Vor nicht allzu langer Zeit haben wir eine Lösung auf einem Windows-Terminalserver implementiert. Wie es üblich ist, haben wir den Mitarbeitern Verknüpfungen auf die Desktops gelegt und gesagt: "Arbeitet damit." Doch die Nutzer waren in Bezug auf Cyber-Sicherheit verunsichert. Beim Verbinden mit dem Server, als sie Nachrichten wie: „Vertrauen Sie diesem Server? Ganz sicher?“, sahen, bekamen sie Angst und wandten sich an uns – ob alles in Ordnung sei und ob sie auf OK drücken könnten. Daher wurde beschlossen, alles schön zu gestalten, um keine Fragen oder Panik aufkommen zu lassen.

Wenn Ihre Nutzer immer noch mit solchen Ängsten zu Ihnen kommen und Sie es leid sind, das Kästchen „Nicht mehr fragen“ anzukreuzen – dann sind Sie hier genau richtig.

Schritt Null. Vorbereitung und Vertrauensfragen

Also klickt unser Nutzer auf die gespeicherte Datei mit der Endung .rdp und erhält diese Art von Anfrage:

„Böswillige“ Verbindung.

Um dieses Fenster loszuwerden, wird ein spezielles Dienstprogramm namens RDPSign.exe verwendet. Die vollständige Dokumentation ist, wie immer, unter der offiziellen Website, und wir werden ein Anwendungsbeispiel durchgehen.

Zunächst müssen wir ein Zertifikat zum Signieren der Datei erhalten. Es kann sein:

• Öffentlich.
• Von einer internen Zertifizierungsstelle ausgestellt.
• Oder sogar selbstsigniert.

Wichtig ist, dass das Zertifikat die Möglichkeit hat, zu signieren (ja, man kann das von den Buchhaltern die elektronische Unterschrift abnehmen), und dass die Client-PCs ihm vertrauen. Hier werde ich ein selbstsigniertes Zertifikat verwenden.
Ich erinnere daran, dass das Vertrauen in ein selbstsigniertes Zertifikat mithilfe von Gruppenrichtlinien organisiert werden kann. Etwas mehr Details dazu – im Spoiler.

Wie man ein Zertifikat mithilfe der GPO-Zauberei vertrauenswürdig macht

Zunächst müssen wir das vorhandene Zertifikat ohne privaten Schlüssel im .cer-Format nehmen (das kann man machen, indem man das Zertifikat aus der Snap-In „Zertifikate“ exportiert) und es in einen Netzwerkordner legen, der für Benutzer lesbar ist. Danach können wir die Gruppenrichtlinie einrichten.

Der Import des Zertifikats wird unter folgendem Abschnitt eingerichtet: Computerkonfiguration – Richtlinien – Windows-Konfiguration – Sicherheitseinstellungen – Öffentliche Schlüsselrichtlinien – Vertrauenswürdige Stammzertifizierungsstellen. Dann importieren wir mit der rechten Maustaste das Zertifikat.

Eingestellte Richtlinie.

Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.

Wenn die Vertrauensprobleme gelöst sind, kommen wir direkt zur Frage der Signatur.

Wenn die Vertrauensprobleme geklärt sind, gehen wir direkt zur Frage der Unterzeichnung über.

Schritt eins. Unverkennbar die Datei signieren

Das Zertifikat ist da, jetzt müssen wir seinen Fingerabdruck herausfinden. Einfach im Snap-In „Zertifikate“ öffnen und auf der Registerkarte „Inhalt“ kopieren.

Der benötigte Fingerabdruck.

Es ist besser, ihn gleich ins richtige Format zu bringen — nur Großbuchstaben und ohne Leerzeichen, falls vorhanden. Das lässt sich bequem in der PowerShell-Konsole mit folgendem Befehl machen:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Haben wir den Fingerabdruck im richtigen Format erhalten, können wir die rdp-Datei problemlos signieren:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Wo .contoso.rdp der absolute oder relative Pfad zu unserer Datei ist.

Nachdem die Datei signiert wurde, können einige Parameter über die grafische Benutzeroberfläche, wie den Servernamen, nicht mehr geändert werden (schließlich, warum sollten wir sonst signieren?). Ändern wir die Einstellungen mit einem Texteditor, „verfällt“ die Signatur.

Jetzt wird beim Doppelklick auf das Symbol die Nachricht anders sein:

Neue Nachricht. Die Farbe ist weniger gefährlich, es gibt bereits Fortschritte.

Lass uns auch das loswerden.

Schritt zwei. Wieder Fragen des Vertrauens

Um diese Nachricht loszuwerden, brauchen wir erneut Gruppenrichtlinien. Diesmal führt der Weg zu Computer Configuration — Policies — Administrative Vorlagen — Windows-Komponenten — Remote Desktop Services — Remote Desktop Client — SHA1-Fingerabdrücke von Zertifikaten, die vertrauenswürdige RDP-Herausgeber darstellen anzugeben.

Die Politik, die wir benötigen.

In der Richtlinie reicht es aus, den bereits bekannten Fingerabdruck aus dem vorherigen Schritt hinzuzufügen.

Es sei darauf hingewiesen, dass diese Richtlinie die Richtlinie „Erlauben Sie RDP-Dateien von zulässigen Herausgebern und von den Standardwerten festgelegte benutzerdefinierte RDP-Einstellungen“ außer Kraft setzt.

Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.

Voilà, jetzt gibt es keine merkwürdigen Fragen mehr — nur noch die Abfrage von Benutzername und Passwort. Hmm...

Schritt drei. Transparenter Zugang zum Server

Tatsächlich, wenn wir uns bereits beim Anmelden an einem Domänencomputer authentifiziert haben, warum sollten wir dann denselben Benutzernamen und das Passwort erneut eingeben? Lassen wir die Anmeldedaten „transparent“ an den Server übergeben. Im Fall von einfachem RDP (ohne Verwendung von RDS Gateway) kommt uns… Richtig, die Gruppenrichtlinie zur Hilfe.

Gehe zum Abschnitt: Computer Configuration — Policies — Administrative Vorlagen — System — Credential Delegation — Allow default credentials delegation.

Hier kann man die benötigten Server zur Liste hinzufügen oder Wildcards verwenden. Das wird wie folgt aussehen: TERMSRV/trm.contoso.com oder TERMSRV/*.contoso.com.

Jetzt werden die Client-PCs dem selbstsignierten Zertifikat vertrauen.

Jetzt, wenn wir unser Skript ansehen, wird es ungefähr so aussehen:

Der Benutzername kann nicht geändert werden.

Falls ein RDS-Gateway verwendet wird, müssen Sie auch die Datenübertragung darauf zulassen. Dazu müssen Sie im IIS-Manager bei 'Authentifizierungsmethoden' die anonymisierte Authentifizierung deaktivieren und die Windows-Authentifizierung aktivieren.

Konfiguriertes IIS.

Vergessen Sie nicht, die Webdienste nach Abschluss mit dem Befehl neu zu starten:

iisreset /noforce

Jetzt ist alles gut, keine Fragen oder Anfragen.

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.

Erzählen Sie, signieren Sie RDP-Links für Ihre Benutzer?

• 43%Nein, sie sind daran gewöhnt, auf 'OK' in den Meldungen zu klicken, ohne zu lesen; einige setzen sogar selbst das Häkchen bei 'Nicht mehr fragen'.28

• 29.2%Ich lege den Link selbst vorsichtig und mache beim ersten Login auf den Server gemeinsam mit jedem Benutzer.19

• 6.1%Natürlich liebe ich Ordnung in allem.4

• 21.5%Ich verwende keine Terminalserver.14

65 Nutzer haben abgestimmt. 14 Nutzer haben sich enthalten.

Quelle: habr.com