Konfigūracijos Kerberos armoring palaikymui

Perspėjimas!

Kad būtų naudojamas Kerberos armoring, administratorių paskyros turi būti įtrauktos į grupę Protected Users.
Tai priverčia naudoti Kerberos autentifikavimo protokolą vietoj NTLM. Pirmiausia komponentas Edge Gateway turi būti sukonfigūruotas palaikyti Kerberos autentifikavimą.

Komponento Edge Gateway konfigūravimas Kerberos autentifikavimui palaikyti su paskyromis, įtrauktomis į Protected Users

Kerberos armoring suteikia papildomą pradinių mainų tarp kliento ir KDC (Kerberos Domain Controller) šifravimą, naudodamas su kompiuterio paskyra susietą informaciją.

CyberElements Bastion pageidautina naudoti Debian kompiuteriuose, kurie nėra prijungti prie AD domeno, todėl AD nėra jokios jų kompiuterio paskyros informacijos.
Konfigūraciją Kerberos armoring palaikymui sudaro du etapai:

• Paslaugos kompiuterio paskyros sukūrimas AD
• Kerberos armoring konfigūravimas komponente Edge Gateway, remiantis anksčiau sukurta paskyra

Paslaugos kompiuterio paskyros kūrimas

Informacija

Šiame puslapyje kaip pavyzdys naudojama paslaugos paskyra, pavadinta svc_cyberelements. Pritaikykite toliau pateiktas komandas pagal savo paslaugos paskyros pavadinimą.

Perspėjimas!

Jei norite naudoti PAW darbo stotis, įtraukite šią paslaugos paskyrą į tą patį silosą kaip ir tikslines PAW darbo stotis.

Domeno valdiklyje pirmiausia sukurkite kompiuterio paskyrą su slaptažodžiu, naudojamu Kerberos bilietams generuoti.

Šiai paskyrai sukurti galite naudoti šią Powershell komandą iš domeno valdiklio (paslaugos paskyrai sukurti pritaikykite paslaugos paskyros pavadinimą – pavyzdyje svc_cyberelements – ir norimą OU – pavyzdyje OU=Service_accounts,DC=domain,DC=local):

New-ADComputer -Name svc_cyberelements -SAMAccountName 'svc_cyberelements$' -AccountPassword $Null -Path 'OU=Service_accounts,DC=domain,DC=local'-KerberosEncryptionType AES256 -PasswordNeverExpires $True -Enabled $True

Naudokite šią komandą, kad patikrintumėte, ar kompiuterio paskyra sukurta (pakeiskite svc_cyberelements anksčiau sukurtos paskyros pavadinimu):

Get-ADComputer -Identity svc_cyberelements -Properties Enabled

Tada naudokite Windows įrankį ktpass, kad eksportuotumėte keytab failą, kuriame bus šifravimo raktai, leisiantys šliuzui gauti TGT.

Pavyzdys

Pavyzdys, kaip sukurti failą svc_cyberelements.keytab su kompiuterio paskyra:

ktpass /princ 'svc_cyberelements$@DOMAIN.LOCAL' /mapuser 'svc_cyberelements$@DOMAIN.LOCAL' +rndPass /out svc_cyberelements.keytab /crypto AES256-SHA1 /ptype KRB5_NT_SRV_HST /mapop set

Nepamirškite paskyrų pavadinimų pabaigoje įrašyti simbolių $ ir domeno pavadinimą rašyti didžiosiomis raidėmis (privaloma).

Patvirtinkite visus galimus patvirtinimo raginimus įvesdami y.

Tada iš naujo nustatykite atributo UserPrincipalName reikšmę naudodami šią PowerShell komandą:

Set-ADComputer 'svc_cyberelements$' -UserPrincipalName 'svc_cyberelements$@DOMAIN.LOCAL'

Kerberos armoring konfigūravimas komponente Edge Gateway

Gaukite anksčiau sugeneruotą failą keytab ir nukopijuokite jį į serverį Edge Gateway.
Jei buvo sugeneruoti keli failai keytab, kuriuos reikia naudoti tame pačiame komponente Edge Gateway, sujunkite failus keytab į vieną failą.

Perspėjimas

Faile keytab yra šifravimo raktai. Jį gavęs užpuolikas galėtų apsimesti susieta kompiuterio paskyra ir taip sumažinti infrastruktūros saugą.
Todėl šio failo nereikėtų saugoti niekur kitur, tik komponente Edge Gateway.

Įdėkite failą į aplanką /etc/ipdiva/cleanroom/.

Pakeiskite failo keytab savininkus: vartotoją į ipdivacareuser, o grupę į carerecord, tada pakeiskite failo leidimus (pakeiskite failą keytab pagal savo failo pavadinimą):

chown ipdivacareuser:carerecord /etc/ipdiva/cleanroom/svc_cyberelements.keytab
chmod 640 /etc/ipdiva/cleanroom/svc_cyberelements.keytab

Pakeiskite komponento Edge Gateway konfigūracijos failą /etc/ipdiva/cleanroom/xrdprecord.ini, kad parametru keytab= nurodytumėte kelią iki anksčiau parengto failo keytab.

Pavyzdys

keytab=/etc/ipdiva/cleanroom/svc_cyberelements.keytab

Šiame etape prisijungimas prie privilegijuotų RDP taikomųjų programų režimu be agento (HTML5 ar kitu) turėtų veikti su vartotojų paskyromis, kurios priklauso Protected Users ir todėl reikalauja stipraus Kerberos autentifikavimo. RDP taikomosios programos konfigūracija turi atitikti tam tikras būtinąsias sąlygas.

Kerberos konfigūracijos testavimas

Derinimas

Toliau pateiktos komandos kinit gali pateikti daugiau žurnalų įrašų, įvykdžius šią komandą (galioja, kol SSH arba konsolės seansas atjungiamas):

export KRB5_TRACE=/dev/stdout

Pirmiausia gaukite Kerberos bilietą naudodami komandą, panašią į šią:

kinit -k -t /etc/ipdiva/cleanroom/svc_cyberelements.keytab 'svc_cyberelements$@DOMAIN.LOCAL' -c /tmp/test_kerberos

Būtinai pakeiskite keytab failo vietą, sukurtos paslaugos paskyros pavadinimą ir su ja susietą domeną.

Jei Kerberos bilietas gautas sėkmingai, ši komanda turėtų parodyti, kad paslaugos paskyrai yra bilietas:

klist -c /tmp/test_kerberos

Jei bilietas gautas sėkmingai, reikia pabandyti gauti bilietą vartotojui naudojant komandą, panašią į šią:

kinit -T /tmp/test_kerberos user@DOMAIN.LOCAL

Pakeiskite user@DOMAIN.LOCAL vartotoju, kuris gali jungtis per RDP ir Kerberos armoring. Atkreipkite dėmesį, kad bus paprašyta šio vartotojo slaptažodžio.
Jei bilietas gautas sėkmingai, ši komanda jį parodys:

klist -c

Jei rodoma klaida KDC policy rejects request while getting initial credentials, tai reiškia, kad KDC atmetė bilieto užklausą. Galimos priežastys:

• kinit nepavyko panaudoti bilieto /tmp/test_kerberos (jei kinit negali jo panaudoti, jis be klaidos pranešimo tęsia su paprasta bilieto užklausa)
• Paslaugos paskyros nėra tikrinamo vartotojo silose. Taip nutinka, kai AD suskirstytas į silosus, ir tada reikia, kad paslaugos kompiuterio paskyra būtų įtraukta į atitinkamą silosą.

Papildomos informacijos galima rasti naudojamo domeno valdiklio (KDC) įvykių žurnaluose Security.

Baigus testavimą, rekomenduojama panaikinti sugeneruotus bilietus:

kdestroy
kdestroy -c /tmp/test_kerberos

Kelių keytab failų sujungimas į vieną failą

Jei CyberElements Bastion architektūra paremta vienu Edge Gateway, suteikiančiu prieigą keliems tretiesiems asmenims, visus skirtingoms paslaugų paskyroms sugeneruotus keytab failus reikia sujungti į vieną keytab failą.

Pastaba

Šiame skyriuje laikysime, kad yra šie keytab failai: /root/t0.keytab, /root/t1.keytab ir /root/t2.keytab. Šie failai turi būti nusiųsti į komponentą Edge Gateway.

Norėdami sujungti failus keytab, prisijunkite prie komponento Edge Gateway kaip root, tada naudokite šias komandas:

ktutil
rkt /root/t0.keytab
rkt /root/t1.keytab
rkt /root/t2.keytab
wkt /root/unified.keytab

Komandos rkt leidžia įkelti tiek failų keytab, kiek reikia, o komanda wkt sugeneruoja naują failą keytab.
Pakeiskite failų kelius pagal turimus failus.

Paspauskite klavišą q, kad išeitumėte iš paslaugų programos ktutil.

Gaukite failą unified.keytab ir vykdykite skyriaus Configuring Kerberos shielding on the Edge Gateway nurodymus.