RDP record contracts without agent¶
Modulis RDP record contracts without agent deklaruoja sutartį, kuri leidžia Bastion žinomoms vartotojų grupėms tiesiogiai pasiekti RDP taikomąsias programas be agento arba VNC taikomąsias programas per site (Edge Gateway). Tai ta pati bendroji forma kaip įprastos RDP sutarties, papildyta prieigos tokeno parinktimi; tokeną galima peržiūrėti ir atšaukti atskirame skirtuke.
Tiesioginė prieiga vykdoma naudojant login/domain:application formos prisijungimo vardą (pavyzdžiui, test_user/DOMAIN:t1234). Galima nurodyti tik domenus, kuriuose naudojamas identifikavimas prisijungimo vardu ir slaptažodžiu (SAML domenai atfiltruojami).
Ryšio elgsena
Jei slaptažodis teisingas, o taikomoji programa leidžiama, ji paleidžiama pagal savo konfigūraciją; jei apibrėžti, taikomi Vault pseudonimai. Prireikus rodomi papildomi dialogo langai prisijungimo vardui ir slaptažodžiui (SSO „ask“), komentarui arba – dinaminėms taikomosioms programoms – tiksliniam serveriui įvesti. Kai kurios taikomosios programos parinktys priklauso nuo RDP kliento (skyra, mainų srities peradresavimas, spausdintuvai...) ir šiuo režimu negali būti taikomos; tačiau režimai console ir restrictedadmin taikomi.
Būtinoji sąlyga: įrašymo paslaugos įjungimas komponente Edge Gateway¶
Tiesioginę RDP prieigą tvarko atskiras xrdp egzempliorius komponente Edge Gateway. Jis pagal numatytuosius parametrus neįjungtas: jis klausosi tinkle, o tai be reikalo padidintų šios funkcijos nenaudojančių platformų atakos paviršių. Todėl čia deklaruota sutartis neturi jokio poveikio, kol paslauga neįjungta pasirinktų site komponentuose Edge Gateway.
Kiekviename susijusiame komponente Edge Gateway:
1 | |
Šis egzempliorius taip pat turi žinoti, į kuriuos komponento Edge Gateway egzempliorius kreiptis, kad pasiektų komponentą Mediation Controller: tai failo /etc/ipdiva/careserver/careserver.xml parametras xmlrpc-connect – tas pats, kurį naudoja tiesioginis įrašymas su agentu.
Sutarčių sąrašas¶
Pagrindinėje lentelėje esamos sutartys rodomos puslapiuotame rodinyje (15, 25 arba 50 eilučių puslapyje):
| Stulpelis | Aprašas |
|---|---|
| Name | Sutarties pavadinimas. Prieš pavadinimą rodoma piktograma: spalvota spynelė – įjungtai sutarčiai, bespalvė spynelė – išjungtai sutarčiai. |
| Groups | Pasirinktų vartotojų grupių skaičius. |
| Sites | Pasirinktų site skaičius. |
| Applications | Pasirinktų taikomųjų programų skaičius. |
Išskleidus eilutę, rodoma išsami sutarties informacija: grupės (sugrupuotos pagal domeną), site, kategorijos ir atskiri ištekliai.
Įrankių juostos paieškos laukas filtruoja sąrašą iš karto (paleidžiama praėjus 700 ms po paskutinio klavišo paspaudimo arba iš karto paspaudus klavišą Enter).
Be pridėjimo, redagavimo ir naikinimo, įrankių juostoje siūlomi veiksmai Enable ir Disable: šie masiniai veiksmai taikomi dabartiniam pasirinkimui.
Sutarties pridėjimas¶
Mygtukas + atidaro langą Add Contract su trimis skirtukais, prieš kuriuos pateikiami šie laukai:
| Laukas | Aprašas |
|---|---|
| Name | Privalomas. Eilutė, sudaryta tik iš tarpų, atmetama. |
| Description | Laisvas tekstas. |
| Allow users to use authentication tokens | Leidžia vartotojams pagal šią sutartį gauti pakartotinai naudojamus tokenus. Kai nepažymėta, kitas laukas tampa pilkas. |
| Authentication tokens valididy in days (0 to disable token expiration) | Aktyvus tik tada, kai pažymėtas ankstesnis žymės langelis. Nustačius reikšmę 0, tokenų galiojimas niekada nesibaigia. |
Mygtukas Validate tampa aktyvus tik tada, kai pasirinkta bent viena grupė, vienas site ir viena taikomoji programa.
Dviejų stulpelių sąrašas (kairėje – galimi, dešinėje – pasirinkti elementai) su kombinuotuoju lauku Domain virš kairiojo sąrašo, skirtu grupėms filtruoti pagal autentifikavimo domeną. Pasirenkama vilkant ir numetant. SAML domenai neįtraukiami (būtinas autentifikavimas prisijungimo vardu ir slaptažodžiu).
Dviejų stulpelių sąrašas (kairėje – galimi, dešinėje – pasirinkti elementai). Pasirinkimas vilkant ir numetant ir mygtukas Select all.
Taikomųjų programų kategorijų ir jų taikomųjų programų medis. Pažymėjus kategoriją, iš karto pasirenkamos visos jos taikomosios programos; pažymėjus tik vieną, kategorija paryškinama, taip parodant dalinį pasirinkimą. Atžymėjus kategoriją, atžymimas ir visas jos turinys.
Sukurta sutartis pagal numatytuosius parametrus įjungta.
Sutarties redagavimas¶
Sąraše pasirinkite sutartį ir spustelėkite piktogramą Properties arba dukart spustelėkite eilutę. Lange Contract Edition pateikiami tie patys, iš anksto užpildyti skirtukai. Norėdami įrašyti, spustelėkite Validate.
Sutarties naikinimas¶
Pasirinkite vieną ar kelias sutartis ir spustelėkite mygtuką ×. Prašoma patvirtinimo (tekstas pritaikomas vienaskaitai arba daugiskaitai).
Sutarčių įjungimas arba išjungimas¶
Lentelėje pasirinkite vieną ar kelias eilutes, tada įrankių juostoje spustelėkite Enable arba Disable. Enable pasiekiamas, kai bent viena pasirinkta sutartis išjungta, Disable – kai bent viena pasirinkta sutartis įjungta.
Tiesioginės RDP prieigos tokenai¶
Modulyje RDP direct access tokens pateikiami tokenai, kuriuos vartotojai išdavė pagal RDP be agento sutartis, leidžiančias naudoti tokenus. Jame galima atšaukti tokeną, kol nesibaigė jo galiojimas.
Tokenų sąrašas¶
| Stulpelis | Aprašas |
|---|---|
| Username | Tokeną išdavusio vartotojo identifikatorius. |
| Application | Taikomosios programos, kuriai skirtas tokenas, pavadinimas. |
| Expiration | Galiojimo pabaigos data ir laikas, formatas DD/MM/YYYY HH:MM. |
Sąrašas puslapiuotas (15, 25 arba 50 eilučių puslapyje).
Filtrai ir paieška¶
| Elementas | Aprašas |
|---|---|
| Domain | Galimų domenų kombinuotasis laukas. SAML domenai neįtraukiami. Pradžioje pasirenkamas kaip parametras perduotas domenas, o jei jo nėra – pirmasis sąrašo domenas. |
| Paieškos laukas | Filtras pagal poeilutę. Suaktyvinamas praėjus 700 ms po paskutinio klavišo paspaudimo. |
Tokeno naikinimas¶
Pasirinkite vieną ar kelis tokenus ir spustelėkite mygtuką ×. Prašoma patvirtinimo. Jei komanda nepavyksta, rodomas klaidos pranešimas.
Negrįžtamas veiksmas
Panaikinto tokeno nebegalima naudoti: norėdamas atnaujinti tiesioginę prieigą, vartotojas turi paprašyti naujo tokeno.