Для улучшения работы сайта мы используем файлы cookies. Оставаясь на сайте, вы соглашаетесь с политикой обработки персональных данных.

Шаг 4. Настройка брокера

В этом разделе описано, как создать сервер и группу серверов, настроить LDAP, добавить роли и опубликовать приложение.

Не поддерживается развертывание БД и брокера на одном сервере.

1. Создание сервера

Чтобы создать терминальный сервер:

  1. В адресной строке браузера введите адрес брокера, например https://broker.example.com.

  2. Выберите источник авторизации:

    • Авто. Система автоматически выберет LDAP-каталог из списка доступных каталогов или внутренних пользователей.

    • Внутренние пользователи. Вход будет выполнен под учетной записью локального администратора «tadm».

    • Имя LDAP-каталога, отображаемое полное имя которого было задано при добавлении в систему, например «ldap123».

  3. Для входа под учетной записью локального администратора системы укажите в поле ввода:

    • Ваш логин — «tadm».

    • Пароль — пароль по умолчанию «admin».

      Локальная учетная запись предназначена только для настроек брокера. Ее нельзя использовать для входа в десктоп-клиент, запуска приложений и рабочих столов.

  4. Нажмите Войти.

    s login5

    После успешного входа в систему откроется интерфейс портала администрирования.

  5. На портале администрирования, в левом меню выберите раздел Серверы.

  6. В правом верхнем углу нажмите Создать сервер.

  7. На вкладке Новый терминальный сервер:

    • FQDN адрес сервера — укажите FQDN адрес терминального сервера.

    • Тип — выберите операционную систему Linux или Windows.

      s new server1

  8. Нажмите Далее.

  9. На вкладке Группа терминальных серверов группу выбирать не нужно, так как она еще не создана.

  10. Нажмите Далее.

  11. На вкладке Подтверждение информации проверьте информацию о сервере и нажмите Создать.

  12. Скопируйте указанную команду в надежное место. Она понадобится после настройки терминального сервера.

Созданный сервер появится в списке со статусом «Включен». Далее перейдите к настройке протокола LDAP.

2. Настройка LDAP

В системе для аутентификации пользователей по паролю и получения информации о пользователях, группах и связях между ними используется служба каталогов Active Directory (AD). Подробнее о настройке других LDAP-каталогов смотрите в руководстве администратора.

Также поддерживаются защищенные протоколы передачи данных LDAP over SSL и LDAP StartTLS.

Чтобы настроить LDAP:

  1. В левом меню выберите раздел Настройки.

  2. Перейдите на вкладку LDAP-каталоги и нажмите Добавить LDAP.

  3. Задайте параметры для подключения службы каталогов:

    • Полное имя каталога — отображаемое имя в списке LDAP-каталогов и при входе в систему.

    • Базовое уникальное имя. Например, для домена example.com: «DC=example,DC=com».

    • Имя пользователя. Например, для домена example.com: CN=termitsvc,CN=users,DC=example,DC=com.

    • Пароль — пароль от сервисной учетной записи.

    • Период синхронизации (мин).

      s ldap

  4. Нажмите Далее.

  5. Чтобы настроить параметры используемого типа LDAP:

    • Тип LDAP каталога — выберите AD:

      • Класс для объекта «Пользователь» — user

      • Класс для объекта «Группа» — group

      • Атрибут для идентификации объектов — objectGUID

      • Атрибут для получения отображаемого имени пользователя — cn

      • Атрибут для получения отображаемого имени группы — cn

      • Атрибут для поиска пользователя — samAccountName

      • Атрибут со списком членов групп — member

      • Атрибут, содержащий имя объекта, указанное для списка членов групп — distinguishedName

      • Атрибут, используемый для аутентификации на терминальном сервере Linux — samAccountName

      • Атрибут, используемый для аутентификации на терминальном сервере Windows — msDS-PrincipalName

      • Для чтения большого количества пользователей в группе включите опцию Поддержка range для получения членов группы.

  6. Нажмите Далее.

  7. Чтобы добавить адрес сервера LDAP, нажмите b add.

    Система всегда работает с первым LDAP-сервером. Если сервер становится недоступен, система переходит к следующему.

  8. Укажите:

    • Адрес — IP-адрес или FQDN LDAP-сервера, например «termit-example-01.com».

    • Протокол — выберите из списка:

      Перед выбором протоколов LDAP over SSL и LDAP StartTLS добавьте доверенный сертификат.

      • LDAP — технология шифрования данных при подключении к LDAP-серверу не используется. Данные передаются в открытом виде по порту 389. Не рекомендуется использовать в продуктовых инсталляциях.

      • LDAP over SSL — защищенная версия протокола LDAP, которая использует технологию шифрования SSL/TLS при подключении к LDAP-серверу по порту 636.

      • LDAP StartTLS — защищенная версия протокола LDAP, при использовании которой сначала устанавливается незащищенное соединение по порту 389, а затем отправляется запрос на шифрование.

    • Порт — порт выбирается автоматически в зависимости от выбранного протокола. При необходимости параметр можно изменить.

  9. Нажмите Сохранить  Далее.

  10. На вкладке Подтверждение информации проверьте информацию о сервере LDAP и соединение. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

    При успешном соединении появится сообщение «Проверка соединения прошла успешна».

  11. Нажмите Сохранить.

    Состояние синхронизации LDAP и системы смотрите в разделе Журнал событий.

LDAP настроен. Перейдите к добавлению ролей.

3. Настройка ролей

В системе предусмотрены следующие роли:

  • Администраторы. Администраторы могут полностью контролировать систему, например, управлять серверами, пользователями и приложениями.

  • Служба поддержки. Служба поддержки может просматривать настройки, информацию о серверах и сессиях в разделе Обзор, журнал событий, список сессий, завершать сессии и блокировать пользователей. Выполняет функцию L1 технической поддержки.

  • Пользователи. У пользователей есть учетные записи, с помощью которых они имеют доступ к СТД «Термит». Только пользователи могут запускать приложения.

  • Аудитор ИБ. Аудитор ИБ может просматривать настройки, информацию о серверах и сессиях в разделе Обзор, журнал событий, список сессий.

Чтобы добавить роли:

  1. В разделе Настройки перейдите на вкладку Роли.

  2. Наведите курсор на Администраторы и нажмите b pencil.

  3. Нажмите b add.

  4. Добавьте группы из каталога пользователей для роли администраторов. Можно добавить несколько групп. Также поддерживаются вложенные группы.

  5. Нажмите Сохранить  Сохранить.

Для ролей Служба поддержки, Пользователи и Аудитор ИБ повторите действия из шагов 3-5.

4. Создание группы серверов

Чтобы создать группу серверов:

  1. В левом меню выберите раздел Группы серверов.

  2. В правом верхнем углу нажмите Создать группу.

  3. На вкладке Основные настройки:

    • Имя — укажите название группы терминальных серверов.

    • Тип — выберите операционную систему Linux или Windows.

    • (Опционально) Описание — добавьте описание группы серверов.

      s name group

  4. Нажмите Далее.

  5. На вкладке Терминальные серверы выберите из списка сервер, который создали ранее.

  6. Нажмите Далее.

  7. На вкладке Подключение сетевых дисков можно настроить, какие сетевые диски будут доступны пользователям в терминальной сессии. Подробнее смотрите в руководстве администратора.

  8. Нажмите Далее.

  9. На вкладке Балансировка терминальных серверов оставьте значение весов по умолчанию. Подробнее о балансировке серверов.

  10. Нажмите Далее.

  11. На вкладке Таймауты сессий оставьте значения по умолчанию. Подробнее смотрите настройки параметров таймаута.

  12. Нажмите Далее.

  13. На вкладке Подтверждение информации проверьте информацию о группе серверов и нажмите Создать. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

Созданная группа появится в списке. Далее перейдите к публикации приложения.

5. Публикация приложения

Чтобы добавить приложение:

  1. На портале администрирования, в левом меню выберите раздел Приложения.

  2. Нажмите Добавить приложение.

  3. На вкладке Основные настройки задайте параметры:

    • Имя — укажите название приложения, например «Блокнот».

    • Операционная система — Linux или Windows.

    • Тип — выберите Приложение или Рабочий стол.

      Чтобы разделить список на приложения и рабочие столы, включите опцию в настройках.

    • Команда для запуска — команда для запуска приложения или рабочего стола. Также для запуска приложения можно указать путь к исполняемому файлу и добавить параметры через пробел.

      Если путь к приложению содержит пробелы (например, в названии папки или файла), его необходимо заключить в кавычки для корректного выполнения команды, например "C:\Users\Public\Desktop\Google Chrome.lnk".

      • Команды для запуска рабочего стола:

        • Linux:

          • XFCE — xfce4-session

          • MATE — mate-session

          • FLY — fly-wm

        • Windows:

          • Explorer — explorer.exe

      • Команды для запуска приложения (например, top):

        • Linux:

          • XFCE — xfce4-terminal -e "top"

          • MATE — mate-terminal -e "top"

          • FLY — fly-term -e "top"

            s desktop main settings

            • Короткую команду можно использовать, если:

              • она позволяет запустить приложение напрямую на терминальном сервере;

              • расположение приложения добавлено в переменную среды PATH, например notepad.exe.

            • Не работают переменные для настройки приложений Windows.

    • (Опционально) Версия — версия приложения.

    • (Опционально) Описание — описание приложения.

  4. Нажмите Далее.

  5. На вкладке Пользовательский вид задайте настройки пользовательского отображения. Для этого:

    • (Опционально) Загрузите иконку приложения.

      Максимальное допустимое к загрузке разрешение составляет 128х128 пикселей.

    • (Опционально) Название у пользователя — укажите название приложения, которое будет отображаться у пользователя, например «Блокнот».

    • Категорию выбирать не нужно, так как она еще не создана. Подробнее смотрите в в руководстве администратора.

      s desktop custom view

  6. Нажмите Далее.

  7. На вкладке Группа терминальных серверов выберите группу терминальных серверов для приложения, которую создали ранее.

    s desktop group servers

  8. Нажмите Далее.

  9. На вкладке Группы доступа приложения добавьте LDAP-группу:

    1. Нажмите b add и выберите из списка LDAP-группу, пользователи которой будут иметь доступ к этому приложению. Можно добавлять несколько групп доступа к приложению.

      s desktop access app

    2. Нажмите Сохранить.

  10. Нажмите Далее.

  11. На вкладке Подтверждение информации проверьте информацию о приложении и нажмите Создать. При необходимости вы можете вернуться на предыдущие шаги и изменить параметры.

После создания приложение появится в списке со статусом «Вкл.».

Далее перейдите к настройке терминального сервера.