Möödunud ei ole kaua, kui rakendasime lahendust Windowsi terminaliserveris. Nagu tavaliselt, viskasime töötajate töölaudadele kiiruslingid ühendamiseks ja ütlesime — hakake tööle. Kuid kasutajad olid küberkahtluses tagasihoidlikud. Serverisse ühendudes, nähes teateid tippu: „Kas usaldad seda serverit? Kindel?”, ehmatasid nad ja pöördusid meie poole — kas kõik on hästi, kas võib vajutada OK? Siis otsustasime teha kõik tõeliselt sujuvaks, et vältida küsimusi ja segadust.

Kui teie kasutajad ikka veel tulevad teie juurde selliste kartustega ja olete väsinud „Ära küsi enam” märkimisest — tere tulemast edasi lugema.

Nullstep. Valmistamine ja usaldus küsimused

Nii et meie kasutaja klikib salvestatud .rdp failil ja saab sellise koordinatsiooni:

„Kahtlane” ühendus.

Selle akna eemaldamiseks kasutatakse spetsiaalset utiliiti nimega RDPSign.exe. Täielik dokumentatsioon on tavaliselt saadaval aadressil ametlikul kodulehel, kuid me vaatame, kuidas kasutada.

Esmalt peame saama sertifikaadi faili allkirjastamiseks. See võib olla:

• Avalik.
• Sisenevalt Certificate Authority 'lt.
• Võib olla ka iseallkirjastatud.

Peamine on, et sertifikaadil oleks allkirjastamise võimalus (jah, seda saab võtta
raamatupidajatelt digitaalsete allkirjade), ja klientarvutid usaldaksid seda. Siin kasutan iseallkirjastatud sertifikaati.

Pean meeles, et iseallkirjastatud sertifikaadi usaldus saab korraldada grupipoliitikate abil. Veidi rohkem üksikasju — spoileris.

Kuidas teha sertifikaadist usaldusväärne grupipoliitika abil

Esiteks tuleb võtta olemasolev sertifikaat ilma privaatvõtmeta .cer formaadis (seda saab teha sertifikaadi ekspordiga sertifikaatide halduri abil) ja paigutada see võrgu kausta, mis on kasutajatele lugemiseks ligipääsetav. Pärast seda saab seadistada grupipoliitika.

Sertifikaadi importimine seadistatakse sektsioonis: Arvuti konfiguratsioon — Poliitikad — Windowsi konfiguratsioon — Turbepoliitika — Avaliku võtme poliitikad — Usaldusväärsed juured sertifikaadi keskused. Edasi paremklõpsame ja impordime sertifikaadi.

Seadistatud poliitika.

Nüüd usaldab klientarvutid iseallkirjastatud sertifikaati.

Kui usaldusprobleemid on lahendatud, liigume edasi allkirjastamise küsimuse juurde.

Esimene samm. Suurejooneline allkirjastamine

Sertifikaat on olemas, nüüd tuleb teada selle sõrmejälge. Avame selle lihtsalt sertifikaatide halduris ja kopeerime 'Koostis' vahekaardilt.

Nüüd peaks meil olema õige sõrmejälg.

Targem on see kohe soovitud kujule viia — ainult suured tähed ja ilma vahedeta, kui neid on. Selle saab mugavalt PowerShelli konsoolis teha käsuga:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Saades sõrmejälje soovitud vormingus, võib julgelt allkirjastada rdp faili:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Kus .contoso.rdp on meie faili absoluutne või suhteline tee.

Pärast faili allkirjastamist ei saa te muid parameetreid muuta selliselt nagu serveri nime kaudu (tõeliselt, mis mõtet on siis allkirjastada?) Ja kui muudad seadeid tekstiredaktoris, siis 'allkiri kaob'.

Kaks korda klikkides ikoonile kuvatakse nüüd teine teadete:

Uus sõnum. Värv on vähem ohtlik, juba edusamm.

Vabaneme sellest.

Teine samm. Ja jälle usaldusküsimused

Selle sõnumi eemaldamiseks vajame taas grupipoliitikat. Seekord viib tee Arvuti konfiguratsioon — Poliitikad — Halduse mallid — Windowsi komponendid — Kauglaudade teenused — Kauglaudade kliendi ühendamine — Määrake SHA1 sertifikaatide sõrmejäljed usaldusväärsete RDP väljastajate.

Meie vajalik poliitika.

Poliitikas piisab, kui lisada juba tuttav sõrmejälg eelmisest etapist.

Oluline on märkida, et see poliitika ületab poliitika: „Lubage RDP-faile lubatud väljastajatelt ja vaikimisi määratud RDP-i kasutamise sätted”.

Seadistatud poliitika.

Voila, nüüd ei mingeid veidraid küsimusi — ainult login-parooli nõue. Hmm…

Kolmas samm. Läbipaistev sisenemine serverisse

Tõepoolest, kui oleme juba sisenenud domeenikontole, siis miks peab me selgelt uuesti sisestama sama kasutajanime ja parooli? Edastame oma mandaadid serverisse 'läbipaistvalt'. Lihtsa RDP puhul (ilma RDS Gateway'i kasutamiseta) aitab meid… Õige, grupipoliitika.

Liigume jaotisse: Arvuti konfiguratsioon — Poliitikad — Administratiivsed mallid — Süsteem — Akrediteerimise edastamine — Lubage vaikimisi seadistatud akrediteerimise edastamine.

Siin saab loetellu lisada vajalikud serverid või kasutada wildcard'i. See näeb välja nagu TERMSRV/trm.contoso.com või TERMSRV/*.contoso.com.

Seadistatud poliitika.

Nüüd, kui vaatame meie otseteed, siis see näeb välja umbes nii:

Kasutajanime ei saa muuta.

Kui kasutatakse RDS Gateway'd, tuleb lubada ka andmete edastamine. Selleks peab IIS-i halduris "Autentimise meetodites" keelama anonüümse autentimise ja lubama Windowsi autentimise.

Seadistatud IIS.

Ärge unustage pärast lõpetamist veebiteenuseid taaskäivitada käsuga:

iisreset /noforce

Nüüd on kõik hästi, mingeid küsimusi ja päringuid pole.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Rääkige, kas te kirjutate RDP otseteed oma kasutajatele?

• 43%Ei, nad on harjunud vajutama "OK" teatesõnumites, lugemata, mõned panevad isegi ise "Ära küsi enam" linnukese.

• 29.2%Mina isiklikult panen otseteed ettevaatlikult, ja teen esimese sisenemise serverisse igasühega koos.

• 6.1%Loomulikult, ma armastan kõiges korda.

• 21.5%Ma ei kasuta terminaliservereid.

Hääletas 65 kasutajat. 14 kasutajat jäid erapoole.

Allikas: habr.com