Inštalácia agenta nahrávania pre Windows¶

Agent nahrávania pre Windows používa CyberElements na pridanie nových funkcií pre relácie RDP:

Možnosť filtrovať toky TCP a UDP prístupné pre používateľa
Možnosť spustiť nahrávanie relácie pre každého používateľa, ktorý sa pripája k serveru bez prechodu cez používateľský portál alebo klienta Desktop (funkcia direct access)

Okrem toho sa počas relácií používateľov zachytávajú ďalšie udalosti:

Otvorenie okna
Zatvorenie okna
Spustenie programu
Zatvorenie programu
Obsah schránky
Aktivita používateľa

Predpoklady¶

Kompatibilita klienta

Ak chcete zistiť, či je agent kompatibilný s rôznymi operačnými systémami Microsoft Windows, pozrite si maticu kompatibility.

Agent nahrávania vyžaduje na správne fungovanie niekoľko predpokladov. Niektoré z nich sú určené iba pre funkciu nahrávania pomocou agenta pre aplikácie RDP a HTML5 RDP, zatiaľ čo iné sa týkajú priameho prístupu pomocou agenta.

Všeobecné predpoklady¶

Agent nahrávania odosiela záznam relácie používateľa späť do CyberElements pripojením k serveru Edge Gateway na porte TCP 8443. Vyžaduje to otvorenie sieťového toku medzi oboma počítačmi.

Na bezpečné odoslanie záznamu späť na server Edge Gateway nadviaže agent nahrávania s týmto serverom zabezpečené pripojenie pomocou TLS. TLS sa spolieha na používanie certifikátov a na to, aby sa pripojenie považovalo za spoľahlivé a bezpečné, musia byť splnené tieto obmedzenia:

Certifikát servera, v tomto prípade servera Edge Gateway, nesmie mať uplynutú platnosť (maximálny dátum platnosti).

Certifikát servera, v tomto prípade servera Edge Gateway, musí byť vydaný certifikačnou autoritou, ktorú počítač, na ktorom je nainštalovaný agent nahrávania, uznáva ako dôveryhodnú.

Ďalšie informácie

Server, na ktorom je nainštalovaný agent nahrávania, musí mať vo svojom lokálnom úložisku dôveryhodných certifikačných autorít minimálne koreňovú certifikačnú autoritu (CA) certifikátu servera nahrávania.

Preto je potrebné:

Získať koreňovú CA certifikátu zo služby nahrávania na serveri Edge Gateway.
Nahrať túto CA na server, na ktorom je nainštalovaný agent nahrávania.
Nainštalovať CA do úložiska certifikátov „Trusted Root Certification Authorities“ na lokálnom počítači.

Príklad s použitím PowerShell

Certifikát vo formáte .cer môžete jednoducho importovať pomocou PowerShell.
Ak to chcete urobiť, otvorte terminál PowerShell ako správca počítača a spustite nasledujúci príkaz:

Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"

Nahraďte <PATH_TO_CERT> cestou k súboru certifikátu.

Príklad s použitím PowerShell pre certifikát Systancia bez odosielania súborov

Tento príklad zahŕňa inštaláciu koreňovej CA spoločnosti Systancia, ktorá sa v CyberElements používa predvolene.

Certifikát je tiež možné importovať bez toho, aby bolo potrebné odosielať/sťahovať súbor do počítača, na ktorom je nainštalovaný agent nahrávania.
Ak to chcete urobiť, otvorte terminál PowerShell ako správca počítača a spustite nasledujúce príkazy:

# Systancia Root certificate
$base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx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"

# Convert the certificate and store it in memory
$certBytes = [Convert]::FromBase64String($base64Cert)

# Create a certificate object
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
$cert.Import($certBytes)

# Open the trusted root certificate store on the local machine and add the Systancia root certificate
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
$store.Add($cert)
$store.Close()

Ak chcete použiť túto metódu s inou CA, zmeňte hodnotu premennej base64Cert na ľubovoľný certifikát zakódovaný v base64.

Certifikát servera, v tomto prípade servera Edge Gateway, nesmie byť odvolaný.
Počítač, na ktorom je nainštalovaný agent nahrávania, musí byť schopný kontaktovať server, v tomto prípade server Edge Gateway, pomocou názvu DNS alebo IP adresy, ktorú certifikát servera pokrýva prostredníctvom svojho Common Name (CN).

Špecifické predpoklady pre aplikácie RDP s agentom používané na pracovnej stanici používateľa so systémom macOS alebo Ubuntu¶

Upozornenie

Nasledujúce predpoklady sú potrebné iba vtedy, ak používateľ spúšťa aplikáciu RDP s agentom a jeho pracovná stanica nepoužíva Windows (macOS alebo Ubuntu).

Ak majú používatelia CyberElements pracovné stanice výlučne so systémom Windows, alebo ak nie, používajú výlučne aplikácie HTML5 RDP, nasledujúce predpoklady možno ignorovať.

Na cieľovom serveri, na ktorom je nasadený agent nahrávania, sú potrebné nasledujúce kľúče databázy Registry.

Prvý kľúč najprv zakáže zoznam autorizovaných programov pri spustení (dokument Microsoft). Predvolene počítač so systémom Windows povoľuje ako program pri spustení iba explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Ak počítač nie je serverom RDS, vždy sa odporúča použiť nasledujúci kľúč databázy Registry, aby sa agent nahrávania mohol otvoriť ako program pri spustení:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Špecifické požiadavky na priamy prístup¶

Funkcia priameho prístupu

Funkcia priameho prístupu umožňuje spustiť nahrávanie relácie používateľa pri prístupe RDP alebo konzolovom prístupe (fyzické pripojenie k počítaču alebo cez režim konzoly hypervízora), ktorý neprechádza priamo cez CyberElements.

Ak má používateľ povolenie na prístup k serveru, jeho relácia sa nahrá. Ak to tak nie je, používateľ sa predvolene odpojí.

Aby agent nahrávania fungoval v režime priameho prístupu, vyžaduje sa certifikát x509. Tento certifikát musí spĺňať tieto požiadavky:

Certifikát musí byť stále platný (obdobie platnosti neuplynulo).
Certifikát musí byť typu (pole rozšíreného použitia kľúča) client authentication (OID: 1.3.6.1.5.5.7.3.2).
Certifikát nesmie byť odvolaný.
Obmedzenia vyplývajúce z úrovne zabezpečenia 2 OpenSSL znamenajú, že:
- Certifikát musí mať súkromný kľúč s dĺžkou aspoň 2048 bitov pri šifrách RSA, DSA a DH; kľúče eliptických kriviek (ECC) musia mať aspoň 224 bitov.
- Podpis certifikátu nesmie byť MD5 ani SHA-1 (uprednostňuje sa SHA-512).
Server nahrávania použije pole Common Name (CN) na identifikáciu certifikátu, a teda aj počítača, na ktorom sa spúšťa priame nahrávanie. Toto pole musí byť vyplnené.

Manuálna inštalácia na jednom serveri¶

Vyžadujú sa práva správcu

Na inštaláciu agenta sú potrebné práva správcu.

Pred inštaláciou agenta si ho musíte stiahnuť z konzoly na správu:

Prejdite do pracovného priestoru „Configurations“ pomocou tlačidla v ľavom hornom rohu:
Otvorte dlaždicu „Toolbox“
Na prvej karte „Integration Tools“ vyberte inštalačný program vhodný pre požadovaný OS

Po stiahnutí agenta postupujte takto:

Spustite inštalačný program setup_cyberelementsAgent.exe na počítači, na ktorý chcete nainštalovať agenta nahrávania.
V prvom okne kliknite na Next:
Prijmite podmienky používania:
Na tretej obrazovke v prípade potreby zmeňte inštalačný priečinok agenta:
Štvrtá obrazovka zobrazuje možnosti inštalácie agenta v režime priameho prístupu:

Enable Direct Access

Povolenie funkcie priameho prístupu agenta.

Recorded Sessions

Voľné pole, ktoré prijíma tri rôzne hodnoty a určuje, kedy sa má spustiť nahrávanie priameho prístupu:
- none: nahrávanie priameho prístupu sa nebude vykonávať.
- remote: každý prístup RDP k počítaču spustí nahrávanie.
- all: nahrávanie spustí prístup RDP aj prístup cez konzolu (fyzický prístup k počítaču alebo z režimu konzoly hypervízora).
Logoff On Failure

Možnosť odpojiť reláciu používateľa, ak nahrávanie nemožno spustiť, ak sa preruší alebo ak používateľ nie je autorizovaný na pripojenie k počítaču.

Odporúčanie

Pri prvých inštaláciách alebo ak nie je isté, či sú splnené predpoklady, je najlepšie nechať túto možnosť nezačiarknutú. V opačnom prípade, ak nastane problém s predpokladmi alebo nastaveniami, nové pripojenia k serveru používateľa okamžite odpoja (v závislosti od nastavení Recorded Sessions).

Informácie

Funkciu priameho prístupu možno povoliť aj po inštalácii. Pozrite si na to nastavenia kľúčov databázy Registry agenta.
Nakoniec sa na piatej obrazovke po kliknutí na tlačidlo Install spustí inštalácia:

Po inštalácii agent vyžaduje ďalšiu konfiguráciu: Nakonfigurujte agenta

Nasadenie z konzoly na správu¶

Vyžadujú sa práva správcu

Na inštaláciu agenta sú potrebné práva správcu na cieľovom počítači.

Ďalší predpoklad

Agent sa na cieľový počítač nasadzuje pomocou protokolu SMB. Tok SMB (TCP 445) preto musí byť otvorený medzi komponentom Edge Gateway a týmto cieľovým serverom.

Nasadenie na jeden server¶

Agenta možno nasadiť jednotlivo z dvoch miest v konzole na správu. To umožňuje predbežne ho nakonfigurovať pre dva spôsoby fungovania:

Použitie s aplikáciami RDP a HTML5 RDP: príprava agenta tak, aby mohol nahrávať relácie používateľov, ktorí spúšťajú aplikácie RDP a HTML5 RDP.
Použitie v režime priameho prístupu: príprava agenta tak, aby okrem predchádzajúceho spôsobu fungovania mohol nahrávať aj relácie používateľov, ktorí sa pripájajú priamo k serveru RDP.

Na použitie s aplikáciami RDP a HTML5 RDP¶

Keď je aplikácia RDP alebo HTML5 RDP nakonfigurovaná na prácu s agentom, výberom aplikácie sa sprístupní možnosť nasadiť agenta:

Po kliknutí na tlačidlo nasadenia agenta sa zobrazí nové okno, ktoré vyžaduje nasledujúce informácie:

Target server: IP adresa alebo názov DNS cieľového servera, na ktorý sa má agent nahrávania nasadiť. Toto pole predvolene používa údaje servera zadaného v aplikácii RDP alebo HTML5 RDP.
Target drive: Písmeno jednotky Windows, na ktorú sa agent nasadí. Zvyčajne je to písmeno C na nasadenie agenta na jednotku C:\.
Target directory: Cesta k inštalačnému priečinku agenta; ak neexistuje, vytvorí sa. Predvolené umiestnenie agenta CyberElements je Program Files (x86)\Systancia\cyberelements.
Gateway: Zadajte komponent Edge Gateway, ktorý sa má použiť na nasadenie agenta.
Domain: Názov domény, v ktorej sa nachádza účet správcu používaný na inštaláciu agenta.
Username: Názov účtu správcu, ktorý sa má použiť na inštaláciu agenta. Tento účet musí byť schopný inštalovať programy na cieľový server.
Password: Heslo účtu správcu.

Po zadaní všetkých informácií možno spustiť nasadenie agenta. Posledné okno zobrazí, či bolo nasadenie agenta na cieľový server úspešné.

Môžu byť potrebné ďalšie nastavenia. Pozrite si nasledujúcu časť: Nakonfigurujte agenta

Na použitie v režime priameho prístupu + aplikácie RDP a HTML5 RDP¶

V oddiele Machine management obrazovky priameho prístupu umožňuje tlačidlo nasadiť agenta:

Po kliknutí na tlačidlo nasadenia agenta sa zobrazí nové okno, ktoré vyžaduje nasledujúce informácie:

Target server

IP adresa alebo názov DNS cieľového servera, na ktorý sa má agent nahrávania nasadiť. Toto pole predvolene používa údaje servera zadaného v aplikácii RDP alebo HTML5 RDP.

Target drive

Písmeno jednotky Windows, na ktorú sa agent nasadí. Zvyčajne je to písmeno C na nasadenie agenta na jednotku C:\.

Target directory

Cesta k inštalačnému priečinku agenta; ak neexistuje, vytvorí sa. Predvolené umiestnenie agenta CyberElements je Program Files (x86)\Systancia\cyberelements.

Gateway

Zadajte komponent Edge Gateway, ktorý sa má použiť na nasadenie agenta.

Domain

Názov domény, v ktorej sa nachádza účet správcu používaný na inštaláciu agenta.

Username

Názov účtu správcu, ktorý sa má použiť na inštaláciu agenta. Tento účet musí byť schopný inštalovať programy na cieľový server.

Password

Heslo účtu správcu.

Sessions to record

Definícia kontextu, v ktorom sa bude vykonávať nahrávanie relácie:

Record remote sessions (RDS) only: nahrávaniu budú podliehať iba vzdialené prístupy RDP.
Record all sessions: nahrávaniu budú podliehať vzdialené relácie RDP aj relácie v režime konzoly (fyzický prístup k počítaču alebo z režimu konzoly hypervízora).
Record no sessions: žiadne priame pripojenie k serveru nebude nahrávať relácie, agenta však možno naďalej používať na prístup cez aplikácie RDP a HTML5 RDP.

Use a different certificate than the target

Možnosť definovať názov certifikátu, ktorý bude agent používať na overovanie voči komponentu Edge Gateway. Ak nie je definovaný, agent vyhľadá certifikát s názvom servera.

Close the session if no gateway could be contacted

Možnosť odpojiť a odhlásiť používateľa (v závislosti od nastavení Sessions to record), ak je komponent Edge Gateway nedostupný alebo ak používateľ nie je autorizovaný na pripojenie k serveru.

Odporúčanie

Pri prvých inštaláciách alebo ak nie je isté, či sú splnené predpoklady, je najlepšie nechať túto možnosť nezačiarknutú. V opačnom prípade, ak nastane problém s predpokladmi alebo nastaveniami, nové pripojenia k serveru používateľa okamžite odpoja (v závislosti od nastavení Sessions to record).

Po zadaní všetkých informácií možno spustiť nasadenie agenta. Posledné okno zobrazí, či bolo nasadenie agenta na cieľový server úspešné.

Môžu byť potrebné ďalšie nastavenia. Pozrite si nasledujúcu časť: Nakonfigurujte agenta

Nasadenie na viacero serverov¶

Informácie

Táto metóda umožňuje nasadiť agenta nahrávania iba na prácu s aplikáciami RDP a HTML5 RDP. Aby agent fungoval v režime priameho prístupu, bude potrebné nasadiť konfiguráciu iným spôsobom (napr. pomocou GPO).

Ďalší predpoklad

Nasadenie na viacero serverov je možné iba na počítačoch, ktoré patria do domény AD, ktorá je sama nakonfigurovaná v module Authentication Domains produktu CyberElements s povolenou možnosťou Allow RDS Server Management.

V oddiele Management of RDS servers pridajte jeden alebo viac nových serverov RDS:

Vyhľadajte servery, na ktoré je potrebné nasadiť agenta nahrávania, a pridajte ich presunutím myšou na pravý panel. Vyberte možnosť Deploy an agent:

Nakonfigurujte informácie o nasadení agenta:

Target drive: Písmeno jednotky Windows, na ktorú sa agent nasadí. Zvyčajne je to písmeno C na nasadenie agenta na jednotku C:\.
Target directory: Cesta k inštalačnému priečinku agenta; ak neexistuje, vytvorí sa. Predvolené umiestnenie agenta CyberElements je Program Files (x86)\Systancia\cyberelements.
Gateway: Zadajte komponent Edge Gateway, ktorý sa má použiť na nasadenie agenta.
Domain: Názov domény, v ktorej sa nachádza účet správcu používaný na inštaláciu agenta.
Username: Názov účtu správcu, ktorý sa má použiť na inštaláciu agenta. Tento účet musí byť schopný inštalovať programy na cieľový server.
Password: Heslo účtu správcu.

Môžu byť potrebné ďalšie nastavenia. Pozrite si nasledujúcu časť: Nakonfigurujte agenta