A Windows-rögzítőügynök telepítése¶

A Windows rögzítőügynököt a CyberElements arra használja, hogy új funkciókkal bővítse az RDP-munkameneteket:

A felhasználó számára elérhető TCP- és UDP-adatfolyamok szűrésének lehetősége
A munkamenet-rögzítés elindításának lehetősége bármely, a kiszolgálóhoz csatlakozó felhasználó esetében, a felhasználói portál vagy a Desktop kliens megkerülésével (direct access funkció)

Ezenkívül a rendszer a felhasználói munkamenetek során további eseményeket is rögzít:

Ablak megnyitása
Ablak bezárása
Program indítása
Program bezárása
A vágólap tartalma
Felhasználói tevékenység

Előfeltételek¶

A kliens kompatibilitása

Ha szeretné megtudni, hogy az ügynök kompatibilis-e a különböző Microsoft Windows operációs rendszerekkel, tekintse meg a kompatibilitási mátrixot.

A rögzítőügynök megfelelő működéséhez néhány előfeltételnek teljesülnie kell. Ezek egy része kizárólag az RDP- és HTML5 RDP-alkalmazások ügynökalapú rögzítési funkciójára vonatkozik, mások pedig az ügynökalapú közvetlen hozzáférésre.

Általános előfeltételek¶

A rögzítőügynök úgy küldi vissza a felhasználói munkamenet felvételét a CyberElements platformnak, hogy a TCP 8443 porton csatlakozik az Edge Gateway komponenshez. Ehhez a két számítógép közötti hálózati forgalomnak nyitva kell lennie.

A felvétel biztonságos visszaküldéséhez a rögzítőügynök TLS használatával biztonságos kapcsolatot létesít az Edge Gateway komponenssel. A TLS tanúsítványokra épül, és a következő feltételeknek kell teljesülniük ahhoz, hogy a kapcsolat megbízhatónak és biztonságosnak minősüljön:

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványa nem járhatott le (az érvényesség végső dátuma).

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványát olyan hitelesítésszolgáltatónak kell kiállítania, amelyet a rögzítőügynököt futtató számítógép megbízhatónak ismer el.

További információk

A rögzítőügynököt futtató kiszolgálónak a megbízható hitelesítésszolgáltatók helyi tárolójában legalább a rögzítési kiszolgáló tanúsítványának legfelső szintű hitelesítésszolgáltatóját (CA) tartalmaznia kell.

Ezért a következőket kell tenni:

Kérje le az Edge Gateway komponensen futó rögzítési szolgáltatás tanúsítványának legfelső szintű CA-ját.
Töltse fel ezt a CA-t arra a kiszolgálóra, amelyre a rögzítőügynök telepítve van.
Telepítse a CA-t a helyi számítógép „Trusted Root Certification Authorities” tanúsítványtárolójába.

Példa a PowerShell használatával

Egy .cer formátumú tanúsítvány egyszerűen importálható a PowerShell segítségével.
Ehhez nyisson meg egy PowerShell-terminált a számítógép rendszergazdájaként, és futtassa a következő parancsot:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Cserélje le a <PATH_TO_CERT> értéket a tanúsítványfájl elérési útjára.

Példa a PowerShell használatával a Systancia-tanúsítványhoz, fájlküldés nélkül

Ez a példa a Systancia legfelső szintű CA-jának telepítését mutatja be, amelyet a CyberElements alapértelmezés szerint használ.

A tanúsítvány úgy is importálható, hogy a fájlt nem kell elküldeni/letölteni arra a számítógépre, amelyre a rögzítőügynök telepítve van.
Ehhez nyisson meg egy PowerShell-terminált a számítógép rendszergazdájaként, és futtassa a következő parancsokat:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
hmOVxbu5Ijfug5/3Eemep34NsYk="

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Ha ezt a módszert egy másik CA-val szeretné használni, módosítsa a base64Cert változó értékét a választott, Base64 kódolású tanúsítványra.

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványa nem lehet visszavonva.
A rögzítőügynököt futtató számítógépnek el kell tudnia érni a kiszolgálót – ebben az esetben az Edge Gateway komponenst – olyan DNS-néven vagy IP-címen, amelyet a kiszolgálói tanúsítvány a köznapi nevével (CN) lefed.

Az ügynökkel használt RDP-alkalmazásokra vonatkozó speciális előfeltételek macOS vagy Ubuntu rendszerű felhasználói munkaállomás esetén¶

Figyelmeztetés

A következő előfeltételek csak akkor szükségesek, ha a felhasználó ügynökkel indít RDP-alkalmazást, és a munkaállomása nem Windows rendszerű (macOS vagy Ubuntu).

Ha a CyberElements felhasználói kizárólag Windows rendszerű munkaállomásokat használnak, vagy ha nem, akkor kizárólag HTML5 RDP-alkalmazásokat használnak, a következő előfeltételek figyelmen kívül hagyhatók.

A következő beállításkulcsok szükségesek azon a célkiszolgálón, amelyen a rögzítőügynök üzembe van helyezve.

Először is az első kulcs kikapcsolja az engedélyezett indítóprogramok listáját (Microsoft-dokumentum). Alapértelmezés szerint egy Windows rendszerű számítógép csak az explorer.exe programot engedi meg indítóprogramként.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ha a számítógép nem RDS-kiszolgáló, mindig ajánlott a következő beállításkulcs alkalmazása, hogy a rögzítőügynök indítóprogramként megnyílhasson:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

A közvetlen hozzáférés speciális követelményei¶

A közvetlen hozzáférés funkció

A közvetlen hozzáférés funkcióval rögzítést indíthat a felhasználó munkamenetéről olyan RDP- vagy konzolos hozzáférés esetén (fizikai csatlakozás a számítógéphez vagy a hipervizor konzolmódján keresztül), amely nem közvetlenül a CyberElements platformon keresztül történik.

Ha a felhasználónak van engedélye a kiszolgálóhoz való hozzáféréshez, a rendszer rögzíti a munkamenetét. Ellenkező esetben a rendszer alapértelmezés szerint bontja a felhasználó kapcsolatát.

Ahhoz, hogy a rögzítőügynök közvetlen hozzáférési módban működjön, egy x509-tanúsítványra van szükség. A tanúsítványnak meg kell felelnie a következő követelményeknek:

A tanúsítványnak még érvényesnek kell lennie (az érvényességi ideje nem járt le).
A tanúsítvány típusának (kibővített kulcshasználat mező) client authentication értékűnek kell lennie (OID: 1.3.6.1.5.5.7.3.2).
A tanúsítvány nem lehet visszavonva.
Az OpenSSL 2-es biztonsági szintjéből eredő korlátozások a következőket vonják maguk után:
- A tanúsítvány titkos kulcsának RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek.
- A tanúsítvány aláírása nem lehet MD5 vagy SHA-1 (az SHA-512 ajánlott).
A rögzítési kiszolgáló a Common Name (CN) mező alapján azonosítja a tanúsítványt, és ezáltal azt a számítógépet, amelyen a közvetlen rögzítés elindul. Ezt a mezőt ki kell tölteni.

Manuális telepítés egyetlen gépre¶

Rendszergazdai jogok szükségesek

Az ügynök telepítéséhez rendszergazdai jogok szükségesek.

Az ügynök telepítése előtt le kell töltenie azt a felügyeleti konzolról:

Lépjen a „Configurations” munkaterületre a bal felső sarokban található gombbal:
Nyissa meg a „Toolbox” csempét
Az első, „Integration Tools” lapon válassza ki a kívánt operációs rendszernek megfelelő telepítőt

Az ügynök letöltése után kövesse az alábbi lépéseket:

Futtassa a setup_cyberelementsAgent.exe telepítőt azon a számítógépen, amelyre a rögzítőügynököt telepíteni szeretné.
Az első ablakban kattintson a Next gombra:
Fogadja el a használati feltételeket:
A harmadik képernyőn szükség esetén módosítsa az ügynök telepítési könyvtárát:
A negyedik képernyő az ügynök közvetlen hozzáférési módban történő telepítésének beállításait mutatja:

Enable Direct Access

Az ügynök közvetlen hozzáférési funkciójának bekapcsolása.

Recorded Sessions

Szabad szöveges mező, amely három különböző értéket fogad el annak meghatározására, hogy mikor induljon el a közvetlen hozzáférések rögzítése:
- none: nem történik közvetlenhozzáférés-rögzítés.
- remote: a számítógéphez való bármely RDP-hozzáférés elindítja a rögzítést.
- all: az RDP-hozzáférések és a konzolos hozzáférések (fizikai hozzáférés a számítógéphez vagy a hipervizor konzolmódjából) egyaránt elindítják a rögzítést.
Logoff On Failure

Beállítás, amely bontja a felhasználó munkamenetét, ha a rögzítés nem indítható el, megszakad, vagy ha a felhasználó számára nincs engedélyezve a csatlakozás a számítógéphez.

Javaslat

Első telepítéseknél, vagy ha nem biztos, hogy az előfeltételek teljesülnek, ajánlott ezt a beállítást bejelöletlenül hagyni. Ellenkező esetben, ha probléma van az előfeltételekkel vagy a beállításokkal, a kiszolgálóhoz létesített új kapcsolatok azonnal bontják a felhasználó kapcsolatát (a Recorded Sessions beállításoktól függően).

Információ

A közvetlen hozzáférési funkció a telepítés után is bekapcsolható. Ehhez lásd az ügynök beállításkulcsainak beállításait.
Végül az ötödik képernyőn az Install gombra kattintva elindul a telepítés:

A telepítés után az ügynök további konfigurálást igényel: Az ügynök konfigurálása

Üzembe helyezés a felügyeleti konzolról¶

Rendszergazdai jogok szükségesek

Az ügynök telepítéséhez rendszergazdai jogok szükségesek a célszámítógépen.

További előfeltétel

Az ügynök üzembe helyezése a célszámítógépen az SMB protokollal történik. Ezért az Edge Gateway komponens és a célkiszolgáló között nyitva kell lennie az SMB adatfolyamnak (TCP 445).

Üzembe helyezés egyetlen kiszolgálón¶

Az ügynök a felügyeleti konzol két helyéről egyenként is üzembe helyezhető. Így kétféle működésre konfigurálható előre:

Használat RDP- és HTML5 RDP-alkalmazásokkal: az ügynök előkészítése arra, hogy rögzíteni tudja az RDP- és HTML5 RDP-alkalmazásokat futtató felhasználók munkameneteit.
Használat közvetlen hozzáférési módban: az ügynök előkészítése arra, hogy az előző működés mellett az RDP-kiszolgálóhoz közvetlenül csatlakozó felhasználók munkameneteit is rögzíteni tudja.

Használat RDP- és HTML5 RDP-alkalmazásokkal¶

Ha egy RDP- vagy HTML5 RDP-alkalmazás az ügynökkel való együttműködésre van konfigurálva, az alkalmazás kiválasztásával elérhetővé válik az ügynök üzembe helyezésének lehetősége:

Az ügynök üzembe helyezési gombjára kattintva megjelenik egy új ablak, amely a következő adatokat kéri:

Target server: Annak a célkiszolgálónak az IP-címe vagy DNS-neve, amelyen a rögzítőügynököt üzembe kell helyezni. Alapértelmezés szerint ez a mező az RDP- vagy HTML5 RDP-alkalmazásban megadott kiszolgáló adatait használja.
Target drive: Annak a Windows-meghajtónak a betűjele, amelyre az ügynök települ. Általában ez a C betű, amellyel az ügynök a C:\ meghajtóra kerül.
Target directory: Az ügynök telepítési könyvtárának elérési útja; ha nem létezik, a rendszer létrehozza. A CyberElements-ügynök alapértelmezett helye a Program Files (x86)\Systancia\cyberelements.
Gateway: Adja meg az ügynök üzembe helyezéséhez használandó Edge Gateway komponenst.
Domain: Annak a tartománynak a neve, amelyben az ügynök telepítéséhez használt rendszergazdai fiók található.
Username: Az ügynök telepítéséhez használandó rendszergazdai fiók neve. Ennek a fióknak képesnek kell lennie programok telepítésére a célkiszolgálón.
Password: A rendszergazdai fiók jelszava.

Miután minden adatot megadott, elindítható az ügynök üzembe helyezése. Egy utolsó ablak jelzi, hogy az ügynök üzembe helyezése a célkiszolgálón sikeres volt-e.

További beállításokra is szükség lehet. Lásd a következő fejezetet: Az ügynök konfigurálása

Használat közvetlen hozzáférési módban + RDP- és HTML5 RDP-alkalmazásokkal¶

A közvetlen hozzáférési képernyő Machine management részén egy gomb teszi lehetővé az ügynök üzembe helyezését:

Az ügynök üzembe helyezési gombjára kattintva megjelenik egy új ablak, amely a következő adatokat kéri:

Target server

Annak a célkiszolgálónak az IP-címe vagy DNS-neve, amelyen a rögzítőügynököt üzembe kell helyezni. Alapértelmezés szerint ez a mező az RDP- vagy HTML5 RDP-alkalmazásban megadott kiszolgáló adatait használja.

Target drive

Annak a Windows-meghajtónak a betűjele, amelyre az ügynök települ. Általában ez a C betű, amellyel az ügynök a C:\ meghajtóra kerül.

Target directory

Az ügynök telepítési könyvtárának elérési útja; ha nem létezik, a rendszer létrehozza. A CyberElements-ügynök alapértelmezett helye a Program Files (x86)\Systancia\cyberelements.

Gateway

Adja meg az ügynök üzembe helyezéséhez használandó Edge Gateway komponenst.

Domain

Annak a tartománynak a neve, amelyben az ügynök telepítéséhez használt rendszergazdai fiók található.

Username

Az ügynök telepítéséhez használandó rendszergazdai fiók neve. Ennek a fióknak képesnek kell lennie programok telepítésére a célkiszolgálón.

Password

A rendszergazdai fiók jelszava.

Sessions to record

Annak a környezetnek a meghatározása, amelyben munkamenet-rögzítés történik:

Record remote sessions (RDS) only: csak az RDP-alapú távoli hozzáférések rögzítése történik meg.
Record all sessions: a távoli RDP-munkamenetek és a konzolmódú munkamenetek (fizikai hozzáférés a számítógéphez vagy a hipervizor konzolmódjából) egyaránt rögzítésre kerülnek.
Record no sessions: a kiszolgálóhoz létesített közvetlen kapcsolatok egyike sem rögzít munkamenetet, az ügynök azonban továbbra is használható az RDP- és HTML5 RDP-alkalmazásokon keresztüli hozzáférésekhez.

Use a different certificate than the target

Beállítás annak a tanúsítványnak a megadására, amellyel az ügynök hitelesíti magát az Edge Gateway komponensnél. Ha nincs megadva, az ügynök a kiszolgáló nevével megegyező nevű tanúsítványt keres.

Close the session if no gateway could be contacted

Beállítás, amely bontja a felhasználó kapcsolatát és kijelentkezteti őt (a Sessions to record beállításoktól függően), ha az Edge Gateway komponens nem érhető el, vagy ha a felhasználó számára nincs engedélyezve a csatlakozás a kiszolgálóhoz.

Javaslat

Első telepítéseknél, vagy ha nem biztos, hogy az előfeltételek teljesülnek, ajánlott ezt a beállítást bejelöletlenül hagyni. Ellenkező esetben, ha probléma van az előfeltételekkel vagy a beállításokkal, a kiszolgálóhoz létesített új kapcsolatok azonnal bontják a felhasználó kapcsolatát (a Sessions to record beállításoktól függően).

Miután minden adatot megadott, elindítható az ügynök üzembe helyezése. Egy utolsó ablak jelzi, hogy az ügynök üzembe helyezése a célkiszolgálón sikeres volt-e.

További beállításokra is szükség lehet. Lásd a következő fejezetet: Az ügynök konfigurálása

Üzembe helyezés több kiszolgálón¶

Információ

Ezzel a módszerrel a rögzítőügynök csak az RDP- és HTML5 RDP-alkalmazásokkal való működésre helyezhető üzembe. Ahhoz, hogy az ügynök közvetlen hozzáférési módban működjön, a konfigurációt más módon (pl. GPO-val) kell telepíteni.

További előfeltétel

Több kiszolgálón történő üzembe helyezés csak olyan számítógépeken lehetséges, amelyek egy AD-tartományhoz tartoznak, és ez a tartomány a CyberElements Authentication Domains részében az Allow RDS Server Management beállítás bekapcsolásával van konfigurálva.

A Management of RDS servers részben adjon hozzá egy vagy több új RDS-kiszolgálót:

Keresse meg azokat a kiszolgálókat, amelyekre a rögzítőügynököt telepíteni kell, és húzza át őket a jobb oldali panelre. Válassza a Deploy an agent lehetőséget:

Konfigurálja az ügynök üzembe helyezési adatait:

Target drive: Annak a Windows-meghajtónak a betűjele, amelyre az ügynök települ. Általában ez a C betű, amellyel az ügynök a C:\ meghajtóra kerül.
Target directory: Az ügynök telepítési könyvtárának elérési útja; ha nem létezik, a rendszer létrehozza. A CyberElements-ügynök alapértelmezett helye a Program Files (x86)\Systancia\cyberelements.
Gateway: Adja meg az ügynök üzembe helyezéséhez használandó Edge Gateway komponenst.
Domain: Annak a tartománynak a neve, amelyben az ügynök telepítéséhez használt rendszergazdai fiók található.
Username: Az ügynök telepítéséhez használandó rendszergazdai fiók neve. Ennek a fióknak képesnek kell lennie programok telepítésére a célkiszolgálón.
Password: A rendszergazdai fiók jelszava.

További beállításokra is szükség lehet. Lásd a következő fejezetet: Az ügynök konfigurálása