A Windows rögzítőügynök konfigurálása¶

A Windows rögzítőügynököt a CyberElements arra használja, hogy új funkciókkal bővítse az RDP-munkameneteket:

A felhasználó számára elérhető TCP- és UDP-adatfolyamok szűrésének lehetősége
A munkamenet-rögzítés elindításának lehetősége bármely, a kiszolgálóhoz csatlakozó felhasználó esetében, a felhasználói portál vagy a Desktop kliens megkerülésével (direct access funkció)

Ezenkívül a rendszer a felhasználói munkamenetek során további eseményeket is rögzít:

Ablak megnyitása
Ablak bezárása
Program indítása
Program bezárása
A vágólap tartalma
Felhasználói tevékenység

Előfeltételek¶

A kliens kompatibilitása

Ha szeretné megtudni, hogy az ügynök kompatibilis-e a különböző Microsoft Windows operációs rendszerekkel, tekintse meg a kompatibilitási mátrixot.

A rögzítőügynök megfelelő működéséhez néhány előfeltételnek teljesülnie kell. Ezek egy része kizárólag az RDP- és HTML5 RDP-alkalmazások ügynökalapú rögzítési funkciójára vonatkozik, mások pedig az ügynökalapú közvetlen hozzáférésre.

Általános előfeltételek¶

A rögzítőügynök úgy küldi vissza a felhasználói munkamenet felvételét a CyberElements platformnak, hogy a TCP 8443 porton csatlakozik az Edge Gateway komponenshez. Ehhez a két számítógép közötti hálózati forgalomnak nyitva kell lennie.

A felvétel biztonságos visszaküldéséhez a rögzítőügynök TLS használatával biztonságos kapcsolatot létesít az Edge Gateway komponenssel. A TLS tanúsítványokra épül, és a következő feltételeknek kell teljesülniük ahhoz, hogy a kapcsolat megbízhatónak és biztonságosnak minősüljön:

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványa nem járhatott le (az érvényesség végső dátuma).

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványát olyan hitelesítésszolgáltatónak kell kiállítania, amelyet a rögzítőügynököt futtató számítógép megbízhatónak ismer el.

További információk

A rögzítőügynököt futtató kiszolgálónak a megbízható hitelesítésszolgáltatók helyi tárolójában legalább a rögzítési kiszolgáló tanúsítványának legfelső szintű hitelesítésszolgáltatóját (CA) tartalmaznia kell.

Ezért a következőket kell tenni:

Kérje le az Edge Gateway komponensen futó rögzítési szolgáltatás tanúsítványának legfelső szintű CA-ját.
Töltse fel ezt a CA-t arra a kiszolgálóra, amelyre a rögzítőügynök telepítve van.
Telepítse a CA-t a helyi számítógép „Trusted Root Certification Authorities” tanúsítványtárolójába.

Példa a PowerShell használatával

Egy .cer formátumú tanúsítvány egyszerűen importálható a PowerShell segítségével.
Ehhez nyisson meg egy PowerShell-terminált a számítógép rendszergazdájaként, és futtassa a következő parancsot:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Cserélje le a <PATH_TO_CERT> értéket a tanúsítványfájl elérési útjára.

Példa a PowerShell használatával a Systancia-tanúsítványhoz, fájlküldés nélkül

Ez a példa a Systancia legfelső szintű CA-jának telepítését mutatja be, amelyet a CyberElements alapértelmezés szerint használ.

A tanúsítvány úgy is importálható, hogy a fájlt nem kell elküldeni/letölteni arra a számítógépre, amelyre a rögzítőügynök telepítve van.
Ehhez nyisson meg egy PowerShell-terminált a számítógép rendszergazdájaként, és futtassa a következő parancsokat:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Ha ezt a módszert egy másik CA-val szeretné használni, módosítsa a base64Cert változó értékét a választott, Base64 kódolású tanúsítványra.

A kiszolgáló – ebben az esetben az Edge Gateway komponens – tanúsítványa nem lehet visszavonva.
A rögzítőügynököt futtató számítógépnek el kell tudnia érni a kiszolgálót – ebben az esetben az Edge Gateway komponenst – olyan DNS-néven vagy IP-címen, amelyet a kiszolgálói tanúsítvány a köznapi nevével (CN) lefed.

Az ügynökkel használt RDP-alkalmazásokra vonatkozó speciális előfeltételek macOS vagy Ubuntu rendszerű felhasználói munkaállomás esetén¶

Figyelmeztetés

A következő előfeltételek csak akkor szükségesek, ha a felhasználó ügynökkel indít RDP-alkalmazást, és a munkaállomása nem Windows rendszerű (macOS vagy Ubuntu).

Ha a CyberElements felhasználói kizárólag Windows rendszerű munkaállomásokat használnak, vagy ha nem, akkor kizárólag HTML5 RDP-alkalmazásokat használnak, a következő előfeltételek figyelmen kívül hagyhatók.

A következő beállításkulcsok szükségesek azon a célkiszolgálón, amelyen a rögzítőügynök üzembe van helyezve.

Először is az első kulcs kikapcsolja az engedélyezett indítóprogramok listáját (Microsoft-dokumentum). Alapértelmezés szerint egy Windows rendszerű számítógép csak az explorer.exe programot engedi meg indítóprogramként.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ha a számítógép nem RDS-kiszolgáló, mindig ajánlott a következő beállításkulcs alkalmazása, hogy a rögzítőügynök indítóprogramként megnyílhasson:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

A közvetlen hozzáférés speciális követelményei¶

A közvetlen hozzáférés funkció

A közvetlen hozzáférés funkcióval rögzítést indíthat a felhasználó munkamenetéről olyan RDP- vagy konzolos hozzáférés esetén (fizikai csatlakozás a számítógéphez vagy a hipervizor konzolmódján keresztül), amely nem közvetlenül a CyberElements platformon keresztül történik.

Ha a felhasználónak van engedélye a kiszolgálóhoz való hozzáféréshez, a rendszer rögzíti a munkamenetét. Ellenkező esetben a rendszer alapértelmezés szerint bontja a felhasználó kapcsolatát.

Ahhoz, hogy a rögzítőügynök közvetlen hozzáférési módban működjön, egy x509-tanúsítványra van szükség. A tanúsítványnak meg kell felelnie a következő követelményeknek:

A tanúsítványnak még érvényesnek kell lennie (az érvényességi ideje nem járt le).
A tanúsítvány típusának (kibővített kulcshasználat mező) client authentication értékűnek kell lennie (OID: 1.3.6.1.5.5.7.3.2).
A tanúsítvány nem lehet visszavonva.
Az OpenSSL 2-es biztonsági szintjéből eredő korlátozások a következőket vonják maguk után:
- A tanúsítvány titkos kulcsának RSA, DSA és DH titkosítás esetén legalább 2048 bitesnek kell lennie; elliptikus görbés (ECC) kulcsok esetén legalább 224 bitesnek.
- A tanúsítvány aláírása nem lehet MD5 vagy SHA-1 (az SHA-512 ajánlott).
A rögzítési kiszolgáló a Common Name (CN) mező alapján azonosítja a tanúsítványt, és ezáltal azt a számítógépet, amelyen a közvetlen rögzítés elindul. Ezt a mezőt ki kell tölteni.

Konfigurációk beállításkulcsokon keresztül¶

Néhány globális beállítás beállításkulcsokban érhető el; ezekkel a rögzítőügynök működése befolyásolható mind alkalmazásokkal való használat, mind közvetlen hozzáférés esetén.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError: Meghatározza a rögzítőügynök viselkedését a munkamenet-rögzítő bezárásakor. Ha a 0 érték van megadva (alapértelmezett viselkedés), a rögzítő bezárásakor a felhasználó munkamenete bezárul. Ha az 1 érték van megadva, a rögzítő bezárásakor a felhasználó munkamenete leválasztódik.
SessionEndTimeout: A felhasználói munkamenet bezárására rendelkezésre álló idő (másodpercben), mielőtt a munkamenet kényszerített leállítására kerül sor. Alapértelmezés szerint ez a paraméter 10 másodpercre van állítva.

Konfiguráció RDP- és HTML5 RDP-alkalmazásokkal való működéshez¶

SaaS-környezet

Az alábbi ábrákon a „Mediation Controller” a CyberElements által felügyelt CyberElements felhőszolgáltatást jelöli. A rögzítési folyamat architektúrája SaaS módban is azonos.

Ebben a működési módban a Mediation Controller szolgáltatás, az Edge Gateway komponens és a rögzítőügynök közötti kommunikáció a következőképpen zajlik:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-kiszolgáló<br/>Rögzítőügynök

    MED->>+GW: Az RDP-kiszolgáló bejelentkezési <br/>adatainak küldése a rögzítőügynök <br/>bejelentkezési adataival együtt
    GW->>AGENT: Az RDP-kapcsolat inicializálása
    GW->>-AGENT: Bejelentkezési adatok küldése az <br/>Edge Gateway rögzítési szolgáltatásához
    AGENT->>+GW: Csatlakozás a rögzítési szolgáltatáshoz
    GW->>-AGENT: Hálózati szűrési információk küldése
    Note over AGENT: Hálózati korlátozások <br/>alkalmazása a felhasználóra
    loop Folyamatos munkamenet-rögzítés
        AGENT->>+GW: A videofelvétel folyamatos küldése <br/>+ munkamenet-események
        Note over GW: A videofelvétel folyamatos hozzáadása <br/>az ideiglenes tárolókönyvtárhoz
        GW->>-MED: A fogadott munkamenet-események küldése
        Note over MED: Események rögzítése <br/>a szervezet adatbázisában
    end 
    break A munkamenet vége
        AGENT->>GW: Annak jelzése, hogy <br/>a felhasználó befejezte az RDP-munkamenetét
        Note over GW: A videofelvétel átkerül <br/>az archívumkönyvtárba
        GW->>MED: A felhasználói munkamenet végének jelzése
        Note over MED: A felhasználó munkamenete <br/>élő közvetítésből archívumba kerül
    end

Hold "Ctrl" to enable pan & zoom

A Mediation Controller szolgáltatás átadja az Edge Gateway komponensnek a cél RDP-kiszolgáló kapcsolati adatait. Emellett mellékeli a rögzítési szolgáltatáshoz való csatlakozáshoz rendelkezésére álló kapcsolati adatokat is (az Edge Gateway komponens FQDN-jét).
Az Edge Gateway komponens kezdeményezi a kapcsolatot az RDP-kiszolgálóval.
Az Edge Gateway komponens elküldi a rögzítőügynöknek a saját rögzítési szolgáltatásának kapcsolati adatait.
A rögzítőügynök kezdeményezi a kapcsolatot a rögzítési szolgáltatással.
Az ügynök csatlakozása után a rögzítési szolgáltatás visszaküldi a munkamenetre alkalmazandó hálózati forgalmi korlátozások listáját. A lista beérkezése után a rögzítőügynök alkalmazza ezeket a felhasználó munkamenetére.
A rögzítőügynök valós időben, folyamatosan feltölti a rögzítési szolgáltatásba a felhasználói munkamenet videófelvételét és a munkamenet összes eseményét (pl. billentyűleütéseket vagy programindításokat). A rögzítési szolgáltatás a videófelvételt egy ideiglenes könyvtárban tárolja.
A rögzítési szolgáltatás jelenti a munkamenet különböző eseményeit a Mediation Controller szolgáltatásnak, amely ezután rögzíti őket a szervezet adatbázisában.
Amikor a felhasználó RDP-munkamenete véget ér, a rögzítőügynök jelzi ezt a rögzítési szolgáltatásnak. A rögzítési szolgáltatás ezután áthelyezi a rögzített videót a felhasználói felvételek archív könyvtárába.
A rögzítési szolgáltatás jelenti a felhasználói munkamenet végét a Mediation Controller szolgáltatásnak. A munkamenet ezért már nem látható a Control Center Live Streaming nézetében, hanem átkerül az Archives szakaszba.

Ebben a folyamatban elengedhetetlen, hogy a rögzítőügynök megkapja az Edge Gateway komponens rögzítési szolgáltatásának helyes kapcsolati adatait. Ezek az adatok az Edge Gateway komponens beállításaiban, az FQDN mezőben találhatók:

Ebben a mezőben adjon meg egy olyan DNS-nevet, amelyet az RDP-kiszolgálók fel tudnak oldani.

Fontos

A Careserver rögzítési szolgáltatáshoz rendelt tanúsítványnak le kell fednie az FQDN mezőben megadott nevet. Ellenkező esetben a rögzítőügynök nem biztonságosnak tekinti a kapcsolatot, és nem indítja el a munkamenet rögzítését.

Konfiguráció közvetlen hozzáférésű működéshez¶

SaaS-környezet

Az alábbi ábrákon a „Mediation Controller” a CyberElements által felügyelt CyberElements felhőszolgáltatást jelöli. A közvetlen hozzáférési folyamat architektúrája SaaS módban is azonos.

Ebben a működési módban a Mediation Controller szolgáltatás, az Edge Gateway komponens és a rögzítőügynök közötti kommunikáció a következőképpen zajlik:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as RDP-kiszolgáló<br/>Rögzítőügynök

    Note over AGENT: Rögzítendő új <br/>munkamenet észlelése
    AGENT->>+GW: Csatlakozás a rögzítési szolgáltatáshoz
    GW->>-MED: Új, közvetlen hozzáférésű kapcsolat <br/>jelzése X felhasználó számára
    alt Ha X felhasználó jogosult
        MED->>+GW: Annak jelzése, hogy X felhasználó <br/>jogosult a kapcsolódásra, és az alkalmazandó <br/>hálózati szűrők listájának küldése
        GW->>-AGENT: Hálózati szűrési információk <br/>és kapcsolódási engedély küldése <br/>X felhasználó számára
        Note over AGENT: Hálózati korlátozások <br/>alkalmazása X felhasználóra
        loop Folyamatos munkamenet-rögzítés
            AGENT->>+GW: A videofelvétel folyamatos küldése <br/>+ munkamenet-események
            Note over GW: A videofelvétel folyamatos hozzáadása <br/>az ideiglenes tárolókönyvtárhoz
            GW->>-MED: A fogadott munkamenet-események küldése
            Note over MED: Események rögzítése <br/>a szervezet adatbázisában
        end 
        break A munkamenet vége
            AGENT->>GW: Annak jelzése, hogy <br/>X felhasználó befejezte az RDP-munkamenetét
            Note over GW: A videofelvétel átkerül <br/>az archívumkönyvtárba.
            GW->>MED: A felhasználói munkamenet végének jelzése
            Note over MED: A felhasználó munkamenete <br/>élő közvetítésből archívumba kerül
        end
    else If user X is not authorized
        MED->>+GW: Annak jelzése, hogy X felhasználó <br/>nem jogosult a bejelentkezésre
        GW->>-AGENT: Értesítés küldése X felhasználó <br/>bejelentkezésének elutasításáról
        Note over AGENT: X felhasználó kijelentkeztetése
    end

Hold "Ctrl" to enable pan & zoom

A rögzítőügynök új munkamenetet észlel, és kapcsolatot kezdeményez egy Edge Gateway komponens rögzítési szolgáltatásával.
Az Edge Gateway komponens elküldi a kapcsolati adatokat (a felhasználónevet és a rögzítőügynök által használt tanúsítvány CN-jét) a Mediation Controller szolgáltatásnak. A Mediation Controller szolgáltatás a hozzáférési jogok beállításától függően kétféleképpen válaszol.
Ha a felhasználó jogosult csatlakozni a kiszolgálóhoz, a Mediation Controller szolgáltatás visszajelzi az Edge Gateway komponensnek a felhasználó számára lehetséges hozzáférést és az alkalmazandó hálózati szűrők listáját.
Az Edge Gateway komponens továbbítja ezeket az adatokat a rögzítőügynöknek. Az adatok beérkezése után a rögzítőügynök alkalmazza a hálózati szűrőket a felhasználó munkamenetére.
A rögzítőügynök valós időben, folyamatosan feltölti a rögzítési szolgáltatásba a felhasználói munkamenet videófelvételét és a munkamenet összes eseményét (pl. billentyűleütéseket vagy programindításokat). A rögzítési szolgáltatás a videófelvételt egy ideiglenes könyvtárban tárolja.
A rögzítési szolgáltatás jelenti a munkamenet különböző eseményeit a Mediation Controller szolgáltatásnak, amely ezután rögzíti őket a szervezet adatbázisában.
Amikor a felhasználó RDP-munkamenete véget ér, a rögzítőügynök jelzi ezt a rögzítési szolgáltatásnak. A rögzítési szolgáltatás ezután áthelyezi a rögzített videót a felhasználói felvételek archív könyvtárába.
A rögzítési szolgáltatás jelenti a felhasználói munkamenet végét a Mediation Controller szolgáltatásnak. A munkamenet ezért már nem látható a Control Center Live Streaming nézetében, hanem átkerül az Archives szakaszba.
Ha a felhasználó nem jogosult csatlakozni a kiszolgálóhoz, a Mediation Controller szolgáltatás jelzi az Edge Gateway komponensnek, hogy a felhasználó hozzáférése jogosulatlan.
Az Edge Gateway komponens továbbítja az információt a rögzítőügynöknek, amely leválasztja a felhasználó munkamenetét.

Beállításkulcsok¶

Telepítési módjától függetlenül a rögzítőügynök rendelkezik az összes tervezett működési módjához szükséges összetevővel. A közvetlen hozzáférési módban való működéshez ezért a következő beállításkulcsokat olvassa be a konfigurációja meghatározásához:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Annak a tanúsítványnak a neve, amelyet a rögzítőügynök egy Edge Gateway komponens rögzítési szolgáltatásához való csatlakozáshoz használ. Alapértelmezés szerint, illetve ha nincs megadva, az ügynök a számítógép nevét viselő tanúsítványt próbálja használni.

LogOffOnFailure

Az ügynök viselkedése arra az esetre, ha nem tud csatlakozni egy Edge Gateway komponenshez, vagy ha a felhasználó nem jogosult csatlakozni a számítógéphez. 0 esetén nem történik leválasztás, 1 esetén viszont a felhasználó leválasztásra kerül (alapértelmezett viselkedés).

RecordedSessions

A rögzítés hatálya alá tartozó munkamenettípusok meghatározása:

none : nem történik a közvetlen hozzáférések rögzítése (alapértelmezett beállítás).
remote : a számítógéphez való bármely RDP-hozzáférés rögzítést indít el.
all : az RDP-hozzáférés és a konzolhozzáférés (fizikai hozzáférés a számítógéphez vagy hozzáférés a hipervizor konzolmódjából) rögzítést indít el.

Milyen kulcsértékek szükségesek a közvetlen hozzáféréshez?

A közvetlen hozzáférési mechanizmus bekapcsolásához egyetlen kulcsérték szükséges: a RecordedSessions, remote vagy all értékkel. Vegye figyelembe, hogy a környezettől függően a MachineName kulcsértékre is szükség lehet.

Számítógép-tanúsítvány¶

A rögzítőügynök tanúsítványt próbál használni a rögzítési szolgáltatással szembeni hitelesítéshez. Ennek a tanúsítványnak telepítve kell lennie a számítógép személyes tanúsítványai között.

Az ügynök azt a tanúsítványt használja, amelynek neve megfelel a MachineName kulcsértéknek (lásd az előző fejezetet); ha ez nincs megadva, a számítógép nevét viselő tanúsítványt próbálja használni.

Az ügynök által elérhető Edge Gateway komponensek deklarálása¶

A rögzítőügynök helyi információk alapján határozza meg azoknak az Edge Gateway kiszolgálóknak a listáját, amelyekkel a felhasználói munkamenetek felvételeinek feltöltéséhez kapcsolatba kell lépnie.

Az elérhető Edge Gateway kiszolgálók listájának módosításához először le kell állítania a CleanroomAgent szolgáltatást.

Figyelmeztetés!

A CleanroomAgent szolgáltatás leállításakor a kiszolgálón folyamatban lévő munkamenetek rögzítése befejeződik, és a kiszolgálón megnyitott új munkamenetek nem lesznek rögzítve.

A szolgáltatás PowerShell segítségével állítható le (rendszergazdai jogok szükségesek):

1	`Stop-Service CleanroomAgent`

A szolgáltatás leállítása után módosítsa vagy hozza létre a következő [RECORDING_AGENT_DIR]\gateways.xml fájlt, ahol a [RECORDING_AGENT_DIR] a rögzítőügynök telepítési könyvtára. Az alapértelmezett telepítési könyvtár esetén a fájlnak ezen a helyen kell lennie, vagy itt kell létrehozni:

CyberElements: C:\Program Files (x86)\Systancia\cyberelements\gateways.xml

Ez az XML-fájl egy gateways címkéből és annyi element címkéből áll, ahány elérhető Edge Gateway komponens van.

Példa

Ha a rögzítőügynöknek egy edge-gateway-1.domain.local FQDN-nel rendelkező Edge Gateway komponenssel kell kapcsolatba lépnie, az XML-fájl a következő:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Ha viszont két Edge Gateway komponenssel kellene kapcsolatba lépni (edge-gateway-1.domain.local és edge-gateway-2.domain.local), a fájl a következő lenne:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

A gateways.xml fájl megfelelő módosítása után indítsa újra a CleanroomAgent szolgáltatást:

1	`Start-Service CleanroomAgent`

A rögzítési szolgáltatás konfigurálása külső PKI által kiadott tanúsítványok hitelesítéséhez¶

Alapértelmezés szerint a rögzítési szolgáltatás csak a Systancia PKI által kiadott tanúsítványokat tekinti érvényesnek. Más hitelesítésszolgáltató (CA) tanúsítványainak használatához kövesse a CA hozzáadása az Edge Gateway komponens saját könyvtárához című fejezet lépéseit.

Miután a CA-tanúsítvány(ok) a megfelelő helyre kerültek, már csak újra kell indítani a rögzítési szolgáltatást, ismét root szuperfelhasználóként:

Figyelmeztetés!

A szolgáltatás újraindítása leállítja a folyamatban lévő munkameneteket, és szinte mindegyiket megszakítja. A felhasználók zavarásának elkerülése érdekében csak akkor futtassa a következő parancsot, ha egyetlen felhasználói munkamenet sem halad át az Edge Gateway komponensen.

1	`systemctl restart ipdivacarerecord`

A rögzítési szolgáltatás újraindítása után a szolgáltatás naplóiban ellenőrizheti, hogy a rendszer megfelelően figyelembe vette-e az új CA-kat:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

A kapott naplók a sor végén feltüntetik a rögzítési szolgáltatás által betöltött tanúsítványfájlok nevét.

Példa

Két, MY-CA-ROOT.pem és MY-INTERMEDIATE-CA.pem nevű CA hozzáadása után a kapott naplók a következőképpen néznek ki (a napló eleje le van vágva, de többek között a dátumot és a számítógép nevét tartalmazza):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem