RDP record contracts without agent¶
Modulis RDP record contracts without agent deklarē līgumu, kas autorizē Bastion zināmās lietotāju grupas tieši piekļūt RDP lietojumprogrammām bez aģenta vai VNC lietojumprogrammām, izmantojot site (Edge Gateway). Tā ir tāda pati vispārīgā veidlapa kā parastam RDP līgumam, papildināta ar piekļuves marķiera opciju, ko var pārbaudīt un atsaukt atsevišķā cilnē.
Tiešā piekļuve tiek veikta, izmantojot pieteikšanās vārdu formā login/domain:application (piemēram, test_user/DOMAIN:t1234). Var norādīt tikai domēnus, kuros tiek izmantota identifikācija ar pieteikšanās vārdu un paroli (SAML domēni tiek izfiltrēti).
Savienojuma darbība
Ja parole ir pareiza un lietojumprogramma ir autorizēta, lietojumprogramma tiek palaista atbilstoši tās konfigurācijai; Vault aizstājvārdi, ja tie ir definēti, tiek ņemti vērā. Ja nepieciešams, tiek parādīti papildu dialogi pieteikšanās vārda un paroles ievadei (SSO „ask“), komentāra ievadei vai dinamisko lietojumprogrammu mērķa servera ievadei. Dažas lietojumprogrammas opcijas ir atkarīgas no RDP klienta (izšķirtspēja, starpliktuves novirzīšana, printeri utt.), un šajā režīmā tās nevar ievērot; savukārt režīmi console un restrictedadmin tiek ievēroti.
Priekšnosacījums: ierakstīšanas pakalpojuma iespējošana komponentā Edge Gateway¶
Tiešo RDP piekļuvi nodrošina atsevišķa xrdp instance komponentā Edge Gateway. Tā pēc noklusējuma nav iespējota: tā klausās tīklā, un tas nevajadzīgi paplašinātu uzbrukuma virsmu platformām, kuras šo līdzekli neizmanto. Tāpēc šeit deklarētajam līgumam nav nekādas ietekmes, kamēr pakalpojums nav iespējots atlasīto site Edge Gateway komponentos.
Katrā attiecīgajā komponentā Edge Gateway:
1 | |
Šai instancei arī jāzina, kurām Edge Gateway instancēm jāvaicā, lai sasniegtu komponentu Mediation Controller: to nosaka faila /etc/ipdiva/careserver/careserver.xml iestatījums xmlrpc-connect — tas pats, ko izmanto tiešā ierakstīšana ar aģentu.
Līgumu saraksts¶
Galvenajā tabulā esošie līgumi tiek parādīti pa lappusēm (15, 25 vai 50 rindas lappusē):
| Kolonna | Apraksts |
|---|---|
| Name | Līguma nosaukums. Pirms nosaukuma ir ikona: krāsaina piekaramā slēdzene iespējotam līgumam, bezkrāsaina — atspējotam līgumam. |
| Groups | Atlasīto lietotāju grupu skaits. |
| Sites | Atlasīto site skaits. |
| Applications | Atlasīto lietojumprogrammu skaits. |
Izvēršot rindu, tiek parādīta līguma detalizēta informācija: grupas (sagrupētas pēc domēna), site, kategorijas un atsevišķi resursi.
Meklēšanas lauks rīkjoslā filtrē sarakstu reāllaikā (tiek aktivizēts 700 ms pēc pēdējā taustiņsitiena vai uzreiz, nospiežot taustiņu Enter).
Papildus pievienošanai, rediģēšanai un dzēšanai rīkjoslā ir pieejamas darbības Enable un Disable: šīs lielapjoma darbības attiecas uz pašreizējo atlasi.
Līguma pievienošana¶
Poga + atver logu Add Contract ar trim cilnēm, pirms kurām ir šādi lauki:
| Lauks | Apraksts |
|---|---|
| Name | Obligāts. Virkne, kurā ir tikai atstarpes, tiek noraidīta. |
| Description | Brīvs teksts. |
| Allow users to use authentication tokens | Ļauj lietotājiem saskaņā ar šo līgumu iegūt atkārtoti izmantojamus marķierus. Ja nav atzīmēts, nākamais lauks ir pelēkots. |
| Authentication tokens valididy in days (0 to disable token expiration) | Aktīvs tikai tad, ja ir atzīmēta iepriekšējā izvēles rūtiņa. Ar vērtību 0 marķieru derīgums nekad nebeidzas. |
Poga Validate tiek iespējota tikai tad, kad ir atlasīta vismaz viena grupa, viens site un viena lietojumprogramma.
Divu kolonnu saraksts (kreisajā pusē pieejamie, labajā — atlasītie) ar kombinēto lodziņu Domain virs kreisā saraksta, lai filtrētu grupas pēc autentifikācijas domēna. Atlase tiek veikta, velkot un nometot. SAML domēni ir izslēgti (nepieciešama autentifikācija ar pieteikšanās vārdu un paroli).
Divu kolonnu saraksts (kreisajā pusē pieejamie, labajā — atlasītie). Atlase, velkot un nometot, un poga Select all.
Lietojumprogrammu kategoriju un to lietojumprogrammu koks. Atzīmējot kategoriju, uzreiz tiek atlasītas visas tās lietojumprogrammas; atzīmējot tikai vienu, kategorija tiek parādīta treknrakstā, norādot daļēju atlasi. Noņemot atzīmi no kategorijas, atzīme tiek noņemta arī no visa tās satura.
Izveidotais līgums ir iespējots pēc noklusējuma.
Līguma rediģēšana¶
Sarakstā atlasiet līgumu un noklikšķiniet uz ikonas Properties vai veiciet dubultklikšķi uz rindas. Logā Contract Edition ir tās pašas cilnes, kas jau aizpildītas. Lai saglabātu, noklikšķiniet uz Validate.
Līguma dzēšana¶
Atlasiet vienu vai vairākus līgumus un noklikšķiniet uz pogas ×. Tiek pieprasīts apstiprinājums (teksts pielāgots vienskaitlim vai daudzskaitlim).
Līgumu iespējošana vai atspējošana¶
Tabulā atlasiet vienu vai vairākas rindas, pēc tam rīkjoslā noklikšķiniet uz Enable vai Disable. Enable ir pieejama, ja vismaz viens atlasītais līgums ir atspējots, Disable — ja vismaz viens atlasītais līgums ir iespējots.
Tiešās RDP piekļuves marķieri¶
Modulis RDP direct access tokens uzskaita marķierus, ko lietotāji izdevuši saskaņā ar tādiem RDP bez aģenta līgumiem, kuri atļauj marķierus. Tas ļauj atsaukt marķieri pirms tā derīguma beigām.
Marķieru saraksts¶
| Kolonna | Apraksts |
|---|---|
| Username | Tā lietotāja identifikators, kurš izdeva marķieri. |
| Application | Tās lietojumprogrammas nosaukums, uz kuru attiecas marķieris. |
| Expiration | Derīguma beigu datums un laiks formātā DD/MM/YYYY HH:MM. |
Saraksts ir sadalīts lappusēs (15, 25 vai 50 rindas lappusē).
Filtri un meklēšana¶
| Elements | Apraksts |
|---|---|
| Domain | Pieejamo domēnu kombinētais lodziņš. SAML domēni ir izslēgti. Sākotnēji tiek atlasīts kā parametrs nodotais domēns vai, ja tāda nav, pirmais saraksta domēns. |
| Meklēšanas lauks | Filtrs pēc apakšvirknes. Tiek aktivizēts 700 ms pēc pēdējā taustiņsitiena. |
Marķiera dzēšana¶
Atlasiet vienu vai vairākus marķierus un noklikšķiniet uz pogas ×. Tiek pieprasīts apstiprinājums. Ja komanda neizdodas, tiek parādīts kļūdas ziņojums.
Neatgriezeniska darbība
Pēc dzēšanas marķieri vairs nevar izmantot: lai atjaunotu tiešo piekļuvi, lietotājam ir jāpieprasa jauns marķieris.