Windows įrašymo agento įdiegimas¶

CyberElements Bastion naudoja Windows įrašymo agentą, kad pridėtų naujų RDP seansų funkcijų:

Galimybė filtruoti vartotojui pasiekiamus TCP ir UDP srautus
Galimybė paleisti seanso įrašymą bet kuriam prie serverio prisijungiančiam vartotojui, nenaudojant vartotojo portalo arba kliento programos Desktop (funkcija direct access)

Be to, vartotojų seansų metu fiksuojami papildomi įvykiai:

Langų atidarymas
Langų uždarymas
Programų paleidimas
Programų uždarymas
Mainų srities turinys
Vartotojo veikla

Būtinosios sąlygos¶

Kliento suderinamumas

Norėdami sužinoti, ar agentas suderinamas su įvairiomis Microsoft Windows operacinėmis sistemomis, žr. suderinamumo matricą.

Kad įrašymo agentas tinkamai veiktų, turi būti įvykdytos kelios būtinosios sąlygos. Kai kurios iš jų skirtos tik įrašymo su agentu funkcijai RDP ir HTML5 RDP taikomosioms programoms, o kitos susijusios su tiesiogine prieiga su agentu.

Bendrosios būtinosios sąlygos¶

Įrašymo agentas siunčia vartotojo seanso įrašą atgal į CyberElements Bastion, prisijungdamas prie Edge Gateway per prievadą TCP 8443. Tam reikia, kad tinklo srautas tarp šių dviejų kompiuterių būtų atidarytas.

Kad saugiai išsiųstų įrašą atgal į komponentą Edge Gateway, įrašymo agentas užmezga su juo saugų ryšį naudodamas TLS. TLS remiasi sertifikatų naudojimu, ir, kad ryšys būtų laikomas patikimu ir saugiu, turi būti įvykdytos šios sąlygos:

Serverio, šiuo atveju Edge Gateway, sertifikato galiojimas neturi būti pasibaigęs (didžiausia galiojimo data).

Serverio, šiuo atveju Edge Gateway, sertifikatą turi būti išdavusi sertifikavimo institucija, kurią kompiuteris, kuriame įdiegtas įrašymo agentas, pripažįsta patikima.

Papildoma informacija

Serverio, kuriame įdiegtas įrašymo agentas, vietinėje patikimų sertifikavimo institucijų saugykloje turi būti bent įrašymo serverio sertifikato šakninė sertifikavimo institucija (CA).

Todėl reikia:

Gauti sertifikato šakninę CA iš Edge Gateway įrašymo paslaugos.
Įkelti šią CA į serverį, kuriame įdiegtas įrašymo agentas.
Įdiegti CA vietinio kompiuterio sertifikatų saugykloje „Trusted Root Certification Authorities“.

Pavyzdys su PowerShell

Sertifikatą .cer formatu galite lengvai importuoti naudodami PowerShell.
Norėdami tai padaryti, atidarykite PowerShell terminalą kaip kompiuterio administratorius ir paleiskite šią komandą:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Pakeiskite <PATH_TO_CERT> sertifikato failo keliu.

Pavyzdys su PowerShell Systancia sertifikatui, nesiunčiant failų

Šiame pavyzdyje diegiama Systancia šakninė CA, kurią naudoja CyberElements Bastion klientai, naudojantys Systancia pateiktus sertifikatus.

Sertifikatą taip pat galima importuoti nesiunčiant / neatsisiunčiant failo į kompiuterį, kuriame įdiegtas įrašymo agentas.
Norėdami tai padaryti, atidarykite PowerShell terminalą kaip kompiuterio administratorius ir paleiskite šias komandas:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
hmOVxbu5Ijfug5/3Eemep34NsYk="

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Norėdami šį metodą naudoti su kita CA, pakeiskite kintamojo base64Cert reikšmę pasirinktu base 64 koduotės sertifikatu.

Serverio, šiuo atveju Edge Gateway, sertifikatas neturi būti atšauktas.
Kompiuteris, kuriame įdiegtas įrašymo agentas, turi galėti susisiekti su serveriu, šiuo atveju Edge Gateway, naudodamas DNS vardą arba IP adresą, kurį apima serverio sertifikato Common Name (CN).

Specialiosios būtinosios sąlygos RDP taikomosioms programoms su agentais, naudojamoms macOS arba Ubuntu vartotojo darbo stotyje¶

Perspėjimas

Toliau nurodytos būtinosios sąlygos reikalingos tik tada, jei vartotojas paleidžia RDP taikomąją programą su agentu, o jo darbo stotis nėra Windows (macOS arba Ubuntu).

Jei CyberElements Bastion vartotojų darbo stotyse veikia tik Windows arba, jei ne, jie naudoja tik HTML5 RDP taikomąsias programas, šių būtinųjų sąlygų galima nepaisyti.

Paskirties serveryje, kuriame įdiegtas įrašymo agentas, reikalingi šie registro raktai.

Pirmiausia pirmasis raktas išjungia leidžiamų paleisties programų sąrašą (Microsoft dokumentas). Pagal numatytuosius parametrus Windows kompiuteris leidžia tik explorer.exe kaip paleisties programą.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Jei kompiuteris nėra RDS serveris, visada rekomenduojama taikyti šį registro raktą, kad įrašymo agentą būtų galima atidaryti kaip paleisties programą:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Specialieji tiesioginės prieigos reikalavimai¶

Tiesioginės prieigos funkcija

Tiesioginės prieigos funkcija leidžia paleisti vartotojo seanso įrašymą RDP arba konsolės prieigai (fiziniam prisijungimui prie kompiuterio arba per hipervizoriaus konsolės režimą), kuri nevyksta tiesiogiai per CyberElements Bastion.

Jei vartotojas turi leidimą pasiekti serverį, jo seansas bus įrašomas. Jei ne, pagal numatytuosius parametrus vartotojas bus atjungtas.

Kad įrašymo agentas veiktų tiesioginės prieigos režimu, reikalingas x509 sertifikatas. Šis sertifikatas turi atitikti šiuos reikalavimus:

Sertifikatas vis dar turi galioti (galiojimo laikotarpis nepasibaigęs).
Sertifikato tipas (išplėstinio rakto naudojimo laukas) turi būti client authentication (OID: 1.3.6.1.5.5.7.3.2).
Sertifikatas neturi būti atšauktas.
Iš OpenSSL 2 saugos lygio kylantys apribojimai reiškia, kad:
- Sertifikato privatusis raktas, naudojant RSA, DSA ir DH šifrus, turi būti bent 2048 bitų; elipsinių kreivių (ECC) raktai turi būti bent 224 bitų.
- Sertifikato parašas negali būti MD5 arba SHA-1 (pageidautina SHA-512).
Įrašymo serveris naudos lauką Common Name (CN) sertifikatui, taigi ir kompiuteriui, kuriame paleidžiamas tiesioginis įrašymas, identifikuoti. Šis laukas turi būti užpildytas.

Rankinis įdiegimas viename kompiuteryje¶

Reikia administratoriaus teisių

Agentui įdiegti reikia administratoriaus teisių.

Prieš įdiegdami agentą, turite jį atsisiųsti iš administravimo konsolės:

Atidarykite darbo sritį „Configurations“ naudodami mygtuką viršuje kairėje:
Atidarykite plytelę „Toolbox“
Pirmajame skirtuke „Integration Tools“ pasirinkite norimai operacinei sistemai tinkamą sąrankos programą

Atsisiuntę agentą, atlikite šiuos veiksmus:

Paleiskite sąrankos programą setup_CleanroomAgent.exe kompiuteryje, kuriame norite įdiegti įrašymo agentą.
Pirmajame lange spustelėkite Next:
Sutikite su naudojimo sąlygomis:
Trečiajame ekrane, jei reikia, pakeiskite agento diegimo katalogą:
Ketvirtajame ekrane rodomos agento diegimo tiesioginės prieigos režimu parinktys:

Enable Direct Access

Agento tiesioginės prieigos funkcijos įjungimas.

Recorded Sessions

Laisvas laukas, kuriame galima nurodyti vieną iš trijų reikšmių, nustatančių, kada turi būti paleidžiamas tiesioginės prieigos įrašymas:
- none: tiesioginė prieiga nebus įrašoma.
- remote: įrašymą paleis bet kokia RDP prieiga prie kompiuterio.
- all: įrašymą paleis tiek RDP prieiga, tiek prieiga per konsolę (fizinė prieiga prie kompiuterio arba iš hipervizoriaus konsolės režimo).
Logoff On Failure

Parinktis atjungti vartotojo seansą, jei įrašymo nepavyksta inicijuoti, jis nutrūksta arba vartotojas neturi autorizavimo jungtis prie kompiuterio.

Rekomendacija

Pirmųjų įdiegimų metu arba kai neaišku, ar įvykdytos būtinosios sąlygos, šios parinkties geriau nežymėti. Priešingu atveju, iškilus problemai dėl būtinųjų sąlygų ar parametrų, nauji prisijungimai prie serverio iš karto atjungs vartotoją (priklausomai nuo Recorded Sessions parametrų).

Informacija

Tiesioginės prieigos funkciją galima įjungti ir po įdiegimo. Žr. agento registro raktų parametrus.
Galiausiai penktajame ekrane diegimas prasidės spustelėjus mygtuką Install:

Įdiegtą agentą reikia papildomai sukonfigūruoti: Sukonfigūruokite agentą

Diegimas iš administravimo konsolės¶

Reikia administratoriaus teisių

Agentui įdiegti reikia administratoriaus teisių tiksliniame kompiuteryje.

Papildoma būtinoji sąlyga

Agentas į tikslinį kompiuterį diegiamas naudojant protokolą SMB. Todėl tarp komponento Edge Gateway ir šio tikslinio serverio turi būti atidarytas SMB srautas (TCP 445).

Diegimas viename serveryje¶

Agentą galima įdiegti atskirai iš dviejų administravimo konsolės vietų. Tai leidžia jį iš anksto sukonfigūruoti dviem veikimo būdams:

Naudojimas su RDP ir HTML5 RDP taikomosiomis programomis: parengti agentą taip, kad jis galėtų įrašyti vartotojų, naudojančių RDP ir HTML5 RDP taikomąsias programas, seansus.
Naudojimas tiesioginės prieigos režimu: parengti agentą taip, kad jis, be ankstesnio veikimo būdo, galėtų įrašyti ir vartotojų, tiesiogiai prisijungiančių prie RDP serverio, seansus.

Naudojimui su RDP ir HTML5 RDP taikomosiomis programomis¶

Kai RDP arba HTML5 RDP taikomoji programa sukonfigūruota veikti su agentu, pasirinkus taikomąją programą atsiranda galimybė įdiegti agentą:

Spustelėjus agento diegimo mygtuką, atsiveria naujas langas, kuriame prašoma šios informacijos:

Target server: Tikslinio serverio, kuriame turi būti įdiegtas įrašymo agentas, IP adresas arba DNS vardas. Pagal numatytuosius parametrus šiame lauke naudojama RDP arba HTML5 RDP taikomojoje programoje nurodyto serverio informacija.
Target drive: Windows disko, kuriame bus įdiegtas agentas, raidė. Paprastai tai raidė C, naudojama agentui įdiegti diske C:\.
Target directory: Kelias į agento diegimo katalogą; jei jo nėra, jis bus sukurtas. Numatytoji CyberElements Bastion agento vieta yra Program Files (x86)\Systancia\Safe.
Gateway: Nurodykite komponentą Edge Gateway, naudotiną agentui įdiegti.
Domain: Domeno, kuriame yra agentui įdiegti naudojama administravimo paskyra, pavadinimas.
Username: Administratoriaus paskyros, naudotinos agentui įdiegti, pavadinimas. Ši paskyra turi galėti diegti programas tiksliniame serveryje.
Password: Administratoriaus paskyros slaptažodis.

Įvedus visą informaciją, galima paleisti agento diegimą. Paskutiniame lange bus nurodyta, ar agentas tiksliniame serveryje įdiegtas sėkmingai.

Gali prireikti papildomų parametrų. Žr. šį skyrių: Sukonfigūruokite agentą

Naudojimui tiesioginės prieigos režimu + RDP ir HTML5 RDP taikomosioms programoms¶

Tiesioginės prieigos ekrano dalyje Machine management yra mygtukas, leidžiantis įdiegti agentą:

Spustelėjus agento diegimo mygtuką, atsiveria naujas langas, kuriame prašoma šios informacijos:

Target server

Tikslinio serverio, kuriame turi būti įdiegtas įrašymo agentas, IP adresas arba DNS vardas. Pagal numatytuosius parametrus šiame lauke naudojama RDP arba HTML5 RDP taikomojoje programoje nurodyto serverio informacija.

Target drive

Windows disko, kuriame bus įdiegtas agentas, raidė. Paprastai tai raidė C, naudojama agentui įdiegti diske C:\.

Target directory

Kelias į agento diegimo katalogą; jei jo nėra, jis bus sukurtas. Numatytoji CyberElements Bastion agento vieta yra Program Files (x86)\Systancia\Safe.

Gateway

Nurodykite komponentą Edge Gateway, naudotiną agentui įdiegti.

Domain

Domeno, kuriame yra agentui įdiegti naudojama administravimo paskyra, pavadinimas.

Username

Administratoriaus paskyros, naudotinos agentui įdiegti, pavadinimas. Ši paskyra turi galėti diegti programas tiksliniame serveryje.

Password

Administratoriaus paskyros slaptažodis.

Sessions to record

Konteksto, kuriame bus įrašomas seansas, apibrėžimas:

Record remote sessions (RDS) only: įrašoma bus tik nuotolinė RDP prieiga.
Record all sessions: įrašomi bus nuotoliniai RDP seansai ir konsolės režimo seansai (fizinė prieiga prie kompiuterio arba iš hipervizoriaus konsolės režimo).
Record no sessions: jokie tiesioginiai prisijungimai prie serverio nebus įrašomi, tačiau agentą vis tiek galima naudoti prieigai per RDP ir HTML5 RDP taikomąsias programas.

Use a different certificate than the target

Parinktis nurodyti sertifikato, kurį agentas naudos autentifikuodamasis komponente Edge Gateway, pavadinimą. Jei jis nenurodytas, agentas ieškos sertifikato serverio pavadinimu.

Close the session if no gateway could be contacted

Parinktis atjungti vartotoją ir užbaigti jo seansą (priklausomai nuo Sessions to record parametrų), jei Edge Gateway nepasiekiamas arba vartotojas neturi autorizavimo jungtis prie serverio.

Rekomendacija

Pirmųjų įdiegimų metu arba kai neaišku, ar įvykdytos būtinosios sąlygos, šios parinkties geriau nežymėti. Priešingu atveju, iškilus problemai dėl būtinųjų sąlygų ar parametrų, nauji prisijungimai prie serverio iš karto atjungs vartotoją (priklausomai nuo Sessions to record parametrų).

Įvedus visą informaciją, galima paleisti agento diegimą. Paskutiniame lange bus nurodyta, ar agentas tiksliniame serveryje įdiegtas sėkmingai.

Gali prireikti papildomų parametrų. Žr. šį skyrių: Sukonfigūruokite agentą

Diegimas keliuose serveriuose¶

Informacija

Šiuo būdu įrašymo agentą galima įdiegti tik darbui su RDP ir HTML5 RDP taikomosiomis programomis. Kad agentas veiktų tiesioginės prieigos režimu, konfigūraciją reikės įdiegti kitomis priemonėmis (pvz., GPO).

Papildoma būtinoji sąlyga

Diegimas keliuose serveriuose galimas tik kompiuteriuose, priklausančiuose AD domenui, kuris savo ruožtu sukonfigūruotas CyberElements Bastion srityje Authentication Domains, įjungus parinktį Allow RDS Server Management.

Dalyje Management of RDS servers pridėkite vieną ar kelis naujus RDS serverius:

Raskite serverius, kuriuose reikia įdiegti įrašymo agentą, ir pridėkite juos nuvilkdami į dešiniąją sritį. Pasirinkite parinktį Deploy an agent:

Sukonfigūruokite agento diegimo informaciją:

Target drive: Windows disko, kuriame bus įdiegtas agentas, raidė. Paprastai tai raidė C, naudojama agentui įdiegti diske C:\.
Target directory: Kelias į agento diegimo katalogą; jei jo nėra, jis bus sukurtas. Numatytoji CyberElements Bastion agento vieta yra Program Files (x86)\Systancia\Safe.
Gateway: Nurodykite komponentą Edge Gateway, naudotiną agentui įdiegti.
Domain: Domeno, kuriame yra agentui įdiegti naudojama administravimo paskyra, pavadinimas.
Username: Administratoriaus paskyros, naudotinos agentui įdiegti, pavadinimas. Ši paskyra turi galėti diegti programas tiksliniame serveryje.
Password: Administratoriaus paskyros slaptažodis.

Gali prireikti papildomų parametrų. Žr. šį skyrių: Sukonfigūruokite agentą