Komponenta Edge Gateway konfigurēšana Kerberos autentifikācijas iespējošanai¶
AD domēna administratoru kontus ieteicams ievietot grupā Protected Users. Kad šie konti ir ievietoti grupā Protected Users, NTLM savienojumi vairs nav iespējami un tiks izmantots Kerberos protokols.
Lai CyberElements Bastion ņemtu vērā šīs izmaiņas, Edge Gateway serveros ir jākonfigurē pakotne krb5-config, lai tie varētu izmantot Kerberos.
Piezīme
Lai šī daļa darbotos, starp Edge Gateway serveriem un AD domēna kontrollera serveri ir jābūt atvērtai Kerberos plūsmai (šis serveris darbojas kā KDC, Kerberos Domain Controller).
Atgādinām, ka pēc noklusējuma tā ir plūsma UDP 88. Tālāk norādītā konfigurācija izgūst Kerberos informāciju, izmantojot DNS, tāpēc ir nepieciešama arī plūsma UDP 53.
Izmantojiet šo komandrindu:
1 | |
Ievadiet Kerberos sfēru, ierakstot sava domēna nosaukumu (FQDN) ar lielajiem burtiem.
Piemērs
domēns: domain.local
realm: DOMAIN.LOCAL
Pēc tam atbildiet <NO>, lai nebūtu jāveic manuālas konfigurācijas. Šādā gadījumā visa ar Kerberos saistītā informācija tiks izgūta, izmantojot DNS.
Informācija
Lai veiktu jebkādus papildu un manuālus iestatījumus, ir jāmodificē fails /etc/krb5.conf (pēc modificēšanas pakalpojums nav jārestartē).
Konfigurācijas informāciju var iegūt, izmantojot man 5 krb5.conf.
Šajā posmā, ja nav nepieciešama stipra Kerberos autentifikācija, savienojumam ar privileģētām RDP lietojumprogrammām bezaģenta režīmā (HTML5 vai citādi) vajadzētu darboties ar lietotāju kontiem, kas pieder grupai Protected Users. RDP lietojumprogrammas konfigurācijai jāatbilst noteiktiem priekšnosacījumiem.