Διαμόρφωση του παράγοντα Windows Recording Agent¶

Ο παράγοντας εγγραφής για Windows χρησιμοποιείται από το CyberElements για την προσθήκη νέων λειτουργιών στις περιόδους λειτουργίας RDP:

Δυνατότητα φιλτραρίσματος των ροών TCP και UDP στις οποίες έχει πρόσβαση ο χρήστης
Δυνατότητα έναρξης της εγγραφής περιόδου λειτουργίας για κάθε χρήστη που συνδέεται στον διακομιστή χωρίς να περνά από την πύλη χρηστών ή από το πρόγραμμα-πελάτη Desktop (λειτουργία direct access)

Επιπλέον, κατά τη διάρκεια των περιόδων λειτουργίας των χρηστών καταγράφονται πρόσθετα συμβάντα:

Άνοιγμα παραθύρων
Κλείσιμο παραθύρων
Εκκίνηση προγραμμάτων
Κλείσιμο προγραμμάτων
Περιεχόμενο του προχείρου
Δραστηριότητα χρήστη

Προαπαιτούμενα¶

Συμβατότητα προγράμματος-πελάτη

Για να μάθετε αν ο παράγοντας είναι συμβατός με τα διάφορα λειτουργικά συστήματα Microsoft Windows, ανατρέξτε στον πίνακα συμβατότητας.

Ο παράγοντας εγγραφής απαιτεί ορισμένα προαπαιτούμενα για να λειτουργεί σωστά. Ορισμένα από αυτά αφορούν μόνο τη λειτουργία εγγραφής μέσω παράγοντα για τις εφαρμογές RDP και HTML5 RDP, ενώ άλλα αφορούν την άμεση πρόσβαση μέσω παράγοντα.

Γενικά προαπαιτούμενα¶

Ο παράγοντας εγγραφής στέλνει την εγγραφή της περιόδου λειτουργίας του χρήστη πίσω στο CyberElements συνδεόμενος στο στοιχείο Edge Gateway στη θύρα TCP 8443. Για τον σκοπό αυτό, η ροή δικτύου μεταξύ των δύο υπολογιστών πρέπει να είναι ανοιχτή.

Για να στείλει με ασφάλεια την εγγραφή πίσω στο στοιχείο Edge Gateway, ο παράγοντας εγγραφής δημιουργεί ασφαλή σύνδεση με αυτό μέσω TLS. Το TLS βασίζεται στη χρήση πιστοποιητικών και πρέπει να ικανοποιούνται οι ακόλουθοι περιορισμοί ώστε η σύνδεση να θεωρείται αξιόπιστη και ασφαλής:

Το πιστοποιητικό του διακομιστή, στη συγκεκριμένη περίπτωση του στοιχείου Edge Gateway, δεν πρέπει να έχει λήξει (μέγιστη ημερομηνία ισχύος).

Το πιστοποιητικό του διακομιστή, στη συγκεκριμένη περίπτωση του στοιχείου Edge Gateway, πρέπει να έχει εκδοθεί από αρχή έκδοσης πιστοποιητικών που αναγνωρίζεται ως αξιόπιστη από τον υπολογιστή στον οποίο είναι εγκατεστημένος ο παράγοντας εγγραφής.

Πρόσθετες πληροφορίες

Ο διακομιστής στον οποίο είναι εγκατεστημένος ο παράγοντας εγγραφής πρέπει να διαθέτει τουλάχιστον τη ριζική αρχή έκδοσης πιστοποιητικών (CA) του πιστοποιητικού του διακομιστή εγγραφής στον τοπικό του χώρο αποθήκευσης αξιόπιστων αρχών έκδοσης πιστοποιητικών.

Επομένως, πρέπει να κάνετε τα εξής:

Ανακτήστε τη ριζική CA του πιστοποιητικού της υπηρεσίας εγγραφής από το στοιχείο Edge Gateway.
Αποστείλετε αυτή την CA στον διακομιστή όπου είναι εγκατεστημένος ο παράγοντας εγγραφής.
Εγκαταστήστε την CA στον χώρο αποθήκευσης πιστοποιητικών «Trusted Root Certification Authorities» του τοπικού υπολογιστή.

Παράδειγμα με το PowerShell

Μπορείτε να εισαγάγετε εύκολα ένα πιστοποιητικό σε μορφή .cer μέσω του PowerShell.
Για να το κάνετε αυτό, ανοίξτε ένα τερματικό PowerShell ως διαχειριστής του υπολογιστή και εκτελέστε την ακόλουθη εντολή:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Αντικαταστήστε το <PATH_TO_CERT> με τη διαδρομή του αρχείου πιστοποιητικού.

Παράδειγμα με το PowerShell για το πιστοποιητικό της Systancia χωρίς αποστολή αρχείων

Αυτό το παράδειγμα αφορά την εγκατάσταση της ριζικής CA της Systancia, η οποία χρησιμοποιείται από προεπιλογή στο CyberElements.

Είναι επίσης δυνατό να εισαγάγετε το πιστοποιητικό χωρίς να χρειαστεί να αποστείλετε ή να κατεβάσετε το αρχείο στον υπολογιστή όπου είναι εγκατεστημένος ο παράγοντας εγγραφής.
Για να το κάνετε αυτό, ανοίξτε ένα τερματικό PowerShell ως διαχειριστής του υπολογιστή και εκτελέστε τις ακόλουθες εντολές:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Για να χρησιμοποιήσετε αυτή τη μέθοδο με άλλη CA, αλλάξτε την τιμή της μεταβλητής base64Cert στο πιστοποιητικό της επιλογής σας με κωδικοποίηση base 64.

Το πιστοποιητικό του διακομιστή, στη συγκεκριμένη περίπτωση του στοιχείου Edge Gateway, δεν πρέπει να έχει ανακληθεί.
Ο υπολογιστής στον οποίο είναι εγκατεστημένος ο παράγοντας εγγραφής πρέπει να μπορεί να επικοινωνήσει με τον διακομιστή, στη συγκεκριμένη περίπτωση το στοιχείο Edge Gateway, με ένα όνομα DNS ή μια διεύθυνση IP που καλύπτεται από το πιστοποιητικό του διακομιστή μέσω του Common Name (CN) του.

Ειδικά προαπαιτούμενα για εφαρμογές RDP με παράγοντα που χρησιμοποιούνται σε σταθμό εργασίας χρήστη macOS ή Ubuntu¶

Προειδοποίηση

Τα ακόλουθα προαπαιτούμενα είναι απαραίτητα μόνο εάν ο χρήστης εκκινεί μια εφαρμογή RDP με παράγοντα και ο σταθμός εργασίας του δεν είναι Windows (macOS ή Ubuntu).

Εάν οι χρήστες του CyberElements έχουν σταθμούς εργασίας που εκτελούν αποκλειστικά Windows ή, διαφορετικά, χρησιμοποιούν αποκλειστικά εφαρμογές HTML5 RDP, τότε μπορείτε να αγνοήσετε τα ακόλουθα προαπαιτούμενα.

Τα ακόλουθα κλειδιά μητρώου απαιτούνται στον διακομιστή προορισμού όπου έχει αναπτυχθεί ο παράγοντας εγγραφής.

Αρχικά, το πρώτο κλειδί απενεργοποιεί τη λίστα των επιτρεπόμενων προγραμμάτων εκκίνησης (έγγραφο της Microsoft). Από προεπιλογή, ένας υπολογιστής Windows επιτρέπει μόνο το explorer.exe ως πρόγραμμα εκκίνησης.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Εάν ο υπολογιστής δεν είναι διακομιστής RDS, συνιστάται πάντα η εφαρμογή του ακόλουθου κλειδιού μητρώου, ώστε ο παράγοντας εγγραφής να μπορεί να ανοίγει ως πρόγραμμα εκκίνησης:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Ειδικές απαιτήσεις για την άμεση πρόσβαση¶

Λειτουργία άμεσης πρόσβασης

Η λειτουργία άμεσης πρόσβασης σάς δίνει τη δυνατότητα να ξεκινήσετε την εγγραφή της περιόδου λειτουργίας του χρήστη για πρόσβαση RDP ή πρόσβαση κονσόλας (φυσική σύνδεση στον υπολογιστή ή μέσω της λειτουργίας κονσόλας του υπερεπόπτη) που δεν περνά απευθείας από το CyberElements.

Εάν ο χρήστης έχει άδεια πρόσβασης στον διακομιστή, θα γίνει εγγραφή της περιόδου λειτουργίας του. Εάν δεν ισχύει αυτό, τότε από προεπιλογή ο χρήστης θα αποσυνδεθεί.

Για να λειτουργεί ο παράγοντας εγγραφής σε λειτουργία άμεσης πρόσβασης, απαιτείται πιστοποιητικό x509. Αυτό το πιστοποιητικό πρέπει να πληροί τις ακόλουθες απαιτήσεις:

Το πιστοποιητικό πρέπει να είναι ακόμη έγκυρο (η περίοδος ισχύος δεν έχει λήξει).
Το πιστοποιητικό πρέπει να είναι του τύπου (πεδίο βελτιωμένης χρήσης κλειδιού) client authentication (OID: 1.3.6.1.5.5.7.3.2).
Το πιστοποιητικό δεν πρέπει να έχει ανακληθεί.
Οι περιορισμοί που απορρέουν από το επίπεδο ασφαλείας 2 του OpenSSL συνεπάγονται ότι:
- Το πιστοποιητικό πρέπει να διαθέτει ιδιωτικό κλειδί τουλάχιστον 2048 bit με τους αλγορίθμους κρυπτογράφησης RSA, DSA και DH· για τα κλειδιά ελλειπτικής καμπύλης (ECC), το μήκος πρέπει να είναι τουλάχιστον 224 bit.
- Η υπογραφή του πιστοποιητικού δεν πρέπει να είναι MD5 ή SHA-1 (προτιμάται το SHA-512).
Ο διακομιστής εγγραφής θα χρησιμοποιεί το πεδίο Common Name (CN) για να αναγνωρίσει το πιστοποιητικό και, συνεπώς, τον υπολογιστή στον οποίο ξεκινά μια άμεση εγγραφή. Αυτό το πεδίο πρέπει να είναι συμπληρωμένο.

Διαμορφώσεις μέσω κλειδιών μητρώου¶

Ορισμένες καθολικές ρυθμίσεις είναι διαθέσιμες σε κλειδιά μητρώου και επηρεάζουν τη λειτουργία του παράγοντα εγγραφής τόσο κατά τη χρήση με εφαρμογές όσο και στην άμεση πρόσβαση.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError: Ορίζει τη συμπεριφορά του παράγοντα εγγραφής όταν κλείνει το πρόγραμμα εγγραφής περιόδου λειτουργίας. Εάν καθοριστεί η τιμή 0 (προεπιλεγμένη συμπεριφορά), τότε, όταν κλείσει το πρόγραμμα εγγραφής, η περίοδος λειτουργίας του χρήστη θα κλείσει. Εάν καθοριστεί η τιμή 1, τότε η περίοδος λειτουργίας του χρήστη θα αποσυνδεθεί όταν κλείσει το πρόγραμμα εγγραφής.
SessionEndTimeout: Ορισμός του χρόνου (σε δευτερόλεπτα) για το κλείσιμο της περιόδου λειτουργίας του χρήστη πριν από την εκτέλεση αναγκαστικού τερματισμού της περιόδου λειτουργίας. Από προεπιλογή, αυτή η παράμετρος έχει οριστεί σε 10 δευτερόλεπτα.

Διαμόρφωση για λειτουργία με εφαρμογές RDP και HTML5 RDP¶

Περιβάλλον SaaS

Στα παρακάτω διαγράμματα, το «Mediation Controller» αντιπροσωπεύει την υπηρεσία cloud του CyberElements που διαχειρίζεται το CyberElements. Η ροή εγγραφής είναι αρχιτεκτονικά πανομοιότυπη στη λειτουργία SaaS.

Σε αυτόν τον τρόπο λειτουργίας, οι ανταλλαγές μεταξύ της υπηρεσίας Mediation Controller, του στοιχείου Edge Gateway και του παράγοντα εγγραφής είναι οι εξής:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Διακομιστής RDP<br/>Παράγοντας εγγραφής

    MED->>+GW: Αποστολή των στοιχείων σύνδεσης <br/>στον διακομιστή RDP μαζί με τα στοιχεία σύνδεσης <br/>του παράγοντα εγγραφής
    GW->>AGENT: Προετοιμασία της σύνδεσης RDP
    GW->>-AGENT: Αποστολή στοιχείων σύνδεσης στην <br/>υπηρεσία εγγραφής του Edge Gateway
    AGENT->>+GW: Σύνδεση με την υπηρεσία εγγραφής
    GW->>-AGENT: Αποστολή πληροφοριών φιλτραρίσματος δικτύου
    Note over AGENT: Εφαρμογή περιορισμών <br/>δικτύου στον χρήστη
    loop Συνεχής εγγραφή της περιόδου λειτουργίας
        AGENT->>+GW: Συνεχής αποστολή της εγγραφής βίντεο <br/>+ συμβάντα περιόδου λειτουργίας
        Note over GW: Συνεχής προσθήκη της εγγραφής βίντεο <br/>στον κατάλογο προσωρινής αποθήκευσης
        GW->>-MED: Αποστολή των ληφθέντων συμβάντων περιόδου λειτουργίας
        Note over MED: Καταχώριση των συμβάντων <br/>στη βάση δεδομένων του οργανισμού
    end 
    break Τέλος της περιόδου λειτουργίας
        AGENT->>GW: Αποστολή πληροφορίας ότι <br/>ο χρήστης τερμάτισε την περίοδο λειτουργίας RDP
        Note over GW: Η εγγραφή βίντεο μετακινείται <br/>στον κατάλογο αρχειοθέτησης
        GW->>MED: Ένδειξη του τέλους της περιόδου λειτουργίας του χρήστη
        Note over MED: Η περίοδος λειτουργίας του χρήστη περνά <br/>από τη ζωντανή μετάδοση στο αρχείο
    end

Hold "Ctrl" to enable pan & zoom

Η υπηρεσία Mediation Controller παρέχει στο στοιχείο Edge Gateway τις πληροφορίες σύνδεσης για τον διακομιστή RDP προορισμού. Περιλαμβάνει επίσης τις πληροφορίες σύνδεσης που διαθέτει για τη σύνδεση με την υπηρεσία εγγραφής (FQDN του στοιχείου Edge Gateway).
Το στοιχείο Edge Gateway εκκινεί τη σύνδεση με τον διακομιστή RDP.
Το στοιχείο Edge Gateway στέλνει στον παράγοντα εγγραφής τις πληροφορίες σύνδεσης για την υπηρεσία εγγραφής του.
Ο παράγοντας εγγραφής εκκινεί τη σύνδεση με την υπηρεσία εγγραφής.
Μόλις συνδεθεί ο παράγοντας, η υπηρεσία εγγραφής επιστρέφει τη λίστα των περιορισμών ροών δικτύου που πρέπει να εφαρμοστούν στην περίοδο λειτουργίας. Μόλις τους λάβει, ο παράγοντας εγγραφής τους εφαρμόζει στην περίοδο λειτουργίας του χρήστη.
Ο παράγοντας εγγραφής αποστέλλει συνεχώς και σε πραγματικό χρόνο στην υπηρεσία εγγραφής την εγγραφή βίντεο της περιόδου λειτουργίας του χρήστη και όλα τα συμβάντα της περιόδου λειτουργίας (π.χ. πατήματα πλήκτρων ή εκκινήσεις προγραμμάτων). Η υπηρεσία εγγραφής αποθηκεύει την εγγραφή βίντεο σε έναν προσωρινό φάκελο.
Η υπηρεσία εγγραφής αναφέρει τα διάφορα συμβάντα της περιόδου λειτουργίας στην υπηρεσία Mediation Controller, η οποία στη συνέχεια τα καταχωρίζει στη βάση δεδομένων του οργανισμού.
Όταν λήξει η περίοδος λειτουργίας RDP του χρήστη, ο παράγοντας εγγραφής αναφέρει την πληροφορία στην υπηρεσία εγγραφής. Στη συνέχεια, η υπηρεσία εγγραφής μετακινεί το εγγεγραμμένο βίντεο στον φάκελο αρχειοθέτησης των εγγραφών χρηστών.
Η υπηρεσία εγγραφής αναφέρει τη λήξη της περιόδου λειτουργίας του χρήστη στην υπηρεσία Mediation Controller. Επομένως, η περίοδος λειτουργίας δεν είναι πλέον ορατή στην ενότητα Live Streaming του Control Center, αλλά μεταφέρεται στην ενότητα Archives.

Σε αυτήν την ακολουθία, είναι απαραίτητο ο παράγοντας εγγραφής να λαμβάνει τις σωστές πληροφορίες σύνδεσης για την υπηρεσία εγγραφής του στοιχείου Edge Gateway. Αυτές οι πληροφορίες περιέχονται στις ρυθμίσεις του στοιχείου Edge Gateway, στο πεδίο FQDN:

Σε αυτό το πεδίο, εισαγάγετε ένα όνομα DNS που θα μπορούν να επιλύσουν οι διακομιστές RDP.

Σημαντικό

Το πιστοποιητικό που έχει ανατεθεί στην υπηρεσία εγγραφής Careserver πρέπει να καλύπτει το όνομα που καθορίζεται στο πεδίο FQDN. Διαφορετικά, ο παράγοντας εγγραφής θα θεωρήσει τη σύνδεση μη ασφαλή και δεν θα εκκινήσει την εγγραφή της περιόδου λειτουργίας.

Διαμόρφωση για λειτουργία άμεσης πρόσβασης¶

Περιβάλλον SaaS

Στα παρακάτω διαγράμματα, το «Mediation Controller» αντιπροσωπεύει την υπηρεσία cloud του CyberElements που διαχειρίζεται το CyberElements. Η ροή άμεσης πρόσβασης είναι αρχιτεκτονικά πανομοιότυπη στη λειτουργία SaaS.

Σε αυτόν τον τρόπο λειτουργίας, οι ανταλλαγές μεταξύ της υπηρεσίας Mediation Controller, του στοιχείου Edge Gateway και του παράγοντα εγγραφής είναι οι εξής:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Διακομιστής RDP<br/>Παράγοντας εγγραφής

    Note over AGENT: Εντοπισμός νέας <br/>περιόδου λειτουργίας προς εγγραφή
    AGENT->>+GW: Σύνδεση με την υπηρεσία εγγραφής
    GW->>-MED: Ένδειξη νέας σύνδεσης <br/>με άμεση πρόσβαση για τον χρήστη X
    alt Αν ο χρήστης X είναι εξουσιοδοτημένος
        MED->>+GW: Αποστολή πληροφορίας ότι ο χρήστης X <br/>επιτρέπεται να συνδεθεί, και αποστολή <br/>της λίστας φίλτρων δικτύου προς εφαρμογή
        GW->>-AGENT: Αποστολή πληροφοριών φιλτραρίσματος δικτύου <br/>και εξουσιοδότησης σύνδεσης <br/>για τον χρήστη X
        Note over AGENT: Εφαρμογή περιορισμών <br/>δικτύου στον χρήστη X
        loop Συνεχής εγγραφή της περιόδου λειτουργίας
            AGENT->>+GW: Συνεχής αποστολή της εγγραφής βίντεο <br/>+ συμβάντα περιόδου λειτουργίας
            Note over GW: Συνεχής προσθήκη της εγγραφής βίντεο <br/>στον κατάλογο προσωρινής αποθήκευσης
            GW->>-MED: Αποστολή των ληφθέντων συμβάντων περιόδου λειτουργίας
            Note over MED: Καταχώριση των συμβάντων <br/>στη βάση δεδομένων του οργανισμού
        end 
        break Τέλος της περιόδου λειτουργίας
            AGENT->>GW: Αποστολή πληροφορίας ότι <br/>ο χρήστης X τερμάτισε την περίοδο λειτουργίας RDP
            Note over GW: Η εγγραφή βίντεο μετακινείται <br/>στον κατάλογο αρχειοθέτησης.
            GW->>MED: Ένδειξη του τέλους της περιόδου λειτουργίας του χρήστη
            Note over MED: Η περίοδος λειτουργίας του χρήστη περνά <br/>από τη ζωντανή μετάδοση στο αρχείο
        end
    else If user X is not authorized
        MED->>+GW: Αποστολή πληροφορίας ότι ο χρήστης <br/>X δεν επιτρέπεται να συνδεθεί
        GW->>-AGENT: Αποστολή γνωστοποίησης <br/>άρνησης σύνδεσης του χρήστη X
        Note over AGENT: Αποσύνδεση του χρήστη X
    end

Hold "Ctrl" to enable pan & zoom

Μια νέα περίοδος λειτουργίας εντοπίζεται από τον παράγοντα εγγραφής, ο οποίος εκκινεί μια σύνδεση με την υπηρεσία εγγραφής ενός στοιχείου Edge Gateway.
Το στοιχείο Edge Gateway στέλνει τις πληροφορίες σύνδεσης (όνομα χρήστη και CN του πιστοποιητικού που χρησιμοποιεί ο παράγοντας εγγραφής) στην υπηρεσία Mediation Controller. Η υπηρεσία Mediation Controller θα απαντήσει με δύο διαφορετικούς τρόπους ανάλογα με τις ρυθμίσεις των δικαιωμάτων πρόσβασης.
Εάν ο χρήστης είναι εξουσιοδοτημένος να συνδεθεί στον διακομιστή, η υπηρεσία Mediation Controller επιστρέφει στο στοιχείο Edge Gateway την πιθανή πρόσβαση για αυτόν τον χρήστη και τη λίστα φίλτρων δικτύου που πρέπει να εφαρμοστεί.
Το στοιχείο Edge Gateway επιστρέφει αυτές τις πληροφορίες στον παράγοντα εγγραφής. Μόλις τις λάβει, ο παράγοντας εγγραφής εφαρμόζει τα φίλτρα δικτύου στην περίοδο λειτουργίας του χρήστη.
Ο παράγοντας εγγραφής αποστέλλει συνεχώς και σε πραγματικό χρόνο στην υπηρεσία εγγραφής την εγγραφή βίντεο της περιόδου λειτουργίας του χρήστη και όλα τα συμβάντα της περιόδου λειτουργίας (π.χ. πατήματα πλήκτρων ή εκκινήσεις προγραμμάτων). Η υπηρεσία εγγραφής αποθηκεύει την εγγραφή βίντεο σε έναν προσωρινό φάκελο.
Η υπηρεσία εγγραφής αναφέρει τα διάφορα συμβάντα της περιόδου λειτουργίας στην υπηρεσία Mediation Controller, η οποία στη συνέχεια τα καταχωρίζει στη βάση δεδομένων του οργανισμού.
Όταν λήξει η περίοδος λειτουργίας RDP του χρήστη, ο παράγοντας εγγραφής αναφέρει την πληροφορία στην υπηρεσία εγγραφής. Στη συνέχεια, η υπηρεσία εγγραφής μετακινεί το εγγεγραμμένο βίντεο στον φάκελο αρχειοθέτησης των εγγραφών χρηστών.
Η υπηρεσία εγγραφής αναφέρει τη λήξη της περιόδου λειτουργίας του χρήστη στην υπηρεσία Mediation Controller. Επομένως, η περίοδος λειτουργίας δεν είναι πλέον ορατή στην ενότητα Live Streaming του Control Center, αλλά μεταφέρεται στην ενότητα Archives.
Εάν ο χρήστης δεν είναι εξουσιοδοτημένος να συνδεθεί στον διακομιστή, η υπηρεσία Mediation Controller αναφέρει στο στοιχείο Edge Gateway τη μη εξουσιοδοτημένη πρόσβαση για αυτόν τον χρήστη.
Το στοιχείο Edge Gateway προωθεί την πληροφορία στον παράγοντα εγγραφής, ο οποίος αποσυνδέει την περίοδο λειτουργίας του χρήστη.

Κλειδιά μητρώου¶

Ανεξάρτητα από τον τρόπο εγκατάστασής του, ο παράγοντας εγγραφής διαθέτει όλα τα στοιχεία που απαιτούνται για όλους τους προβλεπόμενους τρόπους λειτουργίας του. Επομένως, για να λειτουργήσει σε λειτουργία άμεσης πρόσβασης, διαβάζει τα ακόλουθα κλειδιά μητρώου για να καθορίσει τη διαμόρφωσή του:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Όνομα του πιστοποιητικού που θα χρησιμοποιεί ο παράγοντας εγγραφής για να συνδεθεί με την υπηρεσία εγγραφής ενός στοιχείου Edge Gateway. Από προεπιλογή, και εάν δεν έχει οριστεί, ο παράγοντας θα επιχειρήσει να χρησιμοποιήσει ένα πιστοποιητικό με το όνομα του υπολογιστή.

LogOffOnFailure

Ένδειξη της συμπεριφοράς του παράγοντα όταν δεν μπορεί να συνδεθεί με ένα στοιχείο Edge Gateway ή εάν ο χρήστης δεν είναι εξουσιοδοτημένος να συνδεθεί στον υπολογιστή. Με 0 δεν θα γίνει αποσύνδεση, ενώ με 1 ο χρήστης θα αποσυνδεθεί (προεπιλεγμένη συμπεριφορά).

RecordedSessions

Ορισμός των τύπων περιόδων λειτουργίας που υπόκεινται σε εγγραφή:

none : δεν θα πραγματοποιείται εγγραφή της άμεσης πρόσβασης (προεπιλεγμένη ρύθμιση).
remote : κάθε πρόσβαση RDP στον υπολογιστή θα εκκινεί μια εγγραφή.
all : η πρόσβαση RDP και η πρόσβαση κονσόλας (φυσική πρόσβαση στον υπολογιστή ή μέσω της λειτουργίας κονσόλας του υπερεπόπτη) θα εκκινούν την εγγραφή.

Ποιες τιμές κλειδιών απαιτούνται για την άμεση πρόσβαση;

Η μόνη τιμή κλειδιού που απαιτείται για την ενεργοποίηση του μηχανισμού άμεσης πρόσβασης είναι η RecordedSessions με τιμή remote ή all. Σημειώστε ότι, ανάλογα με το περιβάλλον, μπορεί να απαιτείται και η τιμή κλειδιού MachineName.

Πιστοποιητικό υπολογιστή¶

Ο παράγοντας εγγραφής θα επιχειρήσει να χρησιμοποιήσει ένα πιστοποιητικό για τον έλεγχο ταυτότητας με την υπηρεσία εγγραφής. Αυτό το πιστοποιητικό πρέπει να έχει εγκατασταθεί στα προσωπικά πιστοποιητικά του υπολογιστή.

Ο παράγοντας θα χρησιμοποιήσει το πιστοποιητικό του οποίου το όνομα αντιστοιχεί στην τιμή κλειδιού MachineName (βλ. προηγούμενο κεφάλαιο) και, εάν αυτή δεν έχει οριστεί, θα επιχειρήσει να χρησιμοποιήσει ένα πιστοποιητικό με το όνομα του υπολογιστή.

Δήλωση των στοιχείων Edge Gateway με τα οποία μπορεί να επικοινωνήσει ο παράγοντας¶

Ο παράγοντας εγγραφής χρησιμοποιεί τοπικές πληροφορίες για να καθορίσει τη λίστα των διακομιστών Edge Gateway με τους οποίους πρέπει να επικοινωνήσει για να αποστείλει τις εγγραφές των περιόδων λειτουργίας των χρηστών.

Για να τροποποιήσετε τη λίστα των διακομιστών Edge Gateway με τους οποίους μπορεί να γίνει επικοινωνία, πρέπει πρώτα να διακόψετε την υπηρεσία CleanroomAgent.

Προειδοποίηση!

Η διακοπή της υπηρεσίας CleanroomAgent προκαλεί τον τερματισμό της εγγραφής των τρεχουσών περιόδων λειτουργίας στον διακομιστή, και οι νέες περίοδοι λειτουργίας που ανοίγουν στον διακομιστή δεν θα εγγράφονται.

Η υπηρεσία μπορεί να διακοπεί μέσω PowerShell (απαιτούνται δικαιώματα διαχειριστή):

1	`Stop-Service CleanroomAgent`

Μετά τη διακοπή της υπηρεσίας, τροποποιήστε ή δημιουργήστε το ακόλουθο αρχείο [RECORDING_AGENT_DIR]\gateways.xml, όπου [RECORDING_AGENT_DIR] είναι ο φάκελος εγκατάστασης του παράγοντα εγγραφής. Με τον προεπιλεγμένο φάκελο εγκατάστασης, το αρχείο πρέπει να υπάρχει ή να δημιουργηθεί σε αυτή τη θέση:

CyberElements: C:\Program Files (x86)\Systancia\cyberelements\gateways.xml

Αυτό το αρχείο XML αποτελείται από μια ετικέτα gateways και από τόσες ετικέτες element όσα είναι τα στοιχεία Edge Gateway με τα οποία μπορεί να γίνει επικοινωνία.

Παράδειγμα

Εάν ο παράγοντας εγγραφής πρέπει να επικοινωνήσει με ένα στοιχείο Edge Gateway με το FQDN edge-gateway-1.domain.local, το αρχείο XML θα είναι το εξής:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Εάν όμως υπήρχαν δύο στοιχεία Edge Gateway για επικοινωνία, το edge-gateway-1.domain.local και το edge-gateway-2.domain.local, το αρχείο θα ήταν το εξής:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Αφού τροποποιήσετε σωστά το αρχείο gateways.xml, επανεκκινήστε την υπηρεσία CleanroomAgent:

1	`Start-Service CleanroomAgent`

Διαμόρφωση της υπηρεσίας εγγραφής για τον έλεγχο ταυτότητας πιστοποιητικών από PKI τρίτου κατασκευαστή¶

Από προεπιλογή, η υπηρεσία εγγραφής θεωρεί έγκυρα μόνο τα πιστοποιητικά που εκδίδονται από την PKI της Systancia. Για να χρησιμοποιήσετε πιστοποιητικά από άλλη αρχή έκδοσης πιστοποιητικών (CA), πρέπει να ακολουθήσετε τα βήματα για την προσθήκη μιας CA στον ειδικό φάκελο του στοιχείου Edge Gateway.

Μόλις το πιστοποιητικό ή τα πιστοποιητικά CA βρεθούν στη σωστή θέση, το μόνο που απομένει είναι να επανεκκινήσετε την υπηρεσία εγγραφής, και πάλι ως υπερχρήστης root:

Προειδοποίηση!

Η επανεκκίνηση αυτής της υπηρεσίας θα διακόψει τις τρέχουσες περιόδους λειτουργίας και θα τερματίσει σχεδόν όλες. Εκτελέστε την ακόλουθη εντολή μόνο όταν δεν διέρχονται περίοδοι λειτουργίας χρηστών από το στοιχείο Edge Gateway, ώστε να μην επηρεαστούν οι χρήστες.

1	`systemctl restart ipdivacarerecord`

Μετά την επανεκκίνηση της υπηρεσίας εγγραφής, μπορείτε να ελέγξετε ότι οι νέες CA έχουν ληφθεί σωστά υπόψη, συμβουλευόμενοι τα αρχεία καταγραφής της υπηρεσίας:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

Τα αρχεία καταγραφής που θα λάβετε θα αναφέρουν στο τέλος της γραμμής τα ονόματα των αρχείων πιστοποιητικών που έχουν φορτωθεί από την υπηρεσία εγγραφής.

Παράδειγμα

Μετά την προσθήκη δύο CA με τα ονόματα MY-CA-ROOT.pem και MY-INTERMEDIATE-CA.pem, τα αρχεία καταγραφής που θα λάβετε θα μοιάζουν ως εξής (η αρχή του αρχείου καταγραφής έχει περικοπεί, αλλά περιέχει, μεταξύ άλλων, την ημερομηνία και το όνομα του υπολογιστή):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem