Διαμόρφωση του στοιχείου Edge Gateway για την ενεργοποίηση του ελέγχου ταυτότητας Kerberos¶
Συνιστάται να τοποθετήσετε τους λογαριασμούς διαχειριστή τομέα AD στην ομάδα Protected Users. Μόλις αυτοί οι λογαριασμοί τοποθετηθούν στην ομάδα Protected Users, οι συνδέσεις NTLM δεν είναι πλέον δυνατές και θα χρησιμοποιείται το πρωτόκολλο Kerberos.
Για να ληφθεί υπόψη αυτή η αλλαγή στο CyberElements, το πακέτο krb5-config πρέπει να διαμορφωθεί στους διακομιστές Edge Gateway ώστε να μπορούν να χρησιμοποιούν το Kerberos.
Σημείωση
Για να λειτουργήσει αυτό το τμήμα, πρέπει να είναι ανοιχτή μια ροή Kerberos μεταξύ των διακομιστών Edge Gateway και του διακομιστή ελεγκτή τομέα AD (αυτός ο διακομιστής λειτουργεί ως KDC, Kerberos Domain Controller).
Υπενθυμίζεται ότι πρόκειται από προεπιλογή για μια ροή UDP 88. Η ακόλουθη διαμόρφωση ανακτά τις πληροφορίες Kerberos μέσω DNS, επομένως απαιτείται επίσης η ροή UDP 53.
Χρησιμοποιήστε την ακόλουθη γραμμή εντολών:
1 | |
Εισαγάγετε την περιοχή Kerberos (realm) πληκτρολογώντας το όνομα του τομέα σας (FQDN) με κεφαλαία.
Παράδειγμα
τομέας: domain.local
realm: DOMAIN.LOCAL
Στη συνέχεια, απαντήστε <NO> ώστε να μη χρειαστεί να κάνετε μη αυτόματες διαμορφώσεις. Σε αυτήν την περίπτωση, όλες οι πληροφορίες που σχετίζονται με το Kerberos θα ανακτηθούν μέσω DNS.
Πληροφορίες
Για όλες τις προηγμένες και μη αυτόματες ρυθμίσεις, θα χρειαστεί να τροποποιήσετε το αρχείο /etc/krb5.conf (δεν απαιτείται επανεκκίνηση υπηρεσίας μετά την τροποποίηση).
Οι πληροφορίες διαμόρφωσης είναι διαθέσιμες μέσω του man 5 krb5.conf.
Σε αυτό το στάδιο, και εάν δεν απαιτείται ισχυρός έλεγχος ταυτότητας Kerberos, η σύνδεση με προνομιακές εφαρμογές RDP σε λειτουργία χωρίς παράγοντα (HTML5 ή όχι) θα πρέπει να λειτουργεί με λογαριασμούς χρηστών που ανήκουν στην ομάδα Protected Users. Η διαμόρφωση της εφαρμογής RDP πρέπει να πληροί ορισμένα προαπαιτούμενα.