Gruppe `Protected Users`, Kerberos-Authentifizierung, AD-Segmentierung und PAW-Arbeitsplatz¶

Die Absicherung der Active-Directory-Verzeichnisse ist eine zentrale Herausforderung der Infrastruktursicherheit.

Die ANSSI (die französische nationale Agentur für Cybersicherheit) betont besonders die Bedeutung der Abschottung für diese Sicherheit und die Einrichtung einer Server-Segmentierung mit Kerberos-Authentifizierung. Erwähnt wird dies in ihren Empfehlungen für die sichere Administration von IS auf AD-Basis.

Unsere Lösungen CyberElements bieten große Flexibilität bei der Umsetzung dieser Sicherheit, die sich in vier verschiedene Integrationsstufen gliedern lässt, welche schrittweise angewendet werden können:

Protected Users

Erste Umsetzungsstufe

Administratoren in der Gruppe Protected Users (das Authentifizierungsprotokoll wechselt von NTLM zu Kerberos)

Die Einstellungen des Edge Gateway anzeigen
Die Einstellungen der RDP-Anwendung anzeigen
Kerberos Armoring

Zweite Umsetzungsstufe

Einrichtung des Kerberos Armoring

Die Einstellungen des Edge Gateway anzeigen
Die Einstellungen der RDP-Anwendung anzeigen
AD-Segmentierung

Dritte Umsetzungsstufe

Verteilung der Server und Konten (Benutzer und Administratoren) auf Silos

Die Produktarchitektur in einem Kontext der AD-Segmentierung anzeigen
Betrieb von PAW-Arbeitsplätzen

Vierte Umsetzungsstufe

Verwendung von PAW-Arbeitsplätzen, die keinen Fernzugriff zulassen

Die für den Zugriff auf einen PAW-Arbeitsplatz erforderlichen Einstellungen prüfen

RDP-Anwendungen für die Kerberos-Unterstützung konfigurieren¶

Achtung!

Um eine privilegierte RDP- oder eine privilegierte HTML5-RDP-Anwendung für die Kerberos-Unterstützung zu konfigurieren, müssen Sie zunächst Konfiguration 1 durchführen, und zwar für die Edge Gateways, die für die RDP-Verbindung mit Kerberos verwendet werden.

Damit sich eine privilegierte RDP- oder HTML5-RDP-Anwendung mit Kerberos zu einem RDP-Server verbindet, müssen vier Konfigurationsbedingungen erfüllt sein:

Der SSO-Parameter darf nicht auf Disabled stehen, er muss also Enabled, Fixed oder Request lauten
Der Modus ohne Agent muss aktiviert sein
Der eingegebene Servername muss ein FQDN sein (die Eingabe der IP-Adresse des Servers lässt die Authentifizierung fehlschlagen).
Kerberos darf in den erweiterten Einstellungen der RDP- oder HTML5-RDP-Anwendung nicht deaktiviert sein.

Example

Um eine privilegierte RDP-Anwendung so zu konfigurieren, dass sie sich über Kerberos mit dem RDP-Server my-rds-server verbindet, müssen Sie:

Die SSO-Stufe auf einen anderen Wert als Disabled setzen, hier auf Enabled (1), dann den Modus ohne Agent aktivieren (2) und schließlich den FQDN des RDP-Servers eingeben (3).
Sicherstellen, dass Kerberos nicht deaktiviert ist (4)

Ablaufdiagramm

flowchart LR 
    subgraph WAN 
        USER(Arbeitsplatz des Benutzers)
    end 
    subgraph Cloud oder DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(RDP-Server)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW

Hold "Ctrl" to enable pan & zoom

Der Benutzer öffnet eine privilegierte RDP- oder HTML5-RDP-Anwendung mit Unterstützung der Kerberos-Authentifizierung.
Der Benutzer wird im Modus ohne Agent mit dem Edge Gateway verbunden
Das Edge Gateway fordert beim Kerberos Domain Controller (KDC) ein TGT-Token an.
Der KDC gibt ein verschlüsseltes und signiertes TGT zurück
Das Edge Gateway fordert ein Diensticket an, das das vorherige TGT enthält
Der KDC gibt das mit dem Dienstschlüssel verschlüsselte Diensticket zurück
Das Edge Gateway stellt eine Zugriffsanfrage an den RDP-Server, einschließlich des Diensttickets.
Der RDP-Server bewilligt den Zugriff auf den Dienst, und die RDP-Verbindung wird aufgebaut.

RDP-Anwendungen für die Unterstützung des Kerberos Armoring konfigurieren¶

Achtung!

Um eine privilegierte RDP- oder HTML5-RDP-Anwendung erfolgreich für die Unterstützung des Kerberos Armoring zu konfigurieren, müssen Sie zunächst die Konfigurationen 1 und 2 durchführen, und zwar für die Edge Gateways, die für die RDP-Verbindung mit Kerberos Armoring verwendet werden.

Damit sich eine privilegierte RDP- oder HTML5-RDP-Anwendung mit Kerberos Armoring zu einem RDP-Server verbindet, müssen fünf Konfigurationsbedingungen erfüllt sein:

Der SSO-Parameter darf nicht auf Disabled stehen, er muss also Enabled, Fixed oder Request lauten
Der Modus ohne Agent muss aktiviert sein
Der eingegebene Servername muss ein FQDN sein (die Eingabe der IP-Adresse des Servers lässt die Authentifizierung fehlschlagen).
Kerberos darf in den erweiterten Einstellungen der RDP- oder HTML5-RDP-Anwendung nicht deaktiviert sein.
Den Namen des Dienstcomputerkontos angeben, das für das Kerberos Armoring verwendet wird, mit einem $ am Ende

Example

Um eine privilegierte RDP-Anwendung so zu konfigurieren, dass sie sich im Modus Kerberos Armoring mit dem RDP-Server my-rds-server unter Verwendung des Computerkontos svc_cyberelements verbindet, müssen Sie:

Die SSO-Stufe auf einen anderen Wert als Disabled setzen, hier auf Enabled (1), dann den Modus ohne Agent aktivieren (2) und schließlich den FQDN des RDP-Servers eingeben (3).
Sicherstellen, dass Kerberos nicht deaktiviert ist (4) und dass der Name des Dienstcomputerkontos angegeben ist, wobei das Zeichen $ nicht zu vergessen ist (5).

Ablaufdiagramm

flowchart LR 
    subgraph WAN 
        USER(Arbeitsplatz des Benutzers)
    end 
    subgraph Cloud oder DMZ
        MEDIA(Mediation Controller) 
    end 
    subgraph LAN 
        GW(Edge Gateway) 
        KDC(Kerberos Domain Controller) 
        RDP(RDP-Server)
    end

    USER --- |1| MEDIA --> |1| GW
    GW -.- |2| MEDIA -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    GW --> |7| RDP
    RDP -.-> |8| GW

Hold "Ctrl" to enable pan & zoom

Der Benutzer öffnet eine privilegierte RDP- oder HTML5-RDP-Anwendung mit Unterstützung der Kerberos-Authentifizierung.
Der Benutzer wird im Modus ohne Agent mit dem Edge Gateway verbunden
Das Edge Gateway fordert beim Kerberos Domain Controller (KDC) unter Verwendung der Angaben des Dienstcomputerkontos ein TGT-Token an
Der KDC gibt ein verschlüsseltes und signiertes TGT zurück
Das Edge Gateway fordert ein Diensticket an, das das vorherige TGT enthält
Der KDC gibt das mit dem Dienstschlüssel verschlüsselte Diensticket zurück
Das Edge Gateway stellt eine Zugriffsanfrage an den RDP-Server, einschließlich des Diensttickets.
Der RDP-Server bewilligt den Zugriff auf den Dienst, und die RDP-Verbindung wird aufgebaut.

Besonderheiten der Architektur in einer segmentierten AD-Umgebung¶

Achtung!

In einer segmentierten Active-Directory-Umgebung ist das Kerberos Armoring normalerweise für die Administratorkonten konfiguriert. Daher sind die Konfigurationen 1 und 2 durchzuführen, und zwar für die Edge Gateways, die für die Verbindung zu den RDP-Servern verwendet werden.

Wird CyberElements in einer segmentierten AD-Umgebung eingesetzt, muss das für das Kerberos Armoring verwendete Dienstcomputerkonto einem Silo zugewiesen werden.
Das bedeutet, dass bei erforderlichem Zugriff auf RDP-Maschinen verschiedener Ebenen ebenso viele Dienstcomputerkonten anzulegen sind, die in den jeweiligen Ziel-Ebenen platziert werden.

Die Produktarchitektur kann davon ebenfalls betroffen sein.
Diese Änderung betrifft vor allem die Anzahl der bereitgestellten Edge Gateways: Es wird empfohlen, mindestens eines je Zugriff einer bestimmten Ebene vorzusehen. Lässt der Kontext die Bereitstellung so vieler Edge Gateways jedoch nicht zu, kann auch eine Architektur mit einem einzigen Edge Gateway verwendet werden:

Architektur mit mehreren Edge Gateways (empfohlen)Architektur mit einem einzelnen Edge Gateway

flowchart LR
    subgraph WAN
        USER(Arbeitsplatz des Benutzers)
    end
    subgraph Cloud oder DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T2
            GW-T2(Edge Gateway T2)
            RDP-T2(RDP-Server T2)
        end
        subgraph T1
            GW-T1(Edge Gateway T1)
            RDP-T1(RDP-Server T1)
        end
        subgraph T0
            GW-T0(Edge Gateway T0)
            KDC(Kerberos Domain Controller)
            RDP-T0(RDP-Server T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW-T0
    MED ~~~ GW-T1
    MED ~~~ GW-T2

    GW-T0 ==TLS==> MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 ~~~ MED
    GW-T0 --Kerberos/LDAPS--> KDC
    GW-T0 -..-> |RDP| RDP-T0

    GW-T1 ==TLS==> MED
    GW-T1 ~~~ MED
    GW-T1 ~~~ MED
    GW-T1 --Kerberos/LDAPS--> KDC
    GW-T1 -..-> |RDP| RDP-T1

    GW-T2 ==TLS==> MED
    GW-T2 ~~~ MED
    GW-T2 --Kerberos/LDAPS--> KDC
    GW-T2 -..-> |RDP| RDP-T2

Hold "Ctrl" to enable pan & zoom

Bei dieser Architektur entspricht die Konfiguration der RDP-Anwendungen derjenigen für die Unterstützung des Kerberos Armoring.

flowchart LR
    subgraph WAN
        USER(Arbeitsplatz des Benutzers)
    end
    subgraph Cloud oder DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        GW(Edge Gateway)
        subgraph T2
            RDP-T2(RDP-Server T2)
        end
        subgraph T1
            RDP-T1(RDP-Server T1)
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
            RDP-T0(RDP-Server T0)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW

    GW ==TLS==> MED
    GW ~~~ MED
    GW --Kerberos/LDAPS--> KDC
    GW-.-> |RDP| RDP-T0
    GW -.-> |RDP| RDP-T1
    GW -.-> |RDP| RDP-T2

Hold "Ctrl" to enable pan & zoom

Bei dieser Architektur entspricht die Konfiguration der RDP-Anwendungen derjenigen für die Unterstützung des Kerberos Armoring.
Sie müssen jedoch zusätzlich vorsehen, auf das Verbindungs-Edge-Gateway eine Datei keytab anzuwenden, die mehrere Dienstkonten enthält.

Besonderheiten der Verbindung zu einem PAW-Arbeitsplatz¶

Ein PAW (Privileged Access Workstation) ist ein Arbeitsplatz, der den Administrationsaufgaben einer bestimmten Ebene vorbehalten ist.
Wegen der Kritikalität dieses Arbeitsplatzes werden sehr häufig verschärfte Sicherheitseinstellungen angewendet. Zu diesen Verschärfungen gehört der Grundsatz, keine Dienste im Netzwerk verfügbar zu machen, wodurch sichergestellt ist, dass keine Hintertüren und keine Dienste mit Sicherheitslücken ausgenutzt werden können.

Dieser Grundsatz macht einen Fernzugriff auf den PAW-Arbeitsplatz theoretisch unmöglich. CyberElements erlaubt es jedoch, eine Verbindung zum PAW-Arbeitsplatz aufzubauen, ohne dass Dienste im lokalen Netzwerk lauschen — dank:

der Aktivierung der Remotedesktopdienste
der Konfiguration der lokalen Firewall, die den Zugriff auf den Remotedesktopdienst für alle IP-Adressen außer denen des PAW-Arbeitsplatzes selbst oder localhost untersagt
der Installation eines eingebetteten Edge Gateway, das den lokalen Zugriff auf den Remotedesktopdienst des PAW-Arbeitsplatzes ermöglicht

Flussdiagramm Austauschdiagramm

flowchart LR
    subgraph WAN
        USER(Arbeitsplatz des Benutzers)
    end
    subgraph Cloud oder DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{RDP-Server}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER ==TLS/HTTPS==> MED

    MED ~~~ GW & GW-WIN
    GW & GW-WIN ==TLS==> MED
    GW & GW-WIN ~~~ MED

    GW & PAW_T1 --> |Kerberos/LDAPS| KDC

    GW-WIN -.-> |RDP| RDP

    GW --x |Keine Verbindung verfügbar| PAW_T1

Hold "Ctrl" to enable pan & zoom

flowchart LR
    subgraph WAN
        USER(Arbeitsplatz des Benutzers)
    end
    subgraph Cloud oder DMZ
        MED(Mediation Controller)
    end
    subgraph LAN
        subgraph T1
            GW(Edge Gateway T1)
            subgraph PAW_T1 [PAW T1]
                RDP{{RDP-Server}}
                GW-WIN{{Embeded Edge Gateway}}
            end
        end
        subgraph T0
            KDC(Kerberos Domain Controller)
        end
    end

    USER --- |1| MED --> |1| GW
    GW -.- |2| MED -.-> |2| USER
    GW --> |3| KDC
    KDC -.-> |4| GW
    GW --> |5| KDC
    KDC -.-> |6| GW
    MED --> |7| GW & GW-WIN
    GW --- |8| MED --- |8| GW-WIN --> |8| RDP
    RDP -.- |9| GW-WIN -.- |9| MED -.-> |9| GW

Hold "Ctrl" to enable pan & zoom

Der Benutzer öffnet zu einem PAW-Arbeitsplatz eine privilegierte RDP- oder HTML5-RDP-Anwendung mit Unterstützung der Kerberos-Authentifizierung
Der Benutzer wird im Modus ohne Agent mit dem Edge Gateway verbunden
Das Edge Gateway fordert beim Kerberos Domain Controller (KDC) unter Verwendung der Angaben des Dienstcomputerkontos ein TGT-Token an
Der KDC gibt ein verschlüsseltes und signiertes TGT zurück
Das Edge Gateway fordert ein Diensticket an, das das vorherige TGT enthält
Der KDC gibt das mit dem Dienstschlüssel verschlüsselte Diensticket zurück
Der Mediation Controller teilt dem Edge Gateway und dem eingebetteten Edge Gateway mit, dass zwischen ihnen ein Tunnel geöffnet wurde, der über den Mediation Controller verläuft
Das Edge Gateway sendet über den Mediation Controller und das eingebettete Edge Gateway eine Zugriffsanfrage an den RDP-Server, einschließlich des Diensttickets
Der RDP-Server bewilligt den Zugriff auf den Dienst, und die RDP-Verbindung wird aufgebaut

Voraussetzungen auf dem PAW-Arbeitsplatz¶

Die besonderen Voraussetzungen, die auf dem PAW-Arbeitsplatz (Privileged Access Workstation) für die Verbindung zu CyberElements zu erfüllen sind, lassen sich wie folgt zusammenfassen:

Den Remotedesktopdienst aktivieren
Die lokale Firewall so ändern, dass der Zugriff auf den Remotedesktopdienst allen Maschinen außer dem PAW-Arbeitsplatz selbst verwehrt wird
Das Verhalten des Kerberos Armoring so ändern, dass immer Ansprüche bereitgestellt werden
Ein Windows Edge Gateway im eingebetteten Modus installieren

Den Remotedesktopdienst aktivieren¶

Der Remotedesktopdienst lässt sich manuell aktivieren, wie in der Microsoft-Dokumentation Enable Remote Desktop on your PC beschrieben.
Es ist jedoch auch möglich, den Dienst über eine GPO zu aktivieren:

Pfad der GPO-Einstellung: Computer Configuration > Policies > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Connections
Einstellung: Allow users to connect remotely by using Remote Desktop Services
Wert: Enabled

Änderung der Firewallregeln¶

Aus Sicherheitsgründen ist es wichtig, den Zugriff auf Firewall-Ebene einzuschränken, um einen Zugriff von außen auf den RDP-Port zu verhindern.

Ist RDP aktiviert, richtet Windows standardmäßig 2 Firewallregeln ein, die den Zugriff auf den Port 3389 über UDP und TCP zulassen.
Diese beiden Regeln sind so zu ändern, dass nur RDP-Verbindungen von der entfernten IP-Adresse 127.0.0.1 zugelassen werden.

Sind diese Regeln nicht vorhanden, müssen sie manuell auf dem Server oder über eine GPO angelegt werden.

Änderung des Verhaltens des Kerberos Armoring¶

Auch das Verhalten von Kerberos ist zu ändern.

Dazu können Sie die folgende GPO einrichten:

Pfad der GPO-Einstellung: Computer Configuration > Policies > Administrative Templates > System > KDC
Einstellung: KDC support for claims, compound authentication and Kerberos armoring
Wert: Enabled, Always provide claims

Diese Änderung hat keine Auswirkung auf die Sicherheit der AD-Segmentierung und der verstärkten Kerberos-Implementierung.

Ein Windows Edge Gateway im eingebetteten Modus installieren¶

Voraussetzungen

Installieren Sie, bevor Sie fortfahren, ein Windows Edge Gateway auf dem PAW-Arbeitsplatz und verbinden Sie es mit dem Mediation Controller: Ein Windows Edge Gateway installieren

Nach der Installation des Windows Edge Gateway ist es in den eingebetteten Modus zu versetzen.

Rufen Sie die Weboberfläche Ihres CyberElements-Tenants über den URI /console auf.

Beispiele

Bei einem Tenant mit dem Namen my-tenant wird die Plattform unter https://my-tenant.cyberelements.io erreicht.
Das Anmeldeformular der Administrationskonsole ist auch direkt unter https://my-tenant.cyberelements.io/console erreichbar.

Achten Sie darauf, die Deklaration des Windows Edge Gateway nach dem Verbinden aus dem Modul Gateways Management zu entfernen.

Das Windows Edge Gateway ist nun bereit, als eingebettetes Edge Gateway verwendet zu werden.

Beim Öffnen einer Sitzung startet der Monitor des Windows Edge Gateway automatisch (erkennbar am Symbol in der Taskleiste). Da dieser automatische Start für PAW-Arbeitsplätze nicht erforderlich ist, muss er deaktiviert werden:

Öffnen Sie den Registrierungseditor regedit.exe als Administrator
Wechseln Sie zum Registrierungszweig HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run
Löschen Sie den Schlüssel IPdivaGateway Monitor
Starten Sie den PAW-Arbeitsplatz neu

RDP-Anwendungen für die Verbindung zu einem PAW-Arbeitsplatz konfigurieren¶

Achtung!

Um eine privilegierte RDP- oder HTML5-RDP-Anwendung für die Verbindung zu einem PAW-Arbeitsplatz zu konfigurieren, müssen Sie zunächst die Konfigurationen 1 bis 3 durchführen, und zwar für die Edge Gateways, die für die Verbindung zu den PAW-Arbeitsplätzen verwendet werden.

Damit sich eine privilegierte RDP- oder HTML5-RDP-Anwendung mit einem PAW-Arbeitsplatz verbindet, müssen sechs Konfigurationsbedingungen erfüllt sein:

Der SSO-Parameter darf nicht auf Disabled stehen, er muss also Enabled, Fixed oder Request lauten
Der Modus ohne Agent muss aktiviert sein
Der eingegebene Servername muss ein FQDN sein (die Eingabe der IP-Adresse des Servers lässt die Authentifizierung fehlschlagen).
Das Routing über ein eingebettetes Edge Gateway konfigurieren
Kerberos darf in den erweiterten Einstellungen der RDP- oder HTML5-RDP-Anwendung nicht deaktiviert sein.
Den Namen des Dienstcomputerkontos angeben, das für das Kerberos Armoring verwendet wird, mit einem $ am Ende

Bedingung 4 ergibt sich aus der Konfiguration der PAW-Arbeitsplätze, auf denen kein Dienst im lokalen Netzwerk lauschen darf. Wird ein Edge Gateway in Form eines Windows-Programms installiert, kann dieses nur auf Dienste zugreifen, die auf localhost lauschen.

Example

Um eine privilegierte RDP-Anwendung so zu konfigurieren, dass sie sich im Modus Kerberos Armoring mit dem RDP-Server my-rds-server unter Verwendung des Computerkontos svc_cyberelements verbindet, müssen Sie:

Die SSO-Stufe auf einen anderen Wert als Disabled setzen, hier auf Enabled (1), dann den Modus ohne Agent aktivieren (2), den FQDN des RDP-Servers eingeben (3) und schließlich den Modus des eingebetteten Edge Gateway aktivieren und den Namen des Windows Edge Gateway angeben, das auf dem PAW-Arbeitsplatz installiert wurde (4).
Sicherstellen, dass Kerberos nicht deaktiviert ist (5) und dass der Name des Dienstcomputerkontos angegeben ist, wobei das Zeichen $ nicht zu vergessen ist (6).

Fehlersuche beim Öffnen von RDP-Anwendungen mit Kerberos-Authentifizierung¶

Um eine erste Analyse durchzuführen oder die Angaben zu erheben, die Systancia für eine eingehende Analyse von Fehlern der Kerberos-Authentifizierung benötigt, führen Sie bitte die folgenden Schritte aus:

Die Debug-Protokolle aktivieren: Setzen Sie dazu den Parameter debug unter der Markierung [Kerberos] in der Datei /etc/ipdiva/cleanroom/xrdprecord.ini des für die Verbindung verwendeten Edge Gateway auf true. Dieser Schritt lässt sich mit dem folgenden Befehl ausführen:
1
sed -i "3s/false/true/" /etc/ipdiva/cleanroom/xrdprecord.ini
Melden Sie sich am Benutzerportal an und starten Sie eine privilegierte Anwendung, RDP oder HTML5 RDP, im Modus ohne Agent und für die Verwendung von Kerberos konfiguriert. Notieren Sie die folgenden Angaben:
- Uhrzeit des Öffnens der Anwendung
- Benutzername, der für die Verbindung zum RDP-Server verwendet wurde
Rufen Sie auf dem für die vorherige Verbindung verwendeten Edge Gateway die folgenden Dateien ab:
- /var/log/syslog: Diese Datei enthält insbesondere die Protokolleinträge zum Start der Sitzung im Modus ohne Agent.
- /var/lib/ipdiva/carerecord/log/freerdpout-<USER>-<DATE>.txt: Ersetzen Sie <USER> durch den Benutzernamen und <DATE> durch das im vorherigen Schritt notierte Datum und die Uhrzeit des Öffnens der Anwendung. Diese Datei enthält die Protokolleinträge zum Aufbau der RDP-Sitzung, einschließlich der Phase der Kerberos-Authentifizierung.
Die Debug-Protokolle deaktivieren: Setzen Sie dazu den Parameter debug unter der Markierung [Kerberos] in der Datei /etc/ipdiva/cleanroom/xrdprecord.ini des für die Verbindung verwendeten Edge Gateway auf false. Dieser Schritt lässt sich mit dem folgenden Befehl ausführen:
1
sed -i "3s/true/false/" /etc/ipdiva/cleanroom/xrdprecord.ini

Gruppe Protected Users, Kerberos-Authentifizierung, AD-Segmentierung und PAW-Arbeitsplatz¶

RDP-Anwendungen für die Kerberos-Unterstützung konfigurieren¶

RDP-Anwendungen für die Unterstützung des Kerberos Armoring konfigurieren¶

Besonderheiten der Architektur in einer segmentierten AD-Umgebung¶

Besonderheiten der Verbindung zu einem PAW-Arbeitsplatz¶

Voraussetzungen auf dem PAW-Arbeitsplatz¶

Den Remotedesktopdienst aktivieren¶

Änderung der Firewallregeln¶

Änderung des Verhaltens des Kerberos Armoring¶

Ein Windows Edge Gateway im eingebetteten Modus installieren¶

RDP-Anwendungen für die Verbindung zu einem PAW-Arbeitsplatz konfigurieren¶

Fehlersuche beim Öffnen von RDP-Anwendungen mit Kerberos-Authentifizierung¶

Gruppe `Protected Users`, Kerberos-Authentifizierung, AD-Segmentierung und PAW-Arbeitsplatz¶