Komponento Edge Gateway konfigūravimas Kerberos autentifikavimui įjungti¶
Rekomenduojama AD domeno administratorių paskyras įtraukti į grupę Protected Users. Įtraukus šias paskyras į Protected Users, NTLM ryšiai nebegalimi ir bus naudojamas Kerberos protokolas.
Kad šis pakeitimas būtų pritaikytas CyberElements Bastion, Edge Gateway serveriuose reikia sukonfigūruoti paketą krb5-config, kad jie galėtų naudoti Kerberos.
Pastaba
Kad ši dalis veiktų, tarp serverių Edge Gateway ir AD domeno valdiklio serverio turi būti atidarytas Kerberos srautas (šis serveris veikia kaip KDC, Kerberos Domain Controller).
Primename, kad pagal numatytuosius parametrus tai srautas UDP 88. Toliau pateikta konfigūracija Kerberos informaciją gauna per DNS, todėl reikia ir srauto UDP 53.
Naudokite šią komandinę eilutę:
1 | |
Nurodykite Kerberos sritį (realm), didžiosiomis raidėmis įvesdami savo domeno pavadinimą (FQDN).
Pavyzdys
domenas: domain.local
realm: DOMAIN.LOCAL
Tada atsakykite <NO>, kad nereikėtų atlikti jokių rankinių konfigūracijų. Tokiu atveju visa su Kerberos susijusi informacija bus gauta per DNS.
Informacija
Visiems išplėstiniams ir rankiniams parametrams turėsite pakeisti failą /etc/krb5.conf (pakeitus jokios paslaugos paleisti iš naujo nereikia).
Konfigūracijos informaciją galima rasti man 5 krb5.conf.
Šiame etape, jei nereikalaujama stipraus Kerberos autentifikavimo, prisijungimas prie privilegijuotų RDP taikomųjų programų režimu be agento (HTML5 ar kitu) turėtų veikti su vartotojų paskyromis, priklausančiomis Protected Users. RDP taikomosios programos konfigūracija turi atitikti tam tikras būtinąsias sąlygas.