Konfiguracja usługi Remote Desktop Services na serwerze Windows dla Fudo Enterprise¶
Przed rozpoczęciem procedury sprawdź następujące wymagania:
- Wszystkie serwery z systemem Windows Server 2019 lub 2022 są połączone w domenie;
- Istnieje skonfigurowany na serwerze Windows kontroler domeny z grupą użytkowników AD;
- Wszystkie serwery Windows mają zainstalowany patch
CredSSP CVE-2018-0886
;- Masz dostęp do panelu administracyjnego Fudo Enterprise w celu skonfigurowania połączenia RDP.
Aby skonfigurować i używać usługi Remote Desktop Services (RDS) wraz z Fudo Enterprise, postępuj zgodnie z poniższą instrukcją.
Informacja
Jest to ogólna instrukcja, mająca na celu przybliżenie procesu konfigurowania usługi Remote Desktop Services. Pewne aspekty mogą się różnić w zależności od konfiguracji środowiska Windows Server. Szczegółową instrukcję znajdziesz w dokumentacji Windows Server.
Konfiguracja usługi Remote Desktop Services (RDS)¶
Dodaj serwery:
- Zaloguj się na serwerze, na którym chcesz skonfigurować usługę Remote Desktop Services.
- Uruchom aplikację Server Manager.
- Kliknij przycisk Manage w prawym górnym rogu okna, aby rozwinąć listę menu, a następnie wybierz Add Servers.
- Kliknij Find Now.
- Dodaj wszystkie serwery, które zamierzasz użyć w RDS, klikając na każdy serwer w konfiguracji. Kliknij OK. W tym przypadku dodajemy 3 serwery:
HOST1, HOST2,
iRDB
, który będzie pełnił rolę Brokera.
Dodaj komponenty usługi Remote Desktop Services:
- Kliknij przycisk Manage w prawym górnym rogu okna, aby rozwinięcia listę menu, a następnie wybierz Add Roleas and Features.
- Na karcie Before You Begin kliknij Next, aby kontynuować.
- Na karcie Installation Type wybierz Remote Desktop Services installation i kliknij Next, aby kontynuować.
- Na karcie Deployment Type wybierz Standard Deployment, aby uzyskać bardziej szczegółowe instrukcje dotyczące instalacji usługi Remote Desktop Services. Kliknij Next, aby kontynuować.
- Na karcie Deployment Scenario wybierz Session-based desktop deployment. Kliknij Next, aby kontynuować.
- Na karcie Role Services sprawdź usługi, które zostaną zainstalowane. Kliknij Next, aby kontynuować.
- Na karcie RD Connection Broker wybierz odpowiedni serwer, na którym zostanie zainstalowana usługa roli Brokera. W tym przykładzie wybrano serwer
RDB
. Kliknij Next, aby kontynuować.
- Na karcie RD Web Access wybierz odpowiedni serwer, na którym chcesz zainstalować rolę usługi RD Web Access. W tym przykładzie wybrano również serwer
RDB
. Kliknij Next, aby kontynuować.
- Na karcie RD Session Host wybierz odpowiednie serwery, na których chcesz zainstalować rolę usługi RD Session Host. W tym przykładzie wybrano serwery
HOST1
iHOST2.
Kliknij Next, aby kontynuować.
- Na karcie Confirmation zaznacz Restart the destination server automatically if required, a następnie kliknij Deploy.
- Poczekaj na pomyślne zakończenie wdrażania i kliknij Close.
Dodaj serwer RD Gateway i nazwę certyfikatu:
- Z lewego menu wybierz sekcję Remote Desktop Services i przejdź do karty Overview.
- Kliknij przycisk + RD Gateway i w kreatorze Add RD Gateway Servers wizard wybierz maszynę wirtualną, na której chcesz zainstalować serwer RD Gateway. W tym przykładzie wybrano serwer
RDB.
- Kliknij Next.
- Wprowadź nazwę certyfikatu SSL dla serwera RD Gateway, używając zewnętrznej, w pełni kwalifikowanej nazwy DNS (FQDN) serwera RD Gateway. Przykład,
cert.mk.local.
- Kliknij Next, a następnie Add.
- Poczekaj, aż usługa roli zostanie wdrożona, i kliknij Close.
Konfiguracja właściwości RD Gateway i RD Licensing:
- Wróć do karty Overview, kliknij Tasks i z listy rozwijanej wybierz Edit Deployment Properties.
- Na karcie RD Gateway wybierz opcję Automatically detect RD Gateway server settings i kliknij Apply.
- Rozwiń kartę RD Licensing i wybierz Per Device. Kliknij Apply.
- Rozwiń kartę «RD Web Access», aby sprawdzić adres URL dla RD Web Access IIS. Domyślnie jest zainstalowana pod adresem
/RdWeb
.
- Kliknij na wyświetlony adres URL, aby zweryfikować logowanie do RD Web Access za pomocą konta administratora.
Informacja
Podczas logowania użyj domeny w polu nazwa użytkownika. Na przykład,
Administrator@mk.local
.
- Zapisz ten adres na potrzeby kolejnych kroków konfiguracji.
- Kliknij OK w oknie Deployment Properties, aby wrócić do karty Przegląd sekcji Remote Desktop Services.
- Na karcie RD Web Access wybierz odpowiedni serwer, na którym chcesz zainstalować rolę usługi RD Web Access. W tym przykładzie wybrano również serwer
RDB
. Kliknij Next, aby kontynuować.
Dodaj RD License Server:
Utwórz kolekcję:
- Przejdź do karty Collections w sekcji Remote Desktop Services, kliknij Tasks i z listy rozwijanej wybierz Create Session Collection.
- Na karcie Before You Begin kliknij Next.
- Na karcie Collection Name podaj opisową nazwę kolekcji. W tym przykładzie użyto nazwy
test-collection
. Kliknij Next, aby kontynuować.Informacja
Ta nazwa będzie wyświetlana pod ikoną w interfejsie Web Access.
- Na karcie RD Session Host wybierz serwery do dodania do tej kolekcji. W tym przykładzie wybrano serwery
HOST1
iHOST2.
- Na karcie User Groups zdefiniuj grupy użytkowników. Możesz zaakceptować domyślne grupy użytkowników lub dodać jedną lub więcej grup użytkowników uprawnionych do łączenia się za pomocą RDP z serwerami.
- Na karcie User Profile Disks wybierz opcję Enable User Profile Disks i określ ustawienia, jeśli jest to konieczne. Możesz również pozostawić tę opcję wyłączoną.
- Na karcie Confirmation przejrzyj wszystkie informacje, a następnie kliknij «Create».
- Poczekaj, aż kolekcja zostanie utworzona. Kliknij Close.
Test połączenia:
- Otwórz zapisany wcześniej adres URL dla RD Web Access (np.
https://rdb.mk.local/RDWeb/
).- Wprowadź prawidłową nazwę użytkownika i hasło, a następnie kliknij Sign in. Możesz użyć konta administratora domeny do logowania, na przykład
Administrator@mk.local
.- Po zalogowaniu zostanie przedstawiona pełna kolekcja utworzonych sesji pulpitów zdalnych.
- Kliknij na ikonę utworzonej kolekcji
test-collection
, aby pobrać plik połączenia RDP lub natychmiast nawiązać połączenie.
- Podaj dane logowania jednego z użytkowników istniejących w domenie.
Informacja
W tej części instrukcji przedstawiono ogólny proces konfiguracji Usług pulpitu zdalnego. Aby wykorzystać funkcjonalność Fudo Enterprise podczas połączeń, należy postępować zgodnie z krokami opisanymi w kolejnej części instrukcji.
Konfiguracja Fudo Enterprise¶
Informacja
Ten przypadek użycia opisuje, jak skonfigurować Fudo Enterprise przy użyciu metody zewnętrznego uwierzytelnienia Active Directory. Należy pamiętać, że można dostosować uwierzytelnienie użytkowników za pomocą dowolnej innej metody obsługiwanej przez Fudo Enterprise, aby dopasować ją do swoich specyficznych wymagań, metod typowo stosowanych w środowisku i scenariuszy pracy.
Konfiguracja metody zewnętrznego uwierzytelnienia:
- Zaloguj się do Panelu Administratora Fudo Enterprise.
- Wybierz
> .- W karcie Uwierzytelnienie zewnętrzne kliknij
.
- Z listy rozwijanej Typ wybierz Active Directory.
- W polu Adres hosta podaj adres IP kontrolera domeny (np.
10.0.136.1
).- Pozostaw domyślny numer portu:
389
.- Ustaw Adres źródłowy na Dowolny.
- Podaj nazwę domeny, która będzie używana do uwierzytelnienia użytkowników w Active Directory (np.
mk.local
).- W polach Login, Sekret i Powtórz sekret podaj dane logowania uprzywilejowanego konta używanego do dostępu do kontrolera domeny.
- Kliknij
.
Utwórz użytkownika w Fudo:
- Wybierz
> i kliknij .- Wpisz nazwę użytkownika odpowiadającą wybranemu kontu użytkownika w Active Directory (np. «user1»).
- W karcie Ustawienia, w sekcji Sejfy, wybierz portal.
- Kliknij
.
- Przejdź do sekcji Uwierzytelnienie i z listy rozwijanej Dodaj metodę uwierzytelnienia wybierz Uwierzytelnienie zewnętrzne.
- Wybierz metodę Active Directory utworzoną w poprzednich krokach i kliknij
.
- W razie potrzeby uzupełnij pozostałe parametry zgodnie z wymaganiami swojej specyficznej konfiguracji. Po więcej szczegółów zapoznaj się z sekcją Dodawanie użytkownika.
- Kliknij
.
Konfiguracja serwera o roli Connection Broker:
- Wybierz
> i kliknij .
- Wpisz unikalną nazwę serwera (np.
Broker
).- W sekcji Uprawnienia dodaj użytkowników uprawnionych do zarządzania tym obiektem.
- W sekcji Ustawienia z listy dostępnych protokołów wybierz
RDP.
- Zaznacz opcje TLS włączony i NLA włączony.
- W sekcji Adres źródłowy wybierz
IPv4
i wprowadź adres IP serwera wybranego podczas konfiguracji RDS dla roli RD Broker (w naszym przykładzie serwerRDB
z adresem IP10.0.136.2
).
- Kliknij
.
Konfiguracja serwerów o roli Session Hosts:
- Wybierz
> i kliknij .
- Wpisz unikalną nazwę serwera (np.
HOST1
).- W sekcji Uprawnienia dodaj użytkowników uprawnionych do zarządzania tym obiektem.
- W sekcji Ustawienia z listy dostępnych protokołów wybierz
RDP
.
- Zaznacz opcje TLS włączony i NLA włączony.
- W sekcji Adres źródłowy wybierz
IPv4
i wprowadź adres IP serwera (w naszym przykładzie10.0.136.4
).
- Kliknij
.
- Powtórz wszystkie powyższe kroki, aby utworzyć drugi serwer o nazwie
HOST2
i adresie IP10.0.136.5
.
Konfiguracja puli serwerów:
Konfiguracja konta:
- Wybierz
> i kliknij .
- Zdefiniuj nazwę obiektu (np.
user1
).- Z listy rozwijanej Typ wybierz
forward
.- Przejdź do sekcji Serwer / Pula i z listy rozwijanej wybierz pulę utworzoną w poprzednim kroku (np.
RDS-pula
), aby przypisać utworzone konto do tej puli serwerów.
- W sekcji Dane uwierzytelniające wybierz opcję Przekieruj domenę aby dołączyć nazwę domeny w ciągu identyfikującym użytkownika.
- Kliknij
.
Konfiguracja gniazda nasłuchiwania:
- Wybierz
> i kliknij .
- Wpisz unikalną nazwę gniazda nasłuchiwania (np.``rdp-broker-bastion``).
- Przejdź do zakładki Uprawnienia i dodaj użytkowników uprawnionych do zarządzania tym gniazdem nasłuchiwania (np.
user1
).
- Przejdź do zakładki Ustawienia i w polu Protokół naciśnij przycisk
.- Zaznacz opcję TLS włączony aby włączyć szyfrowanie.
- Zaznacz opcję NLA włączony dla dodatkowego zabezpieczenia.
- W sekcji Tryb połączenia wybierz
.
- Ustaw lokalny adres na
10.0.58.238
lubAny
, i port3389.
- W polu Certyfikat CA kliknij
aby wygenerować certyfikat TLS, wybierając algorytm klucza i podając Nazwę Wspólną (nazwa serwera, na którym zainstalowany jest certyfikat), lub kliknij aby załadować plik certyfikatu serwera z dołączonym na końcu prywatnym kluczem.- Kliknij
.
Nawiązanie sesji przez Portal Użytkownika Fudo:
Ostrzeżenie
Podczas nawiązywania połączeń za pomocą Remote Desktop Services zalecane jest korzystanie z opcji Native client. Web client nie obsługuje tego typu połączeń.
- Zaloguj się do «Portalu Użytkownika» Fudo Enterprise używając
user1
jako nazwy użytkownika i hasła skonfigurowanego dla tego użytkownika w Active Directory.
- Najedź kursorem na nazwę konta
user1
, wybierz Web client i kliknij w celu pobrania pliku konfiguracyjnego RDP.- Otwórz pobrany plik, aby rozpocząć połączenie w natywnym kliencie RDP.
- Podaj hasło użytkownika
user1
.
Przekierowanie połączenia przez Fudo w natywnym kliencie RDP:
- Aby przekierować połączenie przez Fudo Enterprise, w trakcie konfiguracji klienta RDP musimy użyć adresu Portalu Użytkownika.
- Wybierz ulubionego klienta protokołu RDP (jak np. Microsoft Remote Desktop) i postępuj zgodnie z jego instrukcją, aby dodać nowy komputer do połączenia.
- Na przykładzie Microsoft Remote Desktop, kliknij ikonę plus w górnej części okna i wybierz Dodaj komputer.
- W polu Nazwa komputera wprowadź adres IP Portalu Użytkownika Fudo Enterprise wraz z numerem portu i kliknij Dodaj.
Informacja
Adres IP Portalu Użytkownika znajdziesz w
> .
- Połącz się z dodanym komputerem, podając w polu Nazwa użytkownika ciąg logowania dla połączeń bastion oraz hasło w polu Hasło.
Informacja
- Użyj następującego wzoru dla ciągu logowania bastion: nazwa użytkownika # login konta na docelowym serwerze # adres docelowego serwera (np.
user1#user1#10.0.136.4
).- Można pominąć login konta, jeśli jest taki sam jak nazwa użytkownika, np.
user1##10.0.136.4
- Klient RDP nawiąże połączenie z jednym z serwerów z kolekcji RDS.
Wyświetlanie aktywnej sesji w Panelu Administracyjnym Fudo Enterprise:
Tematy pokrewne: