कुछ समय पहले ही हमने टर्मिनल सर्वर पर एक समाधान लागू किया था। Windowsहमेशा की तरह, हमने कर्मचारियों के डेस्कटॉप पर शॉर्टकट डाल दिए और उन्हें काम शुरू करने को कहा। लेकिन उपयोगकर्ता साइबर सुरक्षा से घबराए हुए थे। सर्वर से कनेक्ट करते समय, उन्हें "क्या आप इस सर्वर पर भरोसा करते हैं? क्या आप निश्चित हैं?" जैसे संदेश दिखाई दिए और वे डर गए और हमसे पूछा कि क्या सब ठीक है और क्या वे ओके पर क्लिक कर सकते हैं। इसलिए हमने इसे और बेहतर बनाने का फैसला किया, ताकि कोई सवाल या घबराहट न हो।

यदि आपके उपयोगकर्ता अभी भी आपके पास ऐसी आशंकाओं के साथ आते हैं, और आप "दोबारा न पूछें" बॉक्स को चेक करते-करते थक गए हैं, तो आपका स्वागत है।

चरण शून्य: तैयारी और विश्वास के मुद्दे

इसलिए, हमारा उपयोगकर्ता .rdp एक्सटेंशन वाली सहेजी गई फ़ाइल पर क्लिक करता है और निम्नलिखित अनुरोध प्राप्त करता है:

"दुर्भावनापूर्ण" कनेक्शन.

इस विंडो से छुटकारा पाने के लिए, एक विशेष उपयोगिता जिसे कहा जाता है RDPSign.exe. पूर्ण दस्तावेज, हमेशा की तरह, यहां उपलब्ध हैं आधिकारिक वेबसाइट, और हम उपयोग का एक उदाहरण देखेंगे।

सबसे पहले, हमें फ़ाइल पर हस्ताक्षर करने के लिए एक प्रमाणपत्र प्राप्त करना होगा। यह हो सकता है:

• जनता।
• आंतरिक प्रमाणपत्र प्राधिकरण सेवा द्वारा जारी किया गया।
• पूर्णतः स्व-हस्ताक्षरित.

सबसे महत्वपूर्ण बात यह है कि प्रमाण पत्र पर हस्ताक्षर किए जा सकें (हां, इसे वापस लिया जा सकता है)
एकाउंटेंट्स के पास एक ईडीएस है), और क्लाइंट पीसी इस पर भरोसा करते हैं। यहाँ मैं एक स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग करूँगा।

मैं आपको याद दिला दूं कि स्व-हस्ताक्षरित प्रमाणपत्र में विश्वास को समूह नीतियों का उपयोग करके व्यवस्थित किया जा सकता है। स्पॉइलर के तहत थोड़ा और विवरण दिया गया है।

GPO मैजिक का उपयोग करके किसी प्रमाणपत्र पर भरोसा कैसे करें

सबसे पहले, आपको .cer प्रारूप में निजी कुंजी के बिना एक मौजूदा प्रमाणपत्र लेना होगा (यह प्रमाणपत्र स्नैप-इन से प्रमाणपत्र निर्यात करके किया जा सकता है) और इसे नेटवर्क फ़ोल्डर में रखना होगा जो उपयोगकर्ताओं के लिए पढ़ने के लिए सुलभ हो। उसके बाद, आप समूह नीति को कॉन्फ़िगर कर सकते हैं।

प्रमाणपत्र आयात को निम्नलिखित अनुभाग में कॉन्फ़िगर किया गया है: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - कॉन्फ़िगरेशन Windows — सुरक्षा सेटिंग्स — सार्वजनिक कुंजी नीतियां — विश्वसनीय रूट प्रमाणन प्राधिकरण। फिर, राइट-क्लिक करें और प्रमाणपत्र आयात करें।

अनुकूलित नीति.

अब ग्राहक पीसी स्व-हस्ताक्षरित प्रमाणपत्र पर भरोसा करेंगे।

यदि विश्वास संबंधी मुद्दे सुलझ जाते हैं, तो हम सीधे हस्ताक्षर के प्रश्न पर आते हैं।

पहला कदम: फ़ाइल पर शानदार हस्ताक्षर करें

प्रमाण पत्र तो मिल गया है, अब हमें उसका फिंगरप्रिंट ढूँढना है। चलिए इसे "प्रमाणपत्र" स्नेप-इन में खोलते हैं और "संरचना" टैब में कॉपी करते हैं।

वह प्रिंट जिसकी हमें जरूरत है।

इसे तुरंत उचित रूप में लाना बेहतर है - केवल बड़े अक्षरों में और बिना किसी रिक्त स्थान के, यदि कोई हो। यह PowerShell कंसोल में कमांड के साथ आसानी से किया जाता है:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

आवश्यक प्रारूप में फिंगरप्रिंट प्राप्त करने के बाद, आप सुरक्षित रूप से rdp फ़ाइल पर हस्ताक्षर कर सकते हैं:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

जहाँ .contoso.rdp हमारी फ़ाइल का पूर्ण या सापेक्ष पथ है।

एक बार फ़ाइल पर हस्ताक्षर हो जाने के बाद, ग्राफ़िकल इंटरफ़ेस के माध्यम से कुछ मापदंडों को बदलना संभव नहीं होगा, जैसे कि सर्वर का नाम (वास्तव में, अन्यथा हस्ताक्षर करने का क्या मतलब है?) और यदि आप टेक्स्ट एडिटर का उपयोग करके सेटिंग्स बदलते हैं, तो हस्ताक्षर "उड़ जाता है"।

अब जब आप शॉर्टकट पर डबल-क्लिक करेंगे, तो संदेश अलग होगा:

नया संदेश। रंग कम खतरनाक है, पहले से ही प्रगति है।

चलो हम भी उससे छुटकारा पा लें।

दूसरा कदम: फिर से, भरोसे का सवाल

इस संदेश से छुटकारा पाने के लिए, हमें फिर से ग्रुप पॉलिसी की आवश्यकता होगी। इस बार, इसका रास्ता कंप्यूटर कॉन्फ़िगरेशन - पॉलिसी - एडमिनिस्ट्रेटिव टेम्प्लेट्स - कंपोनेंट्स में है। Windows — रिमोट डेस्कटॉप सेवाएँ — रिमोट डेस्कटॉप कनेक्शन क्लाइंट — विश्वसनीय आरडीपी जारीकर्ताओं का प्रतिनिधित्व करने वाले प्रमाणपत्रों के SHA1 फिंगरप्रिंट निर्दिष्ट करें।

वह नीति जिसकी हमें आवश्यकता है।

राजनीति में, पिछले चरण से हम जो छाप पहले से ही जानते हैं उसे जोड़ना ही पर्याप्त है।

यह ध्यान देने योग्य है कि यह नीति "स्वीकृत प्रकाशकों और कस्टम डिफ़ॉल्ट RDP सेटिंग्स से RDP फ़ाइलों को अनुमति दें" नीति को ओवरराइड करती है।

अनुकूलित नीति.

लो, अब कोई अजीब सवाल नहीं - बस लॉगिन और पासवर्ड का अनुरोध। हम्म...

तीसरा चरण: सर्वर पर पारदर्शी लॉगिन

वास्तव में, यदि हम डोमेन कंप्यूटर पर लॉग इन करते समय पहले ही लॉग इन कर चुके हैं, तो हमें वही लॉगिन और पासवर्ड फिर से क्यों दर्ज करना चाहिए? आइए क्रेडेंशियल्स को "पारदर्शी रूप से" सर्वर पर स्थानांतरित करें। एक साधारण RDP (RDS गेटवे का उपयोग किए बिना) के मामले में, हमें मदद मिलेगी... यह सही है, समूह नीति।

इस अनुभाग पर जाएं: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - सिस्टम - क्रेडेंशियल्स का प्रत्यायोजन - डिफ़ॉल्ट क्रेडेंशियल्स को प्रत्यायोजित करने की अनुमति दें।

यहां आप आवश्यक सर्वर को सूची में जोड़ सकते हैं या वाइल्डकार्ड का उपयोग कर सकते हैं। यह इस तरह दिखेगा TERMSRV/trm.contoso.com या शर्तें/*.contoso.com.

अनुकूलित नीति.

अब, यदि आप हमारा शॉर्टकट देखें, तो यह कुछ इस तरह दिखेगा:

उपयोगकर्ता नाम बदला नहीं जा सकता.

यदि आप RDS गेटवे का उपयोग कर रहे हैं, तो आपको डेटा ट्रांसफर भी सक्षम करना होगा। ऐसा करने के लिए, IIS मैनेजर में, "प्रमाणीकरण विधियाँ" के अंतर्गत, अनाम प्रमाणीकरण को अक्षम करें और प्रमाणीकरण को सक्षम करें। Windows.

IIS कॉन्फ़िगर किया गया.

आदेश पूरा होने के बाद वेब सेवाओं को पुनः आरंभ करना न भूलें:

iisreset /noforce

अब सब कुछ ठीक है, कोई सवाल या अनुरोध नहीं।

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

मुझे बताइये, क्या आप अपने उपयोगकर्ताओं के लिए RDP शॉर्टकट पर हस्ताक्षर करते हैं?

• 43% तक नहीं, उन्हें संदेशों को पढ़े बिना ही “ओके” पर क्लिक करने के लिए प्रशिक्षित किया जाता है, कुछ तो “दोबारा मत पूछो” बॉक्स पर भी निशान लगा देते हैं।28

• 29.2% तक मैं सावधानीपूर्वक अपने हाथों से लेबल लगाता हूं और प्रत्येक उपयोगकर्ता के साथ मिलकर सर्वर पर पहला लॉगिन करता हूं।19

• 6.1% तक बेशक, मुझे हर चीज़ में व्यवस्था पसंद है।4

• 21.5% तक मैं टर्मिनल सर्वर का उपयोग नहीं करता.14

65 उपयोगकर्ताओं ने मतदान किया। 14 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com