Конфигуриране на компонента Edge Gateway за активиране на удостоверяването с Kerberos¶
Препоръчва се акаунтите на администраторите на домейна на AD да се поставят в групата Protected Users. След като тези акаунти бъдат поставени в Protected Users, NTLM връзките вече не са възможни и ще се използва протоколът Kerberos.
За да бъде взета предвид тази промяна в CyberElements, пакетът krb5-config трябва да бъде конфигуриран на сървърите Edge Gateway, за да им позволи да използват Kerberos.
Забележка
За да работи тази част, трябва да бъде отворен поток на Kerberos между сървърите Edge Gateway и сървъра контролер на домейна на AD (този сървър действа като KDC, Kerberos Domain Controller).
Като напомняне, по подразбиране това е потокът UDP 88. Следващата конфигурация извлича информацията за Kerberos чрез DNS, така че е необходим и потокът UDP 53.
Използвайте следния команден ред:
1 | |
Въведете областта на Kerberos (realm), като изпишете името на вашия домейн (FQDN) с главни букви.
Пример
домейн: domain.local
realm: DOMAIN.LOCAL
След това отговорете с <NO>, за да не се налага да извършвате ръчни конфигурации. В този случай цялата информация, свързана с Kerberos, ще бъде извлечена чрез DNS.
Информация
За всички разширени и ръчни настройки ще трябва да промените файла /etc/krb5.conf (след промяната не е необходимо рестартиране на услуга).
Информацията за конфигурацията може да бъде получена чрез man 5 krb5.conf.
На този етап, ако не се изисква силно удостоверяване с Kerberos, свързването с привилегировани RDP приложения в режим без агент (HTML5 или не) би трябвало да работи с потребителски акаунти, принадлежащи към Protected Users. Конфигурацията на RDP приложението трябва да отговаря на определени предварителни изисквания.