Konfiguriranje komponente Edge Gateway za omogućivanje provjere autentičnosti Kerberos¶
Preporučuje se smjestiti administratorske račune domene AD u grupu Protected Users. Kada se ti računi smjeste u Protected Users, veze NTLM više nisu moguće i koristit će se protokol Kerberos.
Da bi CyberElements uzeo u obzir ovu promjenu, na poslužiteljima Edge Gateway mora biti konfiguriran paket krb5-config kako bi oni mogli koristiti protokol Kerberos.
Napomena
Da bi ovaj dio funkcionirao, između poslužitelja Edge Gateway i poslužitelja kontrolera domene AD mora biti otvoren tok Kerberos (taj poslužitelj djeluje kao KDC, Kerberos Domain Controller).
Podsjećamo, riječ je o zadanom toku UDP 88. Sljedeća konfiguracija dohvaća informacije o protokolu Kerberos putem DNS-a, pa je potreban i tok UDP 53.
Upotrijebite sljedeći naredbeni redak:
1 | |
Unesite područje (realm) protokola Kerberos tako da upišete naziv svoje domene (FQDN) velikim slovima.
Primjer
domena: domain.local
realm: DOMAIN.LOCAL
Zatim odgovorite <NO> kako ne biste morali izvoditi nikakve ručne konfiguracije. U tom će se slučaju sve informacije povezane s protokolom Kerberos dohvaćati putem DNS-a.
Informacije
Za sve napredne i ručne postavke morat ćete izmijeniti datoteku /etc/krb5.conf (nakon izmjene nije potrebno ponovno pokretanje usluge).
Informacije o konfiguraciji možete dobiti putem man 5 krb5.conf.
U ovoj fazi, ako nije potrebna snažna provjera autentičnosti Kerberos, povezivanje s privilegiranim aplikacijama RDP u načinu bez agenta (HTML5 ili ne) trebalo bi funkcionirati s korisničkim računima koji pripadaju grupi Protected Users. Konfiguracija aplikacije RDP mora ispunjavati određene preduvjete.