6.2.11 Remote Desktop Services

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Аннотация

В настоящем документе рассматривается настройка аутентификации по электронным ключам JaCartaPKI в сессию RemoteDesktopServices. Настоящая инструкция предполагает наличие развёрнутой инфраструктуры PKI на базе центра сертификацииMicrosoftи не содержит информации по её настройке.

Описание демо-стенда

• MicrosoftWindowsServer 2012 R2 —сервер с роль юконтроллера домена (DomainController) и центра сертификации (CertificationAuthority).

• Microsoft Windows Server 2012 R2 —сервер с ролью служб терминалов (Remote Desktop Services).

Решение может быть развёрнуто в рамках любой версии современногоMicrosoftWindowsServer (2003, 2008, 2012, 2016), настоящий пример описывает работу с Server 2012 R2. В минимальной конфигурации требуется один сервер, на котором могут быть установлены сразу все роли — контроллер домена (ActiveDirectory), центр сертификации (CertificationAuthority) и сам терминальный сервер (RemoteDesktopServices).

На каждом сервере должен быть установлен набор драйверов и утилит управления электронными ключами JaCartaPKI: JC-Client 6.32 и выше или “Единый Клиент JaCarta” 2.10 и выше.

• MicrosoftWindows 7x64—ПКпользователя № 1

• MicrosoftWindows 10x64 —ПКпользователя № 2

Со стороны клиента используются два ПК для одновременной аутентификации двух пользователей. Клиентской ОС может выступать любой Windows, Linux или специализированная прошивка устройства, способная работать спротоколом RDPи смарт-картами.

На каждом клиенте должен быть установлен набор драйверов и утилит управления электронными ключами JaCartaPKI: JC- Client 6.32 и выше или “Единый Клиент JaCarta” 2.10 и выше.

Ход настройки

1. Настоящая инструкция не рассматривает ход настройки контроллера домена, центра сертификации и установки драйверов и утилит управленияэлектронными ключами JaCarta. Для получения справки по этим вопросам следует обратиться к следующим источникам:.

• документация по WindowsServer версии, соответствующей установленной, для настройкироли

домен контроллера;

• “JaCarta для Windows, руководство по внедрению” для настройки центра сертификации и аутентификации по смарт-картам и USB-токенам;
• “JC-Client, руководство администратора” или “Единый Клиент JaCarta, руководство администратора” для установки и настройки драйверов и утилит управления электронными ключами JaCarta.

Настройка Сервер а терминалов

На сервере с ролью RemoteDesktopServices необходимо выполнить следующие действия.

1. Щёлкните правой кнопкой меню Пуск, в открывшемся окне щёлкните System (Система).

   

В отобразившемся окне, в левой части, выберите RemoteSettings (Настройка удалённого доступа).

2. В настройках удалёного доступа разрешите удалённое подлючение.

   

3. Опционально можно включить/отключить проверку на уровни сети (NLA). Не все RDP-клиенты имеют поддержку NLA,например, дефолтныйRDP-клиент в ОС WindowsXP не поддерживает NLA.

4. Нажмите **Select User… (Выбрать пользователей…)**и укажите пользователей или целые группы пользователей из AD, которым будет разрешён доступ к службе RemoteDesktopServices.

   

5. В открывшемся окне RemoteDesktopUser (Пользователи удалённого рабочего стола) нажмите Add… (Добавить…).

   

Отобразится меню **SelectUsersorGroups (Выбор: “Пользователи” или “Группы”).**В поле Fromthislocation (В следующем месте) должно отображаться имя Вашего домена. Далее введите

имя пользователя или имя группы, можно неполностью и нажмите CheckNames (Проверить имена). Система предложит полный список соответствий имён для введённого значения.

6. Выберите нужного пользователя или группу, примените изменения, OK->OK->Apply (Применить).

   

В нашем примере, длязначения vdi, отобразятся все пользователи и группы, содержащие “vdi” в своём названии.

Настройка

политик безопасности домена( AD )

На сервере с ролью домен контроллеранеобходимо выполнить следующие действия.

1. Откройте MicrosoftManagementConsole (MMC(Консоль Управления Microsoft)), для этого щёлкните правой кнопкой меню Пуск, в открывшемся окне щёлкните Run (Выполнить), в отобразившемся окне наберите mmc и нажмите OK.

2. В отобразившемся окне выберите File (Файл) ->Add/RemoveSnap-in… (Добавить или удалить оснастку…).

   

3. В отобразившемся окне выберитеоснастку GroupPolicyManagement (Управление групповой политикой), нажмите **Add (Добавить) ->OK.**В лесу нужного домена выберите DefaultDomainControllersPolicy (Объекты групповой политики).

   

4. Щёлкните правой кнопкой мыши поDefault Domain Controllers Policy и выберите Edit… (Изменить…).

   

5. ОткроетсяGroupPolicyManagementEditor (Редактор управления групповыми политиками), перейдите в категориюComputerConfiguration (Конфигурация компьютера) ->Policies (Политики) - >WindowsSettings (Конфигурация Windows) ->SecuritySettings (Параметры безопасности) - >LocalPolicies (Локальные политики) ->UserRightsAssignment (Назначение прав пользователей).

   

6. Выберитенастройки политики AllowlogonthroughRemoteDesktopsServices (Разрешить вход в систему.

через службу удалённых рабочих столов).

ПоставьтегалкунапротивDefinethesepolicysettings (Определить следующие параметры политики) и нажмите AddUserorGroup (Добавить пользователя или группу).

7. Нажмите Browse… (Открыть…).

   

8. Выберите нужного пользователя или группу, примените изменения.

   

   

Закройте Group Policy Management Editor (Редактор управления групповыми политиками) и все остальные окна.

9. Выполните перезагрузку.

10. На этом настройкасервера окончена.

Отключение парольной аутентификации

1. Существует возможность отключить аутентификацию пользователя по паре логин/пароль и оставить только аутентификацию по сертификатам на электронном ключе. В этом случае без смарт-карты или USB-токена JaCarta аутентифицироваться будет невозможно.

2. Для выполнения этой настройки необходимо на сервере с ролью домен контроллера выполнить следующие действия.

3. Откройте MicrosoftManagementConsole (MMC(Консоль Управления Microsoft)), для этого щёлкните правой кнопкой меню Пуск, в открывшемся окне щёлкните Run (Выполнить), в отобразившемся окне наберите mmc и нажмите OK.

4. В отобразившемся окне выберите File (Файл) ->Add/RemoveSnap-in… (Добавить или удалить оснастку…).

   

   

ВотобразившемсяокневыберитеоснасткуActiveDirectoryUsersandComputers (ActiveDirectory— пользователи и компьютеры), выберите**Users (Пользователи)**и для пользователей, которым требуется запретить аутентификацию по паролю, выберите в их свойствах параметров SmartCardisrequiredforinteractivelogon (Для интерактивного входа в сеть требуется смарт-карта).

5. После выполнения этих настроек аутентификация пользователя будет возможна только при наличии электронного ключа JaCarta и сертификата пользователя на нём. Обычный вход по паролю и логину работать не будет.

   

Настройка клиента

Для аутентификации по смарт-картам в RemoteDesktopServices со стороны клиентатребуется настроенная на работу со смарт-картами рабочая станция. Это может быть полноценный ПК, ноутбук или тонкий клиент.

1. Поддерживаются различные типы ОС, включая Linux, а также некоторые специализированные прошивки тонких клиентов, например, Dell/WyseThinOS.

Настройка подразумевает установку пакета драйверов и утилит для работы с электронными ключами JaCartaи сам клиент для RDP-соединения. Во всех современных ОС семейства WindowsRDP-клиент встроен по умолчанию, по сути остаётся только настроить ярлык соединения или каждый раз открывать утилиту RemoteDesktopConnection (Подключение к удалённому рабочему столу) ивводить адрес сервера вручную. Настройка соединения в Windows будет показано ниже.

В следующей главе будет описан пример настройкисоединения для Windows 7 и 10.

Из-за многообразия и разрозненности дать однозначную инструкцию по настройке других операционных систем невозможно, поэтому следует эти сценарии рассматривать отдельно.

Проверка работоспособности

1. Для проверки работоспособности решения необходимо запустить две одновременно активных сессии двух разных пользователей. В настоящем примере это пользователь 1 с клиентской машиной Windows 7 и пользователь 2c клиентской машиной Windows 10.

Windows

7 (Пользователь 1)

1. Перед началом настройки убедитесь в том, что установлены драйвера и утилиты JaCarta — “Единый Клиент JaCarta” или “JC-Client”. На самом ключеJaCarta должен находиться сертификат пользователя,выпущенныйMSCA по шаблону “Пользователь со смарт-картой” или “Вход со смарт-картой”.

2. Для подключения к серверу откройте утилиту Подключение к удалённому рабочему столу, для этого нажмите Пуск -> Все программы -> Стандартные ->Подключение к удалённому рабочему столу.

3. В отобразившемся окне выберите Параметры.

   

4. Перейдите на вкладку Локальные ресурсы и в поле Локальные устройства и ресурсы нажмите Подробнее.

   

   

Если поле Смарт-карты не отмечено, отметьте его.

5. Сохраните изменения и выполните подключение к серверу, нажав Подключить.

   

6. В отобразившемся окне выберите Учётные данные смарт-карты, введите PIN-код и нажмите OK.

   

   

После аутентификации пользователь попадёт на свой виртуальный рабочий стол.

Для того, чтобы каждый раз не вводить адрес сервера или другие настройки вручную, существует возможность создать ярлык быстрого доступа.

7. Для этого, открыв Параметры, перейдите во вкладку Общее. В поле Параметры подключения нажмите Сохранить как….

8. В отобразившемся окне укажите путь, куда следует сохранить ярлык быстрого доступа.

   

9. В настоящем примере файл помещён на рабочий стол.

   

10. Дважды щёлкнув по нему, система попросит предьявить PIN-код от JaCarta.

А после аутентификации пользователь попадёт на свой виртуальный рабочий стол.

Пользователь попадает в ту же сессию, из которой вышел в прошлый раз. Перезапуска программ и процессов не происходит.

Windows 10 (Пользователь 2)

1. Перед началом настройки убедитесь в том, что установлены драйвера и утилиты JaCarta — “Единый Клиент JaCarta”или “JC-Client”. На самом ключеJaCarta должен находиться сертификат пользователя,выпущенныйMSCA по шаблону “Пользователь со смарт-картой” или “Вход со смарт-картой”.

Настройка

2. Для подключения к серверу откройте утилиту Подключение к удалённому рабочему столу, для этого нажмите Пуск -> Все программы -> Стандартные -> Подключение к удалённому рабочему столу.

3. В отобразившемся окне выберите Параметры.

   

4. Перейдите на вкладку Локальные ресурсы и в поле Локальные устройства и ресурсы нажмите Подробнее.

   

   

Если поле Смарт-карты не отмечено, отметьте его.

5. Сохраните изменения и выполните подключение к серверу, нажав Подключить.

   

6. В отобразившемся окне выберите Больше вариантов.

   

7. В отобразившемся окне выберите Учётные данные смарт-карты, введите PIN-код и нажмите OK.

   

   

После аутентификации пользователь попадёт на свой виртуальный рабочий стол.

Для того, чтобы каждый раз не вводить адрес сервера или другие настройки вручную, существует возможность создать ярлык быстрого доступа.

8. Для этого, открыв Параметры, перейдите во вкладку Общее. В поле Параметры подключения нажмите **Сохранить как…**и укажите путь для сохранения ярлыка быстрого доступа.

9. В настоящем примереполученный файл помещён на рабочий стол.Дважды щёлкнув по нему, система попросит предъявитьPIN-код от JaCarta.

   

10. Введите PIN-код от JaCarta.

После аутентификации пользователь попадёт на свой виртуальный рабочий стол.

Пользователь попадает в ту же сессию, из которой вышел в прошлый раз. Перезапуска программ и процессов не происходит.