Упражнение № 4.5 Настройка tms в среде Active Directory

Описание упражнения

Данное упражнение предназначено для практического изучения процесса настройки программного комплекса eToken TMS 2 и поддерживающей инфраструктуры в домене Windows, построенном на основе технологии Active Directory.

Примерное время выполнения упражнения

75 минут

1. Настройка служб выдачи сертификатов

1. Переключитесь в окно виртуальной машины Corp-ARM1 и убедитесь, что активен сеанс пользователя SecAdmin@istraining.ru.

2. Двойным щелчком по значку на рабочем столе запустите консоль PKI.msc. В левой панели активируйте оснастку Шаблоны сертификатов.

3. В правой панели щёлкните правой кнопкой мыши по шаблону Пользователь со смарт-картой и из контекстного меню выберите пункт Скопировать шаблон.

4. В окне Свойства нового шаблона в поле Отображаемое имя шаблона введите: Aladdin (by Admin) Пользователь со смарт-картой. Отметьте флажок Опубликовать сертификат в Active Directory.

5. Переключитесь на закладку Обработка запроса. В поле Минимальный размер ключа выберите значение 1024. Отметьте флажок Разрешить экспортировать закрытый ключ.

6. Щёлкните по кнопке Поставщики и в появившемся окне Выделить CSP выберите радиокнопку Запросы должны использовать один из следующих CSP. Отметьте флажок напротив CSP eToken Base Cryptographic Provider и щёлкните по кнопке OK.

7. Переключитесь на закладку Требования выдачи. Отметьте флажок Указанного числа авторизованных подписей, количество оставьте по умолчанию (1). В выпадающем списке В подписи требуется указать тип политики выберите значение Политика применения, а в списке Политика применения выберите значение Агент запроса сертификата.

8. Переключитесь на закладку Безопасность. Добавьте в список группы G Администраторы ЦФО и G Служба поддержки ЦФО и назначьте им права Чтение и Заявка. Назначьте такие же права группе Прошедшие проверку.

9. Согласно п.п. в.-e. создайте шаблон Aladdin (by User) Пользователь со смарт-картой.

10. Щёлкните правой кнопкой мыши по шаблону Агент подачи заявок и из контекстного меню выберите пункт Свойства. Переключитесь на закладку Безопасность. Добавьте в список группы G Администраторы ЦФО и G Служба поддержки ЦФО и назначьте им права Чтение и Заявка.

11. В левой панели раскройте полностью дерево объектов оснастки Центр Сертификации и щёлкните правой кнопкой мыши по пункту Шаблоны сертификатов. В открывшемся контекстном меню выберите пункт Создать → Выдаваемый шаблон сертификата.

12. В окне Включение шаблонов сертификатов выберите шаблоны Aladdin (by Admin) Пользователь со смарт-картой, Aladdin (by User) Пользователь со смарт-картой и Агент подачи заявок. Нажмите OK.

2. Создание и настройка объекта групповой политики, конфигурирующего клиентскую часть TMS

1. Убедитесь, что вы работаете в окне виртуальной машины Corp-ARM1 в сеансе пользователя SecAdmin@istraining.ru.

2. В левой панели консоли PKI.msc активируйте оснастку Group Policy Management и создайте неназначенный ОГП Политика TMS для ЦФО. Выполнив Group Policy Management → Forest:ISTraining.ru → Domains → ISTraining.ru → Group Policy Objects. Щёлкните правой кнопкой по пункту Group Policy Objects и выберите контекстном меню пункт New. В окне New GPO в поле Name: введите имя ОГП - Политика TMS для ЦФО и щёлкните по кнопке OK.

3. Откройте вновь созданный ОГП на редактирование.

4. В окне Редактор объектов групповой политики в левой панели в дереве объектов раскройте последовательно Конфигурация компьютера → Административные шаблоны. Щёлкните правой кнопкой по пункту Административные шаблоны и в контекстном меню выберите пункт Добавление и удаление шаблонов....

5. В окне Добавление и удаление шаблонов щёлкните по кнопке Добавить.... В окне Шаблоны политики выберите файл С:\Program Files\Aladdin\eToken\Tms20\Adm\Tms.adm и щёлкните Открыть. Аналогичным образом добавьте шаблоны С:\Program Files\Aladdin\eToken\Tms20\Adm\etTmsAgent.adm и С:\Program Files\Aladdin\eToken\eTNLogon\eTokenNetworkLogon.adm.

6. Убедитесь, что в окне Добавление и удаление шаблонов в списке появились добавленные шаблоны. Щёлкните Закрыть.

7. В окне Редактор объектов групповой политики в левой панели в дереве объектов раскройте Конфигурация компьютера → Административные шаблоны.

8. Откройте раздел Token Management System Settings. Назначьте параметру Default TMS Server значение: http://corp-dc1.

9. Откройте раздел TMS Desktop Agent Settings → TMS Desktop Agent General Settings. Назначьте параметру TMS Servers значение: http://corp-dc1/tmsagentII/service.asmx.

10. Откройте раздел Сеть → Сетевые подключения → Брандмауэр Windows → Профиль домена. Откючите параметр Брандмауэр Windows: Защитить все сетевые подключения.

11. Откройте раздел Сеть → Сетевые подключения → Брандмауэр Windows → Стандартный профиль. Откючите параметр Брандмауэр Windows: Защитить все сетевые подключения.

12. Откройте раздел Компоненты Windows → Internet Explorer → Панель управления обозревателем → Страница безопасности. Назначьте параметру Шаблон зоны надежных узлов значение: Низкий.

13. В том же разделе раскройте окно настройки пераметра Список назначения зоны безопасности для веб-узлов и щёлкните по кнопке Показать....

14. В окне Вывод содержания щёлкните по кнопке Добавить. В окне Добавление элемента в поле Введите имя добавляемого элемента введите corp‑dc1, а в поле Введите значение добавляемого элемента введите значение 2. Нажмите OK.

15. Повторите действия предыдущего пункта, чтобы присвоить узлу corp-dc1.istraining.ru значение зоны 2.

16. Закройте окно Вывод содержания, щёлкнув по кнопке OK. Закройте окно настройки параметра Список назначения зоны безопасности для веб-узлов, щёлкнув по кнопке OK.

17. Откройте раздел Компоненты Windows → Internet Explorer → Панель управления обозревателем → Страница безопасности → Зона надежных узлов. Назначьте параметрам раздела следующие значения:

• Использовать элементы ActiveX, не помеченные как безопасные – Включить;

• Загрузка неподписанных элементов ActiveX – Включить.

18. Закройте окно Редактор объектов групповой политики.

19. Назначьте ОГП Политика TMS для ЦФО подразделению Domains → ISTraining.ru → ЦФО.

20. Запустите консольный сеанс командой cmd.exe. В консольном окне выполните команду:

gpupdate.exe /force

3. Настройка рабочей станции агента подачи заявок

1. Убедитесь, что вы работаете в окне виртуальной машины Corp-ARM1 в сеансе пользователя SecAdmin@istraining.ru.

2. Скопируйте из папки \\corp-dc1\admin$\system32\ в папку C:\WINDOWS\system32 библиотеки xenroll.dll и scrdenrl.dll.

3. Зарегистрируйте скопированные библиотеки, выполнив команды: regsvr32.exe xenroll.dll и regsvr32.exe scrdenrl.dll.

4. Запустите Internet Explorer и откройте сайт http://corp-dc1.istraining.ru/certsrv. При появлении окна с запросом аутентификации введите имя и пароль текущего пользователя.

5. Нажмите на ссылку Запрос сертификата, а затем Расширенный запрос сертификата.

6. Нажмите на ссылку Создать и выдать запрос к этому ЦС.

7. В списке Шаблон сертификата выберите шаблон Агент подачи заявок. Нажмите Выдать.

8. По окончании выполнения запроса выберите Установить этот сертификат.

9. Закройте все открытые окна приложений.

10. Завершите сеанс пользователя SecAdmin и зарегистрируйтесь от имени учётной записи Support@istraining.ru с паролем P@ssw0rd.

11. Получите сертификат Агента подачи заявок для пользователя Support@istraining.ru, как описано выше в п.п. г.-з.

12. Оставьте виртуальные машины запущенными.