SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
  MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
  CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
  dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
  ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
  YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
  771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
  5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
  Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
  hmOVxbu5Ijfug5/3Eemep34NsYk="
  
  # Convert the certificate and store it in memory
  $certBytes = [Convert]::FromBase64String($base64Cert)
  
  # Create a certificate object
  $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
  $cert.Import($certBytes)
  
  # Open the trusted root certificate store on the local machine and add the Systancia root certificate
  $store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
  $store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
  $store.Add($cert)
  $store.Close()
  

  Selle meetodi kasutamiseks mõne muu CA-ga muutke muutuja base64Cert väärtuseks enda valitud base64-kodeeringus sertifikaat.

• Serveri, antud juhul Edge Gateway serveri, sertifikaat ei tohi olla tühistatud.

• Arvuti, kuhu salvestusagent on installitud, peab saama serveriga, antud juhul Edge Gateway serveriga, ühendust võtta DNS-nime või IP-aadressi kaudu, mida serveri sertifikaat hõlmab oma välja Common Name (CN) kaudu.

Agendiga RDP-rakenduste erieeltingimused macOS-i või Ubuntu kasutajatööjaamas

Hoiatus

Järgmised eeltingimused on vajalikud ainult siis, kui kasutaja käivitab agendiga RDP-rakenduse ja tema tööjaam ei ole Windows (macOS või Ubuntu).

Kui lahenduse CyberElements Bastion kasutajate tööjaamades töötab ainult Windows või kui nad muul juhul kasutavad ainult HTML5 RDP-rakendusi, võib järgmised eeltingimused vahele jätta.

Sihtserveris, kuhu salvestusagent on juurutatud, on nõutavad järgmised registrivõtmed.

Esiteks lülitab esimene võti välja lubatud käivitusprogrammide loendi (Microsofti dokument). Vaikimisi lubab Windowsi arvuti käivitusprogrammina ainult explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Kui arvuti ei ole RDS-server, on alati soovitatav rakendada järgmine registrivõti, et salvestusagent saaks käivitusprogrammina avaneda:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Otsejuurdepääsu erinõuded

Otsejuurdepääsu funktsioon

Otsejuurdepääsu funktsioon võimaldab käivitada kasutaja seansi salvestamise RDP- või konsoolijuurdepääsu korral (füüsiline ühendus arvutiga või hüperviisori konsoolirežiimi kaudu), mis ei läbi otse lahendust CyberElements Bastion.

Kui kasutajal on luba serverile juurde pääseda, salvestatakse tema seanss. Kui see nii ei ole, katkestatakse vaikimisi kasutaja ühendus.

Et salvestusagent saaks töötada otsejuurdepääsu režiimis, on vaja x509-sertifikaati. See sertifikaat peab vastama järgmistele nõuetele:

• Sertifikaat peab olema endiselt kehtiv (kehtivusaeg ei ole möödunud).
• Sertifikaat peab olema tüüpi (täiustatud võtmekasutuse väli) client authentication (OID: 1.3.6.1.5.5.7.3.2).
• Sertifikaat ei tohi olla tühistatud.
• OpenSSL-i turbetasemest 2 tulenevad piirangud tähendavad, et:
  • Sertifikaadil peab RSA, DSA ja DH šifrite puhul olema vähemalt 2048-bitine privaatvõti; elliptiliste kõverate võtmete (ECC) puhul peavad need olema vähemalt 224-bitised.
  • Sertifikaadi allkiri ei tohi olla MD5 ega SHA-1 (eelistatud on SHA-512).
• Salvestusserver kasutab välja Common Name (CN) sertifikaadi ja seega ka selle arvuti tuvastamiseks, kus otsesalvestus käivitatakse. See väli peab olema täidetud.

Ühekaupa käsitsi installimine

Vaja on administraatoriõigusi

Agendi installimiseks on vaja administraatoriõigusi.

Enne agendi installimist peate selle halduskonsoolist alla laadima:

1. Avage tööruum „Configurations“ vasakus ülanurgas asuva nupu abil:
2. Avage paan „Toolbox“
3. Valige esimesel vahekaardil „Integration Tools“ soovitud operatsioonisüsteemile sobiv installiprogramm

Kui agent on alla laaditud, tehke järgmist:

1. Käivitage installiprogramm setup_CleanroomAgent.exe arvutis, kuhu soovite salvestusagendi installida.
2. Klõpsake esimeses aknas nuppu Next:
3. Nõustuge kasutustingimustega:
4. Muutke kolmandal kuval vajaduse korral agendi installikataloogi:

5. Neljandal kuval kuvatakse agendi installisuvandid otsejuurdepääsu režiimis:

   Enable Direct Access

   Agendi otsejuurdepääsu funktsiooni sisselülitamine.

   Recorded Sessions

   Vaba väli, mis aktsepteerib kolme erinevat väärtust, et määrata, millal otsejuurdepääsu salvestamine käivitatakse:

   • none: otsejuurdepääsu salvestamist ei tehta.
   • remote: iga RDP-juurdepääs arvutile käivitab salvestamise.
   • all: salvestamise käivitavad nii RDP-juurdepääs kui ka konsoolijuurdepääs (füüsiline juurdepääs arvutile või hüperviisori konsoolirežiimist).

   Logoff On Failure

   Suvand, millega kasutaja seanss katkestatakse, kui salvestamist ei saa alustada, see katkeb või kasutaja pole autoriseeritud arvutiga ühendust looma.

   Soovitus

   Esmaste installide korral või kui eeltingimuste täitmine pole kindel, on parem jätta see suvand märkimata. Vastasel juhul, kui eeltingimuste või sätetega on probleem, katkestavad uued ühendused serveriga kohe kasutaja ühenduse (olenevalt sätetest Recorded Sessions).

   Teave

   Otsejuurdepääsu funktsiooni saab sisse lülitada ka pärast installimist. Selleks vaadake agendi registrivõtmete sätteid.

6. Lõpuks, viiendal kuval, algab installimine pärast nupu Install klõpsamist:

Pärast installimist vajab agent täiendavat konfigureerimist: Konfigureerige agent

Juurutamine halduskonsoolist

Vaja on administraatoriõigusi

Agendi installimiseks on vaja sihtarvutis administraatoriõigusi.

Täiendav eeltingimus

Agent juurutatakse sihtarvutisse protokolli SMB abil. Seetõttu peab SMB-andmevoog (TCP 445) olema Edge Gateway komponendi ja selle sihtserveri vahel avatud.

Juurutamine ühte serverisse

Agenti saab halduskonsoolis üksikult juurutada kahest kohast. See võimaldab selle eelkonfigureerida kahte tüüpi toimimiseks:

1. Kasutamine RDP- ja HTML5 RDP-rakendustega: agent valmistatakse ette nii, et see saaks salvestada RDP- ja HTML5 RDP-rakendusi käitavate kasutajate seansse.
2. Kasutamine otsejuurdepääsu režiimis: agent valmistatakse ette nii, et see saaks lisaks eelnevale salvestada ka RDP-serveriga otse ühenduse loovate kasutajate seansse.

Kasutamiseks RDP- ja HTML5 RDP-rakendustega

Kui RDP- või HTML5 RDP-rakendus on konfigureeritud agendiga töötama, avab rakenduse valimine agendi juurutamise võimaluse:

Pärast agendi juurutamisnupu klõpsamist avaneb uus aken, mis küsib järgmist teavet:

Target server

Sihtserveri IP-aadress või DNS-nimi, kuhu salvestusagent juurutatakse. Vaikimisi kasutab see väli RDP- või HTML5 RDP-rakenduses määratud serveri teavet.

Target drive

Windowsi draivi täht, kuhu agent juurutatakse. Tavaliselt on see täht C, millega agent juurutatakse draivile C:\.

Target directory

Agendi installikataloogi tee; kui kataloogi pole olemas, see luuakse. CyberElements Bastion agendi vaikeasukoht on Program Files (x86)\Systancia\Safe.

Gateway

Määrake Edge Gateway komponent, mida agendi juurutamiseks kasutada.

Domain

Domeeni nimi, kus asub agendi installimiseks kasutatav halduskonto.

Username

Agendi installimiseks kasutatava administraatorikonto nimi. See konto peab saama sihtserverisse programme installida.

Password

Administraatorikonto parool.

Kui kogu teave on sisestatud, saab agendi juurutamise käivitada. Viimane aken näitab, kas agendi juurutamine sihtserverisse õnnestus või mitte.

Vajalikud võivad olla veel täiendavad sätted. Vaadake järgmist peatükki: Konfigureerige agent

Kasutamiseks otsejuurdepääsu režiimis + RDP- ja HTML5 RDP-rakendustega

Otsejuurdepääsu kuva jaotises Machine management on nupp, millega saab agendi juurutada:

Pärast agendi juurutamisnupu klõpsamist avaneb uus aken, mis küsib järgmist teavet:

Target server

Sihtserveri IP-aadress või DNS-nimi, kuhu salvestusagent juurutatakse. Vaikimisi kasutab see väli RDP- või HTML5 RDP-rakenduses määratud serveri teavet.

Target drive

Windowsi draivi täht, kuhu agent juurutatakse. Tavaliselt on see täht C, millega agent juurutatakse draivile C:\.

Target directory

Agendi installikataloogi tee; kui kataloogi pole olemas, see luuakse. CyberElements Bastion agendi vaikeasukoht on Program Files (x86)\Systancia\Safe.

Gateway

Määrake Edge Gateway komponent, mida agendi juurutamiseks kasutada.

Domain

Domeeni nimi, kus asub agendi installimiseks kasutatav halduskonto.

Username

Agendi installimiseks kasutatava administraatorikonto nimi. See konto peab saama sihtserverisse programme installida.

Password

Administraatorikonto parool.

Sessions to record

Konteksti määratlus, milles seansi salvestamine toimub:

1. Record remote sessions (RDS) only: salvestatakse ainult RDP-kaugjuurdepääsud.
2. Record all sessions: salvestatakse RDP-kaugseansid ja konsoolirežiimi seansid (füüsiline juurdepääs arvutile või hüperviisori konsoolirežiimist).
3. Record no sessions: ükski otseühendus serveriga ei salvesta seansse, kuid agenti saab endiselt kasutada juurdepääsuks RDP- ja HTML5 RDP-rakenduste kaudu.

Use a different certificate than the target

Suvand, millega määratakse selle sertifikaadi nimi, mida agent kasutab Edge Gateway komponendiga autentimiseks. Kui seda pole määratud, otsib agent sertifikaati, mille nimi on serveri nimi.

Close the session if no gateway could be contacted

Suvand, millega kasutaja ühendus katkestatakse ja ta logitakse välja (olenevalt sätetest Sessions to record), kui Edge Gateway komponent pole kättesaadav või kui kasutaja pole autoriseeritud serveriga ühendust looma.

Soovitus

Esmaste installide korral või kui eeltingimuste täitmine pole kindel, on parem jätta see suvand märkimata. Vastasel juhul, kui eeltingimuste või sätetega on probleem, katkestavad uued ühendused serveriga kohe kasutaja ühenduse (olenevalt sätetest Sessions to record).

Kui kogu teave on sisestatud, saab agendi juurutamise käivitada. Viimane aken näitab, kas agendi juurutamine sihtserverisse õnnestus või mitte.

Vajalikud võivad olla veel täiendavad sätted. Vaadake järgmist peatükki: Konfigureerige agent

Juurutamine mitmesse serverisse

Teave

See meetod võimaldab juurutada salvestusagendi ainult töötamiseks RDP- ja HTML5 RDP-rakendustega. Selleks et agent töötaks otsejuurdepääsu režiimis, tuleb konfiguratsioon juurutada muul viisil (nt GPO kaudu).

Täiendav eeltingimus

Mitmesse serverisse juurutamine on võimalik ainult arvutites, mis kuuluvad AD-domeeni, mis on omakorda konfigureeritud CyberElements Bastion lahenduse jaotises Authentication Domains ja mille suvand Allow RDS Server Management on sisse lülitatud.

Lisage jaotisest Management of RDS servers üks või mitu uut RDS-serverit:

Otsige üles serverid, kuhu salvestusagent tuleb juurutada, ja lisage need, lohistades need parempoolsele paneelile. Valige suvand Deploy an agent:

Konfigureerige agendi juurutamise teave:

Target drive

Windowsi draivi täht, kuhu agent juurutatakse. Tavaliselt on see täht C, millega agent juurutatakse draivile C:\.

Target directory

Agendi installikataloogi tee; kui kataloogi pole olemas, see luuakse. CyberElements Bastion agendi vaikeasukoht on Program Files (x86)\Systancia\Safe.

Gateway

Määrake Edge Gateway komponent, mida agendi juurutamiseks kasutada.

Domain

Domeeni nimi, kus asub agendi installimiseks kasutatav halduskonto.

Username

Agendi installimiseks kasutatava administraatorikonto nimi. See konto peab saama sihtserverisse programme installida.

Password

Administraatorikonto parool.

Vajalikud võivad olla veel täiendavad sätted. Vaadake järgmist peatükki: Konfigureerige agent