Windows ierakstīšanas aģenta instalēšana

CyberElements Bastion izmanto Windows ierakstīšanas aģentu, lai pievienotu jaunas funkcijas RDP sesijām:

• Iespēja filtrēt lietotājam pieejamās TCP un UDP straumes
• Iespēja aktivizēt sesijas ierakstīšanu jebkuram lietotājam, kas izveido savienojumu ar serveri, neizmantojot lietotāja portālu vai klientu Desktop (funkcija direct access)

Turklāt lietotāju sesiju laikā tiek tverti papildu notikumi:

• Logu atvēršana
• Logu aizvēršana
• Programmu palaišana
• Programmu aizvēršana
• Starpliktuves saturs
• Lietotāja darbības

Priekšnosacījumi

Klienta saderība

Lai uzzinātu, vai aģents ir saderīgs ar dažādām Microsoft Windows operētājsistēmām, skatiet saderības matricu.

Lai ierakstīšanas aģents darbotos pareizi, ir jāizpilda daži priekšnosacījumi. Daži no tiem attiecas tikai uz ierakstīšanas funkcionalitāti ar aģentu RDP un HTML5 RDP lietojumprogrammām, bet citi — uz tiešo piekļuvi ar aģentu.

Vispārīgie priekšnosacījumi

Ierakstīšanas aģents nosūta lietotāja sesijas ierakstu atpakaļ uz CyberElements Bastion, izveidojot savienojumu ar komponentu Edge Gateway, izmantojot portu TCP 8443. Tam nepieciešams, lai tīkla plūsma starp abiem datoriem būtu atvērta.

Lai droši nosūtītu ierakstu atpakaļ uz komponentu Edge Gateway, ierakstīšanas aģents izveido ar to drošu savienojumu, izmantojot TLS. TLS balstās uz sertifikātu izmantošanu, un, lai savienojums tiktu uzskatīts par uzticamu un drošu, ir jāizpilda šādi nosacījumi:

• Servera (šajā gadījumā komponenta Edge Gateway) sertifikātam nedrīkst būt beidzies derīguma termiņš (maksimālais derīguma datums).

• Servera (šajā gadījumā komponenta Edge Gateway) sertifikātam jābūt izdotam sertifikācijas iestādē, ko dators, kurā ir instalēts ierakstīšanas aģents, atzīst par uzticamu.

  Papildinformācija

  Serverim, kurā ir instalēts ierakstīšanas aģents, tā uzticamo sertifikācijas iestāžu lokālajā krātuvē ir jābūt vismaz ierakstīšanas servera sertifikāta saknes sertifikācijas iestādei (CA).

  Tāpēc ir nepieciešams:

  1. Izgūt sertifikāta saknes CA no ierakstīšanas pakalpojuma komponentā Edge Gateway.
  2. Augšupielādēt šo CA serverī, kurā ir instalēts ierakstīšanas aģents.
  3. Instalēt CA lokālā datora sertifikātu krātuvē „Trusted Root Certification Authorities“.

  Piemērs ar PowerShell

  Sertifikātu .cer formātā var viegli importēt, izmantojot PowerShell.
  Lai to izdarītu, atveriet PowerShell termināli kā datora administrators un izpildiet šo komandu:

  Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
  

  Aizstājiet <PATH_TO_CERT> ar sertifikāta faila ceļu.

  Piemērs ar PowerShell Systancia sertifikātam, nesūtot failus

  Šajā piemērā tiek instalēta Systancia saknes CA, ko izmanto CyberElements Bastion klienti, kuri lieto Systancia nodrošinātos sertifikātus.

  Sertifikātu var importēt arī bez nepieciešamības nosūtīt/lejupielādēt failu datorā, kurā ir instalēts ierakstīšanas aģents.
  Lai to izdarītu, atveriet PowerShell termināli kā datora administrators un izpildiet šīs komandas:

  # Systancia Root certificate
  $base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
  FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
  RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
  MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
  Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
  IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
  UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
  DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
  ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
  GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
  Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
  GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
  TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
  IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
  BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
  XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
  EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
  BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
  SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
  MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
  CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
  dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
  ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
  YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
  771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
  5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
  Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
  hmOVxbu5Ijfug5/3Eemep34NsYk="
  
  # Convert the certificate and store it in memory
  $certBytes = [Convert]::FromBase64String($base64Cert)
  
  # Create a certificate object
  $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
  $cert.Import($certBytes)
  
  # Open the trusted root certificate store on the local machine and add the Systancia root certificate
  $store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
  $store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
  $store.Add($cert)
  $store.Close()
  

  Lai izmantotu šo metodi ar citu CA, mainiet mainīgā base64Cert vērtību uz jūsu izvēlēto base64 kodēto sertifikātu.

• Servera (šajā gadījumā komponenta Edge Gateway) sertifikāts nedrīkst būt atsaukts.

• Datoram, kurā ir instalēts ierakstīšanas aģents, ir jāspēj sazināties ar serveri (šajā gadījumā komponentu Edge Gateway), izmantojot DNS nosaukumu vai IP adresi, ko servera sertifikāts aptver ar savu Common Name (CN).

Īpaši priekšnosacījumi RDP lietojumprogrammām ar aģentu, kas tiek izmantotas macOS vai Ubuntu lietotāja darbstacijā

Brīdinājums

Tālāk norādītie priekšnosacījumi ir nepieciešami tikai tad, ja lietotājs palaiž RDP lietojumprogrammu ar aģentu un viņa darbstacija nav Windows (macOS vai Ubuntu).

Ja CyberElements Bastion lietotāju darbstacijās darbojas tikai Windows vai, ja tā nav, lietotāji izmanto tikai HTML5 RDP lietojumprogrammas, tālāk norādītos priekšnosacījumus var ignorēt.

Mērķa serverī, kurā ir izvietots ierakstīšanas aģents, ir nepieciešamas šādas reģistra atslēgas.

Vispirms pirmā atslēga atspējo atļauto startēšanas programmu sarakstu (Microsoft dokuments). Pēc noklusējuma Windows dators kā startēšanas programmu atļauj tikai explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ja dators nav RDS serveris, vienmēr ieteicams lietot šo reģistra atslēgu, lai ierakstīšanas aģents varētu atvērties kā startēšanas programma:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Īpašas prasības tiešajai piekļuvei

Tiešās piekļuves funkcija

Tiešās piekļuves funkcija ļauj aktivizēt lietotāja sesijas ierakstīšanu RDP vai konsoles piekļuvei (fizisks savienojums ar datoru vai savienojums, izmantojot hipervizora konsoles režīmu), kas nenotiek tieši caur CyberElements Bastion.

Ja lietotājam ir atļauja piekļūt serverim, viņa sesija tiks ierakstīta. Ja tā nav, pēc noklusējuma lietotāja savienojums tiks pārtraukts.

Lai ierakstīšanas aģents darbotos tiešās piekļuves režīmā, ir nepieciešams x509 sertifikāts. Šim sertifikātam ir jāatbilst šādām prasībām:

• Sertifikātam joprojām jābūt derīgam (derīguma termiņš nav beidzies).
• Sertifikāta tipam (paplašinātā atslēgas lietojuma lauks) jābūt client authentication (OID: 1.3.6.1.5.5.7.3.2).
• Sertifikāts nedrīkst būt atsaukts.
• No OpenSSL drošības līmeņa 2 ierobežojumiem izriet, ka:
  • Sertifikātam jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantoti RSA, DSA un DH šifri; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti.
  • Sertifikāta paraksts nedrīkst būt MD5 vai SHA-1 (ieteicams SHA-512).
• Ierakstīšanas serveris izmantos lauku Common Name (CN), lai identificētu sertifikātu un līdz ar to datoru, kurā tiek aktivizēta tiešā ierakstīšana. Šis lauks ir jāaizpilda.

Manuāla instalēšana vienā datorā

Nepieciešamas administratora tiesības

Lai instalētu aģentu, ir nepieciešamas administratora tiesības.

Pirms aģenta instalēšanas tas ir jālejupielādē no administrēšanas konsoles:

1. Piekļūstiet darbvietai „Configurations“, izmantojot pogu augšējā kreisajā stūrī:
2. Atveriet flīzi „Toolbox“
3. Pirmajā cilnē „Integration Tools“ atlasiet vēlamajai operētājsistēmai atbilstošo instalēšanas programmu

Kad aģents ir lejupielādēts, veiciet tālāk norādītās darbības:

1. Palaidiet instalēšanas programmu setup_CleanroomAgent.exe datorā, kurā vēlaties instalēt ierakstīšanas aģentu.
2. Pirmajā logā noklikšķiniet uz Next:
3. Pieņemiet lietošanas noteikumus:
4. Trešajā ekrānā, ja nepieciešams, mainiet aģenta instalēšanas direktoriju:

5. Ceturtajā ekrānā ir redzamas opcijas aģenta instalēšanai tiešās piekļuves režīmā:

   Enable Direct Access

   Aģenta tiešās piekļuves funkcijas iespējošana.

   Recorded Sessions

   Brīvs lauks, kurā var ievadīt trīs dažādas vērtības, lai noteiktu, kad jāaktivizē tiešās piekļuves ierakstīšana:

   • none: tiešās piekļuves ierakstīšana netiks veikta.
   • remote: jebkura RDP piekļuve datoram aktivizēs ierakstīšanu.
   • all: ierakstīšanu aktivizēs gan RDP piekļuve, gan konsoles piekļuve (fiziska piekļuve datoram vai piekļuve no hipervizora konsoles režīma).

   Logoff On Failure

   Opcija lietotāja sesijas atvienošanai, ja ierakstīšanu nevar sākt, tā tiek pārtraukta vai lietotājam nav atļauts izveidot savienojumu ar datoru.

   Ieteikums

   Sākotnējās instalēšanas laikā vai tad, ja nav skaidrs, vai priekšnosacījumi ir izpildīti, šo opciju ieteicams atstāt neatzīmētu. Pretējā gadījumā, ja radīsies problēma ar priekšnosacījumiem vai iestatījumiem, jauni savienojumi ar serveri nekavējoties atvienos lietotāju (atkarībā no iestatījumiem Recorded Sessions).

   Informācija

   Tiešās piekļuves funkciju var iespējot arī pēc instalēšanas. Lai to izdarītu, skatiet aģenta reģistra atslēgu iestatījumus.

6. Visbeidzot piektajā ekrānā instalēšana sāksies pēc noklikšķināšanas uz pogas Install:

Pēc instalēšanas aģentam ir nepieciešama papildu konfigurācija: Konfigurējiet aģentu

Izvietošana no administrēšanas konsoles

Nepieciešamas administratora tiesības

Lai instalētu aģentu, mērķa datorā ir nepieciešamas administratora tiesības.

Papildu priekšnosacījums

Aģents tiek izvietots mērķa datorā, izmantojot protokolu SMB. Tāpēc starp Edge Gateway un šo mērķa serveri jābūt atvērtai SMB plūsmai (TCP 445).

Izvietošana vienā serverī

Aģentu var izvietot atsevišķi no divām administrēšanas konsoles vietām. Tas ļauj to iepriekš konfigurēt diviem darbības veidiem:

1. Izmantošana ar RDP un HTML5 RDP lietojumprogrammām: sagatavojiet aģentu tā, lai tas varētu ierakstīt to lietotāju sesijas, kuri palaiž RDP un HTML5 RDP lietojumprogrammas.
2. Izmantošana tiešās piekļuves režīmā: sagatavojiet aģentu tā, lai papildus iepriekšējam darbības veidam tas varētu ierakstīt to lietotāju sesijas, kuri izveido tiešu savienojumu ar RDP serveri.

Izmantošanai ar RDP un HTML5 RDP lietojumprogrammām

Ja RDP vai HTML5 RDP lietojumprogramma ir konfigurēta darbam ar aģentu, atlasot lietojumprogrammu, tiek atbloķēta iespēja izvietot aģentu:

Pēc noklikšķināšanas uz aģenta izvietošanas pogas tiek atvērts jauns logs, kurā tiek pieprasīta šāda informācija:

Target server

Mērķa servera IP adrese vai DNS nosaukums, kurā jāizvieto ierakstīšanas aģents. Pēc noklusējuma šajā laukā tiek izmantota informācija par serveri, kas norādīts RDP vai HTML5 RDP lietojumprogrammā.

Target drive

Windows diska burts, kurā tiks izvietots aģents. Parasti tas ir burts C, ko izmanto, lai izvietotu aģentu diskā C:\.

Target directory

Ceļš uz aģenta instalēšanas direktoriju; ja tas neeksistē, tas tiks izveidots. CyberElements Bastion aģenta noklusējuma atrašanās vieta ir Program Files (x86)\Systancia\Safe.

Gateway

Norādiet Edge Gateway, ko izmantot aģenta izvietošanai.

Domain

Tā domēna nosaukums, kurā atrodas aģenta instalēšanai izmantotais administrēšanas konts.

Username

Administratora konta nosaukums, ko izmantot aģenta instalēšanai. Šim kontam jāspēj instalēt programmas mērķa serverī.

Password

Administratora konta parole.

Kad visa informācija ir ievadīta, var sākt aģenta izvietošanu. Pēdējā logā tiks norādīts, vai aģenta izvietošana mērķa serverī bija sekmīga.

Joprojām var būt nepieciešami papildu iestatījumi. Skatiet šo nodaļu: Konfigurējiet aģentu

Izmantošanai tiešās piekļuves režīmā + RDP un HTML5 RDP lietojumprogrammām

Tiešās piekļuves ekrāna sadaļā Machine management ir poga, ar kuru var izvietot aģentu:

Pēc noklikšķināšanas uz aģenta izvietošanas pogas tiek atvērts jauns logs, kurā tiek pieprasīta šāda informācija:

Target server

Mērķa servera IP adrese vai DNS nosaukums, kurā jāizvieto ierakstīšanas aģents. Pēc noklusējuma šajā laukā tiek izmantota informācija par serveri, kas norādīts RDP vai HTML5 RDP lietojumprogrammā.

Target drive

Windows diska burts, kurā tiks izvietots aģents. Parasti tas ir burts C, ko izmanto, lai izvietotu aģentu diskā C:\.

Target directory

Ceļš uz aģenta instalēšanas direktoriju; ja tas neeksistē, tas tiks izveidots. CyberElements Bastion aģenta noklusējuma atrašanās vieta ir Program Files (x86)\Systancia\Safe.

Gateway

Norādiet Edge Gateway, ko izmantot aģenta izvietošanai.

Domain

Tā domēna nosaukums, kurā atrodas aģenta instalēšanai izmantotais administrēšanas konts.

Username

Administratora konta nosaukums, ko izmantot aģenta instalēšanai. Šim kontam jāspēj instalēt programmas mērķa serverī.

Password

Administratora konta parole.

Sessions to record

Konteksta definēšana, kurā notiks sesijas ierakstīšana:

1. Record remote sessions (RDS) only: tiks ierakstītas tikai RDP attālās piekļuves.
2. Record all sessions: tiks ierakstītas attālās RDP sesijas un konsoles režīma sesijas (fiziska piekļuve datoram vai piekļuve no hipervizora konsoles režīma).
3. Record no sessions: neviens tiešs savienojums ar serveri neierakstīs sesijas, tomēr aģentu joprojām var izmantot piekļuvei caur RDP un HTML5 RDP lietojumprogrammām.

Use a different certificate than the target

Opcija, ar kuru definē tā sertifikāta nosaukumu, ko aģents izmantos autentifikācijai komponentā Edge Gateway. Ja tas nav definēts, aģents meklēs sertifikātu ar servera nosaukumu.

Close the session if no gateway could be contacted

Opcija lietotāja atvienošanai un izrakstīšanai (atkarībā no iestatījumiem Sessions to record), ja Edge Gateway nav sasniedzams vai lietotājam nav atļauts izveidot savienojumu ar serveri.

Ieteikums

Sākotnējās instalēšanas laikā vai tad, ja nav skaidrs, vai priekšnosacījumi ir izpildīti, šo opciju ieteicams atstāt neatzīmētu. Pretējā gadījumā, ja radīsies problēma ar priekšnosacījumiem vai iestatījumiem, jauni savienojumi ar serveri nekavējoties atvienos lietotāju (atkarībā no iestatījumiem Sessions to record).

Kad visa informācija ir ievadīta, var sākt aģenta izvietošanu. Pēdējā logā tiks norādīts, vai aģenta izvietošana mērķa serverī bija sekmīga.

Joprojām var būt nepieciešami papildu iestatījumi. Skatiet šo nodaļu: Konfigurējiet aģentu

Izvietošana vairākos serveros

Informācija

Ar šo metodi ierakstīšanas aģentu var izvietot tikai darbam ar RDP un HTML5 RDP lietojumprogrammām. Lai aģents darbotos tiešās piekļuves režīmā, konfigurācija būs jāizvieto ar citiem līdzekļiem (piemēram, ar GPO).

Papildu priekšnosacījums

Izvietošanu vairākos serveros var veikt tikai datoros, kas pieder AD domēnam, kurš savukārt ir konfigurēts CyberElements Bastion sadaļā Authentication Domains ar iespējotu opciju Allow RDS Server Management.

Sadaļā Management of RDS servers pievienojiet vienu vai vairākus jaunus RDS serverus:

Atrodiet un pievienojiet serverus, kuros jāizvieto ierakstīšanas aģents, velkot un nometot tos labās puses panelī. Atlasiet opciju Deploy an agent:

Konfigurējiet aģenta izvietošanas informāciju:

Target drive

Windows diska burts, kurā tiks izvietots aģents. Parasti tas ir burts C, ko izmanto, lai izvietotu aģentu diskā C:\.

Target directory

Ceļš uz aģenta instalēšanas direktoriju; ja tas neeksistē, tas tiks izveidots. CyberElements Bastion aģenta noklusējuma atrašanās vieta ir Program Files (x86)\Systancia\Safe.

Gateway

Norādiet Edge Gateway, ko izmantot aģenta izvietošanai.

Domain

Tā domēna nosaukums, kurā atrodas aģenta instalēšanai izmantotais administrēšanas konts.

Username

Administratora konta nosaukums, ko izmantot aģenta instalēšanai. Šim kontam jāspēj instalēt programmas mērķa serverī.

Password

Administratora konta parole.

Joprojām var būt nepieciešami papildu iestatījumi. Skatiet šo nodaļu: Konfigurējiet aģentu