Для улучшения работы сайта мы используем файлы cookies. Оставаясь на сайте, вы соглашаетесь с политикой обработки персональных данных.

Руководство администратора

1. Руководство администратора

В руководстве администратора описано, как обеспечить корректную работу системы и эффективно ее администрировать; содержатся подробные инструкции по настройке и управлению системой, а также информация о ее компонентах и функциях.

Это поможет системным администраторам быстро и легко настроить систему, управлять серверами, пользователями и группами, настраивать параметры безопасности, контролировать и обслуживать систему.

В разделах:

2. Обзор

В разделе Обзор представлены модули, которые отображают состояние системы, терминальных серверов и данные о сессиях.

Состояние системы

В этой таблице описаны параметры состояния системы:

Параметр Описание

Активных сессий

Общее количество сессий, подключенных ко всем терминальным серверам

Всего брокеров

Количество установленных брокеров

Всего серверов

Количество всех подключенных серверов

Активных серверов

Количество включенных серверов с активными агентами
Состояние терминальных серверов

У терминального сервера может быть три статуса:

Статус Описание

Включено

Сервер доступен для подключения пользователю, и на нем можно запустить приложение

На обслуживании

К серверу нельзя подключиться, но существующие сессии активны

Выключено

Сервер не доступен для использования

У включенных, выключенных и серверов на обслуживании отображаются статусы агента:

Статус

Описание

Активных агентов

Агент, установленный на сервере, периодически сообщает свой статус брокеру

Серверов без агентов

Агент не установлен на сервере

Недоступных агентов

Агент не отвечает на запросы сервера
Количество активных сессий

В этом модуле представлен график, который отображает данные об активных сессиях. В правом верхнем углу можно выбрать один из периодов времени: за последние 15 минут, час, сутки и 7 дней. Чтобы обновить график, нажмите на b refresh.

Топ-5 терминальных серверов с максимальной утилизацией по RAM

В этом модуле отображается список топ-5 терминальных серверов под управлением Windows и Linux с максимальной утилизацией по RAM.

Топ-5 терминальных серверов с максимальной утилизацией по CPU

В этом модуле отображается список топ-5 терминальных серверов под управлением Windows и Linux с максимальной утилизацией по CPU.

3. Настройка системы

3.1. HTTPS

В настройках HTTPS можно изменить адрес брокера, загрузить ключ, сертификат и цепочку сертификатов. Для этого:

  1. В разделе Настройки, на вкладке Общие настройки наведите указатель мыши на HTTPS и нажмите b pencil.

  2. При необходимости измените адрес брокера.

  3. Чтобы загрузить сертификат или цепочку сертификатов, нажмите Выберите файл.

  4. Чтобы загрузить ключ, нажмите Выберите файл.

  5. Нажмите Сохранить.

Настройки сохранены.

3.2. Настройки для внешних подключений

Чтобы пользователи могли подключаться к терминальным серверам вне внутренней сети, необходимо задать отдельный (внешний) адрес брокера и настроить SSH-шлюзы. После настроек для внешних подключений:

  • внешние пользователи будут проходить через балансировщик в демилитаризованной зоне (DMZ);

  • внешние пользователи будут использовать шлюз для подключения к терминальным серверам;

  • прочие пользователи будут проходить через балансировщик во внутренней сети;

  • прочие пользователи смогут подключаться к терминальным серверам напрямую, без шлюза.

Подробнее об архитектуре с внешними и внутренними пользователями.

Чтобы настроить внешнее подключение:

После включения настроек, изменения адреса или сертификатов сервисы брокера будут перезагружены, и он будет недоступен в течение не более 5 минут.

  1. В разделе Настройки, на вкладке Общие настройки наведите указатель мыши на Настройки для внешних подключений и нажмите b pencil.

  2. На вкладке Базовые параметры для HTTPS:

    1. Активируйте опцию Включить, чтобы можно было настроить шлюз удаленного доступа.

    2. В параметре Общедоступный адрес укажите FQDN брокера. Он должен отличаться от FQDN брокера, который был указан при развертывании брокера или при изменении настроек HTTPS.

    3. Загрузите сертификат, выданный для указанного FQDN. Сертификат потребуется только в том случае, если вы включаете эти настройки или меняете внешний адрес брокера. Если меняются только настройки шлюзов, то сертификат не нужен.

    4. Загрузите ключ, выданный для указанного FQDN.

    5. Нажмите Далее.

  3. На вкладке Шлюзы удаленного доступа нажмите b add.

  4. Задайте параметры:

    • Адрес — IP-адрес;

    • Порт — по умолчанию TCP-порт 22.

  5. Нажмите Сохранить.

    Добавленный шлюз удаленного доступа появится в списке.

  6. Нажмите Далее.

  7. На вкладке Подтверждение информации проверьте информацию. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

  8. Нажмите Сохранить.

После настройки для внешних подключений настройте балансировщик нагрузки.

Балансировщик нагрузки для внешних подключений следует настроить таким образом, чтобы он перенаправлял запросы, поступающие на порт 443, на порт 10443 серверов, где установлен брокер.

3.3. LDAP

LDAP (Lightweight Directory Access Protocol) — протокол, который используется для получения информации из служб каталогов (AD, FreeIPA, ALD Pro, SambaDC, Red ADM и так далее) о пользователях, группах и связях между ними. Эта информация в дальнейшем используется для аутентификации и авторизации пользователей в портале администратора, десктоп-клиенте и на терминальных серверах.

LDAP представляет информацию об этих сущностях в виде набора объектов (пользователь, группа), каждый из которых имеет определенный набор атрибутов (имя пользователя, имя группы, список членов группы, номер телефона пользователя)

Чтобы пользователи могли работать с СТД «Термит», системе необходимо понимать, как искать пользователей в LDAP-каталоге, как получить список групп, в которые входит пользователь, и т. д. Для этого администратору нужно указать имена классов и ряд атрибутов для объектов «пользователь» и «группа»:

  • Общие атрибуты для классов объектов:

    • Атрибут, используемый для идентификации объектов — в значении этого атрибута хранится уникальный ID объекта.

    • Атрибут, содержащий имя объекта, указанное для списка членов групп — в значении этого атрибута описано имя объекта, который находится в списке членов групп.

  • Атрибуты для класса объекта «user»:

    • Атрибут, используемый для получения отображаемого имени пользователя — значение этого атрибута применяется при отображении пользователей в интерфейсе, например, при входе в систему.

    • Атрибут, используемый для поиска пользователя — атрибут применяется для поиска пользователя по его имени при аутентификации в портале администратора или десктоп-клиенте.

    • Атрибут, используемый для аутентификации на терминальном сервере — в значении этого атрибута применяется имя, которое будет передаваться на сервер под управлением Linux.

  • Атрибуты для класса объекта «group»:

    • Атрибут, используемый для получения отображаемого имени группы — значение этого атрибута применяется при отображении групп в интерфейсе. Например, при добавлении ролей или при настройке прав на запуск приложения.

    • Атрибут со списком членов групп — в значении этого атрибута находится информация о группе, в состав которой входят пользователи и другие группы.

В СТД «Термит» поддерживаются:

  • следующие LDAP-каталоги для аутентификации пользователей по паролю и получения информации о пользователях, группах и связях между ними:

    • AD

    • SambaDC

    • Red ADM

    • FreeIPA

    • ALD Pro

    • OpenLDAP

  • защищенные протоколы передачи данных LDAP Over SSL и LDAP StartTLS.

Чтобы настроить LDAP:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на LDAP и нажмите b pencil.

  3. Включите LDAP используется.

  4. Задайте параметры для подключения службы каталогов:

    • Базовое уникальное имя. Например, для домена example.com: «DC=example,DC=com»;

    • Имя пользователя. Например, для домена example.com: CN=termitsvc,CN=users,DC=example,DC=com;

    • Пароль — пароль от сервисной учетной записи;

    • Период синхронизации (минуты).

      s ldap

  5. Нажмите Далее.

  6. Чтобы настроить параметры используемого типа LDAP:

    • Тип LDAP каталога — выберите тип: AD, FreeIPA или Другой.

      Тип зависит от выбранной схемы LDAP:

      • Для Samba DC и Red ADM требуется выбрать тип каталога AD.

      • Для ALD Pro требуется выбрать тип каталога FreeIPA.

      • Для OpenLDAP и других реализаций LDAP-каталогов требуется выбрать тип Другой.
      AD

      • Класс для объекта User — user

      • Класс для объекта Group — group

      • Атрибут, используемый для идентификации объектов — objectGUID

      • Атрибут, используемый для получения отображаемого имени пользователя — cn

      • Атрибут, используемый для получения отображаемого имени группы — cn

      • Атрибут, используемый для поиска пользователя — samAccountName

      • Атрибут со списком членов групп — member

      • Атрибут, содержащий имя объекта, указанное для списка членов групп — distinguishedName

      • Атрибут, используемый для аутентификации на терминальном сервере — msDS-PrincipalName

      • Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

      FreeIPA

      • Класс для объекта User — inetuser

      • Класс для объекта Group — ipausergroup

      • Атрибут, используемый для идентификации объектов — ipaUniqueID

      • Атрибут, используемый для получения отображаемого имени пользователя — cn

      • Атрибут, используемый для получения отображаемого имени группы — cn

      • Атрибут, используемый для поиска пользователя — uid

      • Атрибут со списком членов групп — member

      • Атрибут, содержащий имя объекта, указанное для списка членов групп — dn

      • Атрибут, используемый для аутентификации на терминальном сервере — uid

      • Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

      Другой (для OpenLDAP)

      • Класс для объекта User — posixAccount

      • Класс для объекта Group — posixGroup

      • Атрибут, используемый для идентификации объектов — entryUUID

      • Атрибут, используемый для получения отображаемого имени пользователя — cn

      • Атрибут, используемый для получения отображаемого имени группы — cn

      • Атрибут, используемый для поиска пользователя — uid

      • Атрибут со списком членов групп — memberUid

      • Атрибут, содержащий имя объекта, указанное для списка членов групп — uid

      • Атрибут, используемый для аутентификации на терминальном сервере — uid

      • Выключите опцию Поддержка range для получения членов группы.

  7. Нажмите Далее.

  8. Чтобы добавить адрес сервера LDAP, нажмите b add.

    Система всегда работает с первым сервером LDAP. Если сервер становится недоступен, система переходит к следующему.

  9. Укажите:

    • Адрес — IP-адрес или FQDN LDAP-сервера, например «termit-example-01.com».

    • Протокол — выберите из списка:

      Перед выбором протоколов LDAP Over SSL и LDAP StartTLS добавьте доверенный сертификат.

      • LDAP — технология шифрования данных при подключении к LDAP-серверу не используется. Данные передаются в открытом виде по порту 389. Не рекомендуется использовать в продуктовых инсталляциях.

      • LDAP Over SSL — защищенная версия протокола LDAP, которая использует технологию шифрования SSL/TLS при подключении к LDAP-серверу по порту 636.

      • LDAP StartTLS — защищенная версия протокола LDAP, при использовании которой сначала устанавливается незащищенное соединение по порту 389, а затем отправляется запрос на шифрование.

    • Порт — порт выбирается автоматически в зависимости от выбранного протокола. При необходимости параметр можно изменить.

  10. Нажмите Сохранить  Далее.

  11. На вкладке Подтверждение информации проверьте информацию о сервере LDAP и соединение. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

    При успешном соединении появится сообщение «Проверка соединения прошла успешна».

  12. Нажмите Сохранить.

Состояние синхронизации LDAP и системы смотрите в левом меню, в разделе Журнал событий.

Также в настройках LDAP при наведении указателя мыши можно:

  • редактировать настройки с помощью иконки b pencil;

  • проверить соединение с помощью иконки b test connection;

  • синхронизировать данные LDAP с помощью иконки b cached.

3.4. Syslog/SIEM

Вы можете настроить переадресацию журнала в rsyslog-сервер.

Сведения о каждом событии в СТД «Термит» отправляются как отдельное rsyslog-сообщение. Текст rsyslog-сообщения соответствует информации о событии, отображающейся в веб-интерфейсе системы в разделе Журнал событий.

Для настройки параметров интеграции Syslog:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Syslog/SIEM и нажмите b pencil.

  3. Включите Использование, чтобы запись событий отправлялась на syslog-сервер.

  4. При включенной интеграции в параметрах:

    • Адрес сервера — укажите адрес сервера.

    • Порт — укажите порт. По умолчанию 514 (6514 для TLS).

    • Протокол — выберите UDP или TCP.

    • Формат сообщений — выберите спецификацию RFC3164 или RFC5424.

    • Код подсистемы (facility) — выберите local0-local7.

    • Использовать TLS для отправки логов в Syslog — выберите Выключено или Включено. При выборе протокола TLS следует использовать доверенные сертификаты, указанные администратором в соответствующем разделе.

  5. Нажмите Сохранить.

3.5. Доверенные сертификаты

Доверенные сертификаты применяются для проверки соединения с LDAP-каталогами по протоколам LDAP StartTLS и LDAP Over SSL. Кроме того, доверенные сертификаты необходимы для Syslog, когда он использует TLS для отправки логов.

Чтобы добавить доверенный сертификат:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Доверенные сертификаты и нажмите b pencil.

  3. Чтобы добавить сертификат, нажмите b add и загрузите его. Поддерживаются форматы PKCS#12/PEM/CER/CRT (в кодировке Base-64).

  4. При необходимости активируйте опцию Задать пароль и задайте пароль для сертификата.

  5. Нажмите Сохранить.

Добавленный сертификат появится в списке.

Чтобы удалить:

  1. Наведите указатель мыши на сертификат и нажмите b more vert.

  2. Нажмите Удалить сертификат.

  3. Нажмите Да.

Сертификат удален.

3.6. Администратор системы

«tadm» — локальная учетная запись, которая предназначена только для настроек брокера. Ее нельзя использовать для входа в десктоп-клиент, запуска приложений и рабочих столов.

«admin» — пароль по умолчанию от локальной учетной записи.

Обязательно измените пароль для повышения уровня безопасности системы.

Чтобы изменить параметры администратора системы:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Администратор системы и нажмите b pencil.

  3. При необходимости измените имя локального администратора системы.

  4. Введите старый пароль и задайте новый.

  5. Нажмите Сохранить.

Данные об администраторе системы изменены.

3.7. Глубина хранения журналов

В системе можно очищать старые записи журнала событий.

Чтобы настроить срок хранения записей:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Глубина хранения журнала событий и нажмите b pencil.

  3. При включенной опции «Никогда не удалять» старые записи в журнале событий не будут очищаться.

    s events

    Чтобы задать свой срок хранения, отключите эту опцию и задайте:

    • Срок хранения событий (дней) — период хранения событий журнала;

    • Время запуска — время запуска очистки журнала событий.

      s events2

  4. Нажмите Сохранить.

После очистки в журнале событий появится запись о статусе операции: сколько событий было удалено, дата самого старого и нового события.

3.8. Глубина хранения сессий

В системе можно очищать историю закрытых сессий пользователей.

Чтобы настроить срок хранения:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Глубина хранения сессий и нажмите b pencil.

  3. При включенной опции «Никогда не удалять» старые записи в журнале событий не будут очищаться.

    s closed session

    Чтобы задать свой срок хранения, отключите эту опцию и задайте:

    • Срок хранения сессий (дней) — период хранения истории закрытых сессий;

    • Время запуска — время запуска очистки истории закрытых сессий.

      s closed session2

  4. Нажмите Сохранить.

После очистки в журнале событий появится запись о статусе операции: сколько сессий было удалено, дата самой старой и новой сессии.

3.9. Политики блокировки встроенных учетных записей

Политика блокировки встроенных учетных записей необходима для обеспечения безопасности системы и применяется только для локальной учетной записи «tadm». Учетная запись блокируется, если пользователь совершает несколько неудачных попыток входа в систему СТД «Термит». Это помогает предотвратить несанкционированный доступ к данным и ресурсам компании.

По умолчанию политика включена, и учетная запись блокируется после трех неудачных попыток входа в систему на один час. Вы можете задать собственную политику блокировки встроенных учетных записей. Для этого:

  1. В левом меню выберите раздел Настройки.

  2. На вкладке Общие настройки наведите указатель мыши на Политики блокировки встроенных учетных записей и нажмите b pencil.

  3. Включите опцию Использование, если хотите, чтобы политика блокировки работала. Или вы можете отключить эту опцию, если не хотите применять политику блокировки.

  4. При включенной опции в параметрах задайте:

    • Число неудачных попыток входа — число неудачных попыток, после которых учетная запись пользователя будет заблокирована.

    • Срок блокировки учетных записей (минуты) — срок блокировки учетных записей.

      За время блокировки злоумышленник не сможет подобрать пароль методом перебора или с помощью вредоносного ПО. А пользователь, который действительно хочет войти в свой аккаунт, за это время может восстановить доступ, если он забыл пароль или столкнулся с временными техническими проблемами.

      s policy

  5. Нажмите Сохранить.

Информация о политике блокировки появится в разделе Политики блокировки встроенных учетных записей.

3.10. Роли

На вкладке Роли можно настроить роли:

  • Администраторы. Администраторы могут полностью контролировать систему, например, управлять серверами, пользователями и приложениями.

  • Служба поддержки. Служба поддержки может просматривать настройки, информацию о серверах и сессиях в разделе Обзор, журнал событий, список сессий, завершать сессии и блокировать пользователей. Выполняет функцию L1 технической поддержки.

  • Пользователи. У пользователей есть учетные записи, с помощью которых они имеют доступ к СТД «Термит». Только пользователи могут запускать приложения.

Чтобы настроить роли:

  1. В разделе Настройки перейдите на вкладку Роли.

  2. Наведите указатель мыши на Администраторы и нажмите b pencil.

  3. Нажмите b add.

  4. Добавьте группы из каталога пользователей для роли администраторов. Можно добавить несколько групп. Также поддерживаются вложенные группы.

  5. Нажмите Сохранить  Сохранить.

Для ролей Служба поддержки и Пользователи повторите действия из шагов 3-5.

4. Управление компонентами

4.1. Группы серверов

Группа серверов объединяет терминальные серверы с одинаковыми настройками. Серверы в группе применяются для балансировки нагрузки и обеспечения отказоустойчивости.

Каждое приложение имеет свой набор требований, поэтому настройки серверов могут различаться. Группировка серверов позволяет балансировать нагрузку и объединять их по настройкам и запускаемым приложениям. Это обеспечивает отказоустойчивость системы.

В разделе Группы серверов можно:

  • Найти нужные серверы по FQDN, активным сессиям и статусу, нажав b filter.

  • Обновить список групп серверов, нажав b refresh.

  • Настроить видимость столбцов, нажав b column.

    s filter

Создание группы серверов

Чтобы создать группу серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. В правом верхнем углу нажмите Новая группа.

  3. На вкладке Основные настройки:

    • Имя — укажите название группы терминальных серверов.

    • Тип — выберите операционную систему Linux или Windows.

      s name group

    • (Опционально) Описание — добавьте описание группы серверов.

  4. Нажмите Далее.

  5. На вкладке Терминальные серверы выберите из списка уже существующий сервер или создайте новый в разделе Создание сервера.

    s list server

  6. Нажмите Далее.

  7. На вкладке Подключение сетевых дисков можно настроить, какие сетевые диски будут доступны пользователям в терминальной сессии. Для этого:

    1. Нажмите b add.

    2. Задайте параметры:

      • Локальное имя — имя сетевого диска, которое будет отображаться у пользователя в терминальной сессии. Имя не должно содержать двух точек подряд ... В этом параметре:

        • для группы серверов на базе Windows выберите из списка букву.

        • для группы серверов на базе Linux укажите название подкаталога в домашнем каталоге пользователя, например folder1.

      • Сетевой путь — маршрут к сетевому файлу. Можно указать путь:

        • для общих дисков, которые будут доступны всем пользователям. Например:

          • на базе Windows в формате \\FQDN\common-share

          • на базе Linux в формате \\FQDN\common-share

        • для пользовательских дисков, которые будут доступны только конкретному пользователю. Например:

          • на базе Windows в формате \\FQDN\user-shares\%USERNAME%

          • на базе Linux в формате \\FQDN\user-shares\$USER

            Пример заполнения
            Linux
            s network disk linux
            Windows
            s network disk windows

  8. Нажмите Сохранить  Далее.

  9. На вкладке Балансировка терминальных серверов оставьте значение весов по умолчанию. Подробнее о балансировке серверов.

    s balance group

  10. На вкладке Таймауты сессий выберите действия и время ожидания для активных, отключенных и бездействующих (нет активности пользователя) сессий:

    • Ничего — действия с сессиями выполняться не будут.

    • Отключить — десктоп-клиент будет отключен по истечении указанного времени ожидания. При этом сессии останутся активными, и приложения продолжат работать в фоновом режиме. Пользователь сможет заново к ним подключиться.

    • Завершить — сессия будет закрыта по истечении указанного времени ожидания.

      s timeout

      Подробнее о типах сессий.

  11. Нажмите Далее.

  12. На вкладке Подтверждение информации проверьте информацию о группе серверов и нажмите Создать. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

Созданная группа появится в списке.

Изменение настроек группы серверов

Чтобы изменить настройки группы серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Наведите указать мыши на нужную группу серверов и нажмите b pencil.

  3. На вкладке Основные настройки измените параметры:

    • Имя — название группы группы терминальных серверов.

    • (Опционально) Описание — измените описание группы серверов.

  4. Нажмите Далее.

  5. На вкладке Терминальные серверы выберите из списка один или несколько серверов, которые будут входить в одну группу.

  6. Нажмите Далее.

  7. На вкладке Подключение сетевых дисков измените параметры сетевых дисков. Для этого наведите указатель мыши на нужный диск и нажмите b pencil.

    Чтобы добавить новый сетевой диск, нажмите b add. Подробнее о настройке.

    Чтобы удалить сетевой диск, наведите указатель мыши на нужный диск и нажмите b delete.

    s network disk linux1

  8. Нажмите Далее.

  9. На вкладке Балансировка терминальных серверов с помощью иконки b pencil измените вес сессий. Значение не может быть отрицательным.

    s balancer

  10. Нажмите Далее.

  11. На вкладке Таймауты сессий измените действия и время ожидания для активных, отключенных и бездействующих (нет активности пользователя) сессий:

    • Ничего — действия с сессиями выполняться не будут.

    • Отключить — десктоп-клиент будет отключен по истечении указанного времени ожидания. При этом сессии останутся активными, и приложения продолжат работать в фоновом режиме. Пользователь сможет заново к ним подключиться.

    • Завершить — сессия будет закрыта по истечении указанного времени ожидания.

  12. Нажмите Далее.

  13. На вкладке Подтверждение информации проверьте информацию о группе серверов и нажмите Сохранить. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

Настройки группы серверов изменены.

Выключение группы серверов

Чтобы выключить группу серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Наведите указать мыши на нужную группу серверов и нажмите b power settings.

  3. Нажмите Да.

После выключения статус группы серверов изменится на «Выкл.» и назначенные приложения не будут доступны для запуска.

Включение группы серверов

Чтобы включить группу серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Наведите указать мыши на нужную группу серверов и нажмите b power settings.

  3. Нажмите Да.

После включения статус группы серверов изменится на «Вкл.» и назначенные приложения будут доступны для запуска.

Удаление группы серверов

Нельзя удалить группу серверов, если в нее добавлены серверы и на нее назначены приложения.

Чтобы удалить группу серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Наведите указать мыши на нужную группу серверов и нажмите b more vert.

    s group server delete

  3. Нажмите Удалить группу.

  4. Нажмите Да.

Группа серверов удалена.

Просмотр информации о группе серверов

Чтобы просмотреть информацию о группе серверов:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Нажмите на имя нужной группы серверов.

    На вкладке Терминальные серверы отображается список терминальных серверов, их адрес, статус, версия агента, протокол(ы) и количество активных сессий.

    На вкладке Приложения отображается список приложений, их названия и версия.

    На вкладке Сессии отображается список с подробной информацией о запущенных сессиях.

    На вкладке События отображается список уведомлений, связанных с этой группой серверов.

    Также на этой странице можно изменить, выключить или удалить группу.

Балансировка нагрузки серверов

Чтобы определить, к какому серверу будет подключен пользователь, используется следующая формула:

Индекс = количество открытых сессий х вес открытой сессии + количество активных сессий х вес активной сессии + кол-во неактивных сессий х вес неактивной сессии.

Выбирается сервер с наименьшим индексом в группе.

Чтобы настроить балансировку:

  1. На портале администрирования, в левом меню выберите раздел Группы серверов.

  2. Наведите указать мыши на нужную группу и нажмите b pencil.

  3. Перейдите на вкладку Балансировка терминальных серверов.

  4. Наведите указатель мыши на сервер и нажмите b pencil.

  5. Задайте вес сессий. Значение не может быть отрицательным.

  6. Нажмите Сохранить  Далее.

  7. На вкладке Подтверждение информации проверьте информацию о группе серверов и нажмите Сохранить.

Балансировка нагрузки сервера настроена.

4.2. Серверы

Терминальный сервер — это сервер, который предоставляет доступ к ресурсам компьютера или сервера пользователям через десктоп-клиента. Пользователи могут подключаться к терминальному серверу и работать с приложениями, например 1С, данными и другими ресурсами, как если бы они работали непосредственно на сервере.

В разделе Серверы можно:

  • Найти нужные серверы по FQDN, активным сессиям и статусу, нажав b filter.

  • Обновить список серверов, нажав b refresh.

  • Настроить видимость столбцов, нажав b column.

    s filter server

Создание сервера

Чтобы создать терминальный сервер:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. В правом верхнем углу нажмите Новый сервер.

  3. На вкладке Новый терминальный сервер:

    • FQDN адрес сервера — укажите FQDN адрес терминального сервера.

    • Тип — выберите операционную систему Linux или Windows.

      s new server1

  4. Нажмите Далее.

  5. На вкладке Группа терминальных серверов выберите из списка группу серверов.

  6. Нажмите Далее.

  7. На вкладке Подтверждение информации проверьте информацию о сервере и нажмите Создать. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

  8. Скопируйте указанную команду в надежное место. Она понадобится после установки дополнительного ПО на терминальном сервере.

    Вы можете скопировать команду установки агента позже. Подробнее в разделе Установка агента.

Созданный сервер появится в списке со статусом «Включен».

Изменение настроек сервера

Чтобы изменить настройки терминального сервера:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите b pencil.

  3. На вкладке Терминальный сервер измените FQDN адрес сервера.

  4. Нажмите Далее.

  5. На вкладке Группа терминальных серверов выберите из списка группу серверов.

  6. Нажмите Далее.

  7. На вкладке Подтверждение информации проверьте информацию о сервере и нажмите Сохранить. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

Настройки сервера изменены.

Выключение сервера

Перед выключением терминального сервера на нем должны быть завершены все сессии. Выполните следующие действия:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите stop circle.

  3. Нажмите Да.

После выключения сервер будет не доступен, остановит обслуживание пользователей, и его статус изменится на «Выключен».

Включение сервера

Чтобы включить терминальный сервер:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите b play.

После включения сервер будет доступен, сможет обслуживать пользователей, и его статус изменится на «Включен».

Перевод сервера в режим обслуживания

Когда терминальный сервер на обслуживании, можно проводить работы, например, по обновлению ПО. Чтобы перевести терминальный сервер в режим обслуживания:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите b build.

  3. Нажмите Да.

После перевода на терминальном сервере существующие сессии будут активны, новые не будут запущены. Статус сервера изменится на «Обслуживание».

Удаление сервера

Чтобы удалить терминальный сервер:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указать мыши на нужный сервер и нажмите b more vert.

  3. Нажмите Да.

Сервер удален.

Просмотр информации о сервере

Чтобы просмотреть информацию о терминальном сервере:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Нажмите на имя нужного сервера.

На странице отображаются статус, количество активных сессий, список сессий и событий, связанных с этим сервером.

Установка агента

Команду по установке агента можно получить после создания терминального сервера. Для этого:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите на FQDN сервера.

  3. В правом верхнем углу нажмите Дополнительно.

  4. Выберите Установить агент.

  5. Скопируйте команду и выполните ее на терминальном сервере.

Агент будет установлен на терминальный сервер, и его статус изменится на «Онлайн».

Установка в ЗПС

  1. Перед установкой поместите публичный (открытый) ключ https://%АДРЕС_БРОКЕРА_ИЛИ_БАЛАНСИРОВЩИКА%/dist/termit_astra.key в директорию /etc/digsig/keys с помощью команды:

    sudo cp %Путь_к_Открытому_Ключу% /etc/digsig/keys

  2. Обновите ключи с помощью команды:

    sudo update-initramfs -u -k all

  3. Перезагрузите ПК.

  4. Включите режим замкнутой программой среды (ЗПС), если не был включен ранее:

    zpc

  5. Установите агент в обычном режиме.

    При отображении «Ошибка сегментирования» ключ не может быть считан.

Ручное обновление агента

Чтобы обновить агент вручную:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите на FQDN сервера.

  3. В правом верхнем углу нажмите Дополнительно.

  4. Выберите Обновить агент.

  5. Скопируйте команду и выполните ее на терминальном сервере.

Агент обновлен на терминальном сервере.

Удаление агента

Чтобы удалить агент:

  1. На портале администрирования, в левом меню выберите раздел Серверы.

  2. Наведите указатель мыши на нужный сервер и нажмите на FQDN сервера.

  3. В правом верхнем углу нажмите Дополнительно.

  4. Выберите Удалить агент.

  5. Скопируйте актуальную команду На портале администрирования или предложенную ниже:

    • Для Linux:

      sudo ./agent-installer uninstall

    • Для Windows

      .\agent-installer.exe uninstall

  6. Для Linux перейдите в каталог, где был запущен скрипт установки агента.

    Для Windows (операция удаления может быть выполнена только с правами администратора) перейдите по пути C:\Program Files\TermitAgent\.

  7. Выполните скопированную команду в терминале.

Агент удален на терминальном сервере.

4.3. Приложения

Приложение — это программное обеспечение, которое запускается на терминальном сервере, а интерфейс отображается локально на компьютере пользователя. Например, приложением может быть 1С, калькулятор, браузер, офисный пакет приложений или рабочий стол.

В разделе Приложения можно:

  • Найти нужные приложения по имени, наименованию у пользователя, группе серверов и статусу, нажав b filter.

  • Обновить список приложений, нажав b refresh.

  • Настроить видимость столбцов, нажав b column.

    s filter app

Добавление приложения

Чтобы добавить приложение:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Нажмите Добавить приложение.

  3. На вкладке Основные настройки задайте параметры:

    • Имя — название приложения.

    • (Опционально) Наименование у пользователя — название приложения, которое будет отображаться у пользователя.

    • Операционная система — Linux или Windows.

    • Тип — выберите Приложение или Рабочий стол.

    • Команда для запуска — команда для запуска приложения или рабочего стола.

      Команды для запуска рабочего стола:

      • Linux:

        • XFCE — xfce4-session

        • MATE — mate-session

        • FLY — fly-wm

      • Windows:

        • Explorer — explorer.exe

          s desktop

    • (Опционально) Версия — версия приложения.

    • (Опционально) Описание — описание приложения.

  4. Нажмите Далее.

  5. На вкладке Группа терминальных серверов выберите группу терминальных серверов для приложения.

  6. Нажмите Далее.

  7. На вкладке Группы доступа приложения добавьте LDAP-группу:

    1. Нажмите b add и выберите из списка LDAP-группу, пользователи которой будут иметь доступ к этому приложению. Можно добавлять несколько групп доступа к приложению.

    2. Нажмите Сохранить.

  8. Нажмите Далее.

  9. На вкладке Подтверждение информации проверьте информацию о приложении и нажмите Создать. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

После создания приложение появится в списке со статусом «Вкл.».

Изменение параметров приложения

Чтобы изменить настройки приложения:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Наведите указатель мыши на нужное приложение и нажмите b pencil.

  3. На вкладке Основные настройки измените параметры:

    • Имя — название приложения.

    • (Опционально) Наименование у пользователя — название приложения, которое будет отображаться у пользователя.

    • Операционная система — Linux или Windows.

    • Команда для запуска — команда для запуска приложения.

    • (Опционально) Версия — версия приложения.

    • (Опционально) Описание — описание приложения.

  4. Нажмите Далее.

  5. На вкладке Группа терминальных серверов выберите группу серверов для приложения.

  6. Нажмите Далее.

  7. На вкладке Группы доступа приложения измените LDAP-группу или добавьте новую.

  8. Нажмите Сохранить  Далее.

  9. На вкладке Подтверждение информации проверьте информацию о приложении и нажмите Сохранить.

Параметры приложения изменены.

Выключение приложения

Чтобы выключить приложение:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Наведите указатель мыши на нужное приложение и нажмите b power settings.

  3. Нажмите Да.

Приложение выключено, и статус изменится на «Выкл.».

Включение приложения

Чтобы включить приложение:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Наведите указатель мыши на нужное приложение и нажмите b power settings.

  3. Нажмите Да.

Приложение включено, и статус изменится на «Вкл.».

Просмотр информации о приложении

Чтобы просмотреть информацию о приложении:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Нажмите на имя нужного приложение.

На странице отображаются сессии, события и группы, связанные с этим приложением.

4.4. Пользователи

В разделе Пользователи отображается список пользователей, которые выполнили вход в систему.

Пользователи — внутренние и внешние пользователи, которые могут запускать приложения, и администраторы, которые могут настраивать СТД «Термит».

На странице можно:

  • Найти нужного пользователя по имени учетной записи, статусу и активным сессиям, нажав b filter.

  • Обновить список пользователей, нажав b refresh.

  • Настроить видимость столбцов, нажав b column.

    s filter users
    Пользователи

  • «tadm» — создается системой по умолчанию, имеет административные права для управления и первоначальной настройки компонентов и не привязан к LDAP. Например, такой пользователь может помочь починить LDAP, указав другой LDAP-сервер или изменив иные параметры, когда LDAP недоступен.

  • «system» — создается системой по умолчанию. От имени этого пользователя в журнале событий отображается запись операций в фоновом режиме.

    Действия с пользователями

  • Блокировка пользователя, например, если нужно быстро ограничить ему доступ к системе. При этом он блокируется локально, а не в LDAP. Для этого наведите указатель мыши на пользователя, нажмите b block и затем Да.

  • Закрытие сессии пользователя. Для этого наведите указатель мыши на пользователя, нажмите b close и затем Да.

4.5. Сессии

В списках сессий содержится информация о создании каждой сессии, ее текущем статусе и принадлежности к определенной группе серверов. Также есть возможность очистки истории закрытых сессий пользователей и настройки параметров таймаута.

В разделе Сессии вы можете:

  • Найти нужную сессию, нажав b filter.

  • Обновить список сессий, нажав b refresh.

  • Настроить видимость столбцов, нажав b column.

  • Посмотреть подробную информацию о сессиях пользователей.

  • Завершить сессии пользователей.

    Статусы сессий
    Статус Описание

    Открытая

    Сессия стартовала

    Активная

    Пользователь начал работу в сессии

    Отключенная

    Сессия активная, но пользователь к ней не подключен

    Закрывается

    Сессия в процессе закрытия

    Закрытая

    Сессия завершена
    Завершение сессии

    Если пользователь подключен к серверу, который нужно выключить, например для обслуживания, то сессию можно завершить принудительно. Для этого:

    1. На портале администрирования, в левом меню выберите раздел Сессии.

    2. Наведите указатель мыши на активную или отключенную сессию и нажмите b power settings.

    3. Нажмите Да.

Сессия завершена.

4.6. Брокеры

В разделе Брокеры отображается список брокеров.

У брокера можно просмотреть:

  • имя, которое было задано при установке;

  • статусы «Работает» и «Не работает». В случае недоступности брокера более 5 минут его статус изменяется на «Не работает»;

  • время последней доступности (heartbeat).

4.7. Резервное копирование

Резервное копирование и восстановление СТД «Термит» осуществляется средствами PostgreSQL.

5. Файл подключения к серверу

В файле подключения представлены все необходимые настройки для быстрого подключения к терминальному серверу: адрес сервера, имя пользователя и ID приложения. Вы можете сгенерировать файл следующими способами:

  • вручную;

  • через десктоп-клиент;

  • через портал администрирования.

Ручное создание файла

Файл представлен в YAML-формате. Расширение файла должно быть tcfg.

Список полей:

  • broker — адрес брокера;

  • username — логин пользователя;

  • (Опционально) runApp — раздел с информацией о запускаемом приложении. Если не указать в конфигурационном файле, то будет выполнена попытка авторизации;

  • runApp.id — ID ресурса, который необходимо запустить.

Пример файла:

broker: 'broker-dev.termit.local'
username: 'termitadmin'

runApp:
  id: '1684e88e-1687-4bca-9e34-c0b4ffd4c40d'

Создание файла через десктоп-клиент

  1. Запустите десктоп-клиент на вашем локальном компьютере.

  2. Введите FQDN адрес сервера без http(s).

    s login1

  3. Нажмите Подключиться.

  4. Без указания имени домена задайте в параметрах: Имя пользователя и Пароль.

    s login4

  5. Нажмите Войти.

    Вы вошли в систему.

  6. Перейдите в раздел Приложения.

  7. На вкладке Все категории наведите указатель мыши на приложение и нажмите b more vert, чтобы скачать файл.

Создание файла через портал администрирования

В файле подключения, сгенерированном через портал администрирования, параметр «username» будет отсутствовать.

  1. В браузере, в адресной строке введите адрес брокера, например https://broker.example.com.

  2. На странице авторизации укажите:

    • Учетная запись — tadm.

    • Пароль — admin.

  3. Нажмите Войти.

  4. На портале администрирования, в левом меню выберите раздел Приложения.

  5. Наведите указатель мыши на приложение, нажмите b more vert и выберите Скачать файл.

6. Настройка печати

Терминальный сервер Linux

Ниже описано, как настроить печать на терминальных серверах под управлением Linux.

На РЕД ОС в конфигурационном файле /etc/security/limits.conf замените «-» на «soft»:

s soft

  • Проверьте, что на терминальном сервере установлены x2goserver-printing, cups-x2go из репозитория.

  • Проверьте, что на терминальном сервере в утилите добавлен принтер, у которого в названии содержится «CUPS-X2GO», без дополнительных настроек.

  • Проверьте версию Ghostscript с помощью команды:

    ghostscript -v

    Если версия 9.54 и выше, то необходимо настроить печать. Для этого откройте в редакторе файл /etc/cups/cups-x2go.conf:

    nano /etc/cups/cups-x2go.conf

    Добавьте в конец файла строку:

    ps2pdf=/usr/bin/gs -q -dCompatibilityLevel=1.4 -dNOPAUSE -dBATCH -dSAFER -sDEVICE=pdfwrite -sOutputFile=- -dAutoRotatePages=/PageByPage -dAutoFilterColorImages=false -dColorImageFilter=/FlateEncode -dPDFSETTINGS=/prepress -dDoNumCopies -c 3000000 setvmthreshold -f %s

    Перезапустите CUPS:

    systemctl restart cups

Печать на клиентской машине под управлением Windows можно настроить через инструмент для просмотра PDF-файлов. Для этого проверьте, что установлен инструмент для просмотра PDF-файлов (работает с Foxit PDF Reader, Adobe Acrobat Reader), который выбран программой по умолчанию для открытия файла в формате *.pdf.

Терминальный сервер Windows

Предварительных действий по настройке печати для терминальных серверов под управлением Windows не требуется. Доступ к локальным принтерам будет доступен при включении перенаправления принтеров в десктоп-клиенте.

7. Журнал событий

В журнале событий отображаются все операции, происходящие в системе. Это позволяет отслеживать несанкционированные действия. Кроме того, вы можете очищать старые записи журнала событий. Подробнее об этом в разделе Глубина хранения журналов.

Ниже представлен список событий.

Таблица 1. События
Событие Важность Тип события Категория

Сервер Termit стартовал. Имя сервера: {0}

Средняя

Информация

Системное

Сервер Termit остановлен. Имя сервера: {0}

Средняя

Информация

Системное

Агент успешно стартовал на сервере {0}

Средняя

Информация

Системное

Сессия принудительно закрыта по таймауту. Имя терминального сервера: {0} ID сессии: {1}

Средняя

Информация

Системное

Сессия принудительно отключена по таймауту. Имя терминального сервера: {0} ID сессии: {1}

Средняя

Информация

Системное

Сетевой диск успешно подключен. Сетевое адрес: {0}. Локальное имя: {1}

Средняя

Информация

Системное

Старые записи аудита удалены. Количество: {0} период с {1} по {2} (Время в UTC)

Средняя

Информация

Системное

Добавлена новая группа терминальных серверов. Имя группы: {0}

Средняя

Информация

Управление

Изменены настройки группы терминальных серверов. Имя группы: {0}

Средняя

Информация

Управление

Удалена группа терминальных серверов. Имя группы: {0}

Средняя

Информация

Управление

Добавлен новый терминальный сервер. Адрес сервера: {0}. Имя группы: {1}

Средняя

Информация

Управление

Изменены настройки терминального сервера. Адрес сервера: {0}

Средняя

Информация

Управление

Удален терминальный сервер. Адрес сервера: {0}

Средняя

Информация

Управление

Опубликовано новое приложение. Имя приложения: {0}

Средняя

Информация

Управление

Изменены настройки опубликованного приложения. Имя приложения: {0}

Средняя

Информация

Управление

Удалено опубликованное приложение. Имя приложения: {0}

Средняя

Информация

Управление

Настройки были изменены. Название настроек: {0}

Средняя

Информация

Управление

Добавлена политика доступа. Имя приложения: {0}. Имя LDAP группы: {1}. Эффект: {2}

Средняя

Информация

Управление

Удалена политика доступа. Имя приложения: {0}. Имя LDAP группы: {1}. Эффект: {2}

Средняя

Информация

Управление

Имя администратора системы изменено

Средняя

Информация

Управление

Пароль администратора системы изменен

Средняя

Информация

Управление

Старые закрытые сессии удалены. Количество: {0} период с {1} по {2}

Средняя

Информация

Управление

Изменен статус группы терминальных серверов. Имя группы: {0}. Новый статус: {1}

Средняя

Информация

Управление

Изменен статус терминального сервера. Адрес сервера: {0}. Новый статус: {1}

Средняя

Информация

Управление

Сгенерирована новая команда установки агента на терминальный сервер. Адрес сервера: {0}

Средняя

Информация

Управление

Сгенерирована команда обновления агента на терминальном сервере. Адрес сервера: {0}

Средняя

Информация

Управление

Сгенерирована команда удаления агента с терминального сервера. Адрес сервера: {0}

Средняя

Информация

Управление

Сгенерирован токен установки агента на терминальный сервер: {0}

Средняя

Информация

Управление

Изменен статус опубликованного приложения. Имя приложения: {0}. Новый статус: {1}

Средняя

Информация

Управление

Пользователь был успешно аутентифицирован. Имя пользователя: {0}

Средняя

Информация

Аутентификация

Встроенная учетная запись пользователя была разблокирована. Имя пользователя: {0}

Средняя

Информация

Аутентификация

Учетная запись пользователя была разблокирована администратором. Имя пользователя: {0}

Средняя

Информация

Аутентификация

Пользователь отключился от терминальной сессии. Адрес терминального сервера: {0}. ID сессии: {1}

Средняя

Информация

Сессии

Успешно открыта сессия для опубликованного приложения. Адрес терминального сервера: {0}. Название приложения: {1}. ID сессии: {2}

Средняя

Информация

Сессии

Успешное переподключение сессии для опубликованного приложения. Адрес терминального сервера: {0}. Название приложения: {1}. ID сессии: {2}

Средняя

Информация

Сессии

Опубликованное приложение успешно запущено. Адрес терминального сервера: {0}. Название приложения: {1}. ID сессии: {2}

Средняя

Информация

Сессии

Терминальная сессия была запущена на сервере. ID сессии: {0}

Средняя

Информация

Сессии

Терминальная сессия была завершена на сервере. Адрес терминального сервера: {0}. ID сессии: {1}

Средняя

Информация

Сессии

Начата синхронизация с LDAP. Адрес LDAP сервера: {0}

Средняя

Информация

Фоновые задачи

Завершена синхронизация с LDAP. Адрес LDAP сервера: {0}. Потрачено времени (сек): {1}

Средняя

Информация

Фоновые задачи

Учетная запись пользователя была заблокирована администратором. Имя пользователя: {0}

Средняя

Предупреждение

Аутентификация

Не удалось стартовать сервер Termit. Имя сервера: {0}. Причина: {1}

Критичная

Ошибка

Системное

Не удалось выполнить синхронизацию с LDAP. Адрес LDAP сервера: {0}. Причина: {1}

Критичная

Ошибка

Фоновые задачи

Не удалось подключить сетевой диск. Сетевое адрес: {0}. Локальное имя: {1}. Причина: {2}

Высокая

Ошибка

Системное

Не удалось добавить новую группу терминальных серверов. Имя группы: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить статус опубликованного приложения. ID приложения: {0}. Новый статус: {1}. Причина: {2}

Высокая

Ошибка

Управление

Создание нового корневого сертификата для шлюзов завершилось с ошибкой. Причина: {0}

Высокая

Ошибка

Управление

Не удалось сгенерировать токен установки агента на терминальный сервер. ID сервера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось сгенерировать команду удаления агента с терминального сервера. ID сервера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось сгенерировать команду обновления агента на терминальном сервере. ID сервера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось сгенерировать команду установки агента на терминальный сервер. ID сервера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить настройки группы терминальных серверов. Имя группы: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось удалить группу терминальных серверов. ID группы: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить статус терминального сервера. ID сервера: {0}. Новый статус: {1}. Причина: {2}

Высокая

Ошибка

Управление

Не удалось изменить статус группы терминальных серверов. Имя группы: {0}. Новый статус: {1}. Причина: {2}

Высокая

Ошибка

Управление

Не удалось добавить новый терминальный сервер. Адрес сервера: {0}. ID группы: {1}. Причина: {2}

Высокая

Ошибка

Управление

Не удалось изменить настройки терминального сервера. Адрес сервера: {0}. ID группы: {1}. Причина: {2}

Высокая

Ошибка

Управление

Не удалось удалить терминальный сервер. ID сервера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось опубликовать новое приложение. Имя приложения: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить настройки опубликованного приложения. Имя приложения: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось удалить опубликованное приложение. ID приложения: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить настройки. Название настроек: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось добавить политику доступа. ID приложения: {0}. Guid LDAP группы: {1}. Эффект: {2}. Причина: {3}

Высокая

Ошибка

Управление

Не удалось удалить политику доступа. ID политики доступа: {0}. Причина: {1}

Высокая

Ошибка

Управление

Не удалось изменить пароль администратора системы. Причина: {0}

Высокая

Ошибка

Управление

Не удалось изменить имя администратора системы. Причина: {0}

Высокая

Ошибка

Управление

Ошибка при аутентификации пользователя. Имя пользователя: {0}

Высокая

Ошибка

Аутентификация

Не удалось заблокировать встроенную учетную запись пользователя. Имя пользователя: {0}. Причина: {1}

Высокая

Ошибка

Аутентификация

Не удалось разблокировать встроенную учетную запись пользователя. Имя пользователя: {0}. Причина: {1}

Высокая

Ошибка

Аутентификация

Не удалось разблокировать учетную запись пользователя. Имя пользователя: {0}. Причина: {1}

Высокая

Ошибка

Аутентификация

Не удалось удалить брокер. ID брокера: {0}. Причина: {1}

Высокая

Ошибка

Управление

Создание нового корневого сертификата для шлюзов завершилось с ошибкой. Причина: {0}

Высокая

Ошибка

Управление

Не удалось принудительно завершить терминальную сессию. ID сессии: {0}. Причина: {1}

Высокая

Предупреждение

Сессии

Администратор принудительно завершил терминальную сессию. Адрес терминального сервера: {0}. ID сессии: {1}

Высокая

Предупреждение

Сессии

Не удалось переподключить сессию для опубликованного приложения. ID приложения: {0}. Причина: {1}

Высокая

Ошибка

Сессии

Не удалось открыть сессию для опубликованного приложения. ID приложения: {0}. Причина: {1}

Высокая

Ошибка

Сессии

Не удалось запустить приложение на сервере. ID сессии: {0}. Причина: {1}

Высокая

Ошибка

Сессии

Брокер удален. Имя брокера: {0}

Высокая

Информация

Управление

Новый корневой сертификат для шлюзов создан

Высокая

Информация

Управление

8. Профили пользователей

8.1. Настройка профиля пользователя в терминальной среде Windows

Перенаправление папок позволяет пользователям и администраторам вручную или с помощью групповой политики перенаправлять путь к определенной папке в новое расположение. Новым расположением может быть папка на терминальном сервере или каталог на файловом сервере. Пользователи будут работать с данными в перенаправленной папке.

В этом документе описано, как настроить перенаправления папок (folder redirection) на компьютерах пользователей в домене Active Directory (AD) с помощью групповых политик (GPO) для группы доступа пользователей домена.

Групповая политика применяется к пользователю или компьютеру в зависимости от расположения объектов пользователя и компьютера в AD. В некоторых случаях пользователям могут потребоваться политики, применяемые на основе расположения как объекта пользователя, так и объекта компьютера, либо только расположения объекта компьютера. Для этого можно использовать функцию замыкания групповой политики (Loopback), чтобы применить объекты групповой политики (GPO).

Подробнее о Loopback можно прочесть на официальном сайте Microsoft.

  1. Создайте в домене AD группу и добавьте в нее пользователей с помощью консоли Active Directory Users and Computers (ADUC).

  2. Создайте и опубликуйте на файловом сервере сетевую папку, в которой будут храниться перенаправленные папки с помощью проводника Windows:

    1. На файловом сервере, где будет размещена общая папка, создайте новую папку и назовите ее, например «RedirFolder».

      s redirfolder1

    2. Нажмите правой кнопкой мыши по папке, разверните Предоставить доступ к (Give Access to) и выберите Отдельные люди (Specific people).

      s redirfolder12

    3. Предоставьте полный доступ (чтение/запись) для Authenticated users .

    4. Нажмите Поделиться  Готово (Share  Done).

  3. Для того чтобы обеспечить каждому пользователю доступ только к его файлам, необходимо настроить правильные разрешения NTFS для папки:

    1. В свойствах папки перейдите на вкладку Безопасность (Security), нажмите Дополнительно (Advanced), затем нажмите Отключение наследования (Disable Inheritance).

      s redirfolder41

    2. В открывшемся окне выберите Преобразовать унаследованные разрешения в явные разрешения этого объекта (Convert inherited permissions into explicit permissions on the object).

      s redirfolder2

    3. В списке разрешений NTFS оставьте права:

      • СОЗДАТЕЛЬ-ВЛАДЕЛЕЦ (Полный доступ, Только для подпапок и файлов) (CREATOR OWNER (Full control, Subfolders and files only))

      • СИСТЕМА (Полный доступ, Для этой папки, ее подпапок и файлов) (SYSTEM (Full control, This folder, subfolders and files))

      • Администраторы (Полный доступ, Для этой папки, ее подпапок и файлов) (Administrators (Full control, This folder, subfolders and files))

      • Пользователи домена (Изменение, Чтение и выполнение, Запись, Только для этой папки) (Domain users (Modify, Read & execute, Write, This folder))

        s redirfolder4

    4. На файловом сервере в свойствах сетевой папки перейдите на вкладку Доступ (Sharing), нажмите Расширенная настройка  Разрешения (Advanced Sharing:  Permissions) и активируйте опцию Полный доступ (Full Control).

      После настройки разрешения пользователи смогут создавать папки в каталоге, а доступ к содержимому вложенных папок будет только у владельцев-пользователей.

      s redirfolder5

  4. Создайте в домене групповую политику перенаправления папок для пользователей. Для этого:

    1. Запустите консоль управления групповой политикой (GPMC).

    2. Создайте новую GPO и назначьте на Organizational Unit с пользователями.

  5. В редакторе управления групповыми политиками разверните Конфигурация пользователя  Политики  Конфигурация Windows  Перенаправление папки (User Configuration  Policies  Windows Settings  Folder Redirection.

    В разделе Перенаправление папки (Folder Redirection) находятся опции для перенаправления различных папок профиля пользователя. В этом примере приведена настройка перенаправления только для папки Документы (Documents). Остальные папки можно настроить таким же образом.

  6. Откройте свойства Документы (Documents) и на вкладке Корневая папка (Target) укажите следующие параметры перенаправления каталога:

    • Политика (Settings) – Перенаправлять папки всех пользователей в одно расположение (Basic, Redirect everyone’s folder to the same location);

    • Расположение целевой папки (Target folder location) – Создать папку для каждого пользователя на корневом пути (Create a folder for each user under the root path);

    • Корневой путь (Root path) – \\asso-addc-win2019.termit.local\RedirFolder.

      s redirfolder6

      Добавьте адрес файлового сервера и/или домен в список доверенных зон, используя групповую политику Список назначений зоны для веб-сайтов (GPO Site to Zone Assignment List) в Конфигурация компьютера  Административные шаблоны  Компоненты Windows  Internet Explorer  Панель управления Интернетом  Страница безопасности (в Computer Configuration  Administrative Templates  Windows Components  Internet Explorer  Internet Control Panel  Security Page).

      Иначе при запуске ярлыков и исполняемых файлов из перенаправленного каталога могут появляться предупреждения системы безопасности Windows.

  7. Проверьте работу групповой политики перенаправления папки. Для этого:

    1. Запустите десктоп-клиент Termit  рабочий стол.

    2. Откройте свойства папки Документы (Documents) и убедитесь, что в параметре Расположение (Location) указан UNC-путь к вашему файловому серверу.

      s redirfolder7

Вы можете создавать файлы и папки в Документы (Documents). И они будут доступны пользователю с любого компьютера в вашем домене.

8.2. Настройка профиля пользователя в терминальной среде Linux

В этом документе описано, как установить NFS-сервер, настроить папку профиля пользователя и терминальный сервер.

В настройке используются:

  • NFS-сервер на РЕД ОС 7.3.4;

  • терминальный сервер на РЕД ОС 7.3.4;

  • Active Directory на Windows Server 2019.

8.2.1. Установка NFS-сервера

  1. Разверните сервер.

  2. Введите сервер в домен с помощью команды:

    join-to-domain.sh -d ‘имя домена’ -n ‘имя сервера’ -u ‘УЗ’ -p ‘Пароль’ –ou "CN=Computers" -f -y

  3. Установите пакеты nfs-utils nfs4-acl-tools с помощью команды:

    dnf install nfs-utils nfs4-acl-tools

  4. Добавьте автостарт с помощью команды:

    systemctl enable --now nfs-server.service

  5. Проверьте запуск с помощью команды:

    systemctl status nfs-server.service

После успешного запуска NFS-сервера его статус изменится на «active».

8.2.2. Настройка папки для профилей

  1. Создайте папку с помощью команды:

    mkdir -p /srv/nfs/home

  2. Назначьте права доступа на папку с помощью команд:

    chgrp 'Пользователи домена' /srv/nfs/home
chmod g+w /srv/nfs/home

  3. Настройте доступ к папке с помощью команд:

    echo "/srv/nfs/home *(rw,sync,no_subtree_check)" | tee -a /etc/exports
exportfs -vra (работает при su -)

    Вместо * необходимо прописать IP-адрес или подсеть IP-адресов, с которых будет разрешен доступ.

8.2.3. Настройка терминального сервера

  1. Установите пакет autofs с помощью команды:

    dnf install autofs

  2. Скорректируйте конфигурацию auto.master с помощью команды:

    echo "/- /etc/auto.nfs --timeout=60" | tee -a /etc/auto.master

  3. Создайте файл конфигурации подключения файловой системы NFS с помощью команды:

    touch /etc/auto.nfs

  4. Настройте конфигурацию auto.nfs с помощью команды:

    echo "/home -rw,hard,sec=sys,intr,acl,nodiratime,sync,noac,lookupcache=none $SERVER:/srv/nfs/home" | tee -a /etc/auto.nfs

    Где:

    $SERVER — FQDN NFS-сервера.

  5. Добавьте автостарт с помощью команд:

    sudo systemctl enable autofs
sudo systemctl restart autofs

  6. Разрешите процессу mkdirhome права на запись с помощью команд:

    ausearch -c 'mkhomedir' --raw | audit2allow -M my-mkhomedir
semodule -X 300 -i my-mkhomedir.pp

  7. Добавьте разрешение для NFS и SELinux с помощью команды:

    setsebool -P use_nfs_home_dirs on

  8. Перезапустите систему с помощью команды:

    sudo reboot

Далее войдите в систему под пользователем, для которого было настроено перенаправление папок и проверьте, что:

  • вход выполнен успешно;

  • нет ошибок;

  • папка создалась на удаленном сервере.

9. Настройка логирования на агенте

В файле config, который расположен по пути:

  • Windows: C:\Program Files\TermitAgent\config\

  • Linux: /etc/termit-agent/

Можно изменить переменные окружения для настройки логирования на агенте:

  • TERMIT_AGENT_LOGGING_LEVEL — уровень логирования (ERROR, WARN, INFO, DEBUG, TRACE);

  • TERMIT_AGENT_LOG_DELETE_DAYS — количество дней для хранения логов;

  • TERMIT_AGENT_LOG_ROTATION_SIZE_MB — объем ротации файла agent.log в МБ.