RDP record contracts without agent¶
Az RDP record contracts without agent modul olyan szerződést deklarál, amely a Bastion által ismert felhasználói csoportok számára engedélyezi a közvetlen hozzáférést az ügynök nélküli RDP-alkalmazásokhoz vagy a VNC-alkalmazásokhoz egy site-on (Edge Gateway) keresztül. Ugyanaz az általános űrlap, mint egy szokásos RDP-szerződésé, kiegészítve egy hozzáférési token beállítással, amely egy külön lapon megtekinthető és visszavonható.
A közvetlen hozzáférés login/domain:application formájú bejelentkezési névvel történik (például test_user/DOMAIN:t1234). Csak a bejelentkezési név/jelszó alapú azonosítást használó tartományok célozhatók meg (a SAML-tartományokat a rendszer kiszűri).
A kapcsolódás viselkedése
Ha a jelszó helyes, és az alkalmazás engedélyezett, az alkalmazás a konfigurációja szerint indul el; a Vault-aliasokat, ha meg vannak adva, a rendszer figyelembe veszi. Szükség esetén további párbeszédpanelek jelennek meg a bejelentkezési név és a jelszó (SSO „ask”), egy megjegyzés vagy dinamikus alkalmazásoknál a célkiszolgáló megadásához. Egyes alkalmazásbeállítások az RDP-ügyféltől függenek (felbontás, vágólap-átirányítás, nyomtatók, ...), és ebben a módban nem érvényesíthetők; a console és a restrictedadmin mód viszont érvényesül.
Előfeltétel: a rögzítési szolgáltatás bekapcsolása az Edge Gateway komponensen¶
A közvetlen RDP-hozzáférést egy dedikált xrdp-példány kezeli az Edge Gateway komponensen. Ez alapértelmezés szerint nincs bekapcsolva: a hálózaton figyel, ami szükségtelenül növelné azoknak a platformoknak a támadási felületét, amelyek nem használják ezt a funkciót. Az itt deklarált szerződésnek ezért nincs hatása, amíg a szolgáltatást be nem kapcsolják a kiválasztott site-ok Edge Gateway komponensein.
Minden érintett Edge Gateway komponensen:
1 | |
Ennek a példánynak azt is tudnia kell, mely Edge Gateway példányokat kérdezze le a Mediation Controller szolgáltatás eléréséhez: ez a /etc/ipdiva/careserver/careserver.xml fájl xmlrpc-connect beállítása, ugyanaz, amelyet az ügynökös közvetlen rögzítés is használ.
A szerződések listája¶
A fő táblázat lapozható nézetben jeleníti meg a meglévő szerződéseket (oldalanként 15, 25 vagy 50 sor):
| Oszlop | Leírás |
|---|---|
| Name | A szerződés neve. A név előtt egy ikon áll: színes lakat a bekapcsolt, színtelen lakat a kikapcsolt szerződésnél. |
| Groups | A kiválasztott felhasználócsoportok száma. |
| Sites | A kiválasztott site-ok száma. |
| Applications | A kiválasztott alkalmazások száma. |
Egy sor kibontásakor megjelennek a szerződés részletei: csoportok (tartomány szerint csoportosítva), site-ok, kategóriák és egyedi erőforrások.
Az eszköztár keresőmezője menet közben szűri a listát (az utolsó billentyűleütés után 700 ms-mal, vagy az Enter billentyűvel azonnal).
A hozzáadás, a szerkesztés és a törlés mellett az eszköztár az Enable és a Disable műveletet is kínálja: ezek a tömeges műveletek az aktuális kijelölésre vonatkoznak.
Szerződés hozzáadása¶
A + gomb megnyitja az Add Contract ablakot, amelyben a következő mezőket három lap követi:
| Mező | Leírás |
|---|---|
| Name | Kötelező. A csak szóközökből álló karakterláncot a rendszer elutasítja. |
| Description | Szabad szöveg. |
| Allow users to use authentication tokens | Lehetővé teszi, hogy a felhasználók e szerződés keretében újrafelhasználható tokeneket kapjanak. Ha nincs bejelölve, a következő mező szürkén jelenik meg. |
| Authentication tokens valididy in days (0 to disable token expiration) | Csak akkor aktív, ha az előző jelölőnégyzet be van jelölve. A 0 érték esetén a tokenek soha nem járnak le. |
A Validate gomb csak akkor aktív, ha legalább egy csoport, egy site és egy alkalmazás ki van választva.
Kétoszlopos lista (bal oldalon az elérhető, jobb oldalon a kiválasztott elemek), a bal oldali lista fölött egy Domain kombinált listával, amellyel a csoportok hitelesítési tartomány szerint szűrhetők. A kiválasztás húzással történik. A SAML-tartományok ki vannak zárva (bejelentkezési név/jelszó alapú hitelesítés szükséges).
Kétoszlopos lista (bal oldalon az elérhető, jobb oldalon a kiválasztott elemek). Kiválasztás húzással, valamint egy Select all gomb.
Az alkalmazások kategóriáinak és alkalmazásainak fája. Egy kategória bejelölése egyszerre kijelöli az összes alkalmazását; egyetlen alkalmazás bejelölése félkövérre állítja a kategóriát, jelezve a részleges kijelölést. Egy kategória jelölésének törlése a teljes tartalmáról is törli a jelölést.
Létrehozáskor a szerződés alapértelmezés szerint be van kapcsolva.
Szerződés módosítása¶
Jelölje ki a szerződést a listában, és kattintson a Properties ikonra, vagy kattintson duplán a sorra. A Contract Edition ablak ugyanazokat a lapokat kínálja, előre kitöltve. A mentéshez kattintson a Validate gombra.
Szerződés törlése¶
Jelöljön ki egy vagy több szerződést, és kattintson a × gombra. A rendszer megerősítést kér (a felirat az egyes vagy a többes számhoz igazodik).
Szerződések be- és kikapcsolása¶
Jelöljön ki egy vagy több sort a táblázatban, majd kattintson az eszköztár Enable vagy Disable gombjára. Az Enable akkor érhető el, ha legalább egy kijelölt szerződés ki van kapcsolva, a Disable pedig akkor, ha legalább egy kijelölt szerződés be van kapcsolva.
Közvetlen RDP-hozzáférési tokenek¶
Az RDP direct access tokens modul felsorolja azokat a tokeneket, amelyeket a felhasználók a tokeneket megengedő, ügynök nélküli RDP-szerződések keretében állítottak ki. Lehetővé teszi egy token visszavonását a lejárata előtt.
Tokenlista¶
| Oszlop | Leírás |
|---|---|
| Username | A tokent kiállító felhasználó azonosítója. |
| Application | A token által célzott alkalmazás neve. |
| Expiration | Lejárati dátum és időpont, DD/MM/YYYY HH:MM formátumban. |
A lista lapozható (oldalanként 15, 25 vagy 50 sor).
Szűrők és keresés¶
| Elem | Leírás |
|---|---|
| Domain | Az elérhető tartományok kombinált listája. A SAML-tartományok ki vannak zárva. Kezdetben a paraméterként átadott tartomány van kiválasztva, ennek hiányában a lista első tartománya. |
| Keresőmező | Részkarakterlánc-szűrő. Az utolsó billentyűleütés után 700 ms-mal indul. |
Token törlése¶
Jelöljön ki egy vagy több tokent, és kattintson a × gombra. A rendszer megerősítést kér. Ha a parancs sikertelen, hibaüzenet jelenik meg.
Visszafordíthatatlan művelet
A törölt token többé nem használható: a felhasználónak újat kell kérnie a közvetlen hozzáférés megújításához.