Konfiguriranje agenta za snimanje za Windows

CyberElements Bastion upotrebljava agent za snimanje za Windows kako bi dodao nove značajke za RDP sesije:

• Mogućnost filtriranja tokova TCP i UDP kojima korisnik može pristupiti
• Mogućnost pokretanja snimanja sesije za svakog korisnika koji se povezuje s poslužiteljem bez prolaska kroz korisnički portal ili klijent Desktop (značajka direct access)

Osim toga, tijekom korisničkih sesija bilježe se dodatni događaji:

• Otvaranje prozora
• Zatvaranje prozora
• Pokretanje programa
• Zatvaranje programa
• Sadržaj međuspremnika
• Aktivnost korisnika

Preduvjeti

Kompatibilnost klijenta

Da biste saznali je li agent kompatibilan s različitim operacijskim sustavima Microsoft Windows, pogledajte matricu kompatibilnosti.

Agent za snimanje zahtijeva nekoliko preduvjeta za ispravan rad. Neki su namijenjeni samo funkcionalnosti snimanja s agentom za aplikacije RDP i HTML5 RDP, a drugi se odnose na izravan pristup s agentom.

Opći preduvjeti

Agent za snimanje šalje snimku korisničke sesije natrag u CyberElements Bastion povezivanjem s komponentom Edge Gateway na priključku TCP 8443. Za to mrežni tok između tih dvaju računala mora biti otvoren.

Kako bi snimku sigurno poslao natrag poslužitelju Edge Gateway, agent za snimanje uspostavlja s njim sigurnu vezu putem TLS-a. TLS se oslanja na upotrebu certifikata, a sljedeća ograničenja moraju biti zadovoljena kako bi se veza smatrala pouzdanom i sigurnom:

• Certifikat poslužitelja, u ovom slučaju poslužitelja Edge Gateway, ne smije biti istekao (krajnji datum valjanosti).

• Certifikat poslužitelja, u ovom slučaju poslužitelja Edge Gateway, mora izdati certifikacijsko tijelo koje računalo na kojem je instaliran agent za snimanje smatra pouzdanim.

  Dodatne informacije

  Poslužitelj na kojem je instaliran agent za snimanje mora u svojem lokalnom spremištu pouzdanih certifikacijskih tijela imati barem korijensko certifikacijsko tijelo (CA) certifikata poslužitelja za snimanje.

  Stoga je potrebno:

  1. Dohvatiti korijenski CA certifikata usluge snimanja na poslužitelju Edge Gateway.
  2. Prenijeti taj CA na poslužitelj na kojem je instaliran agent za snimanje.
  3. Instalirati CA u spremište certifikata „Trusted Root Certification Authorities“ na lokalnom računalu.

  Primjer s PowerShellom

  Certifikat u formatu .cer možete jednostavno uvesti putem PowerShella.
  Da biste to učinili, otvorite terminal PowerShell kao administrator računala i pokrenite sljedeću naredbu:

  Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
  

  Zamijenite <PATH_TO_CERT> putom do datoteke certifikata.

  Primjer s PowerShellom za certifikat tvrtke Systancia bez slanja datoteka

  Ovaj primjer obuhvaća instalaciju korijenskog CA-a tvrtke Systancia, koji upotrebljavaju klijenti CyberElements Bastion koji se služe certifikatima koje isporučuje Systancia.

  Certifikat je moguće uvesti i bez slanja/preuzimanja datoteke na računalo na kojem je instaliran agent za snimanje.
  Da biste to učinili, otvorite terminal PowerShell kao administrator računala i pokrenite sljedeće naredbe:

  # Systancia Root certificate
  $base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
  FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
  RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
  MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
  Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
  IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
  UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
  DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
  ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
  GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
  Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
  GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
  TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
  IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
  BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
  XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
  EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
  BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
  SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
  MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
  CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
  dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
  ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
  YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
  771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
  5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
  Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
  hmOVxbu5Ijfug5/3Eemep34NsYk="
  
  # Convert the certificate and store it in memory
  $certBytes = [Convert]::FromBase64String($base64Cert)
  
  # Create a certificate object
  $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
  $cert.Import($certBytes)
  
  # Open the trusted root certificate store on the local machine and add the Systancia root certificate
  $store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
  $store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
  $store.Add($cert)
  $store.Close()
  

  Da biste ovu metodu koristili s drugim CA-om, promijenite vrijednost varijable base64Cert u certifikat po svom izboru kodiran u base64.

• Certifikat poslužitelja, u ovom slučaju poslužitelja Edge Gateway, ne smije biti opozvan.

• Računalo na kojem je instaliran agent za snimanje mora moći kontaktirati poslužitelj, u ovom slučaju Edge Gateway, putem DNS naziva ili IP adrese obuhvaćene certifikatom poslužitelja putem njegova polja Common Name (CN).

Posebni preduvjeti za aplikacije RDP s agentima koje se koriste na korisničkoj radnoj stanici s macOS-om ili Ubuntuom

Upozorenje

Sljedeći preduvjeti potrebni su samo ako korisnik pokreće aplikaciju RDP s agentom, a njegova radna stanica nije Windows (macOS ili Ubuntu).

Ako korisnici rješenja CyberElements Bastion imaju radne stanice isključivo sa sustavom Windows ili, ako to nije slučaj, upotrebljavaju isključivo aplikacije HTML5 RDP, sljedeći se preduvjeti mogu zanemariti.

Sljedeći ključevi registra potrebni su na ciljnom poslužitelju na kojem je implementiran agent za snimanje.

Prvo, prvi ključ onemogućit će popis dopuštenih programa pri pokretanju (Microsoftov dokument). Prema zadanim postavkama računalo sa sustavom Windows kao program pri pokretanju dopušta samo explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ako računalo nije poslužitelj RDS, uvijek se preporučuje primijeniti sljedeći ključ registra kako bi se agent za snimanje mogao otvoriti kao program pri pokretanju:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Posebni zahtjevi za izravan pristup

Značajka izravnog pristupa

Značajka izravnog pristupa omogućuje pokretanje snimanja korisničke sesije za RDP ili konzolni pristup (fizičko povezivanje s računalom ili putem načina konzole hipervizora) koji ne prolazi izravno kroz CyberElements Bastion.

Ako korisnik ima dozvolu za pristup poslužitelju, njegova će se sesija snimati. Ako to nije slučaj, korisnik će prema zadanim postavkama biti odspojen.

Da bi agent za snimanje radio u načinu izravnog pristupa, potreban je certifikat x509. Taj certifikat mora ispunjavati sljedeće zahtjeve:

• Certifikat mora i dalje biti valjan (razdoblje valjanosti nije isteklo).
• Certifikat mora biti vrste (polje poboljšanog korištenja ključa) client authentication (OID: 1.3.6.1.5.5.7.3.2).
• Certifikat ne smije biti opozvan.
• Ograničenja koja proizlaze iz razine sigurnosti 2 biblioteke OpenSSL podrazumijevaju sljedeće:
  • Certifikat mora imati privatni ključ od najmanje 2048 bitova sa šiframa RSA, DSA i DH; ključevi eliptičke krivulje (ECC) moraju imati najmanje 224 bita.
  • Potpis certifikata ne smije biti MD5 ni SHA-1 (preporučuje se SHA-512).
• Poslužitelj za snimanje koristit će polje Common Name (CN) za identifikaciju certifikata, a time i računala na kojem se pokreće izravno snimanje. To polje mora biti popunjeno.

Konfiguracije putem ključeva registra

Neke globalne postavke dostupne su u ključevima registra i utječu na rad agenta za snimanje, kako pri upotrebi s aplikacijama tako i pri izravnom pristupu.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError

Definira ponašanje agenta za snimanje kada se zatvori snimač sesije. Ako je navedena vrijednost 0 (zadano ponašanje), pri zatvaranju snimača zatvara se korisnikova sesija. Ako je navedena vrijednost 1, pri zatvaranju snimača prekida se veza s korisnikovom sesijom.

SessionEndTimeout

Definicija vremena (u sekundama) za zatvaranje korisnikove sesije prije prisilnog gašenja sesije. Prema zadanim postavkama taj je parametar postavljen na 10 sekundi.

Konfiguracija za rad s aplikacijama RDP i HTML5 RDP

U ovom načinu rada razmjena između usluge Mediation Controller, komponente Edge Gateway i agenta za snimanje odvija se na sljedeći način:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Poslužitelj RDP<br/>Agent snimanja

    MED->>+GW: Slanje podataka za prijavu <br/>na poslužitelj RDP zajedno s podacima za prijavu <br/>za agenta snimanja
    GW->>AGENT: Uspostavljanje veze RDP
    GW->>-AGENT: Slanje podataka za prijavu <br/>usluzi snimanja komponente Edge Gateway
    AGENT->>+GW: Povezivanje s uslugom snimanja
    GW->>-AGENT: Slanje informacija o filtriranju mreže
    Note over AGENT: Primjena mrežnih <br/>ograničenja na korisnika
    loop Neprekidno snimanje sesije
        AGENT->>+GW: Neprekidno slanje videosnimke <br/>+ događaja sesije
        Note over GW: Neprekidno dodavanje videosnimke <br/>u privremeni direktorij za pohranu
        GW->>-MED: Slanje primljenih događaja sesije
        Note over MED: Bilježenje događaja <br/>u bazu podataka organizacije
    end 
    break Kraj sesije
        AGENT->>GW: Slanje informacije da je <br/>korisnik završio svoju sesiju RDP
        Note over GW: Videosnimka se premješta <br/>u direktorij arhive
        GW->>MED: Obavijest o kraju sesije korisnika
        Note over MED: Sesija korisnika prelazi <br/>iz izravnog prijenosa u arhivu
    end

Hold "Ctrl" to enable pan & zoom

1. Usluga Mediation Controller komponenti Edge Gateway pruža informacije o povezivanju za ciljni poslužitelj RDP. Uključuje i informacije o povezivanju kojima raspolaže za povezivanje s uslugom snimanja (FQDN komponente Edge Gateway).
2. Komponenta Edge Gateway pokreće vezu s poslužiteljem RDP.
3. Komponenta Edge Gateway agentu za snimanje šalje informacije o povezivanju za svoju uslugu snimanja.
4. Agent za snimanje pokreće vezu s uslugom snimanja.
5. Nakon povezivanja agenta usluga snimanja vraća popis ograničenja mrežnih tokova koja treba primijeniti na sesiju. Nakon primitka agent za snimanje primjenjuje ih na korisnikovu sesiju.
6. Agent za snimanje neprekidno i u stvarnom vremenu prenosi videosnimku korisnikove sesije i sve događaje sesije (npr. pritiske tipki ili pokretanja programa) na uslugu snimanja. Usluga snimanja pohranjuje videosnimku u privremeni direktorij.
7. Usluga snimanja prijavljuje različite događaje sesije usluzi Mediation Controller, koja ih zatim bilježi u bazu podataka organizacije.
8. Kada korisnikova sesija RDP završi, agent za snimanje o tome obavještava uslugu snimanja. Usluga snimanja zatim premješta snimljeni videozapis u direktorij arhive snimaka korisnika.
9. Usluga snimanja usluzi Mediation Controller prijavljuje završetak korisnikove sesije. Sesija stoga više nije vidljiva u prikazu Live Streaming modula Control Center, nego prelazi u Archives.

U tom je slijedu ključno da agent za snimanje primi ispravne informacije o povezivanju za uslugu snimanja komponente Edge Gateway. Te se informacije nalaze u postavkama komponente Edge Gateway, u polju FQDN:

U to polje unesite DNS naziv koji će poslužitelji RDP moći razriješiti.

Važno

Certifikat dodijeljen usluzi snimanja Careserver mora obuhvaćati naziv naveden u polju FQDN. U suprotnom agent za snimanje smatrat će vezu nesigurnom i neće pokrenuti snimanje sesije.

Konfiguracija za rad s izravnim pristupom

U ovom načinu rada razmjena između usluge Mediation Controller, komponente Edge Gateway i agenta za snimanje odvija se na sljedeći način:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Poslužitelj RDP<br/>Agent snimanja

    Note over AGENT: Otkrivanje nove <br/>sesije koju treba snimiti
    AGENT->>+GW: Povezivanje s uslugom snimanja
    GW->>-MED: Obavijest o novoj vezi <br/>s izravnim pristupom za korisnika X
    alt Ako korisnik X ima ovlaštenje
        MED->>+GW: Slanje informacije da korisnik X <br/>ima ovlaštenje za povezivanje i slanje <br/>popisa mrežnih filtara koje treba primijeniti
        GW->>-AGENT: Slanje informacija o filtriranju <br/>mreže i autorizaciji veze <br/>za korisnika X
        Note over AGENT: Primjena mrežnih <br/>ograničenja na korisnika X
        loop Neprekidno snimanje sesije
            AGENT->>+GW: Neprekidno slanje videosnimke <br/>+ događaja sesije
            Note over GW: Neprekidno dodavanje videosnimke <br/>u privremeni direktorij za pohranu
            GW->>-MED: Slanje primljenih događaja sesije
            Note over MED: Bilježenje događaja <br/>u bazu podataka organizacije
        end 
        break Kraj sesije
            AGENT->>GW: Slanje informacije da je <br/>korisnik X završio svoju sesiju RDP
            Note over GW: Videosnimka se premješta <br/>u direktorij arhive.
            GW->>MED: Obavijest o kraju sesije korisnika
            Note over MED: Sesija korisnika prelazi <br/>iz izravnog prijenosa u arhivu
        end
    else If user X is not authorized
        MED->>+GW: Slanje informacije da korisnik <br/>X nema ovlaštenje za prijavu
        GW->>-AGENT: Slanje obavijesti o <br/>odbijanju prijave korisnika X
        Note over AGENT: Odjava korisnika X
    end

Hold "Ctrl" to enable pan & zoom

1. Agent za snimanje otkriva novu sesiju i pokreće vezu s uslugom snimanja jedne komponente Edge Gateway.
2. Komponenta Edge Gateway šalje informacije o povezivanju (korisničko ime i CN certifikata koji koristi agent za snimanje) usluzi Mediation Controller. Usluga Mediation Controller odgovorit će na dva različita načina, ovisno o postavkama prava pristupa.
3. Ako je korisnik ovlašten za povezivanje s poslužiteljem, usluga Mediation Controller komponenti Edge Gateway vraća mogući pristup za tog korisnika i popis mrežnih filtara koje treba primijeniti.
4. Komponenta Edge Gateway vraća te informacije agentu za snimanje. Nakon primitka agent za snimanje primjenjuje mrežne filtre na korisnikovu sesiju.
5. Agent za snimanje neprekidno i u stvarnom vremenu prenosi videosnimku korisnikove sesije i sve događaje sesije (npr. pritiske tipki ili pokretanja programa) na uslugu snimanja. Usluga snimanja pohranjuje videosnimku u privremeni direktorij.
6. Usluga snimanja prijavljuje različite događaje sesije usluzi Mediation Controller, koja ih zatim bilježi u bazu podataka organizacije.
7. Kada korisnikova sesija RDP završi, agent za snimanje o tome obavještava uslugu snimanja. Usluga snimanja zatim premješta snimljeni videozapis u direktorij arhive snimaka korisnika.
8. Usluga snimanja usluzi Mediation Controller prijavljuje završetak korisnikove sesije. Sesija stoga više nije vidljiva u prikazu Live Streaming modula Control Center, nego prelazi u Archives.
9. Ako korisnik nije ovlašten za povezivanje s poslužiteljem, usluga Mediation Controller komponenti Edge Gateway prijavljuje neovlašteni pristup za tog korisnika.
10. Komponenta Edge Gateway prosljeđuje informacije agentu za snimanje, koji prekida vezu s korisnikovom sesijom.

Ključevi registra

Bez obzira na način instalacije, agent za snimanje ima sve komponente potrebne za sve predviđene načine rada. Stoga, kako bi radio u načinu izravnog pristupa, čita sljedeće ključeve registra kako bi utvrdio svoju konfiguraciju:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Naziv certifikata koji će agent za snimanje koristiti za povezivanje s uslugom snimanja komponente Edge Gateway. Prema zadanim postavkama, kao i ako nije definiran, agent će pokušati upotrijebiti certifikat s nazivom računala.

LogOffOnFailure

Određuje ponašanje agenta kada se ne može povezati s komponentom Edge Gateway ili ako korisnik nije ovlašten za povezivanje s računalom. Uz 0 neće doći do prekida veze, dok će se uz 1 veza korisnika prekinuti (zadano ponašanje).

RecordedSessions

Definicija vrsta sesija na koje se primjenjuje snimanje:

• none: neće se izvoditi nikakvo snimanje izravnog pristupa (zadana postavka).
• remote: svaki RDP pristup računalu pokrenut će snimanje.
• all: RDP pristup i pristup putem konzole (fizički pristup računalu ili iz načina konzole hipervizora) pokrenut će snimanje.

Koje su vrijednosti ključeva potrebne za izravni pristup?

Jedina vrijednost ključa potrebna za omogućivanje mehanizma izravnog pristupa jest RecordedSessions s vrijednošću remote ili all. Imajte na umu da, ovisno o okruženju, može biti potrebna i vrijednost ključa MachineName.

Certifikat računala

Agent za snimanje pokušat će upotrijebiti certifikat za provjeru autentičnosti kod usluge snimanja. Taj certifikat mora biti instaliran u osobnim certifikatima računala.

Agent će upotrijebiti certifikat čiji naziv odgovara vrijednosti ključa MachineName (pogledajte prethodno poglavlje), a ako ona nije definirana, pokušat će upotrijebiti certifikat s nazivom računala.

Deklariranje komponenti Edge Gateway kojima se agent može obratiti

Agent za snimanje koristi lokalne informacije kako bi utvrdio popis poslužitelja Edge Gateway kojima se treba obratiti radi prijenosa snimaka korisničkih sesija.

Da biste izmijenili popis poslužitelja Edge Gateway kojima se može obratiti, najprije morate zaustaviti uslugu CleanroomAgent.

Upozorenje!

Zaustavljanje usluge CleanroomAgent uzrokuje završetak snimanja trenutačnih sesija na poslužitelju, a nove sesije otvorene na poslužitelju neće se snimati.

Uslugu je moguće zaustaviti putem programa PowerShell (potrebna su administratorska prava):

Stop-Service CleanroomAgent

Nakon zaustavljanja usluge izmijenite ili stvorite sljedeću datoteku [RECORDING_AGENT_DIR]\gateways.xml, pri čemu je [RECORDING_AGENT_DIR] instalacijski direktorij agenta za snimanje. Uz zadani instalacijski direktorij datoteka mora postojati ili biti stvorena na ovom mjestu:

• CyberElements Bastion: C:\Program Files (x86)\Systancia\Safe\gateways.xml

Ova XML datoteka sastoji se od oznake gateways i onoliko oznaka element koliko ima komponenti Edge Gateway kojima se agent može obratiti.

Primjer

Ako se agent za snimanje mora obratiti komponenti Edge Gateway s FQDN-om edge-gateway-1.domain.local, XML datoteka izgledala bi ovako:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

No ako bi se trebalo obratiti dvjema komponentama Edge Gateway, edge-gateway-1.domain.local i edge-gateway-2.domain.local, datoteka bi izgledala ovako:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Nakon ispravne izmjene datoteke gateways.xml ponovno pokrenite uslugu CleanroomAgent:

Start-Service CleanroomAgent

Konfiguriranje usluge snimanja za provjeru autentičnosti certifikata iz infrastrukture PKI treće strane

Prema zadanim postavkama usluga snimanja valjanima smatra samo certifikate koje je izdala infrastruktura PKI tvrtke Systancia. Da biste koristili certifikate drugog certifikacijskog tijela (CA), morate slijediti korake za dodavanje certifikacijskog tijela u direktorij specifičan za komponentu Edge Gateway.

Kada se certifikat ili certifikati CA nalaze na ispravnom mjestu, preostaje samo ponovno pokrenuti uslugu snimanja, opet kao superkorisnik root:

Upozorenje!

Ponovno pokretanje ove usluge zaustavit će trenutačne sesije i prekinuti gotovo sve njih. Sljedeću naredbu izvršite samo kada kroz komponentu Edge Gateway ne prolazi nijedna korisnička sesija, kako ne biste utjecali na korisnike.

systemctl restart ipdivacarerecord

Nakon ponovnog pokretanja usluge snimanja možete pregledom zapisnika usluge provjeriti jesu li nova certifikacijska tijela ispravno uzeta u obzir:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

Dobiveni zapisi na kraju retka navode nazive datoteka certifikata koje je učitala usluga snimanja.

Primjer

Nakon dodavanja dvaju certifikacijskih tijela pod nazivima MY-CA-ROOT.pem i MY-INTERMEDIATE-CA.pem dobiveni zapisi izgledat će ovako (početak zapisa skraćen je, ali sadrži, među ostalim, datum i naziv računala):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem