JAS-плагин (модуль расширения) для MS RDG позволяет пользователям выполнять аутентификацию на шлюзе Microsoft RDG с применением усиленной аутентификации на основе OTP для дальнейшего подключения к удаленному рабочему столу. Подключение происходит в автоматизированном режиме из Web-браузера с динамической генерацией RDP-файла для каждого инициируемого пользователем сеанса работы с удаленным рабочим столом.
Важно! Аутентификация на шлюзе MS RDG применением JAS-плагина возможна только при использовании программных и аппаратных OTP-токенов (Messaging-токены и U2F-аутентификаторы не поддерживаются).
Подготовка к установке JAS-плагина для MS RDG
Перед установкой JAS-плагина установите службу роли Шлюза удаленных рабочих столов (имя службы — «Шлюз удаленных рабочих столов», Remote Desktop Gateway) в соответствии с документацией Microsoft Windows Server.
Установка JAS-плагина для MS RDG
Чтобы установить JAS-плагин для MS RDG, на сервере с установленной ролью Шлюза удаленных рабочих столов выполните следующие действия.
- Запустите файл установки: JAS.RDGPlugin-X.X.X.XXX-x64.msi (только для 64-битных систем).
Отобразится следующее окно.
Рис. 54 – Окно приветствия мастера установки JAS-плагина для MS RDG
2. Нажмите Далее. В окне лицензионного соглашения выберите Я принимаю условия лицензионного соглашения, после чего нажмите Далее.
3. В окне выбора вида установки выберите Полная и следуйте указаниям мастера до окончания установки плагина.
4. По завершении установки отобразится следующее окно.
Рис. 55 – Окно завершения установки
5. Нажмите Готово.
Отобразится следующее сообщение.
Рис. 56 – Предупреждение о необходимости перезагрузки
6. Нажмите Нет.
7. Дождитесь автоматической загрузки графического конфигуратора JAS-плагина для MS RDG и переходите к его настройкам (см. ниже)
Настройка JAS-плагина для MS RDG
После установки JAS-плагина для MS RDG автоматически откроется окно так называемого «конфигуратора» Настройка JAS-плагина для MS RDG (Рис. 57, с. 79).
Если вы закрыли окно конфигуратора, то можете запустить его вручную, см. «Работа с конфигуратором JAS-плагина для MS RDG», ниже.
Работа с конфигуратором JAS-плагина для MS RDG
Ниже описана процедура работы с конфигуратором Настройка JAS-плагина для MS RDG.
- В меню Пуск выберите JaCarta Authentication Server -> Настройка JAS-плагина для MS RDG.
Отобразится следующее окно.
Рис. 57 – Окно Настройка JAS плагина для MS RDG
При загрузке конфигуратор считывает текущее содержание настроек плагина из реестра.
Примечание. При редактировании полей формы можно воспользоваться всплывающей подсказкой при наведении курсора мыши на поле ввода (Рис. 58)
Рис. 58 – Использование всплывающей подсказки в полях формы
2. Выполните настройку, руководствуясь Табл. 17.
Табл. 17 - Настройка JAS-плагина для MS RDG
Поле конфигуратора | Имя параметра в реестре | Описание |
|---|---|---|
<Секция> Общие настройки | ||
Имя файла лога | LogFilePath | Путь, по которому будет сохраняться файл журнала |
Уровень логирования | LogLevel | Уровень ведения журнала событий. · OFF –ведение журнала событий отключено; · FATAL – неустранимая ошибка; · ERROR – ошибка (значение по умолчанию); · WARN – предупреждение; · INFO – информация; · DEBUG – отладка; · ALL – показывать все события.
|
Язык | Culture | Язык пользовательского интерфейса JAS-плагина. Допустимые значения: · en (английский язык); · ru (русский язык). Значение по умолчанию: ru
|
Домен по умолчанию | DefaultUserDomain | Значение по умолчанию имени домена пользователя. Данное значение добавляется к имени пользователя при аутентификации в web-форме JAS-плагина, если в плагин было передано имя пользователя без домена. Значение по умолчанию: пустая строка |
<Секция> Подключение к JAS | ||
Адрес JAS | ServiceUri | Адрес сервера JAS в следующем формате: http://<FQDN-имя сервера>:8221/api/v4.1 где <FQDN-имя сервера> – полное доменное имя (FQDN) сервера JAS, например, srv01.test.com; |
Использовать аутентификацию | <без параметра в реестре> | Флаг следует оставить неустановленным (в текущей версии данная настройка не используется). |
Логин JAS | JASUsername | Не заполняется (в текущей версии данная настройка не используется) |
Пароль JAS | JASPassword | Не заполняется (в текущей версии данная настройка не используется) |
Поддерживаемые протоколы | SecurityProtocols | Список поддерживаемых протоколов шифрования для обмена данных между сетевыми узлами. Представляются списком через запятую (например: Ssl3, Tls, Tls11, Tls12). Допустимые значения: · Ssl3; · Tls; · Tls11; · Tls12. По умолчанию указываются все допустимые типы протоколов |
Кнопки управления | ||
По умолчанию | Привести значения в форме к значениям по умолчанию (например, для последующего редактирования или сохранения в реестр) | |
Загрузить из реестра | Загрузить в форму значения из реестра. (При запуске конфигуратора значения из реестра автоматически загружаются в поля формы.) | |
Сохранить в реестр | Сохранение текущих значений из формы в реестр. В момент нажатия на кнопку пользователю предлагается перезапуск службы NPS, Рис. 60. | |
Сохранить в файл | Отображаемые в форме параметры можно сохранить в reg-файл для последующего восстановления настроек | |
Загрузить из файла | Конфигуратор позволяет загрузить в форму параметры плагина из reg-файла, ранее сохраненного с помощью кнопки Сохранить в файл | |
Примечание. Указанные в таблице параметры реестра (графа Имя параметра в реестре) располагаются в разделе реестра [HKEY_LOCAL_MACHINE\SOFTWARE\Aladdin\JAS RDG Plugin], Рис. 59.
Рис. 59 – Настройки JAS-плагина для MS RDG
3. По нажатии на кнопку Сохранить в реестр отредактированные значения полей будут сохранены в реестр, при этом пользователю будет предложено выполнить автоматическую перезагрузку службы MS RDG с тем, чтобы новые значения настроек вступили в силу, Рис. 60.
Рис. 60 – Диалог перезапуска службы MS RDG
4. В редакторе реестра предоставьте права полного доступа учетной записи, от имени которой запускается служба Шлюза удаленных рабочих столов записи (по умолчанию это учетная запись NETWORK_SERVICE), к разделу реестра [HKEY_LOCAL_MACHINE\SOFTWARE\Aladdin\JAS RDG Plugin]
5. После внесения изменений в реестр перезагрузите компьютер.
6. После перезагрузки компьютера убедитесь в том, что JAS-плагин для MS RDG загрузился корректно (в файле журнала — по умолчанию C:\ProgramData\Aladdin\JAS RDG Plugin\Logs\Aladdin.JAS.RDGPlugin.log — не должно быть записей об ошибках загрузки).
7. Настройте доступ к папке C:\Program Files\Aladdin\JAS RDG Plugin\RDGPluginWeb через веб-сервер (IIS или любой другой, предоставляющий доступ к статическому контенту). Убедитесь, что web-страницы плагина для аутентификации на шлюзе RDG на соответствующих языках открываются в браузере по адресам:
- https://<DNS-имя сервера RDG>/RDGPluginWeb/en/index.html
- https://<DNS-имя сервера RDG>/RDGPluginWeb/ru/index.html
где <DNS-имя сервера RDG> -- имя сервера с развернутой службой шлюза удаленных рабочих столов, например rdg.test.
8. Настройте шаблон RDP-подключения в файле C:\Program Files\Aladdin\JAS RDG Plugin\RDGPluginWeb\scripts\rdpTemplate.js. в соответствии с имеющимися в нём комментариями.
Важно! Для обеспечения корректной работы плагина в файле шаблона необходимо указать адрес RDG-шлюза. Для этого в строке
...'gatewayhostname:s:rdg.idsol.inc', // Имя узла шлюза удаленных рабочих столов...вместо rdg.idsol.inc укажите DNS-имя сервера с развернутой службой шлюза удаленных рабочих столов, например rdg.test.
После выполнения настроек JAS-плагин для MS RDG готов к работе.
Проверка работы JAS-плагина для MS RDG
Для проверки работы JAS-плагина для MS RDG выполните следующие действия:
- Убедитесь в том, что JAS-плагин для MS RDG установлен и настроен в соответствии с предыдущими разделами.
- Используя консоль управления JMS выпустите аппаратный или программный OTP-токен (см. разделы «Выпуск аппаратных OTP-токенов» и «Выпуск программных OTP-токенов (мобильное приложение Aladdin 2FA)» в руководстве администратора по функциям управления JMS [3]).
- В случае OTP-токена с алгоритмом HOTP выполните его синхронизацию (см. раздел «Синхронизация значений OTP (только для токенов HOTP)» в руководстве администратора по функциям управления JMS [3]).
- В web-браузере откройте страницу плагина для аутентификации на шлюзе RDG на выбранном языке, например:
https://<DNS-имя сервера RDG>/RDGPluginWeb/ru/index.html,
где <DNS-имя сервера RDG> — имя сервера с развернутой службой шлюза удаленных рабочих столов.
Откроется веб-страница следующего вида:
Рис. 61 – Web-страницу плагина для аутентификации на шлюзе RDG
5. Выполните следующие действия:
5.1. в поле Компьютер введите DNS-имя или IP-адрес компьютера, к которому осуществляется подключение;
5.2. в поле Логин укажите логин пользователя с указанием домена (например test\User) или без указания домена, если в параметре DefaultUserDomain реестра (см. «Настройка JAS-плагина для MS RDG», с. 78) указан домен по умолчанию;
5.3. в поле Значение OTP ... введите OTP-пароль из OTP-токена соответствующего пользователя;
5.4. нажмите Подключиться.
6. Cохраните (в случае запроса браузера) сформированный rdp-файл (Рис. 62):
Рис. 62 – Сохранение rdp-фала на диск
7. Запустите сохраненный rdp-файл на выполнение (Рис. 63):
Рис. 63 – Запуск rdp-фала на выполнение
8. Дождитесь запуска процедуры подключения к удаленному рабочему столу (Рис. 64):
Рис. 64 – Подключение к удаленному рабочему столу
9. Введите пароль в окне подключения к удаленному рабочему столу (Рис. 65):
Рис. 65 – Окно ввода пароля для подключения к удаленному рабочему столу
В случае успешного открытия сеанса удаленного доступа, служба Шлюза удаленных рабочих столов и JAS-плагин для MS RDG настроены правильно.
Типовые сообщения об ошибках при аутентификации с помощью JAS-плагина для MS RDG
При вводе неверного OTP-пароля в форме аутентификации на шлюзе RDG (Рис. 61, с. 83) web-браузер отображается ошибка следующего вида.
Рис. 66 – Типовое окно ошибки при вводе неверного OTP-пароля
В случае ошибок в настройке взаимодействия клиента с шлюзом удаленных рабочих столов может отображаться сообщение следующего вида.
Рис. 67 – Типовое сообщение при ошибке настройки взаимодействия с Шлюзом удаленных рабочих столов
Одним из вариантов решения данной проблемы является установка сертификата шлюза удаленных рабочих машин на клиентский компьютер (с которого осуществляется удаленный доступ) в разделе Доверенные корневые центры сертификации хранилища компьютера.