RDP record contracts without agent¶
Modul RDP record contracts without agent deklaruje zmluvu, ktorá autorizuje skupiny používateľov známe produktu Bastion na priamy prístup k aplikáciám RDP bez agenta alebo aplikáciám VNC prostredníctvom site (Edge Gateway). Ide o rovnaký všeobecný formulár ako pri bežnej zmluve RDP, rozšírený o možnosť prístupového tokenu, ktorý možno skontrolovať a odvolať na samostatnej karte.
Priamy prístup sa vykonáva pomocou prihlasovacieho mena v tvare login/domain:application (napríklad test_user/DOMAIN:t1234). Zacieliť možno len domény, ktoré používajú identifikáciu prihlasovacím menom a heslom (domény SAML sa odfiltrujú).
Správanie pripojenia
Ak je heslo správne a aplikácia autorizovaná, aplikácia sa spustí podľa svojej konfigurácie; aliasy Vault sa, ak sú definované, rešpektujú. V prípade potreby sa zobrazia ďalšie dialógové okná na zadanie prihlasovacieho mena a hesla (SSO „ask“), komentára alebo cieľového servera pre dynamické aplikácie. Niektoré možnosti aplikácie závisia od klienta RDP (rozlíšenie, presmerovanie schránky, tlačiarne...) a v tomto režime ich nemožno rešpektovať; režimy console a restrictedadmin sa naopak rešpektujú.
Predpoklad: povolenie služby nahrávania na Edge Gateway¶
Priamy prístup RDP zabezpečuje vyhradená inštancia xrdp na Edge Gateway. Predvolene nie je povolená: počúva v sieti, čo by zbytočne rozšírilo plochu útoku platforiem, ktoré túto funkciu nepoužívajú. Zmluva deklarovaná v tomto module preto nemá žiadny účinok, kým sa služba nepovolí na komponentoch Edge Gateway vybraných site.
Na každom príslušnom komponente Edge Gateway:
1 | |
Táto inštancia tiež potrebuje vedieť, ktoré inštancie Edge Gateway má dopytovať, aby sa dostala k službe Mediation Controller: ide o parameter xmlrpc-connect v súbore /etc/ipdiva/careserver/careserver.xml, ten istý, ktorý používa priame nahrávanie s agentom.
Zoznam zmlúv¶
Hlavná tabuľka zobrazuje existujúce zmluvy v stránkovanom zobrazení (15, 25 alebo 50 riadkov na stránku):
| Stĺpec | Popis |
|---|---|
| Name | Názov zmluvy. Pred názvom je ikona: farebný zámok pre povolenú zmluvu, nefarebný zámok pre zakázanú zmluvu. |
| Groups | Počet vybraných skupín používateľov. |
| Sites | Počet vybraných site. |
| Applications | Počet vybraných aplikácií. |
Rozbalenie riadka zobrazí podrobnosti zmluvy: skupiny (zoskupené podľa domény), site, kategórie a jednotlivé prostriedky.
Vyhľadávacie pole na paneli s nástrojmi filtruje zoznam priebežne (spustí sa 700 ms po poslednom stlačení klávesu alebo okamžite klávesom Enter).
Okrem pridania, úpravy a odstránenia ponúka panel s nástrojmi Enable a Disable: tieto hromadné akcie sa vzťahujú na aktuálny výber.
Pridanie zmluvy¶
Tlačidlo + otvorí okno Add Contract s tromi kartami, ktorým predchádzajú tieto polia:
| Pole | Popis |
|---|---|
| Name | Povinné. Reťazec zložený len z medzier sa odmietne. |
| Description | Voľný text. |
| Allow users to use authentication tokens | Umožňuje používateľom získavať v rámci tejto zmluvy opakovane použiteľné tokeny. Ak nie je začiarknuté, nasledujúce pole je neaktívne (sivé). |
| Authentication tokens valididy in days (0 to disable token expiration) | Aktívne, len ak je začiarknuté predchádzajúce začiarkavacie políčko. Hodnota 0 spôsobí, že platnosť tokenov nikdy neuplynie. |
Tlačidlo Validate je povolené, len keď je vybraná aspoň jedna skupina, jeden site a jedna aplikácia.
Dvojstĺpcový zoznam (dostupné vľavo, vybrané vpravo) s rozbaľovacím zoznamom Domain nad ľavým zoznamom na filtrovanie skupín podľa domény overovania. Výber sa vykonáva presunutím myšou. Domény SAML sú vylúčené (vyžaduje sa overovanie prihlasovacím menom a heslom).
Dvojstĺpcový zoznam (dostupné vľavo, vybrané vpravo). Výber presunutím myšou a tlačidlo Select all.
Strom kategórií aplikácií a ich aplikácií. Začiarknutie kategórie vyberie naraz všetky jej aplikácie; začiarknutie jedinej aplikácie zobrazí kategóriu tučným písmom na signalizáciu čiastočného výberu. Zrušenie začiarknutia kategórie zruší aj začiarknutie celého jej obsahu.
Po vytvorení je zmluva predvolene povolená.
Úprava zmluvy¶
Vyberte zmluvu v zozname a kliknite na ikonu Properties alebo dvakrát kliknite na riadok. Okno Contract Edition ponúka rovnaké karty, vopred vyplnené. Na uloženie kliknite na Validate.
Odstránenie zmluvy¶
Vyberte jednu alebo viac zmlúv a kliknite na tlačidlo ×. Vyžaduje sa potvrdenie (označenie prispôsobené jednotnému alebo množnému číslu).
Povolenie alebo zakázanie zmlúv¶
Vyberte jeden alebo viac riadkov v tabuľke a potom kliknite na Enable alebo Disable na paneli s nástrojmi. Enable je dostupné, keď je aspoň jedna vybraná zmluva zakázaná, Disable, keď je aspoň jedna vybraná zmluva povolená.
Tokeny priameho prístupu RDP¶
Modul RDP direct access tokens uvádza tokeny vydané používateľmi v rámci zmlúv RDP bez agenta, ktoré tokeny povoľujú. Umožňuje token pred uplynutím jeho platnosti odvolať.
Zoznam tokenov¶
| Stĺpec | Popis |
|---|---|
| Username | Identifikátor používateľa, ktorý token vydal. |
| Application | Názov aplikácie, na ktorú token cieli. |
| Expiration | Dátum a čas uplynutia platnosti vo formáte DD/MM/YYYY HH:MM. |
Zoznam je stránkovaný (15, 25 alebo 50 riadkov na stránku).
Filtre a vyhľadávanie¶
| Prvok | Popis |
|---|---|
| Domain | Rozbaľovací zoznam dostupných domén. Domény SAML sú vylúčené. Počiatočný výber preberá doménu odovzdanú ako parameter, inak prvú doménu v zozname. |
| Pole vyhľadávania | Filter podľa podreťazca. Spustí sa 700 ms po poslednom stlačení klávesu. |
Odstránenie tokenu¶
Vyberte jeden alebo viac tokenov a kliknite na tlačidlo ×. Vyžaduje sa potvrdenie. Ak príkaz zlyhá, zobrazí sa chybové hlásenie.
Nevratná akcia
Po odstránení už token nemožno použiť: používateľ musí požiadať o nový, aby obnovil priamy prístup.