Windows ierakstīšanas aģenta konfigurēšana¶

CyberElements Bastion izmanto Windows ierakstīšanas aģentu, lai pievienotu jaunas funkcijas RDP sesijām:

Iespēja filtrēt lietotājam pieejamās TCP un UDP straumes
Iespēja aktivizēt sesijas ierakstīšanu jebkuram lietotājam, kas izveido savienojumu ar serveri, neizmantojot lietotāja portālu vai klientu Desktop (funkcija direct access)

Turklāt lietotāju sesiju laikā tiek tverti papildu notikumi:

Logu atvēršana
Logu aizvēršana
Programmu palaišana
Programmu aizvēršana
Starpliktuves saturs
Lietotāja darbības

Priekšnosacījumi¶

Klienta saderība

Lai uzzinātu, vai aģents ir saderīgs ar dažādām Microsoft Windows operētājsistēmām, skatiet saderības matricu.

Lai ierakstīšanas aģents darbotos pareizi, ir jāizpilda daži priekšnosacījumi. Daži no tiem attiecas tikai uz ierakstīšanas funkcionalitāti ar aģentu RDP un HTML5 RDP lietojumprogrammām, bet citi — uz tiešo piekļuvi ar aģentu.

Vispārīgie priekšnosacījumi¶

Ierakstīšanas aģents nosūta lietotāja sesijas ierakstu atpakaļ uz CyberElements Bastion, izveidojot savienojumu ar komponentu Edge Gateway, izmantojot portu TCP 8443. Tam nepieciešams, lai tīkla plūsma starp abiem datoriem būtu atvērta.

Lai droši nosūtītu ierakstu atpakaļ uz komponentu Edge Gateway, ierakstīšanas aģents izveido ar to drošu savienojumu, izmantojot TLS. TLS balstās uz sertifikātu izmantošanu, un, lai savienojums tiktu uzskatīts par uzticamu un drošu, ir jāizpilda šādi nosacījumi:

Servera (šajā gadījumā komponenta Edge Gateway) sertifikātam nedrīkst būt beidzies derīguma termiņš (maksimālais derīguma datums).

Servera (šajā gadījumā komponenta Edge Gateway) sertifikātam jābūt izdotam sertifikācijas iestādē, ko dators, kurā ir instalēts ierakstīšanas aģents, atzīst par uzticamu.

Papildinformācija

Serverim, kurā ir instalēts ierakstīšanas aģents, tā uzticamo sertifikācijas iestāžu lokālajā krātuvē ir jābūt vismaz ierakstīšanas servera sertifikāta saknes sertifikācijas iestādei (CA).

Tāpēc ir nepieciešams:

Izgūt sertifikāta saknes CA no ierakstīšanas pakalpojuma komponentā Edge Gateway.
Augšupielādēt šo CA serverī, kurā ir instalēts ierakstīšanas aģents.
Instalēt CA lokālā datora sertifikātu krātuvē „Trusted Root Certification Authorities“.

Piemērs ar PowerShell

Sertifikātu .cer formātā var viegli importēt, izmantojot PowerShell.
Lai to izdarītu, atveriet PowerShell termināli kā datora administrators un izpildiet šo komandu:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Aizstājiet <PATH_TO_CERT> ar sertifikāta faila ceļu.

Piemērs ar PowerShell Systancia sertifikātam, nesūtot failus

Šajā piemērā tiek instalēta Systancia saknes CA, ko izmanto CyberElements Bastion klienti, kuri lieto Systancia nodrošinātos sertifikātus.

Sertifikātu var importēt arī bez nepieciešamības nosūtīt/lejupielādēt failu datorā, kurā ir instalēts ierakstīšanas aģents.
Lai to izdarītu, atveriet PowerShell termināli kā datora administrators un izpildiet šīs komandas:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
hmOVxbu5Ijfug5/3Eemep34NsYk="

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Lai izmantotu šo metodi ar citu CA, mainiet mainīgā base64Cert vērtību uz jūsu izvēlēto base64 kodēto sertifikātu.

Servera (šajā gadījumā komponenta Edge Gateway) sertifikāts nedrīkst būt atsaukts.
Datoram, kurā ir instalēts ierakstīšanas aģents, ir jāspēj sazināties ar serveri (šajā gadījumā komponentu Edge Gateway), izmantojot DNS nosaukumu vai IP adresi, ko servera sertifikāts aptver ar savu Common Name (CN).

Īpaši priekšnosacījumi RDP lietojumprogrammām ar aģentu, kas tiek izmantotas macOS vai Ubuntu lietotāja darbstacijā¶

Brīdinājums

Tālāk norādītie priekšnosacījumi ir nepieciešami tikai tad, ja lietotājs palaiž RDP lietojumprogrammu ar aģentu un viņa darbstacija nav Windows (macOS vai Ubuntu).

Ja CyberElements Bastion lietotāju darbstacijās darbojas tikai Windows vai, ja tā nav, lietotāji izmanto tikai HTML5 RDP lietojumprogrammas, tālāk norādītos priekšnosacījumus var ignorēt.

Mērķa serverī, kurā ir izvietots ierakstīšanas aģents, ir nepieciešamas šādas reģistra atslēgas.

Vispirms pirmā atslēga atspējo atļauto startēšanas programmu sarakstu (Microsoft dokuments). Pēc noklusējuma Windows dators kā startēšanas programmu atļauj tikai explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ja dators nav RDS serveris, vienmēr ieteicams lietot šo reģistra atslēgu, lai ierakstīšanas aģents varētu atvērties kā startēšanas programma:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Īpašas prasības tiešajai piekļuvei¶

Tiešās piekļuves funkcija

Tiešās piekļuves funkcija ļauj aktivizēt lietotāja sesijas ierakstīšanu RDP vai konsoles piekļuvei (fizisks savienojums ar datoru vai savienojums, izmantojot hipervizora konsoles režīmu), kas nenotiek tieši caur CyberElements Bastion.

Ja lietotājam ir atļauja piekļūt serverim, viņa sesija tiks ierakstīta. Ja tā nav, pēc noklusējuma lietotāja savienojums tiks pārtraukts.

Lai ierakstīšanas aģents darbotos tiešās piekļuves režīmā, ir nepieciešams x509 sertifikāts. Šim sertifikātam ir jāatbilst šādām prasībām:

Sertifikātam joprojām jābūt derīgam (derīguma termiņš nav beidzies).
Sertifikāta tipam (paplašinātā atslēgas lietojuma lauks) jābūt client authentication (OID: 1.3.6.1.5.5.7.3.2).
Sertifikāts nedrīkst būt atsaukts.
No OpenSSL drošības līmeņa 2 ierobežojumiem izriet, ka:
- Sertifikātam jābūt privātajai atslēgai, kuras garums ir vismaz 2048 biti, ja tiek izmantoti RSA, DSA un DH šifri; eliptisko līkņu (ECC) atslēgām garumam jābūt vismaz 224 biti.
- Sertifikāta paraksts nedrīkst būt MD5 vai SHA-1 (ieteicams SHA-512).
Ierakstīšanas serveris izmantos lauku Common Name (CN), lai identificētu sertifikātu un līdz ar to datoru, kurā tiek aktivizēta tiešā ierakstīšana. Šis lauks ir jāaizpilda.

Konfigurācijas, izmantojot reģistra atslēgas¶

Reģistra atslēgās ir pieejami daži globāli iestatījumi, kas ietekmē ierakstīšanas aģenta darbību gan tad, ja to izmanto ar lietojumprogrammām, gan tiešās piekļuves gadījumā.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError: Definē ierakstīšanas aģenta darbību, kad sesijas ierakstītājs tiek aizvērts. Ja ir norādīta vērtība 0 (noklusējuma darbība), tad, aizverot ierakstītāju, lietotāja sesija tiks aizvērta. Ja ir norādīta vērtība 1, tad, aizverot ierakstītāju, lietotāja sesija tiks atvienota.
SessionEndTimeout: Laiks (sekundēs), kas atvēlēts lietotāja sesijas aizvēršanai, pirms tiek veikta sesijas piespiedu beigšana. Pēc noklusējuma šim parametram ir iestatītas 10 sekundes.

Konfigurācija darbam ar RDP un HTML5 RDP lietojumprogrammām¶

Šajā darbības režīmā apmaiņa starp komponentu Mediation Controller, komponentu Edge Gateway un ierakstīšanas aģentu notiek šādi:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP serveris<br/>Ierakstīšanas aģents

    MED->>+GW: RDP servera pieteikšanās informācijas <br/>sūtīšana kopā ar ierakstīšanas aģenta <br/>pieteikšanās informāciju
    GW->>AGENT: RDP savienojuma inicializēšana
    GW->>-AGENT: Pieteikšanās informācijas sūtīšana <br/>Edge Gateway ierakstīšanas pakalpojumam
    AGENT->>+GW: Savienojuma izveide ar ierakstīšanas pakalpojumu
    GW->>-AGENT: Tīkla filtrēšanas informācijas sūtīšana
    Note over AGENT: Tīkla ierobežojumu <br/>piemērošana lietotājam
    loop Nepārtraukta sesijas ierakstīšana
        AGENT->>+GW: Nepārtraukta video ieraksta sūtīšana <br/>+ sesijas notikumi
        Note over GW: Nepārtraukta video ieraksta pievienošana <br/>pagaidu glabāšanas direktorijam
        GW->>-MED: Saņemto sesijas notikumu sūtīšana
        Note over MED: Notikumu ierakstīšana <br/>organizācijas datu bāzē
    end 
    break Sesijas beigas
        AGENT->>GW: Paziņojums, ka <br/>lietotājs ir beidzis savu RDP sesiju
        Note over GW: Video ieraksts tiek pārvietots <br/>uz arhīva direktoriju
        GW->>MED: Paziņojums par lietotāja sesijas beigām
        Note over MED: Lietotāja sesija pāriet <br/>no tiešraides uz arhīvu
    end

Hold "Ctrl" to enable pan & zoom

Komponents Mediation Controller nodod komponentam Edge Gateway savienojuma informāciju mērķa RDP serverim. Tas pievieno arī savienojuma informāciju, kas tam ir, lai izveidotu savienojumu ar ierakstīšanas pakalpojumu (komponenta Edge Gateway FQDN).
Komponents Edge Gateway inicializē savienojumu ar RDP serveri.
Komponents Edge Gateway nosūta ierakstīšanas aģentam sava ierakstīšanas pakalpojuma savienojuma informāciju.
Ierakstīšanas aģents inicializē savienojumu ar ierakstīšanas pakalpojumu.
Kad aģents ir savienots, ierakstīšanas pakalpojums atgriež sesijai piemērojamo tīkla plūsmas ierobežojumu sarakstu. Pēc saņemšanas ierakstīšanas aģents tos piemēro lietotāja sesijai.
Ierakstīšanas aģents nepārtraukti un reāllaikā augšupielādē ierakstīšanas pakalpojumā lietotāja sesijas video ierakstu un visus sesijas notikumus (piemēram, taustiņsitienus vai programmu palaišanu). Ierakstīšanas pakalpojums saglabā video ierakstu pagaidu direktorijā.
Ierakstīšanas pakalpojums ziņo par dažādiem sesijas notikumiem komponentam Mediation Controller, kas pēc tam tos ieraksta organizācijas datu bāzē.
Kad lietotāja RDP sesija beidzas, ierakstīšanas aģents par to ziņo ierakstīšanas pakalpojumam. Pēc tam ierakstīšanas pakalpojums pārvieto ierakstīto video uz lietotāju ierakstu arhīva direktoriju.
Ierakstīšanas pakalpojums ziņo komponentam Mediation Controller par lietotāja sesijas beigām. Tāpēc sesija vairs nav redzama Control Center sadaļā Live Streaming, bet pāriet uz sadaļu Archives.

Šajā secībā ir būtiski, lai ierakstīšanas aģents saņemtu pareizo savienojuma informāciju komponenta Edge Gateway ierakstīšanas pakalpojumam. Šī informācija ir ietverta komponenta Edge Gateway iestatījumos laukā FQDN:

Šajā laukā ievadiet DNS nosaukumu, ko RDP serveri spēs atrisināt.

Svarīgi

Sertifikātam, kas piešķirts ierakstīšanas pakalpojumam Careserver, ir jāaptver laukā FQDN norādītais nosaukums. Pretējā gadījumā ierakstīšanas aģents uzskatīs savienojumu par nedrošu un neaktivizēs sesijas ierakstīšanu.

Konfigurācija darbam tiešās piekļuves režīmā¶

Šajā darbības režīmā apmaiņa starp komponentu Mediation Controller, komponentu Edge Gateway un ierakstīšanas aģentu notiek šādi:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP serveris<br/>Ierakstīšanas aģents

    Note over AGENT: Jaunas ierakstāmas <br/>sesijas noteikšana
    AGENT->>+GW: Savienojuma izveide ar ierakstīšanas pakalpojumu
    GW->>-MED: Paziņojums par jaunu tiešās <br/>piekļuves savienojumu lietotājam X
    alt Ja lietotājs X ir autorizēts
        MED->>+GW: Paziņojums, ka lietotājam X <br/>ir atļauts izveidot savienojumu, un piemērojamo <br/>tīkla filtru saraksta sūtīšana
        GW->>-AGENT: Tīkla filtrēšanas informācijas <br/>un savienojuma atļaujas sūtīšana <br/>lietotājam X
        Note over AGENT: Tīkla ierobežojumu <br/>piemērošana lietotājam X
        loop Nepārtraukta sesijas ierakstīšana
            AGENT->>+GW: Nepārtraukta video ieraksta sūtīšana <br/>+ sesijas notikumi
            Note over GW: Nepārtraukta video ieraksta pievienošana <br/>pagaidu glabāšanas direktorijam
            GW->>-MED: Saņemto sesijas notikumu sūtīšana
            Note over MED: Notikumu ierakstīšana <br/>organizācijas datu bāzē
        end 
        break Sesijas beigas
            AGENT->>GW: Paziņojums, ka <br/>lietotājs X ir beidzis savu RDP sesiju
            Note over GW: Video ieraksts tiek pārvietots <br/>uz arhīva direktoriju.
            GW->>MED: Paziņojums par lietotāja sesijas beigām
            Note over MED: Lietotāja sesija pāriet <br/>no tiešraides uz arhīvu
        end
    else If user X is not authorized
        MED->>+GW: Paziņojums, ka lietotājam <br/>X nav atļauts pieteikties
        GW->>-AGENT: Paziņojums par <br/>lietotāja X pieteikšanās atteikumu
        Note over AGENT: Lietotāja X izrakstīšana
    end

Hold "Ctrl" to enable pan & zoom

Ierakstīšanas aģents konstatē jaunu sesiju un inicializē savienojumu ar komponenta Edge Gateway ierakstīšanas pakalpojumu.
Komponents Edge Gateway nosūta savienojuma informāciju (lietotājvārdu un ierakstīšanas aģenta izmantotā sertifikāta CN) komponentam Mediation Controller. Komponents Mediation Controller atbildēs divos dažādos veidos atkarībā no piekļuves tiesību iestatījumiem.
Ja lietotājs ir autorizēts izveidot savienojumu ar serveri, komponents Mediation Controller paziņo komponentam Edge Gateway par šim lietotājam iespējamo piekļuvi un piemērojamo tīkla filtru sarakstu.
Komponents Edge Gateway nodod šo informāciju ierakstīšanas aģentam. Pēc saņemšanas ierakstīšanas aģents piemēro tīkla filtrus lietotāja sesijai.
Ierakstīšanas aģents nepārtraukti un reāllaikā augšupielādē ierakstīšanas pakalpojumā lietotāja sesijas video ierakstu un visus sesijas notikumus (piemēram, taustiņsitienus vai programmu palaišanu). Ierakstīšanas pakalpojums saglabā video ierakstu pagaidu direktorijā.
Ierakstīšanas pakalpojums ziņo par dažādiem sesijas notikumiem komponentam Mediation Controller, kas pēc tam tos ieraksta organizācijas datu bāzē.
Kad lietotāja RDP sesija beidzas, ierakstīšanas aģents par to ziņo ierakstīšanas pakalpojumam. Pēc tam ierakstīšanas pakalpojums pārvieto ierakstīto video uz lietotāju ierakstu arhīva direktoriju.
Ierakstīšanas pakalpojums ziņo komponentam Mediation Controller par lietotāja sesijas beigām. Tāpēc sesija vairs nav redzama Control Center sadaļā Live Streaming, bet pāriet uz sadaļu Archives.
Ja lietotājs nav autorizēts izveidot savienojumu ar serveri, komponents Mediation Controller paziņo komponentam Edge Gateway par šī lietotāja neautorizēto piekļuvi.
Komponents Edge Gateway pārsūta informāciju ierakstīšanas aģentam, kas atvieno lietotāja sesiju.

Reģistra atslēgas¶

Neatkarīgi no instalēšanas veida ierakstīšanas aģentam ir visi komponenti, kas nepieciešami visiem tam paredzētajiem darbības režīmiem. Tāpēc, lai darbotos tiešās piekļuves režīmā, tas nolasa šīs reģistra atslēgas, lai noteiktu savu konfigurāciju:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Tā sertifikāta nosaukums, ko ierakstīšanas aģents izmantos, lai izveidotu savienojumu ar komponenta Edge Gateway ierakstīšanas pakalpojumu. Pēc noklusējuma un ja tas nav definēts, aģents mēģinās izmantot sertifikātu ar datora nosaukumu.

LogOffOnFailure

Norāda aģenta darbību, ja tas nevar izveidot savienojumu ar komponentu Edge Gateway vai ja lietotājs nav autorizēts izveidot savienojumu ar datoru. Ja 0, atvienošana nenotiks, savukārt ar 1 lietotājs tiks atvienots (noklusējuma darbība).

RecordedSessions

Ierakstīšanai pakļauto sesiju tipu definīcija:

none : tiešās piekļuves ierakstīšana netiks veikta (noklusējuma iestatījums).
remote : jebkura RDP piekļuve datoram aktivizēs ierakstīšanu.
all : RDP piekļuve un konsoles piekļuve (fiziska piekļuve datoram vai piekļuve no hipervizora konsoles režīma) aktivizēs ierakstīšanu.

Kādas atslēgu vērtības ir nepieciešamas tiešajai piekļuvei?

Vienīgā atslēgas vērtība, kas nepieciešama tiešās piekļuves mehānisma iespējošanai, ir RecordedSessions ar vērtību remote vai all. Ņemiet vērā, ka atkarībā no vides var būt nepieciešama arī atslēgas vērtība MachineName.

Datora sertifikāts¶

Ierakstīšanas aģents mēģinās izmantot sertifikātu autentifikācijai ierakstīšanas pakalpojumā. Šim sertifikātam jābūt instalētam datora personiskajos sertifikātos.

Aģents izmantos sertifikātu, kura nosaukums atbilst atslēgas vērtībai MachineName (skatiet iepriekšējo nodaļu), un, ja tā nav definēta, tas mēģinās izmantot sertifikātu ar datora nosaukumu.

To komponentu Edge Gateway deklarēšana, ar kuriem aģents var sazināties¶

Ierakstīšanas aģents izmanto lokālu informāciju, lai noteiktu to Edge Gateway serveru sarakstu, ar kuriem jāsazinās, lai augšupielādētu lietotāju sesiju ierakstus.

Lai modificētu to Edge Gateway serveru sarakstu, ar kuriem var sazināties, vispirms ir jāaptur pakalpojums CleanroomAgent.

Brīdinājums!

Apturot pakalpojumu CleanroomAgent, pašreizējo sesiju ierakstīšana serverī beidzas, un jaunas serverī atvērtās sesijas netiks ierakstītas.

Pakalpojumu var apturēt, izmantojot PowerShell (nepieciešamas administratora tiesības):

1	`Stop-Service CleanroomAgent`

Pēc pakalpojuma apturēšanas modificējiet vai izveidojiet šo failu [RECORDING_AGENT_DIR]\gateways.xml, kur [RECORDING_AGENT_DIR] ir ierakstīšanas aģenta instalācijas direktorijs. Izmantojot noklusējuma instalācijas direktoriju, failam jāatrodas šajā vietā vai tas ir jāizveido tajā:

CyberElements Bastion: C:\Program Files (x86)\Systancia\Safe\gateways.xml

Šis XML fails sastāv no atzīmes gateways un tik daudzām atzīmēm element, cik ir komponentu Edge Gateway, ar kuriem var sazināties.

Piemērs

Ja ierakstīšanas aģentam ir jāsazinās ar komponentu Edge Gateway, kura FQDN ir edge-gateway-1.domain.local, XML fails būtu šāds:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Savukārt, ja būtu jāsazinās ar diviem komponentiem Edge Gateway, edge-gateway-1.domain.local un edge-gateway-2.domain.local, fails būtu šāds:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Pēc faila gateways.xml pareizas modificēšanas restartējiet pakalpojumu CleanroomAgent:

1	`Start-Service CleanroomAgent`

Ierakstīšanas pakalpojuma konfigurēšana trešās puses PKI sertifikātu autentificēšanai¶

Pēc noklusējuma ierakstīšanas pakalpojums par derīgiem uzskata tikai Systancia PKI izsniegtos sertifikātus. Lai izmantotu citas sertificēšanas iestādes (CA) sertifikātus, ir jāveic darbības, kas nepieciešamas, lai pievienotu CA komponenta Edge Gateway specifiskajā direktorijā.

Kad CA sertifikāts vai sertifikāti atrodas pareizajā vietā, atliek tikai restartēt ierakstīšanas pakalpojumu, atkal kā superlietotājam root:

Brīdinājums!

Šī pakalpojuma restartēšana apturēs pašreizējās sesijas un pārtrauks gandrīz visas no tām. Izpildiet tālāk norādīto komandu tikai tad, kad caur komponentu Edge Gateway neiet neviena lietotāja sesija, lai neietekmētu lietotājus.

1	`systemctl restart ipdivacarerecord`

Pēc ierakstīšanas pakalpojuma restartēšanas varat pārbaudīt, vai jaunās CA ir pareizi ņemtas vērā, apskatot pakalpojuma žurnālus:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

Iegūtajos žurnālos rindas beigās būs norādīti to sertifikātu failu nosaukumi, ko ielādējis ierakstīšanas pakalpojums.

Piemērs

Pēc divu CA ar nosaukumiem MY-CA-ROOT.pem un MY-INTERMEDIATE-CA.pem pievienošanas iegūtie žurnāli izskatīsies šādi (žurnāla sākums ir saīsināts, taču tajā cita starpā ir datums un datora nosaukums):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem