Aqbeż għall-kontenut

Grupp Protected Users, awtentikazzjoni Kerberos, kompartimentazzjoni tal-AD u stazzjon tax-xogħol PAW

L-iżgurar tad-direttorji Active Directory huwa sfida kbira fis-sigurtà tal-infrastrutturi.

L-ANSSI (l-Aġenzija Nazzjonali Franċiża għaċ-Ċibersigurtà) tagħti enfasi partikolari fuq l-importanza tal-kompartimentazzjoni f’din is-sigurtà u fuq l-implimentazzjoni tal-kompartimentazzjoni tas-servers b’awtentikazzjoni Kerberos. Dan jissemma fid-dokument tagħha Rakkomandazzjonijiet għall-amministrazzjoni sigura tas-sistemi tal-informazzjoni bbażati fuq AD.

Is-soluzzjonijiet CyberElements Bastion tagħna joffru flessibbiltà kbira fl-implimentazzjoni ta’ din is-sigurtà, li tista’ tinqasam f’erba’ livelli differenti ta’ integrazzjoni li jistgħu jiġu applikati progressivament:

Konfigurazzjoni tal-applikazzjonijiet RDP għall-appoġġ ta’ Kerberos

Twissija!

Biex tikkonfigura applikazzjoni RDP privileġjata jew applikazzjoni HTML5 RDP privileġjata ħalli tappoġġja Kerberos, l-ewwel trid twettaq il-konfigurazzjoni 1 tal-komponent Edge Gateway (jew tal-komponenti Edge Gateway) li se jintużaw għall-konnessjoni RDP b’Kerberos.

Biex applikazzjoni RDP jew HTML5 RDP privileġjata tikkonnettja ma’ server RDP b’Kerberos, huma meħtieġa erba’ kundizzjonijiet ta’ konfigurazzjoni:

  1. Is-setting SSO ma jistax ikun issettjat fuq Disabled, għalhekk irid ikun Enabled, Fixed jew Request
  2. Il-modalità mingħajr aġent trid tkun attivata
  3. L-isem tas-server imdaħħal irid ikun FQDN (jekk iddaħħal l-indirizz IP tas-server, l-awtentikazzjoni tfalli).
  4. Kerberos ma għandux ikun diżattivat fis-settings avvanzati tal-applikazzjoni RDP jew HTML5 RDP.
Eżempju

Biex tikkonfigura applikazzjoni RDP privileġjata ħalli tikkonnettja mas-server RDP my-rds-server bl-użu ta’ Kerberos, ikollok:

  • Issettja l-livell SSO fuq setting differenti minn Disabled, f’dan il-każ fuq Enabled (1), imbagħad attiva l-modalità mingħajr aġent (2) u fl-aħħar daħħal l-FQDN tas-server RDP (3).
  • Iżgura li Kerberos mhux diżattivat (4)
Dijagramma tal-fluss 
flowchart LR 
    subgraph WAN 
        USER(Stazzjon tax-xogħol tal-utent)
    end 
    subgraph Cloud jew DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Server RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. L-utent jiftaħ applikazzjoni RDP jew HTML5 RDP privileġjata b’appoġġ għall-awtentikazzjoni Kerberos.
  2. L-utent ikun konness mal-komponent Edge Gateway f’modalità mingħajr aġent
  3. Il-komponent Edge Gateway jitlob token TGT mill-kontrollur tad-dominju Kerberos (KDC).
  4. Il-KDC jirritorna TGT ikkriptat u ffirmat
  5. Il-komponent Edge Gateway jitlob biljett tas-servizz li jinkludi t-TGT ta’ qabel
  6. Il-KDC jirritorna l-biljett tas-servizz ikkriptat biċ-ċavetta tas-servizz
  7. Il-komponent Edge Gateway jagħmel talba ta’ aċċess lis-server RDP, inkluż il-biljett tas-servizz.
  8. Is-server RDP japprova l-aċċess għas-servizz u l-konnessjoni RDP tiġi inizjalizzata.

Konfigurazzjoni tal-applikazzjonijiet RDP għall-appoġġ ta’ Kerberos armoring

Twissija!

Biex tikkonfigura b’suċċess applikazzjoni RDP jew HTML5 RDP privileġjata ħalli tappoġġja Kerberos armoring, l-ewwel trid tlesti l-konfigurazzjonijiet 1 u 2 għall-komponenti Edge Gateway li se jintużaw għall-konnessjoni RDP b’Kerberos armoring.

Biex applikazzjoni RDP jew HTML5 RDP privileġjata tikkonnettja ma’ server RDP b’Kerberos armoring, huma meħtieġa ħames kundizzjonijiet ta’ konfigurazzjoni:

  1. Is-setting SSO ma jistax ikun issettjat fuq Disabled, għalhekk irid ikun Enabled, Fixed jew Request
  2. Il-modalità mingħajr aġent trid tkun attivata
  3. L-isem tas-server imdaħħal irid ikun FQDN (jekk iddaħħal l-indirizz IP tas-server, l-awtentikazzjoni tfalli).
  4. Kerberos ma għandux ikun diżattivat fis-settings avvanzati tal-applikazzjoni RDP jew HTML5 RDP.
  5. Speċifika l-isem tal-kont tal-kompjuter tas-servizz li għandu jintuża għal Kerberos armoring billi żżid $ fl-aħħar
Eżempju

Biex tikkonfigura applikazzjoni RDP privileġjata ħalli tikkonnettja f’modalità Kerberos armoring mas-server RDP my-rds-server bl-użu tal-kont tal-kompjuter svc_cyberelements, ikollok:

  • Issettja l-livell SSO fuq setting differenti minn Disabled, f’dan il-każ fuq Enabled (1), imbagħad attiva l-modalità mingħajr aġent (2) u fl-aħħar daħħal l-FQDN tas-server RDP (3).
  • Iżgura li Kerberos mhux diżattivat (4) u li l-isem tal-kont tal-kompjuter tas-servizz huwa speċifikat, u ftakar żżid il-karattru $ (5).
Dijagramma tal-fluss 
flowchart LR 
    subgraph WAN 
        USER(Stazzjon tax-xogħol tal-utent)
    end 
    subgraph Cloud jew DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(Server RDP)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW
Hold "Ctrl" to enable pan & zoom
  1. L-utent jiftaħ applikazzjoni RDP jew HTML5 RDP privileġjata b’appoġġ għall-awtentikazzjoni Kerberos.
  2. L-utent ikun konness mal-komponent Edge Gateway f’modalità mingħajr aġent
  3. Il-komponent Edge Gateway jitlob token TGT mill-kontrollur tad-dominju Kerberos (KDC) bl-użu tal-informazzjoni tal-kont tal-kompjuter tas-servizz
  4. Il-KDC jirritorna TGT ikkriptat u ffirmat
  5. Il-komponent Edge Gateway jitlob biljett tas-servizz li jinkludi t-TGT ta’ qabel
  6. Il-KDC jirritorna l-biljett tas-servizz ikkriptat biċ-ċavetta tas-servizz
  7. Il-komponent Edge Gateway jagħmel talba ta’ aċċess lis-server RDP, inkluż il-biljett tas-servizz.
  8. Is-server RDP japprova l-aċċess għas-servizz u l-konnessjoni RDP tiġi inizjalizzata.

Karatteristiċi speċifiċi tal-arkitettura f’ambjent AD maqsum f’silos

Twissija!

F’ambjent Active Directory maqsum f’silos, Kerberos armoring normalment ikun ikkonfigurat għall-kontijiet tal-amministraturi. Għalhekk, il-konfigurazzjonijiet 1 u 2 iridu jitwettqu għall-komponenti Edge Gateway li se jintużaw biex jikkonnettjaw mas-servers RDP.

Meta CyberElements Bastion jintuża f’ambjent AD maqsum f’silos, il-kont tal-kompjuter tas-servizz użat għal Kerberos armoring irid jiġi assenjat lil silo.
Dan ifisser li jekk ikun meħtieġ taċċessa kompjuters RDP li jappartjenu lil partijiet terzi differenti, ikun meħtieġ toħloq daqstant kontijiet tal-kompjuter tas-servizz imqiegħda fil-miri differenti tal-partijiet terzi.

L-arkitettura tal-prodott tista’ wkoll tiġi affettwata.
Din il-bidla taffettwa prinċipalment l-għadd ta’ komponenti Edge Gateway skjerati, fejn huwa rakkomandat li jkun hemm mill-inqas wieħed dedikat għall-aċċess minn parti terza speċifika. Madankollu, jekk il-kuntest ma jippermettix l-iskjerament ta’ daqstant komponenti Edge Gateway, tista’ tintuża wkoll arkitettura b’komponent Edge Gateway wieħed:

flowchart LR
    subgraph WAN
        USER(Stazzjon tax-xogħol tal-utent)
    end
    subgraph Cloud jew DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T2
            GW-T2(Edge Gateway T2)
            RDP-T2(Server RDP T2)
        end
        subgraph T1
            GW-T1(Edge Gateway T1)
            RDP-T1(Server RDP T1)
        end
        subgraph T0
            GW-T0(Edge Gateway T0)
            KDC(Kerberos Domain Controller)
            RDP-T0(Server RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW-T0
    MED ~~~ GW-T1
    MED ~~~ GW-T2

    GW-T0 ==TLS==> MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 --Kerberos/LDAPS--> KDC
    GW-T0 -..-> |RDP| RDP-T0

    GW-T1 ==TLS==> MED
    GW-T1 ~~~ MED
    GW-T1 ~~~ MED
    GW-T1 --Kerberos/LDAPS--> KDC
    GW-T1 -..-> |RDP| RDP-T1

    GW-T2 ==TLS==> MED
    GW-T2 ~~~ MED
    GW-T2 --Kerberos/LDAPS--> KDC
    GW-T2 -..-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

B’din l-arkitettura, il-konfigurazzjoni tal-applikazzjonijiet RDP hija identika għal dik deskritta għall-appoġġ ta’ Kerberos armoring. 

flowchart LR
    subgraph WAN
        USER(Stazzjon tax-xogħol tal-utent)
    end
    subgraph Cloud jew DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        GW(Edge Gateway)
        subgraph T2
            RDP-T2(Server RDP T2)
        end
        subgraph T1
            RDP-T1(Server RDP T1)
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
            RDP-T0(Server RDP T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW

    GW ==TLS==> MED
    GW ~~~ MED
    GW --Kerberos/LDAPS--> KDC
    GW-.-> |RDP| RDP-T0
    GW -.-> |RDP| RDP-T1
    GW -.-> |RDP| RDP-T2
Hold "Ctrl" to enable pan & zoom

B’din l-arkitettura, il-konfigurazzjoni tal-applikazzjonijiet RDP hija identika għal dik deskritta għall-appoġġ ta’ Kerberos armoring.
Madankollu, trid tippjana wkoll li tapplika fajl keytab li fih diversi kontijiet tas-servizz fuq il-komponent Edge Gateway tal-konnessjoni.

Karatteristiċi speċifiċi tal-konnessjoni ma’ stazzjon tax-xogħol PAW

PAW (Privileged Access Workstation) huwa stazzjon tax-xogħol dedikat għal kompiti amministrattivi fuq parti terza definita.
Minħabba n-natura kritika ta’ dan l-istazzjon tax-xogħol, ħafna drabi jiġu applikati settings tas-sigurtà msaħħa. Fost it-titjib applikat, il-prinċipju li s-servizzi ma jiġux esposti fuq in-netwerk jiżgura li ma jista’ jiġi sfruttat l-ebda backdoor jew servizz b’vulnerabbiltajiet tas-sigurtà.

Għalhekk, dan il-prinċipju jagħmel l-aċċess mill-bogħod għall-istazzjon tax-xogħol PAW teoretikament impossibbli. Madankollu, CyberElements Bastion jippermettilek tistabbilixxi konnessjoni mal-istazzjon tax-xogħol PAW mingħajr ma jkollok servizzi li qed jisimgħu fuq in-netwerk lokali grazzi għal:

  • L-attivazzjoni tas-servizzi Remote Desktop
  • Il-konfigurazzjoni tal-firewall lokali biex jipprojbixxi l-aċċess għas-servizz Remote Desktop minn kwalunkwe indirizz IP għajr dawk tal-istazzjon tax-xogħol PAW, jew localhost
  • L-installazzjoni ta’ komponent Edge Gateway integrat li se jippermetti aċċess lokali għas-servizz Remote Desktop tal-istazzjon tax-xogħol PAW
flowchart LR
    subgraph WAN
        USER(Stazzjon tax-xogħol tal-utent)
    end
    subgraph Cloud jew DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Server RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW & GW-WIN
    GW & GW-WIN ==TLS==> MED
    GW & GW-WIN ~~~ MED

    GW & PAW_T1 --> |Kerberos/LDAPS| KDC

    GW-WIN -.-> |RDP| RDP

    GW --x |L-ebda konnessjoni disponibbli| PAW_T1
Hold "Ctrl" to enable pan & zoom 
flowchart LR
    subgraph WAN
        USER(Stazzjon tax-xogħol tal-utent)
    end
    subgraph Cloud jew DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{Server RDP}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER --- |1| MED --> |1| GW
    GW -.- |2| MED -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    MED --> |7| GW & GW-WIN
    GW --- |8| MED --- |8| GW-WIN --> |8| RDP
    RDP -.- |9| GW-WIN -.- |9| MED -.-> |9| GW
Hold "Ctrl" to enable pan & zoom
  1. L-utent jiftaħ applikazzjoni RDP jew HTML5 RDP privileġjata b’appoġġ għall-awtentikazzjoni Kerberos lejn stazzjon tax-xogħol PAW
  2. L-utent ikun konness mal-komponent Edge Gateway f’modalità mingħajr aġent
  3. Il-komponent Edge Gateway jitlob token TGT mill-kontrollur tad-dominju Kerberos (KDC) bl-użu tal-informazzjoni tal-kont tal-kompjuter tas-servizz
  4. Il-KDC jirritorna TGT ikkriptat u ffirmat
  5. Il-komponent Edge Gateway jitlob biljett tas-servizz li jinkludi t-TGT ta’ qabel
  6. Il-KDC jirritorna l-biljett tas-servizz ikkriptat biċ-ċavetta tas-servizz
  7. Is-servizz Mediation Controller jinnotifika lill-komponent Edge Gateway u lill-komponent Edge Gateway integrat li nfetħet mina bejniethom, u l-mina tgħaddi mis-servizz Mediation Controller
  8. Il-komponent Edge Gateway jibgħat talba ta’ aċċess lis-server RDP, inkluż il-biljett tas-servizz, permezz tas-servizz Mediation Controller u tal-komponent Edge Gateway integrat
  9. Is-server RDP japprova l-aċċess għas-servizz u l-konnessjoni RDP tiġi inizjalizzata

Prerekwiżiti fuq l-istazzjon tax-xogħol PAW

Il-prerekwiżiti speċifiċi li għandhom jiġu applikati fuq l-istazzjon tax-xogħol PAW (Privileged Access Workstation) għall-konnessjoni ma’ CyberElements Bastion huma miġbura fil-qosor kif ġej:

  1. Attiva s-servizz Remote Desktop
  2. Immodifika l-firewall lokali biex tiċħad l-aċċess għas-servizz Remote Desktop għall-kompjuters kollha għajr l-istazzjon tax-xogħol PAW innifsu
  3. Immodifika l-imġiba ta’ Kerberos armoring biex dejjem jipprovdi pretensjonijiet
  4. Installa komponent Edge Gateway għal Windows f’modalità integrata

Attiva s-servizz Remote Desktop

Is-servizz Remote Desktop jista’ jiġi attivat manwalment kif deskritt fid-dokumentazzjoni ta’ Microsoft Enable Remote Desktop on your PC.
Madankollu, huwa possibbli wkoll li tuża GPO biex tattiva s-servizz:

  • Mogħdija tas-setting tal-GPO: Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Connections
  • Setting: Allow users to connect remotely by using Remote Desktop Services
  • Valur: Enabled

Modifika tar-regoli tal-firewall

Għal raġunijiet ta’ sigurtà, huwa importanti li tirrestrinġi l-aċċess fil-livell tal-firewall, sabiex tipprevjeni l-aċċess minn barra fuq il-port RDP.

B’mod default, meta RDP ikun attivat, Windows jissettja 2 regoli tal-firewall li jawtorizzaw l-aċċess għall-port 3389 f’UDP u TCP.
Dawn iż-żewġ regoli għandhom jiġu modifikati biex jippermettu biss konnessjonijiet RDP mill-indirizz IP remot 127.0.0.1.

Jekk dawn ir-regoli ma jeżistux, għandhom jinħolqu manwalment fuq is-server jew permezz ta’ GPO.

Modifika tal-imġiba ta’ Kerberos armoring

Irridu wkoll nimmodifikaw l-imġiba ta’ Kerberos.

Biex tagħmel dan, tista’ tissettja l-GPO li ġejja:

  • Mogħdija tas-setting tal-GPO: Computer Configuration > Policies > Administrative Templates > System > KDC
  • Setting: KDC support for claims, compound authentication and Kerberos armoring
  • Valur: Enabled, Always provide claims

Din il-bidla ma għandha l-ebda impatt fuq is-sigurtà tal-qsim tal-AD f’livelli u tal-implimentazzjoni msaħħa ta’ Kerberos.

Installa komponent Edge Gateway għal Windows f’modalità integrata

Prerekwiżiti

Qabel ma tkompli, installa komponent Edge Gateway għal Windows fuq l-istazzjon tax-xogħol PAW u kkonnettjah mal-komponent Mediation Controller: Installa komponent Edge Gateway għal Windows

Wara li tinstalla l-komponent Edge Gateway għal Windows, huwa meħtieġ li taqilbu għall-modalità integrata.

Aċċessa l-interfaċċa web tas-server Mediation Controller bl-URI /console.

Eżempji

Jekk l-aċċess għall-komponent Mediation Controller fuq l-indirizz IP web tiegħu huwa 10.0.10.10, allura l-konsol tal-amministrazzjoni jintlaħaq fuq https://10.0.10.10/console.

Jekk il-komponent Mediation Controller jista’ jintlaħaq b’isem DNS, pereżempju cyberelements-bastion.domain.local, allura l-konsol tal-amministrazzjoni jintlaħaq fuq https://cyberelements-bastion.domain.local/console.

Ladarba jkun konness, kun żgur li tneħħi d-dikjarazzjoni tal-komponent Edge Gateway għal Windows mill-modulu Gateways Management.

Il-komponent Edge Gateway għal Windows issa huwa lest biex jintuża bħala komponent Edge Gateway integrat.

Meta tinfetaħ sessjoni, il-monitor tal-komponent Edge Gateway għal Windows jibda awtomatikament (jidher bl-ikona type:inline fit-taskbar). Peress li dan il-bidu awtomatiku mhuwiex meħtieġ għall-istazzjonijiet tax-xogħol PAW, irid jiġi diżattivat:

  1. Iftaħ l-editur taċ-ċwievet tar-reġistru ta’ Windows regedit.exe bħala amministratur
  2. Mur fil-hive tar-reġistru ta’ Windows HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
  3. Ħassar iċ-ċavetta IPdivaGateway Monitor
  4. Erġa’ ibda l-istazzjon tax-xogħol PAW

Konfigurazzjoni tal-applikazzjonijiet RDP għall-konnessjoni ma’ stazzjon tax-xogħol PAW

Twissija!

Biex tikkonfigura applikazzjoni RDP jew HTML5 RDP privileġjata ħalli tikkonnettja ma’ stazzjon tax-xogħol PAW, l-ewwel trid tlesti l-konfigurazzjonijiet minn 1 sa 3 għall-komponenti Edge Gateway li se jintużaw għall-konnessjoni mal-istazzjonijiet tax-xogħol PAW.

Biex applikazzjoni RDP jew HTML5 RDP privileġjata tikkonnettja ma’ stazzjon tax-xogħol PAW, iridu jiġu sodisfatti sitt kundizzjonijiet ta’ konfigurazzjoni:

  1. Is-setting SSO ma jistax ikun issettjat fuq Disabled, għalhekk irid ikun Enabled, Fixed jew Request
  2. Il-modalità mingħajr aġent trid tkun attivata
  3. L-isem tas-server imdaħħal irid ikun FQDN (jekk iddaħħal l-indirizz IP tas-server, l-awtentikazzjoni tfalli).
  4. Ikkonfigura l-irrottjar permezz ta’ komponent Edge Gateway integrat
  5. Kerberos ma għandux ikun diżattivat fis-settings avvanzati tal-applikazzjoni RDP jew HTML5 RDP.
  6. Speċifika l-isem tal-kont tal-kompjuter tas-servizz li għandu jintuża għal Kerberos armoring billi żżid $ fl-aħħar

Il-kundizzjoni 4 hija imposta mill-konfigurazzjoni tal-istazzjonijiet tax-xogħol PAW, li ma għandu jkollhom l-ebda servizz jisma’ fuq in-netwerk lokali. Meta tinstalla komponent Edge Gateway fil-forma ta’ programm ta’ Windows, dan tal-aħħar jista’ jaċċessa biss servizzi li jisimgħu fuq localhost.

Eżempju

Biex tikkonfigura applikazzjoni RDP privileġjata ħalli tikkonnettja f’modalità Kerberos armoring mas-server RDP my-rds-server bl-użu tal-kont tal-kompjuter svc_cyberelements, ikollok:

  • Issettja l-livell SSO fuq setting differenti minn Disabled, f’dan il-każ fuq Enabled (1), imbagħad attiva l-modalità mingħajr aġent (2), daħħal l-FQDN tas-server RDP (3), u fl-aħħar attiva l-modalità tal-komponent Edge Gateway integrat u speċifika l-isem tal-komponent Edge Gateway għal Windows li ġie installat fuq l-istazzjon tax-xogħol PAW (4).
  • Iżgura li Kerberos mhux diżattivat (5) u li l-isem tal-kont tal-kompjuter tas-servizz huwa speċifikat, u ftakar żżid il-karattru $ (6).

Debug tal-ftuħ tal-applikazzjonijiet RDP b’awtentikazzjoni Kerberos

Biex twettaq analiżi inizjali jew tikseb l-informazzjoni li CyberElements jeħtieġ għal analiżi avvanzata tal-fallimenti tal-awtentikazzjoni Kerberos, wettaq l-azzjonijiet li ġejjin:

  1. Attiva r-reġistri tad-debug: biex tagħmel dan, aqleb il-parametru debug taħt it-tikketta [Kerberos] għal true fil-fajl /etc/ipdiva/cleanroom/xrdprecord.ini tas-server Edge Gateway użat għall-konnessjoni. Din l-azzjoni tista’ titwettaq bil-kmand li ġej:

    1
    sed -i "3s/false/true/" /etc/ipdiva/cleanroom/xrdprecord.ini

  2. Idħol fil-portal tal-utent u niedi applikazzjoni privileġjata, RDP jew RDP HTML5, f’modalità mingħajr aġent u kkonfigurata biex tuża Kerberos. Innota l-informazzjoni li ġejja:

    • Il-ħin tal-ftuħ tal-applikazzjoni
    • L-isem tal-utent użat biex tikkonnettja mas-server RDP

  3. Fuq il-komponent Edge Gateway użat għall-konnessjoni ta’ qabel, ikseb il-fajls li ġejjin:

    • /var/log/syslog: dan il-fajl fih, b’mod partikolari, ir-reġistri tat-tnedija tas-sessjoni f’modalità mingħajr aġent.
    • /var/lib/ipdiva/carerecord/log/freerdpout-<USER>-<DATE>.txt: ibdel <USER> bl-isem tal-utent u <DATE> bid-data u l-ħin meta nfetħet l-applikazzjoni, miksuba fil-pass ta’ qabel. Dan il-fajl fih ir-reġistri relatati mal-istabbiliment tas-sessjoni RDP, inkluża l-fażi tal-awtentikazzjoni Kerberos.

  4. Iddiżattiva r-reġistri tad-debug: biex tagħmel dan, aqleb il-parametru debug taħt it-tikketta [Kerberos] għal false fil-fajl /etc/ipdiva/cleanroom/xrdprecord.ini tas-server Edge Gateway użat għall-konnessjoni. Din l-azzjoni tista’ titwettaq bil-kmand li ġej:

    1
    sed -i "3s/true/false/" /etc/ipdiva/cleanroom/xrdprecord.ini