У цій статті ми налаштуємо єдиний вхід доменних користувачів на термінальну ферму. Підготовка інфраструктури.
Створення DNS-запису: На контролері домену, який обслуговує зону it-homyak.com.ua(або внутрішню зону, якщо вона розділена), створіть A-запис sso, що вказує на IP-адресу сервера sr-adfs.
Для коректної роботи AD FS рекомендується використовувати Group Managed Service Account (gMSA). Виконайте на контролері домену (Domain Controller):
# Створення ключа KDS (якщо раніше не було створено в домені) Add-KdsRootKey -EffectiveTime (Get-Date).AddHours(-10) # Створення сервісного облікового запису gMSA для AD FS New-ADServiceAccount -Name "fs_gmsa" -DNSHostName "sso.it-homyak.com.ua" -ServicePrincipalNames "host/sso.it-homyak.com.ua"
Встановлення AD CS (Центр сертифікації)
Встановіть роль AD CS:
# Встановлення ролі та інструментів управління Install-WindowsFeature Adcs-Cert-Authority -IncludeManagementTools # Налаштування Enterprise Root CA Install-AdcsCertificationAuthority -CAType EnterpriseRootCa -CACommonName "office-SR-ADFS-CA-1" -CryptoProviderName "RSA#Microsoft Software Key Storage Provider" -KeyLength 2048 -HashAlgorithmName SHA256 -ValidityPeriod Years -ValidityPeriodUnits 10
Випуск SSL-сертифіката для AD FS
Створення шаблону сертифіката:
Відкрийте консоль «Центр сертифікації» (certsrv.msc), натисніть правою кнопкою миші у розділі «Шаблони сертифікатів» та виберіть пункт «Керування».
Вибираємо шаблон “Веб-сервер”, клацаємо правою кнопкою миші “Скопіювати шаблон”. У параметрах режиму сумісності вибираємо версію нашої ОС. У вкладці “Загальні” вказуємо нове ім’я шаблону (Веб-сервер 2048) та період дії. У вкладці “Обробка запиту” обов’язково вибираємо “Експортувати закритий ключ”
Сервер AD FS потребує сертифіката для захисту комунікацій (Service-Communications), ім’я якого збігається з ім’ям служби федерації.
Натисніть Win + R та введіть certlm.msc.
Перейдіть в Особисті (Personal) -> Сертифікати (Certificates).
Клацніть правою кнопкою миші -> Всі завдання (All Tasks) -> Запросити новий сертифікат (Request New Certificate).
Виберіть “Веб-сервер 2048” (Web Server 2048).
Натисніть посилання додаткових параметрів і вкажіть:
Вкладка «Суб’єкт» (Subject): Виберіть тип Загальне ім’я (Common Name) та введіть: sso.it-homyak.com.ua. Додайте його.
Вкладка «Суб’єкт» (Альтернативне ім’я / SAN): Виберіть тип служба DNS та додайте sr-adfs.it-homyak.com.ua та sso.it-homyak.com.ua
Натисніть Заявка (Enroll).
У властивості випущеного сертифіката на вкладці «Склад» скопіюйте його Відбиток (Thumbprint). Приклад D1EE0177774D24E54D11B6F1BAF233CD735C4FA7.
Встановлення AD FS
Встановлення ролі AD FS:
Install-WindowsFeature adfs-federation -IncludeManagementTools
Налаштування ферми AD FS: Використовуйте відбиток сертифіката та створений раніше gMSA-аккаунт домену:
Install-AdfsFarm -CertificateThumbprint "D1EE0177774D24E54D11B6F1BAF233CD735C4FA7" -FederationServiceName "sso.it-homyak.com.ua" -GroupServiceAccountIdentifier "office\fs_gmsa$"
Перезавантажте сервер.
Генеруємо сертифікат на сервері брокері (br.it-homyak.com.ua):
Натисніть Win + R та введіть certlm.msc.
Перейдіть в Особисті (Personal) -> Сертифікати (Certificates).
Клацніть правою кнопкою миші -> Всі завдання (All Tasks) -> Запросити новий сертифікат (Request New Certificate).
Виберіть “Веб-сервер 2048” (Web Server 2048).
Натисніть посилання додаткових параметрів і вкажіть:
Вкладка «Суб’єкт» (Subject): Виберіть тип Загальне ім’я (Common Name) та введіть: br.it-homyak.com.ua. Додайте його.
Вкладка «Суб’єкт» (Альтернативне ім’я / SAN): Виберіть тип служба DNS та додайте br.it-homyak.com.ua Натисніть Заявка (Enroll).
У властивості випущеного сертифіката на вкладці «Склад» скопіюйте його Відбиток (Thumbprint). Приклад MNEE0177564D24E54D11B6F1BAF233CD735C4ND1.
Налаштування GPO
Створюємо нову політику “SSO for RDS”. Цю політику націлюємо на OU із термінальною фермою.
Конфігурація комп’ютера -> Політики -> Адміністративні шаблони -> Компоненти Windows/Internet Explorer/Панель керування браузером/Вкладка «Безпека»:
Список призначень зони для веб-сайтів:
Список призначень зони для веб-сайтів Увімкнено
Введіть призначення для зони:
https://sso.it-homyak.com.ua
Система/Передача облікових даних:
Дозволити передачу облікових даних, встановлених за замовчуванням Увімкнено
Додати сервери до списку:
TERMSRV/*.it-homyak.com.ua
TERMSRV/rdg.it-homyak.com.ua
Конфігурація користувача -> олітики -> Адміністративні шаблони -> Компоненти Windows/Служби віддалених робочих столів/Клієнт підключення до віддаленого робочого столу:
Вкажіть відбитки сертифікатів, які представляють довірених видавців .rdp-файлів Увімкнено
Список довірених відбитків сертифікатів, розділених комами (з префіксом sha256:, sha384: або sha512:):
MNEE0177564D24E54D11B6F1BAF233CD735C4ND1, D1EE0177774D24E54D11B6F1BAF233CD735C4FA7
Створюємо нову політику “DeviceGuard”. Цю політику націлюємо на OU із комп’ютерами користувачів. Я цілував на весь домен.
Конфігурація комп’ютера -> Політики -> Адміністративні шаблони -> Система/Device Guard
Включити засіб безпеки на основі віртуалізації Вимкнено
Конфігурація комп’ютера -> Налаштування -> Конфігурація Windows -> Реєстр
Створюємо елемент реєстру
Дія: Оновити
Кущ: HKEY_LOCAL_MACHINE
Шлях розділу: SYSTEM\CurrentControlSet\Control\Lsa
Ім’я параметра: LsaCfgFlags
Тип параметра: REG_DWORD
База: десяткова
Створюємо другий елемент реєстру
Дія: Оновити
Кущ: HKEY_LOCAL_MACHINE
Шлях розділу: SOFTWARE\Policies\Microsoft\Windows\DeviceGuard
Ім’я параметра: LsaCfgFlags
Тип параметра: REG_DWORD
База: десяткова
Налаштування сервера брокера br.it-homyak.com
Тепер на сервері брокера br.it-homyak.com.ua
Диспетчер серверів -> Служби віддалених робочих столів -> Колекції
Завдання -> Змінити властивості розгортання
Сертифікати
Додати сертифікат брокера br.it-homyak.com.ua який раніше генерували в:
“Посередник підключення до віддаленого робочого столу: включення єдиного входу до системи”
“Посередник підключення до віддаленого робочого столу: публікація”
Обов’язкове включення функції «Вимагати використання комп’ютерами автентифікації на рівні мережі» (NLA) на брокері br.it-homyak.com.ua
Приклад RDP файлу:
redirectclipboard:i:1
redirectprinters:i:1
redirectcomports:i:0
redirectsmartcards:i:0
drivestoredirect:s:G:;
session bpp:i:32
server port:i:3389
allow font smoothing:i:1
promptcredentialonce:i:0
videoplaybackmode:i:0
audiocapturemode:i:0
gatewayusagemethod:i:2
gatewayprofileusagemethod:i:1
gatewaycredentialssource:i:4
full address:s:br.it-homyak.com.ua
gatewayhostname:s:rdg.it-homyak.com.ua:4430
workspace id:s:br.it-homyak.com.ua
use redirection server name:i:1
loadbalanceinfo:s:tsv://MS Terminal Services Plugin.1.main-office
use multimon:i:1
screen mode id:i:2
desktopwidth:i:1920
desktopheight:i:1080
winposstr:s:0,3,0,0,800,600
compression:i:1
keyboardhook:i:2
connection type:i:7
networkautodetect:i:1
bandwidthautodetect:i:1
displayconnectionbar:i:1
enableworkspacereconnect:i:0
disable wallpaper:i:0
allow desktop composition:i:0
disable full window drag:i:1
disable menu anims:i:1
disable themes:i:0
disable cursor setting:i:0
bitmapcachepersistenable:i:1
audiomode:i:0
redirectlocation:i:0
redirectposdevices:i:0
autoreconnection enabled:i:1
authentication level:i:2
prompt for credentials:i:0
negotiate security layer:i:1
remoteapplicationmode:i:0
alternate shell:s:
shell working directory:s:
gatewaybrokeringtype:i:0
rdgiskdcproxy:i:0
kdcproxyname:s:
remoteappmousemoveinject:i:1
redirectwebauthn:i:1
enablerdsaadauth:i:0
username:s:office\P.S.: За аналогією брокера можна додавати інші сервери.