Инструкция актуализирована для версии Termidesk: 5.1.

Аннотация

В инструкции приведена краткая последовательность действий по публикации приложений на основе компонента «Сервер терминалов Astra Linux» (далее — STAL), выступающего в качестве метапоставщика.

Данную инструкцию рекомендуется использовать для подготовки тестового стенда. 

Исходные данные

Предварительные условия:

• инфраструктура предварительно настроена;
• метапоставщик и программный комплекс Termidesk установлены на отдельных ВМ;
• метапоставщик и программный комплекс Termidesk не введены в домен;
• для управления доступом и аутентификации используется домен FreeIPA.

Все указанные в данной инструкции IP-адреса должны быть заменены на актуальные, соответствующие схеме адресации, принятой в инфраструктуре организации.

Шаг 1. Настройка образа виртуальной машины для использования в качестве метапоставщика

Настройка гостевой ОС Astra Linux

Для настройки гостевой ОС Astra Linux нужно:

sudo apt install -y qemu-guest-agent

event=button/power
action=/sbin/poweroff

sudo apt install -y astra-freeipa-client

В случае возникновения ошибки: «Не удалось создать сессию в STAL» при подключении к метапоставщику через Клиент, на узле с установленным метапоставщиком рекомендуется отключить (systemctl --now mask) и удалить (apt remove) встроенную программу для управления сетевыми соединениями network-manager:

sudo systemctl --now mask NetworkManager && sudo apt remove network-manager

После удаления службы network-manager нужно выполнить настройку сетевых интерфейсов при помощи конфигурационных файлов /etc/network/interfaces.d/<имя интерфейса>.conf. Конфигурацию файла следует привести в соответствие схеме адресации, принятой в инфраструктуре организации, воспользовавшись справочным центром Astra Linux: https://wiki.astralinux.ru/pages/viewpage.action?pageId=3277370.

Затем выполнить перезапуск службы сети:

sudo systemctl restart networking

echo -e 'domain <имя_домена>\nsearch <имя_домена>\nnameserver <IP-адрес_DNS-сервера>' | sudo tee /etc/resolv.conf

sudo touch /etc/dhcp/dhclient-enter-hooks.d/nodnsupdate

#!/bin/bash
make_resolv_conf() {
        :
}

sudo systemctl restart networking

Установка STAL

deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-base/ 1.7_x86-64 main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-extended/ 1.7_x86-64 main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-update/ 1.7_x86-64 main contrib non-free

При наличии в файле /etc/apt/sources.list репозитория astra-ce нужно закомментировать его, чтобы избежать установки несовместимых версий пакетов.

sudo apt update

sudo apt install stal-rdp-transport
sudo apt install stal

sudo apt install stal-multimedia stal-redirect-api stal-redirect-drive stal-redirect-print stal-redirect-clip stal-redirect-scard

sudo systemctl status stal-proxy
sudo systemctl status termidesk-stal
sudo systemctl status stal-rdpepc
sudo systemctl status stal-watchdog

Настройка STAL

При установке STAL по умолчанию дополнительные настройки не требуются.

Установка и настройка компонентов

Установка сессионного Агента

Установка сессионного Агента выполняется командой:

sudo apt install termidesk-session-agent

sudo systemctl status termidesk-session-agent

Настройка сессионного Агента

При установке сессионного Агента по умолчанию дополнительные настройки не требуются.

Установка Агента ВРМ

Установка Агента ВРМ выполняется командой:

sudo apt install termidesk-agent

После установки Агент ВРМ обязательно должен быть настроен для корректной работы.

Настройка Агента ВРМ

Для настройки Агента ВРМ нужно:

• перейти в графическом интерфейсе ОС «Звезда — Панель управления — Система» и выбрать ярлык «VDI Agent Configuration»;

• «Адрес сервера»: «10.100.8.15» — IP-адрес Универсального диспетчера;
• «Мастер ключ»: «0123456789» — используется для взаимодействия с Универсальным диспетчером;
• «Шифрование»: «Использовать SSL» — выбран тип преобразования данных;
• «Уровень отладки»: «DEBUG» — выбрана степень детализации служебных сообщений.

sudo systemctl status termidesk-agent

Завершение настройки

После выполнения всех настроек нужно выключить ВМ.

Шаг 2. Получение и добавление файла keytab для интеграции Termidesk с доменом аутентификации FreeIPA

Для получения keytab-файла на контроллере домена и добавления его на узел Универсального диспетчера нужно выполнить ряд действий.

sudo kinit admin

sudo ipa host-add --force --ip-address=10.100.8.15 disp.termidesk.local

sudo ipa service-add HTTP/disp.termidesk.local

sudo ipa-getkeytab -s freeipa.termidesk.local -p HTTP/disp.termidesk.local -k /home/user/termidesk.keytab

Неважно, для какого узла создан keytab, необходимо само его наличие.

Каждая генерация keytab должна производиться в новый файл. При необходимости повторного использования имени файла, существующий файл обязательно должен быть удален перед генерацией.

sudo scp termidesk.keytab localuser@10.100.8.15:termidesk.keytab

sudo mv /home/user/termidesk.keytab /etc/opt/termidesk-vdi/

sudo chown termidesk:termidesk /etc/opt/termidesk-vdi/termidesk.keytab

sudo systemctl restart termidesk-vdi

Шаг 3. Активация экспериментального параметра метапоставщика в Termidesk

Для включения экспериментального параметра метапоставщика на узле с установленным Termidesk нужно:

• перейти в интерфейс командной строки;
• переключиться на пользователя termidesk:

sudo -u termidesk bash

Пользователь termidesk используется в качестве примера. При выполнении команд следует переключаться на пользователя, имеющего полномочия для управления Универсальным диспетчером.

/opt/termidesk/sbin/termidesk-vdi-manage tdsk_config set --section Experimental --key experimental.metasessions.provider.enabled --value 1

exit

Шаг 4. Предварительные настройки Termidesk

Добавление домена аутентификации

Для добавления домена аутентификации следует перейти «Компоненты — Домены аутентификации», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка «FreeIPA».

• «Название»: «FreeIPA» — название домена аутентификации;
• «Приоритет»: «1» — приоритет отображения домена в списке;
• «Метка»: «FreeIPA» — значение используется для идентификации объекта во внутренней структуре данных Termidesk;
• «Сервисный аккаунт»: «HTTP/disp.termidesk.local» — название сервисного аккаунта, созданного при интеграции Termidesk с доменом аутентификации FreeIPA;
• «Домен»: «TERMIDESK.LOCAL» — идентификатор области Kerberos для аутентификации;
• «Keytab»: «/etc/opt/termidesk-vdi/termidesk.keytab» — путь к файлу с ключами для сервисного аккаунта;
• «Сервер FreeIPA»: «freeipa.termidesk.local» — FQDN узла контроллера домена;
• «Проверка SSL»: «Нет» — использование SSL отключено.
  

Добавление группы домена аутентификации

Для добавления группы следует перейти «Компоненты — Домены аутентификации», в столбце «Название» сводной таблицы нажать на наименование домена аутентификации «FreeIPA».

• «Группа»: «termidesk-users» — название группы домена аутентификации;
• «Статус»: «Активный» — характеристика состояния субъектов группы при доступе к фонду РМ;
• «Тип учетной записи»: «Пользователь» — служебные функции субъектов группы при доступе к Termidesk.

Добавление пользователя домена аутентификации

По умолчанию следует добавлять только группу пользователей домена аутентификации, поскольку в интерфейсе Termidesk пользователь появляется только после первой авторизации в Универсальном диспетчере под своей учетной записью внутри домена аутентификации.

Добавление параметров гостевой ОС

Для добавления параметров конфигурации гостевой ОС следует перейти «Компоненты — Параметры гостевых ОС», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка тип «ОС Linux (в домене FreeIPA)».

• «Название»: «ОС Linux в домене FreeIPA» — название параметров гостевой ОС;
• «Домен аутентификации»: «FreeIPA» — идентификатор домена FreeIPA;
• «Аккаунт»: «admin» — идентификатор субъекта, имеющего полномочия по добавлению РМ в домен;
• «Пароль» — набор символов, подтверждающий назначение полномочий.

Добавление протокола доставки

Для добавления протокола доставки следует перейти «Компоненты — Протоколы доставки», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка соответствующий протокол.

• «Название»: «Прямой доступ к STAL по RDP» — текстовое наименование протокола доставки;
• «Приоритет»: «3» — приоритет отображения протокола в списке;
• «Время ожидания соединения»: «20» — при прямом подключении используется значение по умолчанию;
• «Порт»: «3389» — порт для подключения. Используется значение по умолчанию;
• «Динамическое разрешение»: «Да» — включена передача динамического разрешения для экрана рабочего стола.

Добавление логотипов

Логотипы используются для визуальной идентификации объектов в Termidesk.

Для добавления логотипа следует перейти «Настройки — Галерея» и нажать экранную кнопку [Создать].

Добавление группы рабочих мест

Для добавления группы рабочих мест следует перейти «Настройки — Группы рабочих мест» и нажать экранную кнопку [Создать].

параметру «Приоритет» было задано значение «2» — приоритет отображения группы в списке.

Шаг 5. Добавление метапоставщика в качестве поставщика ресурсов в Termidesk

Добавление метапоставщика в качестве поставщика ресурсов

Для добавления метапоставщика в качестве поставщика ресурсов в графическом интерфейсе управления Termidesk следует перейти «Компоненты — Поставщики ресурсов», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка «Платформа oVirt/RHEV».

• «Название»: «STAL_Meta» — название поставщика ресурсов;
• «Версия oVirt»: «4.x» — выбрана версия установленной платформы виртуализации;
• «Адрес oVirt»: «10.100.8.18» — IP-адрес фронтальной машины платформы виртуализации;
• «Логин»: «admin@internal» — субъект, имеющий полномочия для управления платформой виртуализации;
• «Пароль» — вводится значение пароля субъекта с полномочиями для управления платформой виртуализации;
• «Подготавливать ВМ одновременно»: «2» — количество одновременно создаваемых ВМ на платформе виртуализации;
• «Удалять ВМ одновременно»: «2» — количество одновременно удаляемых ВМ с платформы виртуализации;
• «Время ожидания»: «10» — максимальное время ожидания (в секундах) отклика от платформы виртуализации.

Создание шаблона метапоставщика

Для добавления шаблона следует перейти «Компоненты — Поставщики ресурсов», в столбце «Название» сводной таблицы нажать на наименование поставщика ресурсов «STAL_Meta».

• «Название»: «metaprovider» — текстовое наименование шаблона ВРМ;
• «Кластер»: «Default» — идентификатор кластера на платформе oVirt/RHEV, используемый для размещения фондов ВРМ;
• «Хранилище»: «Data (289.00 Gb/114.00 Gb) (ok)» — хранилище, представленное в платформе виртуализации. Используется для размещения файлов ВМ, входящих в фонд ВРМ;
• «Место (Гб)»: «30» — минимально необходимое дисковое пространство на объекте «Хранилище» для размещения файлов ВМ, входящих в фонд ВРМ;
• «Базовая ВМ»: «STAL» — единый базовый образ, используемый для тиражирования ВРМ;
• «Память»: «2048» — объем оперативной памяти, выделяемый ВРМ;
• «Гарантированная память»: «2048» — минимальный объем оперативной памяти, резервируемый для ВРМ;
• «USB»: «отключен» — политика разрешения доступа к USB-портам;
• «Дисплей»: «Spice» — используемый протокол удаленного доступа к ВРМ;
• «Базовое имя»: «metacl-» — часть текстового наименования, используемая в идентификаторе каждого ВРМ;
• «Длина суффикса»: «5» — длина порядкового номера текстового наименования, используемая в идентификаторе каждого ВРМ;
• «Тип суффикса»: «0-9» — параметр, задающий формат порядкового номера наименования в идентификаторе каждого ВРМ:
  • «0-9» - числовой формат порядкового номера;
  • «a-z» - символьный формат порядкового номера.

Создание фонда ВРМ на основе метапоставщика

Для добавления нового фонда ВРМ следует перейти «Рабочие места — Фонды», нажать экранную кнопку [Создать] и из выпадающего списка выбрать тип мастера публикации: «Виртуальные машины».

• «Название»: «STAL_Meta» — название фонда ВРМ;
• «Имя публикации»: «STAL метапоставщик» — название публикации;
• «Шаблон»: «STAL_Meta\metaprovider» — используемый шаблон при создании ВРМ;
• «Максимальное количество рабочих мест»: «2» — максимальное количество ВРМ в фонде.

• «Изображение»: «STAL» — выбрано графическое представление фонда ВРМ;
• «Группа»: «Сервер Терминалов» — группа рабочих мест, в которой будет отображаться созданный фонд ВРМ;
• «Параметры гостевой ОС»: «ОС Linux в домене FreeIPA» — параметры конфигурации гостевой ОС, которые будут использованы при создании ВРМ;
• «Протоколы доставки»: «Прямой доступ к STAL по RDP» — выбор одного или нескольких протоколов доставки, которые будут доступны для фонда ВРМ;
• «Кеш рабочих мест 1-го уровня»: «2» — количество созданных, настроенных и запущенных ВРМ в фонде;
• «Кеш рабочих мест 2-го уровня»: «0» — количество созданных, настроенных и выключенных ВРМ.

При задании количества рабочих мест в кеше 1-го уровня следует учитывать, что метапоставщик будет выполнять балансировку нагрузки между созданными ВРМ.

Публикация фонда ВРМ на основе метапоставщика

Публикация фонда ВРМ позволяет создать заданное в настройках количество ВРМ в фонде или обновить уже имеющиеся в фонде ВРМ и подготовить их для дальнейшего использования.

Для публикации фонда ВРМ следует перейти «Рабочие места — Фонды» и в сводной таблице в столбце «Фонд рабочих мест» выбрать наименование фонда ВРМ.

Перед публикацией обязательно проверить, что для фонда ВРМ используется политика «Действие при выходе пользователя из ОС» со значением «Нет», для того выбрать наименование фонда ВРМ и нажать экранную кнопку [Политики].

Шаг 6. Публикация фонда с приложением на базе метапоставщика

Создание публикации фонда с приложением на базе метапоставщика

Для публикации фонда с приложением на базе метапоставщика следует перейти «Рабочие места — Фонды», нажать экранную кнопку [Создать] и из выпадающего списка выбрать тип мастера публикации: «Публикация служб Метапоставщика».

• «Название»: «Meta_RemoteApp» — название поставщика ресурсов;
• «Порт сессионного агента»: «31000» — номер порта сессионного Агента. Установлено значение по умолчанию;
• «Домен»: «termidesk.local» — наименование домена для подключения к серверу терминалов;
• «Логин»: «user2» — субъект, имеющий полномочия администратора для управления STAL;
• «Пароль» — вводится значение пароля субъекта с полномочиями администратора для управления STAL;
• «Фонд»: «STAL_Meta» — сервисный фонд для размещения РМ;
• «Использовать HTTPS»: «Нет» — использование протокола HTTPS для запросов к сессионному Агенту отключено;
• «Проверка сертификата»: «Нет» — проверка подлинности сертификата при запросах к сессионному Агенту отключена;
• «Соиспользование сессий»: «Да» — использование метода балансировки, основанного на совместном использовании сессии приложениями;
• «Балансировка по метрикам»: «Нет» — балансировка подключений при доступе к опубликованным приложениям отключена.

• «Название»: «Chromium» — название фонда публикуемого приложения;
• «Имя публикации»: «Chromium» — название публикации;
• «Изображение»: «Chromium logo» — выбор графического представления фонда;
• «Группа»: «Приложения» — выбор группы рабочих мест, в которой будет отображаться созданный фонд;
• «Максимальное количество рабочих мест»: «2» — максимальное количество РМ в фонде.

Публикация фонда РМ

При создании фонда РМ с публикацией приложений на основе метапоставщика публикация фонда не требуется.

Шаг 7. Настройка фонда РМ с публикацией приложения

Настройка политик публикуемого приложения

Настройка обеспечения безопасности на уровне сети

Для настройки обеспечения безопасности на уровне сети следует перейти «Рабочие места — Фонды», в сводной таблице в столбце «Фонд рабочих мест» выделить фонд с опубликованным приложением и нажать экранную кнопку [Политики].

Настройка политики управления глубиной цвета

Для корректного подключения рабочей станции с ОС Microsoft Windows через утилиту mstsc нужно выполнить настройки политики управления глубиной цвета.

Шаг 8. Получение приложения через Клиент Termidesk

Для получения приложения через Клиент нужно:

• нажать экранную кнопку [Добавить сервер];

• «Аутентификация»: «FreeIPA» — выбор домена аутентификации, настроенного в шаге 4;
• «Логин»: «user2» — идентификатор субъекта в домене аутентификации (совпадает с идентификатором субъекта в службе каталогов);
• «Тип пароля»: «Клавиатурный пароль» — выбор типа пароля для аутентификации;
• «Пароль» — набор символов, подтверждающий назначение полномочий.

Для подключения к опубликованному приложению без подтверждения рекомендуется включить параметр «Больше не выводить запрос о подключениях к этому компьютеру».