Nedávno jsme implementovali řešení na terminovém serveru Windows. Jak se říká, umístili jsme na pracovní plochy zaměstnanců zástupce pro připojení a řekli jsme — pracujte. Uživatelé se však obávali kybernetické bezpečnosti. Při připojení k serveru, když viděli zprávy typu: „Důvěřujete tomuto serveru? Opravu?“, byli vystrašení a obraceli se na nás — je vše v pořádku, můžeme kliknout na OK? Tehdy bylo rozhodnuto udělat to hezky, aby nebyly žádné otázky a panika.
Pokud vaši uživatelé stále přicházejí s podobnými obavami a vás už unavuje označovat možnost „Nepožadovat znovu“ — vítejte pod kat.
Krok nula. Příprava a otázky důvěry
Náš uživatel tedy klikne na uložený soubor s příponou .rdp a dostane takovýto dotaz:
„Zlovolné“ připojení.
Pro odstranění tohoto okna se používá speciální nástroj nazvaný RDPSign.exe. Kompletní dokumentace je k dispozici, jak je obvyklé, na , a my si probereme příklad použití.
Nejprve potřebujeme vzít certifikát pro podepisování souboru. Může být:
- Veřejný.
- Vydaný interním certifikačním úřadem.
- Dokonce zcela samopodepsaný.
Nejdůležitější je, aby certifikát měl možnost podepisovat (ano, může být odebrán
od účetních pomocí elektronického podpisu), a klientské PC mu důvěřovaly. Zde budu používat samopodepsaný certifikát.
Připomínám, že důvěru samopodepsanému certifikátu lze zorganizovat pomocí skupinových politik. O něco podrobněji — pod spoilerem.
Jak udělat certifikát důvěryhodný pomocí magie GPO
Nejprve je potřeba vzít existující certifikát bez soukromého klíče ve formátu .cer (to lze provést exportováním certifikátu z konzole „Certifikáty“) a uložit ho do síťové složky dostupné uživatelům pro čtení. Po té lze nastavit skupinovou politiku.
Import certifikátu se nastavuje v sekci: Konfigurace počítače — Politiky — Konfigurace Windows — Zabezpečení — Politiky otevřeného klíče — Důvěryhodné kořenové certifikační autority. Poté pravým tlačítkem importujeme certifikát.
Nastavená politika.
Nyní klientské PC budou důvěřovat samopodepsanému certifikátu.
Pokud jsou problémy s důvěrou vyřešeny, přejdeme přímo k otázce podepisování.
Krok první. Rozmáchle podepisujeme soubor
Certifikát máme, teď musíme zjistit jeho otisk. Jednoduše ho otevřeme v konzole „Certifikáty“ a zkopírujeme na kartě „Obsah“.
Potřebný otisk.
Lepší je ho hned přivést do požadovaného tvaru — pouze velká písmena a bez mezer, pokud nějaké jsou. To se pohodlně udělá v konzole PowerShell příkazem:
("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")
Jakmile budeme mít otisk v požadovaném formátu, můžeme s klidem podepisovat soubor rdp:
rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp
Kde .contoso.rdp je absolutní nebo relativní cesta k našemu souboru.
Po podepsání souboru již nebude možné změnit některé parametry prostřednictvím grafického rozhraní, jako je jméno serveru (opravdu, jinak by nemělo smysl podepisovat?). A pokud změníme nastavení textovým editorem, podpis „spadne“.
Nyní, když dvakrát klikneme na zástupce, zpráva bude jiná:
Nová zpráva. Barva je méně riziková, už pokrok.
Zbavíme se i toho.
Krok druhý. Znovu otázky důvěry
Abychom se zbavili této zprávy, znovu budeme potřebovat skupinovou politiku. Tentokrát cesta vede do sekce Konfigurace počítače — Politiky — Administrativní šablony — Komponenty Windows — Služby vzdálených pracovních ploch — Klient připojení k vzdálené ploše — Určit SHA1 otisky certifikátů, které představují důvěryhodné vydavatele RDP.
Potřebná politika.
V politice stačí přidat již známý otisk z předchozího kroku.
Je třeba poznamenat, že tato politika přebíjí politiku „Povolit RDP soubory od povolených vydavatelů a uživatelské nastavení RDP, zadané výchozí hodnotou“.
Nastavená politika.
Voilà, nyní žádné zvláštní otázky — jen požadavek na přihlášení a heslo. Hmm…
Krok třetí. Transparentní vstup na server
Opravdu, pokud jsme se již autorizovali při přihlášení k doménovému počítači, proč bychom měli znovu zadávat stejné uživatelské jméno a heslo? Předáme přihlašovací údaje na server „transparentně“. V případě jednoduchého RDP (bez použití RDS Gateway) nám pomůže… správně, skupinová politika.
Jdeme do sekce: Konfigurace počítače — Politiky — Administrativní šablony — Systém — Přenos přihlašovacích údajů — Povolit přenos přihlašovacích údajů, nastavených podle výchozí hodnoty.
Sem můžete přidat požadované servery do seznamu nebo použít wildcard. Bude to vypadat takto TERMSRV/trm.contoso.com nebo TERMSRV/*.contoso.com.
Nastavená politika.
Nyní, pokud se podíváme na naši zástupci, bude vypadat asi takto:
Uživatelské jméno nelze změnit.
V případě, že používáte RDS Gateway, bude potřebné také povolit přenos dat na něm. K tomu je potřeba v správci IIS v "Metodách ověřování" vypnout anonymní ověřování a zapnout ověřování Windows.
Nakonfigurovaný IIS.
Nezapomeňte po dokončení restartovat webové služby příkazem:
iisreset /noforce
Teď je vše dobře, žádné otázky ani požadavky.
Pouze registrovaní uživatelé se mohou účastnit ankety. , prosím.
Řekněte, podepisujete zástupce RDP svým uživatelům?
43%Ne, jsou zvyklí kliknout na "OK" ve zprávách, aniž by je četli, někteří dokonce sami dávají zaškrtnutí "Už se neptat".
29.2%Sám opatrně položím zástupce a první přístup na server provedu s každým uživatelem.
6.1%Samozřejmě, mám rád pořádek ve všem.
21.5%Nepoužívám terminálové servery.
65 uživatelů hlasovalo. 14 uživatelů se zdrželo.
Zdroj: habr.com
