Konfigurácia komponentu Edge Gateway na povolenie overovania Kerberos¶
Odporúča sa umiestniť účty správcov domény AD do skupiny Protected Users. Keď sú tieto účty umiestnené v Protected Users, pripojenia NTLM už nie sú možné a použije sa protokol Kerberos.
Aby sa táto zmena prejavila v CyberElements Bastion, na serveroch Edge Gateway treba nakonfigurovať balík krb5-config, ktorý im umožní používať Kerberos.
Poznámka
Aby táto časť fungovala, musí byť medzi servermi Edge Gateway a serverom radiča domény AD otvorený tok Kerberos (tento server funguje ako KDC, Kerberos Domain Controller).
Pripomíname, že predvolene ide o tok UDP 88. Nasledujúca konfigurácia získava informácie Kerberos cez DNS, preto je potrebný aj tok UDP 53.
Použite nasledujúci príkazový riadok:
1 | |
Zadajte sféru Kerberos tak, že napíšete názov svojej domény (FQDN) veľkými písmenami.
Príklad
doména: domain.local
realm: DOMAIN.LOCAL
Potom odpovedzte <NO>, aby ste nemuseli vykonávať žiadne manuálne konfigurácie. V tomto prípade sa všetky informácie súvisiace s Kerberos získajú cez DNS.
Informácie
Pre všetky rozšírené a manuálne nastavenia budete musieť upraviť súbor /etc/krb5.conf (po úprave sa nevyžaduje reštartovanie služby).
Informácie o konfigurácii možno získať cez man 5 krb5.conf.
V tejto fáze, a ak sa nevyžaduje silné overovanie Kerberos, by malo pripojenie k privilegovaným aplikáciám RDP v režime bez agenta (HTML5 alebo nie) fungovať s používateľskými účtami, ktoré patria do Protected Users. Konfigurácia aplikácie RDP musí spĺňať určité predpoklady.