Руководство по публикации приложений в метапоставщике STAL

Данную инструкцию рекомендуется использовать для подготовки тестового стенда. 

Публикация приложений в метапоставщике выполняется в следующей последовательности:

• шаг 1. Настройка образа виртуальной машины (ВМ) для использования в качестве метапоставщика;
• шаг 2. Получение и добавление файла keytab для интеграции Termidesk с доменом аутентификации FreeIPA;
• шаг 3. Активация экспериментального параметра метапоставщика в Termidesk;
• шаг 4. Предварительные настройки Termidesk;
• шаг 5. Добавление метапоставщика в качестве поставщика ресурсов в Termidesk;
• шаг 6. Публикация фонда с приложением на базе метапоставщика;
• шаг 7. Настройка фонда РМ с публикацией приложения;
• шаг 8. Получение приложения через компонент «Клиент» (далее — Клиент) Termidesk.

В процессе проведения публикации приложения использована следующая среда:

Все указанные в данной инструкции IP-адреса должны быть заменены на актуальные, соответствующие схеме адресации, принятой в инфраструктуре организации.

Шаг 1. Настройка образа виртуальной машины для использования в качестве метапоставщика

• установить пакет qemu-guest-agent для корректного взаимодействия ОС с платформой виртуализации:

sudo apt install -y qemu-guest-agent

• привести файл /etc/acpi/events/powerbtn-acpi-support к виду:

event=button/power
action=/sbin/poweroff

• установить пакет astra-freeipa-client для ввода STAL в домен FreeIPA:

sudo apt install -y astra-freeipa-client

В случае возникновения ошибки: «Не удалось создать сессию в STAL» при подключении к метапоставщику через Клиент, на узле с установленным метапоставщиком рекомендуется отключить (systemctl --now mask) и удалить (apt remove) встроенную программу для управления сетевыми соединениями network-manager:

sudo systemctl --now mask NetworkManager && sudo apt remove network-manager

BASH

После удаления службы network-manager нужно выполнить настройку сетевых интерфейсов при помощи конфигурационных файлов /etc/network/interfaces.d/<имя интерфейса>.conf. Конфигурацию файла следует привести в соответствие схеме адресации, принятой в инфраструктуре организации, воспользовавшись справочным центром Astra Linux: https://wiki.astralinux.ru/pages/viewpage.action?pageId=3277370.

Затем выполнить перезапуск службы сети:

sudo systemctl restart networking

BASH

При стандартной настройке сетевой инфраструктуры предполагается, что IP-адрес DNS-сервера определяется DHCP-сервером. Однако если это не так, необходимо скорректировать файл /etc/resolv.conf в гостевой ОС Astra Linux:

• указать имя домена и IP-адрес DNS-сервера:

echo -e 'domain <имя_домена>\nsearch <имя_домена>\nnameserver <IP-адрес_DNS-сервера>' | sudo tee /etc/resolv.conf

• для защиты файла /etc/resolv.conf от перезаписи нужно создать файл /etc/dhcp/dhclient-enter-hooks.d/nodnsupdate:

sudo touch /etc/dhcp/dhclient-enter-hooks.d/nodnsupdate

• отредактировать его содержимое, приведя к виду:

#!/bin/bash
make_resolv_conf() {
        :
}

• сохранить файл и закрыть.

Вернуть возможность перезаписи файла /etc/resolv.conf можно, удалив ранее созданный файл /etc/dhcp/dhclient-enter-hooks.d/nodnsupdate и выполнив перезапуск сетевой службы:

sudo systemctl restart networking

Установка STAL

ОС, на которой разворачивается STAL, должна быть установлена с графическим интерфейсом.

Для получения пакетов установки нужно:

• подключить локальный репозиторий Termidesk на узле, где предполагается установка;
• в файле /etc/apt/sources.list включить следующие источники пакетов (репозитории):

deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-base/ 1.7_x86-64 main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-extended/ 1.7_x86-64 main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.6/uu/1/repository-update/ 1.7_x86-64 main contrib non-free

При наличии в файле /etc/apt/sources.list репозитория astra-ce нужно закомментировать его, чтобы избежать установки несовместимых версий пакетов.

• обновить данные пакетного менеджера:

sudo apt update

Для установки STAL нужно выполнить следующие шаги:

• установить STAL:

sudo apt install stal-rdp-transport
sudo apt install stal

• после установки основных пакетов STAL нужно установить пакеты поддержки функциональности:

sudo apt install stal-multimedia stal-redirect-api stal-redirect-drive stal-redirect-print stal-redirect-clip stal-redirect-scard

где:

stal-multimedia - пакет поддержки проигрывания звука;

stal-redirect-api - пакет базового API, от которого зависят следующие пакеты;

stal-redirect-drive - пакет реализации перенаправления диска;

stal-redirect-print - пакет реализации перенаправления принтера;

stal-redirect-clip - пакет реализации буфера обмена;

stal-redirect-scard - пакет реализации перенаправления смарт-карт.

• проверить состояние STAL:

sudo systemctl status stal-proxy
sudo systemctl status termidesk-stal
sudo systemctl status stal-rdpepc
sudo systemctl status stal-watchdog

Строка Active отображает состояние сервиса, где статус active (running)означает успешный запуск.

При необходимости произвести дополнительные настройки STAL следует обратиться к руководству администратора по настройке компонента «Сервер терминалов».

sudo apt install termidesk-session-agent

После установки следует проверить состояние службы termidesk-session-agent:

sudo systemctl status termidesk-session-agent

Строка Active отображает состояние сервиса, где статус active (running)или active (exited)свидетельствует об успешном запуске Агента и его готовности к работе.

• ввести пароль суперпользователя ОС;
• указать параметры конфигурирования.

Для проверки корректности введенных значений можно использовать экранную кнопку [Проверить]. В случае успешной проверки отобразится сообщение «Проверка успешно завершена».

Для сохранения настроек следует нажать экранную кнопку [Сохранить].

Для проверки состояния службы Агента ВРМ ввести команду:

sudo systemctl status termidesk-agent

Строка Active отображает состояние сервиса, где статус active (running) или active (exited) свидетельствует об успешном запуске Агент ВРМ и его готовности к работе.

Действия на контроллере домена FreeIPA:

• получить доступ к контроллеру домена FreeIPA в режиме интерфейса командной строки;
• получить kerberos-ticket для пользователя с полномочиями администратора домена:

sudo kinit admin

• выполнить команду для добавления узла:

sudo ipa host-add --force --ip-address=10.100.8.15 disp.termidesk.local

где:

--force - флаг для принудительного создания;

--ip-address - задание IP-адреса целевого узла;

10.100.8.15 - IP-адрес узла, на котором установлен Универсальный диспетчер;

disp.termidesk.local - мнимый FQDN узла в текущем домене (в примере termidesk.local);

• добавить службу для нового сервисного аккаунта:

sudo ipa service-add HTTP/disp.termidesk.local

• создать файл termidesk.keytab для сервисного аккаунта:

sudo ipa-getkeytab -s freeipa.termidesk.local -p HTTP/disp.termidesk.local -k /home/user/termidesk.keytab

где:

-s freeipa.termidesk.local - FQDN сервера-контроллера домена FreeIPA;

-p HTTP/disp.termidesk.local - указание ранее созданного субъекта-службы;

-k /home/user/termidesk.keytab - сохранение в файл termidesk.keytab;

Неважно, для какого узла создан keytab, необходимо само его наличие.

Каждая генерация keytab должна производиться в новый файл. При необходимости повторного использования имени файла, существующий файл обязательно должен быть удален перед генерацией.

• передать сохраненный файл termidesk.keytab на узел Универсального диспетчера:

sudo scp termidesk.keytab localuser@10.100.8.15:termidesk.keytab

где:

localuser   - имя пользователя целевого узла;

10.100.8.15 - IP-адрес узла, на котором установлен Универсальный диспетчер.

Действия на узле Универсального диспетчера:

• переместить полученный файл termidesk.keytab в каталог /etc/opt/termidesk-vdi:

sudo mv /home/user/termidesk.keytab /etc/opt/termidesk-vdi/

• сделать владельцем этого файла пользователя termidesk:

sudo chown termidesk:termidesk /etc/opt/termidesk-vdi/termidesk.keytab

• перезапустить службу termidesk-vdi:

sudo systemctl restart termidesk-vdi

sudo -u termidesk bash

Пользователь termidesk используется в качестве примера. При выполнении команд следует переключаться на пользователя, имеющего полномочия для управления Универсальным диспетчером.

• активировать параметр поддержки метапоставщика:

/opt/termidesk/sbin/termidesk-vdi-manage tdsk_config set --section Experimental --key experimental.metasessions.provider.enabled --value 1

• выйти из сессии пользователя termidesk:

exit

При этом откроется окно «Создать новый объект (FreeIPA)».

Подробное описание полей приведено в таблице «Данные для добавления аутентификации через FreeIPA».

Для проверки правильности заполнения формы можно использовать экранную кнопку [Тест].

Для сохранения объекта следует нажать экранную кнопку [Сохранить].

При этом откроется форма «FreeIPA». В открывшейся форме в разделе «Группы» нажать экранную кнопку [Создать] и выбрать из выпадающего списка соответствующую группу.

При этом откроется окно «Создать новый объект (Группа)».

Добавление пользователя домена аутентификации

По умолчанию следует добавлять только группу пользователей домена аутентификации, поскольку в интерфейсе Termidesk пользователь появляется только после первой авторизации в Универсальном диспетчере под своей учетной записью внутри домена аутентификации.

При этом откроется окно «Создать новый объект (ОС Linux(в домене FreeIPA))».

Подробное описание полей приведено в таблице «Данные для гостевой ОС Linux при вводе в домен FreeIPA».

При этом откроется окно «Создать новый объект (RDP (терминальный доступ))».

Подробное описание параметров приведено в таблице «Данные для добавления прямого подключения к серверам терминалов».

Для проверки правильности заполнения формы можно использовать экранную кнопку [Тест].

При этом откроется окно «Создать новый объект». В открывшемся окне ввести текстовое наименование изображения, нажать экранную кнопку [Выберите изображение] и указать расположение логотипа. После загрузки логотипа нажать экранную кнопку [Сохранить].

При этом откроется окно «Создать новый объект». Для добавления параметров группы рабочих мест нужно заполнить поля «Название», «Комментарий» (при необходимости).

При этом откроется окно «Создать новый объект (Платформа oVirt/RHEV)».

Подробное описание полей приведено в таблице «Данные для добавления платформы oVirt/RHEV».

Для проверки правильности заполнения формы можно использовать экранную кнопку [Тест].

Для сохранения объекта следует нажать экранную кнопку [Сохранить].

При этом откроется форма «Шаблоны рабочих мест». В открывшейся форме нужно нажать на экранную кнопку [Создать] и из выпадающего списка выбрать шаблон: «Связанный клон oVirt/RHEV».

При этом откроется окно «Создать новый объект (Связанный клон oVirt/RHEV)».

Подробное описание полей приведено в таблице «Данные для добавления шаблона на основе связанного клона для oVirt/RHEV».

При этом откроется окно «Мастер публикации фонда». В полях формы «Базовые настройки фонда» следует ввести соответствующие данные и нажать экранную кнопку [Далее].

Подробное описание полей приведено в таблице «Базовые настройки фонда».

Далее будет выполнен переход на форму «Дополнительные настройки фонда», где следует произвести дополнительные настройки фонда ВРМ.

Подробное описание полей приведено в таблице «Дополнительные настройки фонда».

При задании количества рабочих мест в кеше 1-го уровня следует учитывать, что метапоставщик будет выполнять балансировку нагрузки между созданными ВРМ.

В форме «Завершение настройки фонда» следует нажать экранную кнопку [Завершить]. При успешном создании фонда в этом же окне должно появиться сообщение «Фонд успешно создан!», окно будет автоматически закрыто по истечении 3 секунд.

Перед публикацией обязательно проверить, что для фонда ВРМ используется политика «Действие при выходе пользователя из ОС» со значением «Нет», для того выбрать наименование фонда ВРМ и нажать экранную кнопку [Политики].

Далее на странице фонда ВРМ в разделе «Публикации» нажать экранную кнопку [Создать].

В окне «Новая публикация» в раскрывающемся списке выбрать ВМ, на основе которой будет выполняться тиражирование ВРМ. После ввода опционального текстового комментария нажать экранную кнопку [Опубликовать] для запуска задачи создания фонда ВРМ.

Сразу после публикации в столбце «Прогресс» будет отображена индикация серым цветом, указывающая на начало процесса публикации. Далее индикация синим цветом будет отображать прогресс выполнения публикации. Необходимо дождаться индикации зеленым цветом, сообщающей об успешном завершении процесса публикации.

Подробная информация о прогрессе публикаций содержится в подразделе Публикация фонда РМ.

При этом откроется окно «Мастер публикации фонда». В полях формы «Тип публикации» следует выбрать соответствующую службу для публикации и нажать экранную кнопку [Далее].

Далее будет выполнен переход на форму «Поставщик», где следует выбрать поставщика ресурсов для размещения публикации.

В форме «Параметры нового поставщика» следует заполнить параметры поставщика ресурсов для его создания.

Подробное описание полей приведено в таблице «Данные для добавления терминального сервера (метапоставщика)».

На следующем шаге задать наименование приложения и выбрать приложение для публикации.

В форме «Настройки фонда» следует заполнить параметры публикации.

На следующем шаге задать домен аутентификации и группу пользователей, входящую в этот домен, которым будет доступен фонд. Шаг опционален: параметры можно добавить после завершения работы мастера публикации, в созданном фонде на странице «Рабочие места - Фонды».

Затем выбрать пользователя домена аутентификации. Шаг опционален: параметры можно добавить после завершения работы мастера публикации, в созданном фонде на странице «Рабочие места - Фонды».

Далее выбрать протокол доставки, который будет доступен для фонда. Протокол доставки можно добавить и/или изменить после завершения работы мастера публикации в созданном фонде на странице «Рабочие места - Фонды».

В следующем окне ознакомиться с параметрами будущего фонда и завершить настройку, нажав экранную кнопку [Завершить].

При этом откроется форма «Политики». В открывшейся форме следует выделить политику «Механизм обеспечения безопасности на уровне сети (RDP)» и нажать экранную кнопку [Изменить].

При этом откроется окно «Изменить Механизм обеспечения безопасности на уровне сети (RDP)». Для корректного подключения к опубликованному приложению через Клиент в раскрывающемся списке окна «Изменить Механизм обеспечения безопасности на уровне сети (RDP)» нужно выбрать значение «RDP» или «TLS».

Для этого следует перейти к настройкам политик публикуемого приложения и для параметра «Политика управления глубиной цвета (RDP)» задать значение «32 бит».

• в открывшемся окне «Добавление нового сервера» ввести IP-адрес Универсального диспетчера и нажать экранную кнопку [Да];

• в полях окна «Настройка подключения к серверу» нужно заполнить соответствующие поля на вкладке «Общие» и нажать экранную кнопку [Да];

• созданный сервер отобразится в списке Клиента. Для подключения к серверу нажать экранную кнопку [Подключиться];

• в открывшемся окне выбрать приложение «Chromium»;

• в окне «Подключение к удалённому рабочему столу» нажать экранную кнопку [Подключить];

Для подключения к опубликованному приложению без подтверждения рекомендуется включить параметр «Больше не выводить запрос о подключениях к этому компьютеру».

• в случае успешного подключения Клиент отобразит окно с опубликованным приложением.