Den Windows Recording Agent konfigurieren¶

Der Windows-Aufzeichnungsagent wird von CyberElements verwendet, um RDP-Sitzungen um neue Funktionen zu erweitern:

Möglichkeit, die für den Benutzer zugänglichen TCP- und UDP-Datenströme zu filtern
Möglichkeit, die Sitzungsaufzeichnung für jeden Benutzer auszulösen, der sich mit dem Server verbindet, ohne das Benutzerportal oder den Desktop-Client zu durchlaufen (Funktion direct access)

Darüber hinaus werden während der Benutzersitzungen zusätzliche Ereignisse erfasst:

Öffnen von Fenstern
Schließen von Fenstern
Starten von Programmen
Schließen von Programmen
Inhalt der Zwischenablage
Benutzeraktivität

Voraussetzungen¶

Kompatibilität des Clients

Um zu erfahren, ob der Agent mit den verschiedenen Microsoft-Windows-Betriebssystemen kompatibel ist, konsultieren Sie die Kompatibilitätsmatrix.

Der Aufzeichnungsagent setzt einige Voraussetzungen voraus, um ordnungsgemäß zu funktionieren. Einige davon betreffen ausschließlich die Aufzeichnungsfunktion mit Agent für RDP- und HTML5-RDP-Anwendungen, andere den direkten Zugriff mit Agent.

Allgemeine Voraussetzungen¶

Der Aufzeichnungsagent sendet die Aufzeichnung der Benutzersitzung an CyberElements zurück, indem er sich über den Port TCP 8443 mit dem Edge Gateway verbindet. Dafür muss der Netzwerkfluss zwischen den beiden Maschinen geöffnet sein.

Um die Aufzeichnung sicher an das Edge Gateway zurückzusenden, baut der Aufzeichnungsagent mit diesem eine sichere Verbindung über TLS auf. TLS beruht auf der Verwendung von Zertifikaten, und die folgenden Bedingungen müssen erfüllt sein, damit die Verbindung als zuverlässig und sicher gilt:

Das Zertifikat des Servers, in diesem Fall des Edge Gateway, darf nicht abgelaufen sein (maximales Gültigkeitsdatum).

Das Zertifikat des Servers, in diesem Fall des Edge Gateway, muss von einer Zertifizierungsstelle ausgestellt sein, die von der Maschine, auf der der Aufzeichnungsagent installiert ist, als vertrauenswürdig anerkannt wird.

Zusätzliche Informationen

Der Server, auf dem der Aufzeichnungsagent installiert ist, muss mindestens die Stammzertifizierungsstelle (CA) des Zertifikats des Aufzeichnungsservers in seinem lokalen Speicher für vertrauenswürdige Zertifizierungsstellen enthalten.

Daher ist Folgendes erforderlich:

Die Stamm-CA des Zertifikats des Aufzeichnungsdienstes vom Edge Gateway abrufen.
Diese CA auf den Server hochladen, auf dem der Aufzeichnungsagent installiert ist.
Die CA im Zertifikatspeicher „Trusted Root Certification Authorities“ des lokalen Computers installieren.

Beispiel mit PowerShell

Ein Zertifikat im Format .cer lässt sich problemlos über PowerShell importieren.
Öffnen Sie dazu ein PowerShell-Terminal als Administrator der Maschine und führen Sie den folgenden Befehl aus:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Ersetzen Sie <PATH_TO_CERT> durch den Pfad zur Zertifikatsdatei.

Beispiel mit PowerShell für das Systancia-Zertifikat, ohne Dateien zu übertragen

In diesem Beispiel wird die Stamm-CA von Systancia installiert, die in CyberElements standardmäßig verwendet wird.

Es ist auch möglich, das Zertifikat zu importieren, ohne die Datei auf die Maschine übertragen oder dort herunterladen zu müssen, auf der der Aufzeichnungsagent installiert ist.
Öffnen Sie dazu ein PowerShell-Terminal als Administrator der Maschine und führen Sie die folgenden Befehle aus:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Um diese Methode mit einer anderen CA zu verwenden, ändern Sie den Wert der Variablen base64Cert in das Base64-codierte Zertifikat Ihrer Wahl.

Das Zertifikat des Servers, in diesem Fall des Edge Gateway, darf nicht widerrufen sein.
Die Maschine, auf der der Aufzeichnungsagent installiert ist, muss den Server, in diesem Fall das Edge Gateway, über einen DNS-Namen oder eine IP-Adresse erreichen können, die durch den Common Name (CN) des Serverzertifikats abgedeckt ist.

Besondere Voraussetzungen für RDP-Anwendungen mit Agent, die auf einem macOS- oder Ubuntu-Arbeitsplatz verwendet werden¶

Achtung

Die folgenden Voraussetzungen sind nur erforderlich, wenn der Benutzer eine RDP-Anwendung mit Agent startet und sein Arbeitsplatz kein Windows-System ist (macOS oder Ubuntu).

Wenn die Benutzer von CyberElements ausschließlich Windows-Arbeitsplätze haben oder andernfalls ausschließlich HTML5-RDP-Anwendungen nutzen, können die folgenden Voraussetzungen ignoriert werden.

Die folgenden Registrierungsschlüssel sind auf dem Zielserver erforderlich, auf dem der Aufzeichnungsagent bereitgestellt ist.

Zunächst deaktiviert der erste Schlüssel die Liste der zugelassenen Startprogramme (Microsoft-Dokument). Standardmäßig lässt eine Windows-Maschine nur explorer.exe als Startprogramm zu.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Wenn die Maschine kein RDS-Server ist, wird stets empfohlen, den folgenden Registrierungsschlüssel anzuwenden, damit der Aufzeichnungsagent als Startprogramm geöffnet werden kann:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Besondere Voraussetzungen für den direkten Zugriff¶

Funktion des direkten Zugriffs

Die Funktion des direkten Zugriffs ermöglicht es, die Aufzeichnung der Benutzersitzung bei RDP- oder Konsolenzugriffen auszulösen (physische Verbindung zur Maschine oder über den Konsolenmodus des Hypervisors), die nicht direkt über CyberElements erfolgen.

Wenn der Benutzer berechtigt ist, auf den Server zuzugreifen, wird seine Sitzung aufgezeichnet. Ist dies nicht der Fall, wird der Benutzer standardmäßig getrennt.

Damit der Aufzeichnungsagent im Modus des direkten Zugriffs arbeiten kann, ist ein x509-Zertifikat erforderlich. Dieses Zertifikat muss die folgenden Anforderungen erfüllen:

Das Zertifikat muss weiterhin gültig sein (Gültigkeitsdauer nicht abgelaufen).
Das Zertifikat muss vom Typ (Feld für die erweiterte Schlüsselverwendung) client authentication sein (OID: 1.3.6.1.5.5.7.3.2).
Das Zertifikat darf nicht widerrufen sein.
Aus den Einschränkungen der OpenSSL-Sicherheitsstufe 2 ergibt sich Folgendes:
- Das Zertifikat muss bei den Verschlüsselungsverfahren RSA, DSA und DH über einen privaten Schlüssel von mindestens 2048 Bit verfügen; bei Schlüsseln mit elliptischen Kurven (ECC) müssen es mindestens 224 Bit sein.
- Die Signatur des Zertifikats darf nicht MD5 oder SHA-1 sein (SHA-512 wird bevorzugt).
Der Aufzeichnungsserver verwendet das Feld Common Name (CN), um das Zertifikat und damit die Maschine zu identifizieren, auf der eine direkte Aufzeichnung ausgelöst wird. Dieses Feld muss ausgefüllt sein.

Konfigurationen über Registrierungsschlüssel¶

Einige globale Parameter stehen in Registrierungsschlüsseln zur Verfügung und wirken sich auf die Funktionsweise des Recording Agent aus, sowohl bei der Verwendung mit Anwendungen als auch beim Direktzugriff.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError: Definiert das Verhalten des Recording Agent, wenn der Sitzungsrecorder geschlossen wird. Wenn der Wert 0 angegeben ist (Standardverhalten), wird beim Schließen des Recorders die Sitzung des Benutzers geschlossen. Wenn der Wert 1 angegeben ist, wird die Sitzung des Benutzers beim Schließen des Recorders getrennt.
SessionEndTimeout: Definition der Zeit (in Sekunden) für das Schließen der Benutzersitzung, bevor ein erzwungenes Beenden der Sitzung durchgeführt wird. Standardmäßig ist dieser Parameter auf 10 Sekunden eingestellt.

Konfiguration für den Betrieb mit RDP- und HTML5-RDP-Anwendungen¶

SaaS-Kontext

In den folgenden Diagrammen stellt „Mediation Controller“ den von Systancia verwalteten CyberElements Cloud-Dienst dar. Der Aufzeichnungsfluss ist im SaaS-Modus architektonisch identisch.

In diesem Betriebsmodus verlaufen die Austausche zwischen dem Mediation Controller, dem Edge Gateway und dem Recording Agent wie folgt:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-Server<br/>Aufzeichnungsagent

    MED->>+GW: Senden der Anmeldeinformationen an <br/>den RDP-Server mit den Anmeldeinformationen <br/>für den Aufzeichnungsagenten
    GW->>AGENT: Initialisierung der RDP-Verbindung
    GW->>-AGENT: Senden der Anmeldeinformationen an den <br/>Aufzeichnungsdienst des Edge Gateway
    AGENT->>+GW: Verbindung zum Aufzeichnungsdienst
    GW->>-AGENT: Senden der Netzwerkfilterinformationen
    Note over AGENT: Anwendung der Netzwerk-<br/>beschränkungen auf den Benutzer
    loop Kontinuierliche Sitzungsaufzeichnung
        AGENT->>+GW: Kontinuierliches Senden der Videoaufzeichnung <br/>+ Sitzungsereignisse
        Note over GW: Kontinuierliches Hinzufügen der Videoaufzeichnung <br/>zum temporären Speicherverzeichnis
        GW->>-MED: Senden der empfangenen Sitzungsereignisse
        Note over MED: Aufzeichnung der Ereignisse <br/>in der Datenbank der Organisation
    end 
    break Ende der Sitzung
        AGENT->>GW: Senden der Information, dass <br/>der Benutzer seine RDP-Sitzung beendet hat
        Note over GW: Die Videoaufzeichnung wird in das <br/>Archivverzeichnis verschoben
        GW->>MED: Meldung des Sitzungsendes des Benutzers
        Note over MED: Die Sitzung des Benutzers wechselt <br/>vom Live-Streaming zum Archiv
    end

Hold "Ctrl" to enable pan & zoom

Der Mediation Controller übermittelt dem Edge Gateway die Verbindungsinformationen für den Ziel-RDP-Server. Er fügt außerdem die Verbindungsinformationen hinzu, über die er für die Verbindung zum Aufzeichnungsdienst verfügt (FQDN des Edge Gateway).
Das Edge Gateway initialisiert die Verbindung zum RDP-Server.
Das Edge Gateway sendet dem Recording Agent die Verbindungsinformationen für seinen Aufzeichnungsdienst.
Der Recording Agent initialisiert die Verbindung mit dem Aufzeichnungsdienst.
Sobald der Agent verbunden ist, gibt der Aufzeichnungsdienst die Liste der Netzwerkflussbeschränkungen zurück, die auf die Sitzung angewendet werden sollen. Nach dem Empfang wendet der Recording Agent sie auf die Sitzung des Benutzers an.
Der Recording Agent lädt die Videoaufzeichnung der Benutzersitzung und alle Sitzungsereignisse (zum Beispiel Tastatureingaben oder Programmstarts) kontinuierlich und in Echtzeit auf den Aufzeichnungsdienst hoch. Der Aufzeichnungsdienst speichert die Videoaufzeichnung in einem temporären Verzeichnis.
Der Aufzeichnungsdienst meldet die verschiedenen Sitzungsereignisse an den Mediation Controller, der sie anschließend in der Datenbank der Organisation speichert.
Wenn die RDP-Sitzung des Benutzers endet, meldet der Recording Agent die Information an den Aufzeichnungsdienst. Der Aufzeichnungsdienst verschiebt das aufgezeichnete Video daraufhin in das Archivverzeichnis der Benutzeraufzeichnungen.
Der Aufzeichnungsdienst meldet das Ende der Benutzersitzung an den Mediation Controller. Die Sitzung ist daher nicht mehr im Live Streaming des Control Center sichtbar, sondern wechselt in die Archives.

Bei diesem Ablauf ist es unbedingt erforderlich, dass der Recording Agent die richtigen Verbindungsinformationen für den Aufzeichnungsdienst des Edge Gateway erhält. Diese Informationen stehen in den Einstellungen des Edge Gateway im Feld FDQN:

Geben Sie in diesem Feld einen DNS-Namen ein, den die RDP-Server auflösen können.

Wichtig

Das dem Aufzeichnungsdienst Careserver zugewiesene Zertifikat muss den im Feld FQDN angegebenen Namen abdecken. Andernfalls betrachtet der Recording Agent die Verbindung als unsicher und löst die Sitzungsaufzeichnung nicht aus.

Konfiguration für den Betrieb im Direktzugriff¶

SaaS-Kontext

In den folgenden Diagrammen stellt „Mediation Controller“ den von Systancia verwalteten CyberElements Cloud-Dienst dar. Der Fluss des Direktzugriffs ist im SaaS-Modus architektonisch identisch.

In diesem Betriebsmodus verlaufen die Austausche zwischen dem Mediation Controller, dem Edge Gateway und dem Recording Agent wie folgt:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-Server<br/>Aufzeichnungsagent

    Note over AGENT: Erkennung einer neuen <br/>aufzuzeichnenden Sitzung
    AGENT->>+GW: Verbindung zum Aufzeichnungsdienst
    GW->>-MED: Meldung einer neuen Verbindung <br/>mit Direktzugriff für Benutzer X
    alt Wenn Benutzer X berechtigt ist
        MED->>+GW: Senden der Information, dass Benutzer X <br/>verbindungsberechtigt ist, und Senden <br/>der Liste der anzuwendenden Netzwerkfilter
        GW->>-AGENT: Senden der Netzwerkfilterinformationen <br/>und der Verbindungsautorisierung <br/>für Benutzer X
        Note over AGENT: Anwendung der Netzwerk-<br/>beschränkungen auf Benutzer X
        loop Kontinuierliche Sitzungsaufzeichnung
            AGENT->>+GW: Kontinuierliches Senden der Videoaufzeichnung <br/>+ Sitzungsereignisse
            Note over GW: Kontinuierliches Hinzufügen der Videoaufzeichnung <br/>zum temporären Speicherverzeichnis
            GW->>-MED: Senden der empfangenen Sitzungsereignisse
            Note over MED: Aufzeichnung der Ereignisse <br/>in der Datenbank der Organisation
        end 
        break Ende der Sitzung
            AGENT->>GW: Senden der Information, dass <br/>Benutzer X seine RDP-Sitzung beendet hat
            Note over GW: Die Videoaufzeichnung wird in das <br/>Archivverzeichnis verschoben.
            GW->>MED: Meldung des Sitzungsendes des Benutzers
            Note over MED: Die Sitzung des Benutzers wechselt <br/>vom Live-Streaming zum Archiv
        end
    else If user X is not authorized
        MED->>+GW: Senden der Information, dass Benutzer <br/>X nicht zur Anmeldung berechtigt ist
        GW->>-AGENT: Senden der Benachrichtigung über die <br/>Anmeldeverweigerung von Benutzer X
        Note over AGENT: Abmeldung von Benutzer X
    end

Hold "Ctrl" to enable pan & zoom

Der Recording Agent erkennt eine neue Sitzung und initiiert eine Verbindung zum Aufzeichnungsdienst eines Edge Gateway.
Das Edge Gateway sendet die Verbindungsinformationen (Benutzername und CN des vom Recording Agent verwendeten Zertifikats) an den Mediation Controller. Der Mediation Controller antwortet je nach Konfiguration der Zugriffsrechte auf zwei verschiedene Weisen.
Wenn der Benutzer berechtigt ist, sich mit dem Server zu verbinden, meldet der Mediation Controller dem Edge Gateway den für diesen Benutzer möglichen Zugriff und die anzuwendende Netzwerkfilterliste zurück.
Das Edge Gateway gibt diese Informationen an den Recording Agent zurück. Nach dem Empfang wendet der Recording Agent die Netzwerkfilter auf die Sitzung des Benutzers an.
Der Recording Agent lädt die Videoaufzeichnung der Benutzersitzung und alle Sitzungsereignisse (zum Beispiel Tastatureingaben oder Programmstarts) kontinuierlich und in Echtzeit auf den Aufzeichnungsdienst hoch. Der Aufzeichnungsdienst speichert die Videoaufzeichnung in einem temporären Verzeichnis.
Der Aufzeichnungsdienst meldet die verschiedenen Sitzungsereignisse an den Mediation Controller, der sie anschließend in der Datenbank der Organisation speichert.
Wenn die RDP-Sitzung des Benutzers endet, meldet der Recording Agent die Information an den Aufzeichnungsdienst. Der Aufzeichnungsdienst verschiebt das aufgezeichnete Video daraufhin in das Archivverzeichnis der Benutzeraufzeichnungen.
Der Aufzeichnungsdienst meldet das Ende der Benutzersitzung an den Mediation Controller. Die Sitzung ist daher nicht mehr im Live Streaming des Control Center sichtbar, sondern wechselt in die Archives.
Wenn der Benutzer nicht berechtigt ist, sich mit dem Server zu verbinden, meldet der Mediation Controller dem Edge Gateway den nicht autorisierten Zugriff für diesen Benutzer.
Das Edge Gateway leitet die Information an den Recording Agent weiter, der die Sitzung des Benutzers trennt.

Registrierungsschlüssel¶

Unabhängig von der Art der Installation verfügt der Recording Agent über alle Komponenten, die für alle vorgesehenen Betriebsmodi erforderlich sind. Um im Direktzugriffsmodus zu arbeiten, liest er daher die folgenden Registrierungsschlüssel, um seine Konfiguration zu bestimmen:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Name des Zertifikats, das der Recording Agent verwendet, um sich mit dem Aufzeichnungsdienst eines Edge Gateway zu verbinden. Standardmäßig und wenn er nicht definiert ist, versucht der Agent, ein Zertifikat mit dem Namen der Maschine zu verwenden.

LogOffOnFailure

Angabe des Verhaltens des Agenten, wenn er sich nicht mit einem Edge Gateway verbinden kann oder wenn der Benutzer nicht berechtigt ist, sich mit der Maschine zu verbinden. Bei 0 erfolgt keine Trennung, bei 1 wird der Benutzer getrennt (Standardverhalten).

RecordedSessions

Definition der Sitzungstypen, die der Aufzeichnung unterliegen:

none: Es wird keine Aufzeichnung der Direktzugriffe durchgeführt (Standardeinstellung).
remote: Jeder RDP-Zugriff auf die Maschine löst eine Aufzeichnung aus.
all: RDP-Zugriffe und Konsolenzugriffe (physischer Zugriff auf die Maschine oder über den Konsolenmodus des Hypervisors) lösen die Aufzeichnung aus.

Welche Schlüsselwerte sind für den Direktzugriff erforderlich?

Der einzige Schlüsselwert, der für die Aktivierung des Direktzugriffsmechanismus erforderlich ist, ist RecordedSessions mit dem Wert remote oder all. Beachten Sie, dass je nach Umgebung auch der Schlüsselwert MachineName erforderlich sein kann.

Maschinenzertifikat¶

Der Recording Agent versucht, ein Zertifikat für die Authentifizierung beim Aufzeichnungsdienst zu verwenden. Dieses Zertifikat muss in den persönlichen Zertifikaten des Computers installiert worden sein.

Der Agent verwendet das Zertifikat, dessen Name dem Schlüsselwert MachineName entspricht (siehe vorheriges Kapitel); ist dieser nicht definiert, versucht er, ein Zertifikat mit dem Namen der Maschine zu verwenden.

Deklaration der Edge Gateways, die der Agent kontaktieren kann¶

Der Recording Agent verwendet lokale Informationen, um die Liste der Edge-Gateway-Server zu bestimmen, die er kontaktieren muss, um die Aufzeichnungen der Benutzersitzungen hochzuladen.

Um die Liste der kontaktierbaren Edge-Gateway-Server zu ändern, müssen Sie zunächst den Dienst CleanroomAgent beenden.

Achtung!

Das Beenden des Dienstes CleanroomAgent führt dazu, dass die Aufzeichnung der laufenden Sitzungen auf dem Server endet, und neue auf dem Server geöffnete Sitzungen werden nicht aufgezeichnet.

Der Dienst kann über PowerShell beendet werden (Administratorrechte erforderlich):

1	`Stop-Service CleanroomAgent`

Ändern oder erstellen Sie nach dem Beenden des Dienstes die folgende Datei [RECORDING_AGENT_DIR]\gateways.xml, wobei [RECORDING_AGENT_DIR] das Installationsverzeichnis des Recording Agent ist. Mit dem Standardinstallationsverzeichnis muss die Datei an dieser Stelle vorhanden sein oder erstellt werden:

CyberElements: C:\Program Files (x86)\Systancia\cyberelements\gateways.xml

Diese XML-Datei besteht aus einem Tag gateways und aus so vielen Tags element, wie es kontaktierbare Edge Gateways gibt.

Beispiel

Wenn der Recording Agent ein Edge Gateway mit dem FQDN edge-gateway-1.domain.local kontaktieren muss, sieht die XML-Datei wie folgt aus:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Wären hingegen zwei Edge Gateways zu kontaktieren, edge-gateway-1.domain.local und edge-gateway-2.domain.local, sähe die Datei wie folgt aus:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Starten Sie nach der korrekten Änderung der Datei gateways.xml den Dienst CleanroomAgent neu:

1	`Start-Service CleanroomAgent`

Den Aufzeichnungsdienst für die Authentifizierung von Zertifikaten einer PKI eines Drittanbieters konfigurieren¶

Standardmäßig betrachtet der Aufzeichnungsdienst nur die von der Systancia-PKI ausgestellten Zertifikate als gültig. Um Zertifikate einer anderen Zertifizierungsstelle (CA) zu verwenden, müssen Sie die Schritte zum Hinzufügen einer CA zum spezifischen Verzeichnis des Edge Gateway befolgen.

Sobald das CA-Zertifikat bzw. die CA-Zertifikate an der richtigen Stelle liegen, muss nur noch der Aufzeichnungsdienst neu gestartet werden, wiederum als Superuser root:

Achtung!

Der Neustart dieses Dienstes beendet die laufenden Sitzungen und bricht nahezu alle davon ab. Führen Sie den folgenden Befehl nur dann aus, wenn keine Benutzersitzung über das Edge Gateway läuft, um die Benutzer nicht zu beeinträchtigen.

1	`systemctl restart ipdivacarerecord`

Nach dem Neustart des Aufzeichnungsdienstes können Sie in den Protokollen des Dienstes prüfen, ob die neuen CAs korrekt berücksichtigt wurden:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

Die erhaltenen Protokolle geben am Ende der Zeile die Namen der Zertifikatsdateien an, die vom Aufzeichnungsdienst geladen wurden.

Beispiel

Nach dem Hinzufügen von zwei CAs mit den Namen MY-CA-ROOT.pem und MY-INTERMEDIATE-CA.pem sehen die erhaltenen Protokolle wie folgt aus (der Anfang des Protokolls wurde abgeschnitten, er enthält jedoch unter anderem das Datum und den Namen der Maschine):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem