Edge Gateway komponendi konfigureerimine Kerberos-autentimise sisselülitamiseks¶
AD-domeeni administraatorikontod on soovitatav paigutada rühma Protected Users. Kui need kontod on paigutatud rühma Protected Users, pole NTLM-ühendused enam võimalikud ja kasutatakse Kerberose protokolli.
Et see muudatus CyberElements Bastion platvormis arvesse võetaks, tuleb Edge Gateway serverites konfigureerida pakett krb5-config, et need saaksid kasutada Kerberost.
Märkus
Selle osa toimimiseks peab Edge Gateway serverite ja AD domeenikontrolleri serveri vahel olema avatud Kerberose voog (see server toimib KDC-na, Kerberos Domain Controller).
Meeldetuletuseks: vaikimisi on see voog UDP 88. Järgmine konfiguratsioon toob Kerberose teabe DNS-i kaudu, seega on vaja ka voogu UDP 53.
Kasutage järgmist käsurida:
1 | |
Sisestage Kerberose realm, tippides oma domeeni nime (FQDN) suurtähtedega.
Näide
domeen: domain.local
realm: DOMAIN.LOCAL
Seejärel vastake <NO>, et teil ei oleks vaja teha käsitsi konfiguratsioone. Sel juhul tuuakse kogu Kerberosega seotud teave DNS-i kaudu.
Teave
Kõigi täpsemate ja käsitsi sätete jaoks peate muutma faili /etc/krb5.conf (pärast muutmist pole teenust vaja taaskäivitada).
Konfiguratsiooniteabe leiate lehelt man 5 krb5.conf.
Selles etapis, kui tugevat Kerberos-autentimist ei nõuta, peaks ühenduse loomine privilegeeritud RDP-rakendustega agendita režiimis (HTML5 või mitte) toimima kasutajakontodega, mis kuuluvad rühma Protected Users. RDP-rakenduse konfiguratsioon peab vastama teatud eeltingimustele.