Konfiguriranje agenta Windows Recording Agent

CyberElements uporablja agenta za snemanje za Windows za dodajanje novih funkcij sejam RDP:

• Možnost filtriranja tokov TCP in UDP, do katerih lahko dostopa uporabnik
• Možnost sprožitve snemanja seje za vsakega uporabnika, ki se poveže s strežnikom, ne da bi šel prek uporabniškega portala ali odjemalca Desktop (funkcija direct access)

Poleg tega se med uporabniškimi sejami zajemajo dodatni dogodki:

• Odpiranje okna
• Zapiranje okna
• Zagon programa
• Zapiranje programa
• Vsebina odložišča
• Dejavnost uporabnika

Predpogoji

Združljivost odjemalca

Če želite izvedeti, ali je agent združljiv z različnimi operacijskimi sistemi Microsoft Windows, glejte matriko združljivosti.

Agent za snemanje za pravilno delovanje potrebuje nekaj predpogojev. Nekateri so namenjeni samo funkciji snemanja z agentom za aplikacije RDP in HTML5 RDP, drugi pa zadevajo neposredni dostop z agentom.

Splošni predpogoji

Agent za snemanje pošlje posnetek uporabniške seje nazaj v CyberElements tako, da se poveže s komponento Edge Gateway na vratih TCP 8443. Za to mora biti omrežni tok med računalnikoma odprt.

Za varno pošiljanje posnetka nazaj komponenti Edge Gateway agent za snemanje z njo vzpostavi varno povezavo prek protokola TLS. TLS temelji na uporabi potrdil, da povezava velja za zanesljivo in varno, pa morajo biti izpolnjene naslednje omejitve:

• Potrdilo strežnika, v tem primeru Edge Gateway, ne sme biti poteklo (najpoznejši datum veljavnosti).

• Potrdilo strežnika, v tem primeru Edge Gateway, mora izdati overitelj potrdil, ki mu računalnik, na katerem je nameščen agent za snemanje, zaupa.

  Dodatne informacije

  Strežnik, na katerem je nameščen agent za snemanje, mora imeti v svoji lokalni shrambi zaupanja vrednih overiteljev potrdil vsaj korenskega overitelja potrdil (CA) potrdila strežnika za snemanje.

  Zato morate:

  1. Pridobiti korenski CA potrdila storitve za snemanje na komponenti Edge Gateway.
  2. Naložiti ta CA na strežnik, na katerem je nameščen agent za snemanje.
  3. Namestiti CA v shrambo potrdil „Trusted Root Certification Authorities“ na lokalnem računalniku.

  Primer v okolju PowerShell

  Potrdilo v obliki .cer lahko preprosto uvozite prek okolja PowerShell.
  To naredite tako, da odprete terminal PowerShell kot skrbnik računalnika in zaženete naslednji ukaz:

  Import-Certificate -FilePath "<PAHT_TO_CERT>" -CertStoreLocation "Cert:\LocalMachine\Root"
  

  Zamenjajte <PATH_TO_CERT> s potjo do datoteke potrdila.

  Primer v okolju PowerShell za potrdilo Systancia brez pošiljanja datotek

  Ta primer prikazuje namestitev korenskega CA družbe Systancia, ki se privzeto uporablja v CyberElements.

  Potrdilo je mogoče uvoziti tudi brez pošiljanja/prenosa datoteke na računalnik, na katerem je nameščen agent za snemanje.
  To naredite tako, da odprete terminal PowerShell kot skrbnik računalnika in zaženete naslednje ukaze:

  # Systancia Root certificate
  $base64Cert = "MIIFIDCCBAigAwIBAgIBADANBgkqhkiG9w0BAQUFADCBjTELMAkGA1UEBhMCRlIx
  FDASBgNVBAoTC0lQZGl2YSBSb290MR0wGwYDVQQLExRJUGRpdmEgU2VjdXJpdHkg
  RGVwdDEqMCgGA1UEAxMhSVBkaXZhIFJvb3QgQ2VydGlmaWNhdGUgQXV0aG9yaXR5
  MR0wGwYJKoZIhvcNAQkBFg5wa2lAaXBkaXZhLmNvbTAeFw0wNTA4MjIxNTAwMzla
  Fw0zMDA4MjIxNTAwMzlaMIGNMQswCQYDVQQGEwJGUjEUMBIGA1UEChMLSVBkaXZh
  IFJvb3QxHTAbBgNVBAsTFElQZGl2YSBTZWN1cml0eSBEZXB0MSowKAYDVQQDEyFJ
  UGRpdmEgUm9vdCBDZXJ0aWZpY2F0ZSBBdXRob3JpdHkxHTAbBgkqhkiG9w0BCQEW
  DnBraUBpcGRpdmEuY29tMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA
  ua59tx+RkIPZbGaSwkV0w5fuPBpY3sbLTk/eR2uN7j9zMu0pq38LfibCVsNGlifh
  GfT5CEbrNL7KvlEVY/It1QluYxNgknlcBP1roJG/xHNcUNmbvCFYLy9N3Nd0J/gC
  Vd8tdB4exqyKEoNuqX18rLpSJJOUZdQCeGdF9r+w6vmHdRMeVS44qIiBPv9Bxzgf
  GXBxAlSqfuDDJ3eZEMsWF/kJrbm4Uhav2ACl5qjHgSSTKMoGoEWOJNkB7Mq/khxc
  TnixIpM2s1rpEfhIetPo4BHsyKv7wqWrS6ouwu5AbzT5t3UqaN77CLqcZJGQ3vC0
  IGKBuEcwigd7W6qkX1/XMwIDAQABo4IBhzCCAYMwDwYDVR0TAQH/BAUwAwEB/zAd
  BgNVHQ4EFgQU+lu7XBGohR2DKD+D+abZEODRHjkwgboGA1UdIwSBsjCBr4AU+lu7
  XBGohR2DKD+D+abZEODRHjmhgZOkgZAwgY0xCzAJBgNVBAYTAkZSMRQwEgYDVQQK
  EwtJUGRpdmEgUm9vdDEdMBsGA1UECxMUSVBkaXZhIFNlY3VyaXR5IERlcHQxKjAo
  BgNVBAMTIUlQZGl2YSBSb290IENlcnRpZmljYXRlIEF1dGhvcml0eTEdMBsGCSqG
  SIb3DQEJARYOcGtpQGlwZGl2YS5jb22CAQAwCwYDVR0PBAQDAgEGMBkGA1UdEQQS
  MBCBDnBraUBpcGRpdmEuY29tMBkGA1UdEgQSMBCBDnBraUBpcGRpdmEuY29tMBEG
  CWCGSAGG+EIBAQQEAwIABzA+BglghkgBhvhCAQ0EMRYvSVBkaXZhIFJvb3QgQ2Vy
  dGlmaWNhdGlvbiBBdXRob3JpdHkgQ2VydGlmaWNhdGUwDQYJKoZIhvcNAQEFBQAD
  ggEBACaAgBQK7TATXieb9OdKm+l7/GpePo8f2bRKnkqeRS+HXBKYkvqVJdbJnhJm
  YPOdmhr9ATzt+488tQREAGzqPCp5eiVExPgvomNeG77X57KqbgCA1F7zGJqjP1FL
  771FIWvFXp80ReM/zhcM+MY3sa5LADgOEl5NhoMNHT8AhLKwZ81j5nuwxyG9ICCN
  5GjwgsnK/agmum4+RKeybIWuC/JTsSnu5OImXsmrlUiakp2l+VsZ1rRRNRNUlSbg
  Q3T8kj5ajB0lv2I0kj4fN9wDxzdHEn7nEAmv0t6Y5Te0g/VK3VWhuqeLStaahgip
  hmOVxbu5Ijfug5/3Eemep34NsYk="
  
  # Convert the certificate and store it in memory
  $certBytes = [Convert]::FromBase64String($base64Cert)
  
  # Create a certificate object
  $cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2
  $cert.Import($certBytes)
  
  # Open the trusted root certificate store on the local machine and add the Systancia root certificate
  $store = New-Object System.Security.Cryptography.X509Certificates.X509Store("Root", "LocalMachine")
  $store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadWrite)
  $store.Add($cert)
  $store.Close()
  

  Če želite to metodo uporabiti z drugim CA, spremenite vrednost spremenljivke base64Cert v potrdilo po vaši izbiri, kodirano v base64.

• Potrdilo strežnika, v tem primeru Edge Gateway, ne sme biti preklicano.

• Računalnik, na katerem je nameščen agent za snemanje, mora vzpostaviti stik s strežnikom, v tem primeru Edge Gateway, z imenom DNS ali naslovom IP, ki ga potrdilo strežnika pokriva prek polja Common Name (CN).

Posebni predpogoji za aplikacije RDP z agenti, ki se uporabljajo na uporabniški delovni postaji macOS ali Ubuntu

Opozorilo

Naslednji predpogoji so potrebni samo, če uporabnik zažene aplikacijo RDP z agentom in njegova delovna postaja ne uporablja sistema Windows (macOS ali Ubuntu).

Če imajo uporabniki CyberElements delovne postaje izključno s sistemom Windows ali, če ne, uporabljajo izključno aplikacije HTML5 RDP, lahko naslednje predpogoje prezrete.

Na ciljnem strežniku, na katerem je uveden agent za snemanje, so potrebni naslednji registrski ključi.

Prvi ključ onemogoči seznam dovoljenih zagonskih programov (dokument Microsoft). Računalnik s sistemom Windows privzeto dovoljuje kot zagonski program samo explorer.exe.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Terminal Server\TSAppAllowList]
"fDisabledAllowList"=dword:00000001

Če računalnik ni strežnik RDS, vedno priporočamo uporabo naslednjega registrskega ključa, da se agent za snemanje lahko odpre kot zagonski program:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server]
"HonorLegacySettings"=dword:00000001

Posebne zahteve za neposredni dostop

Funkcija neposrednega dostopa

Funkcija neposrednega dostopa omogoča, da sprožite snemanje uporabnikove seje pri dostopu RDP ali dostopu prek konzole (fizična povezava z računalnikom ali prek načina konzole hipervizorja), ki ne poteka neposredno prek CyberElements.

Če ima uporabnik dovoljenje za dostop do strežnika, bo njegova seja posneta. Če ga nima, bo njegova povezava privzeto prekinjena.

Za delovanje agenta za snemanje v načinu neposrednega dostopa je potrebno potrdilo x509. To potrdilo mora izpolnjevati naslednje zahteve:

• Potrdilo mora biti še veljavno (obdobje veljavnosti ni poteklo).
• Potrdilo mora biti vrste (polje razširjene uporabe ključa) client authentication (OID: 1.3.6.1.5.5.7.3.2).
• Potrdilo ne sme biti preklicano.
• Omejitve, ki izhajajo iz varnostne ravni 2 knjižnice OpenSSL, pomenijo, da:
  • Potrdilo mora imeti zasebni ključ dolžine vsaj 2048 bitov pri šifrah RSA, DSA in DH; ključi eliptičnih krivulj (ECC) morajo imeti vsaj 224 bitov.
  • Podpis potrdila ne sme biti MD5 ali SHA-1 (prednostno SHA-512).
• Strežnik za snemanje bo prek polja Common Name (CN) prepoznal potrdilo in s tem računalnik, na katerem se sproži neposredno snemanje. To polje mora biti izpolnjeno.

Konfiguracije prek registrskih ključev

Nekatere globalne nastavitve so na voljo v registrskih ključih in vplivajo na delovanje agenta za snemanje tako pri uporabi z aplikacijami kot pri neposrednem dostopu.

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"DisconnectOnError"=dword:00000000
"SessionEndTimeout"=dword:0000000a

DisconnectOnError

Določa vedenje agenta za snemanje, ko se snemalnik seje zapre. Če je navedena vrednost 0 (privzeto vedenje), se ob zaprtju snemalnika seja uporabnika zapre. Če je navedena vrednost 1, se ob zaprtju snemalnika povezava seje uporabnika prekine.

SessionEndTimeout

Določitev časa (v sekundah) za zaprtje seje uporabnika, preden se izvede prisilna zaustavitev seje. Ta parameter je privzeto nastavljen na 10 sekund.

Konfiguracija za delovanje z aplikacijami RDP in HTML5 RDP

Okolje SaaS

Na spodnjih diagramih „Mediation Controller“ predstavlja storitev v oblaku CyberElements, ki jo upravlja CyberElements. Tok snemanja je v načinu SaaS arhitekturno enak.

V tem načinu delovanja izmenjave med storitvijo Mediation Controller, komponento Edge Gateway in agentom za snemanje potekajo takole:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Strežnik RDP<br/>Agent snemanja

    MED->>+GW: Pošiljanje prijavnih podatkov <br/>za strežnik RDP skupaj s prijavnimi podatki <br/>za agenta snemanja
    GW->>AGENT: Vzpostavitev povezave RDP
    GW->>-AGENT: Pošiljanje prijavnih podatkov <br/>storitvi snemanja Edge Gateway
    AGENT->>+GW: Povezava s storitvijo snemanja
    GW->>-AGENT: Pošiljanje informacij o filtriranju omrežja
    Note over AGENT: Uporaba omrežnih <br/>omejitev za uporabnika
    loop Neprekinjeno snemanje seje
        AGENT->>+GW: Neprekinjeno pošiljanje videoposnetka <br/>+ dogodkov seje
        Note over GW: Neprekinjeno dodajanje videoposnetka <br/>v začasni imenik shrambe
        GW->>-MED: Pošiljanje prejetih dogodkov seje
        Note over MED: Zapisovanje dogodkov <br/>v zbirko podatkov organizacije
    end 
    break Konec seje
        AGENT->>GW: Pošiljanje informacije, da je <br/>uporabnik končal svojo sejo RDP
        Note over GW: Videoposnetek se premakne <br/>v imenik arhiva
        GW->>MED: Obvestilo o koncu seje uporabnika
        Note over MED: Seja uporabnika preide <br/>iz neposrednega prenosa v arhiv
    end

Hold "Ctrl" to enable pan & zoom

1. Storitev Mediation Controller komponenti Edge Gateway posreduje podatke za povezavo s ciljnim strežnikom RDP. Vključi tudi podatke za povezavo, ki jih ima za povezovanje s storitvijo za snemanje (FQDN komponente Edge Gateway).
2. Komponenta Edge Gateway vzpostavi povezavo s strežnikom RDP.
3. Komponenta Edge Gateway agentu za snemanje pošlje podatke za povezavo s svojo storitvijo za snemanje.
4. Agent za snemanje vzpostavi povezavo s storitvijo za snemanje.
5. Ko je agent povezan, storitev za snemanje vrne seznam omejitev omrežnih tokov, ki jih je treba uporabiti za sejo. Ko jih agent za snemanje prejme, jih uporabi za sejo uporabnika.
6. Agent za snemanje v realnem času neprekinjeno nalaga videoposnetek seje uporabnika in vse dogodke seje (npr. pritiske tipk ali zagone programov) v storitev za snemanje. Storitev za snemanje shrani videoposnetek v začasno mapo.
7. Storitev za snemanje sporoča različne dogodke seje storitvi Mediation Controller, ki jih nato zabeleži v zbirko podatkov organizacije.
8. Ko se seja RDP uporabnika konča, agent za snemanje to sporoči storitvi za snemanje. Storitev za snemanje nato premakne posneti videoposnetek v arhivsko mapo posnetkov uporabnikov.
9. Storitev za snemanje storitvi Mediation Controller sporoči konec seje uporabnika. Seja zato ni več vidna v Live Streaming v Control Center, temveč preide v Archives.

Pri tem zaporedju je bistveno, da agent za snemanje prejme pravilne podatke za povezavo s storitvijo za snemanje komponente Edge Gateway. Ti podatki so v nastavitvah komponente Edge Gateway, v polju FQDN:

V to polje vnesite ime DNS, ki ga bodo strežniki RDP lahko razrešili.

Pomembno

Potrdilo, dodeljeno storitvi za snemanje Careserver, mora pokrivati ime, navedeno v polju FQDN. V nasprotnem primeru bo agent za snemanje povezavo štel za nevarno in ne bo sprožil snemanja seje.

Konfiguracija za delovanje z neposrednim dostopom

Okolje SaaS

Na spodnjih diagramih „Mediation Controller“ predstavlja storitev v oblaku CyberElements, ki jo upravlja CyberElements. Tok neposrednega dostopa je v načinu SaaS arhitekturno enak.

V tem načinu delovanja izmenjave med storitvijo Mediation Controller, komponento Edge Gateway in agentom za snemanje potekajo takole:

sequenceDiagram
    autonumber
    participant MED as Mediation Controller
    participant GW as Edge Gateway
    participant AGENT as Strežnik RDP<br/>Agent snemanja

    Note over AGENT: Zaznavanje nove <br/>seje za snemanje
    AGENT->>+GW: Povezava s storitvijo snemanja
    GW->>-MED: Obvestilo o novi povezavi <br/>z neposrednim dostopom za uporabnika X
    alt Če ima uporabnik X dovoljenje
        MED->>+GW: Pošiljanje informacije, da ima uporabnik X <br/>dovoljenje za povezavo, in pošiljanje <br/>seznama omrežnih filtrov za uporabo
        GW->>-AGENT: Pošiljanje informacij o filtriranju <br/>omrežja in avtorizaciji povezave <br/>za uporabnika X
        Note over AGENT: Uporaba omrežnih <br/>omejitev za uporabnika X
        loop Neprekinjeno snemanje seje
            AGENT->>+GW: Neprekinjeno pošiljanje videoposnetka <br/>+ dogodkov seje
            Note over GW: Neprekinjeno dodajanje videoposnetka <br/>v začasni imenik shrambe
            GW->>-MED: Pošiljanje prejetih dogodkov seje
            Note over MED: Zapisovanje dogodkov <br/>v zbirko podatkov organizacije
        end 
        break Konec seje
            AGENT->>GW: Pošiljanje informacije, da je <br/>uporabnik X končal svojo sejo RDP
            Note over GW: Videoposnetek se premakne <br/>v imenik arhiva.
            GW->>MED: Obvestilo o koncu seje uporabnika
            Note over MED: Seja uporabnika preide <br/>iz neposrednega prenosa v arhiv
        end
    else If user X is not authorized
        MED->>+GW: Pošiljanje informacije, da uporabnik <br/>X nima dovoljenja za prijavo
        GW->>-AGENT: Pošiljanje obvestila o <br/>zavrnitvi prijave uporabnika X
        Note over AGENT: Odjava uporabnika X
    end

Hold "Ctrl" to enable pan & zoom

1. Agent za snemanje zazna novo sejo in vzpostavi povezavo s storitvijo za snemanje ene od komponent Edge Gateway.
2. Komponenta Edge Gateway pošlje podatke o povezavi (uporabniško ime in CN potrdila, ki ga uporablja agent za snemanje) storitvi Mediation Controller. Storitev Mediation Controller se bo odzvala na dva različna načina, odvisno od nastavitev pravic dostopa.
3. Če je uporabnik pooblaščen za povezavo s strežnikom, storitev Mediation Controller komponenti Edge Gateway sporoči možni dostop za tega uporabnika in seznam omrežnih filtrov, ki jih je treba uporabiti.
4. Komponenta Edge Gateway te podatke vrne agentu za snemanje. Ko jih agent za snemanje prejme, uporabi omrežne filtre za sejo uporabnika.
5. Agent za snemanje v realnem času neprekinjeno nalaga videoposnetek seje uporabnika in vse dogodke seje (npr. pritiske tipk ali zagone programov) v storitev za snemanje. Storitev za snemanje shrani videoposnetek v začasno mapo.
6. Storitev za snemanje sporoča različne dogodke seje storitvi Mediation Controller, ki jih nato zabeleži v zbirko podatkov organizacije.
7. Ko se seja RDP uporabnika konča, agent za snemanje to sporoči storitvi za snemanje. Storitev za snemanje nato premakne posneti videoposnetek v arhivsko mapo posnetkov uporabnikov.
8. Storitev za snemanje storitvi Mediation Controller sporoči konec seje uporabnika. Seja zato ni več vidna v Live Streaming v Control Center, temveč preide v Archives.
9. Če uporabnik ni pooblaščen za povezavo s strežnikom, storitev Mediation Controller komponenti Edge Gateway sporoči nepooblaščen dostop za tega uporabnika.
10. Komponenta Edge Gateway te podatke posreduje agentu za snemanje, ki prekine povezavo seje uporabnika.

Registrski ključi

Ne glede na način namestitve ima agent za snemanje vse komponente, potrebne za vse predvidene načine delovanja. Za delovanje v načinu neposrednega dostopa zato za določitev svoje konfiguracije prebere te registrske ključe:

[HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\IpdivaSafe]
"MachineName"="my-rdp-server.domain.local"
"LogOffOnFailure"=dword:00000001
"RecordedSessions"="none"

MachineName

Ime potrdila, ki ga bo agent za snemanje uporabil za povezavo s storitvijo za snemanje ene od komponent Edge Gateway. Privzeto in če ni določeno, bo agent poskusil uporabiti potrdilo z imenom računalnika.

LogOffOnFailure

Določa vedenje agenta, ko se ne more povezati s komponento Edge Gateway ali če uporabnik ni pooblaščen za povezavo z računalnikom. Pri 0 do prekinitve povezave ne pride, pri 1 pa se povezava uporabnika prekine (privzeto vedenje).

RecordedSessions

Določitev vrst sej, za katere velja snemanje:

• none: snemanje neposrednih dostopov se ne bo izvajalo (privzeta nastavitev).
• remote: vsak dostop RDP do računalnika bo sprožil snemanje.
• all: dostop RDP in dostop prek konzole (fizični dostop do računalnika ali iz načina konzole hipervizorja) bosta sprožila snemanje.

Katere vrednosti ključev so potrebne za neposredni dostop?

Edina vrednost ključa, potrebna za omogočanje mehanizma neposrednega dostopa, je RecordedSessions z vrednostjo remote ali all. Upoštevajte, da je glede na okolje morda potrebna tudi vrednost ključa MachineName.

Potrdilo računalnika

Agent za snemanje bo poskusil uporabiti potrdilo za preverjanje pristnosti pri storitvi za snemanje. To potrdilo mora biti nameščeno med osebnimi potrdili računalnika.

Agent bo uporabil potrdilo, katerega ime ustreza vrednosti ključa MachineName (glejte prejšnje poglavje), če ta ni določena, pa bo poskusil uporabiti potrdilo z imenom računalnika.

Navedba komponent Edge Gateway, s katerimi lahko agent vzpostavi stik

Agent za snemanje na podlagi lokalnih podatkov določi seznam strežnikov Edge Gateway, s katerimi naj vzpostavi stik, da naloži posnetke sej uporabnikov.

Če želite spremeniti seznam strežnikov Edge Gateway, s katerimi je mogoče vzpostaviti stik, morate najprej ustaviti storitev CleanroomAgent.

Opozorilo!

Ustavitev storitve CleanroomAgent zaključi snemanje trenutnih sej v strežniku, nove seje, odprte v strežniku, pa ne bodo posnete.

Storitev lahko ustavite prek lupine PowerShell (potrebne so skrbniške pravice):

Stop-Service CleanroomAgent

Ko ustavite storitev, spremenite ali ustvarite datoteko [RECORDING_AGENT_DIR]\gateways.xml, pri čemer je [RECORDING_AGENT_DIR] namestitvena mapa agenta za snemanje. Pri privzeti namestitveni mapi mora biti datoteka na tem mestu oziroma jo morate tam ustvariti:

• CyberElements: C:\Program Files (x86)\Systancia\cyberelements\gateways.xml

Ta datoteka XML je sestavljena iz oznake gateways in toliko oznak element, kolikor je komponent Edge Gateway, s katerimi je mogoče vzpostaviti stik.

Primer

Če mora agent za snemanje vzpostaviti stik s komponento Edge Gateway z imenom FQDN edge-gateway-1.domain.local, bi bila datoteka XML takšna:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
</gateways>

Če pa bi moral vzpostaviti stik z dvema komponentama Edge Gateway, edge-gateway-1.domain.local in edge-gateway-2.domain.local, bi bila datoteka takšna:

<?xml version="1.0"?>
<gateways>
    <element>edge-gateway-1.domain.local</element>
    <element>edge-gateway-2.domain.local</element>
</gateways>

Ko pravilno spremenite datoteko gateways.xml, znova zaženite storitev CleanroomAgent:

Start-Service CleanroomAgent

Konfiguriranje storitve za snemanje za preverjanje pristnosti potrdil iz infrastrukture PKI drugega ponudnika

Storitev za snemanje privzeto šteje za veljavna samo potrdila, ki jih izda infrastruktura PKI družbe Systancia. Če želite uporabljati potrdila drugega overitelja potrdil (CA), morate slediti korakom za dodajanje CA v mapo, namenjeno komponenti Edge Gateway.

Ko so potrdila CA na pravem mestu, morate samo še znova zagnati storitev za snemanje, ponovno kot superuporabnik root:

Opozorilo!

Vnovični zagon te storitve bo ustavil trenutne seje in skoraj vse od njih prekinil. Spodnji ukaz izvedite samo takrat, ko skozi komponento Edge Gateway ne poteka nobena seja uporabnika, da ne vplivate na uporabnike.

systemctl restart ipdivacarerecord

Po vnovičnem zagonu storitve za snemanje lahko v dnevnikih storitve preverite, ali so bili novi CA pravilno upoštevani:

journalctl -xeu ipdivacarerecord -g loadCaDir -S today

Pridobljeni dnevniki bodo na koncu vrstice navajali imena datotek potrdil, ki jih je naložila storitev za snemanje.

Primer

Po dodajanju dveh CA z imenoma MY-CA-ROOT.pem in MY-INTERMEDIATE-CA.pem bodo pridobljeni dnevniki videti takole (začetek dnevnika je bil odrezan, vendar med drugim vsebuje datum in ime računalnika):

TRACE tls.TLS.Context.loadCaDir load ca file: MY-CA-ROOT.pem
TRACE tls.TLS.Context.loadCaDir load ca file: MY-INTERMEDIATE-CA.pem
TRACE tls.TLS.Context.loadCaDir load ca file: oldIPdiva_-928617624.pem
TRACE tls.TLS.Context.loadCaDir load ca file: newIPdiva_1957857431.pem