Настройка удаленного подключения к контроллеру домена Microsoft Active Directory

Для удаленного управления контроллером домена Microsoft Active Directory необходимо настроить HTTPS-подключение и авторизацию с помощью самоподписанного сертификата через WinRM (технология удаленного управления Windows).

Powershell использует следующие типы путей:

• Параметр FilePath – указывает путь к файлу в файловой системе, например c:\temp\uawsuser.cert.
• Параметр Path – путь к объекту в хранилище сертификатов, например WSMan:\localhost\ClientCertificate.

Эти типы путей относятся к разным типа объектов и не являются взаимозаменяемыми.

Настройка HTTPS-подключения к контроллеру домена через WinRM

Вам нужно настроить параметры WinRM для подключения к контроллеру домена Microsoft Active Directory по HTTPS.

Чтобы настроить контроллер домена Microsoft Active Directory:

1. Запустите PowerShell от имени администратора.
2. Проверьте, работает ли WinRM, выполнив следующую команду:

   WinRM enumerate winrm/config/listener

3. Если WinRM выключен, включите его, выполнив следующую команду:

   winrm quickconfig

4. Выберите способ подключения к WinRM по сертификату, выполнив следующую команду:

   winrm get winrm/config/service/auth

   winrm set winrm/config/service/auth '@{Certificate="true"}'

5. Создайте самоподписанный сертификат для подключения к WinRM:
   1. Создайте переменные для хоста и IP-адреса для добавления в сертификат, выполнив следующую команду:

      $hostName='<адрес контроллера домена>'

      $hostIP='<DNS-сервер>'

   2. Создайте самоподписанный сертификат, выполнив следующую команду:

      $srvCert = New-SelfSignedCertificate -DnsName $hostName,$hostIP -CertStoreLocation <путь к сертификату>

   3. Проверьте, что для переменной $srvCert установилось значение из шага выше, выполнив следующую команду:

      $srvCert

6. Проверьте, какие существуют экземпляры Listener, выполнив следующую команду:

   Get-ChildItem wsman:\localhost\Listener

7. Удалите существующие экземпляры Listener для HTTPS, выполнив следующую команду:

   Get-ChildItem wsman:\localhost\Listener\ | Where-Object -Property Keys -like 'Transport=HTTPS*' | Remove-Item -Recurse

8. Создайте новый экземпляр Listener для HTTPS с выпущенным сертификатом, выполнив следующую команду:

   New-Item -Path WSMan:\localhost\Listener\ -Transport HTTPS -Address * -CertificateThumbPrint $srvCert.Thumbprint -Force

9. Перезапустите WinRM, выполнив следующую команду:

   Restart-Service WinRM

Контроллер домена Microsoft Active Directory успешно настроен и готов к работе. Вы можете перейти к настройке подключения к WinRM.

Настройка подключения к WinRM по сертификату

Вам нужно разрешить для WinRM подключения по сертификату пользователя, выпущенному при настройке HTTPS-подключения. После этого для подключения к WinRM не будет требоваться ввод имени пользователя и пароля.

Вам нужна служебная учетная запись в Microsoft Active Directory для работы службы идентификации пользователей.

Чтобы настроить подключение к WinRM по сертификату:

1. Создайте служебную учетную запись для подключения службы идентификации пользователей.
2. Добавьте созданного пользователя в группу для чтения журнала событий.
3. Предоставьте пользователю права для подключения к WinRM:
   1. Запустите PowerShell от имени администратора.
   2. Откройте окно изменения доступов для подключения к WinRM, выполнив следующую команду:

      winrm configSDDL default

   3. Нажмите на кнопку Добавить и выберите созданного пользователя.
   4. Предоставьте пользователю права на выполнение, установив флажок напротив строки Выполнение в столбце Разрешить.
   5. Нажмите на кнопку ОК, чтобы применить изменения.
4. Сгенерируйте самоподписанный сертификат для пользователя:

   New-SelfSignedCertificate -Type Custom `

   -Container test* -Subject "CN=uaws" `

   -TextExtension @("2.5.29.37={text}1.3.6.1.5.5.7.3.2","2.5.29.17={text}upn=<имя пользователя>") `

   -KeyUsage DigitalSignature,KeyEncipherment `

   -KeyAlgorithm RSA `

   -KeyLength 2048 `

5. Сохраните сертификат в файл uawsuser.cer:

   Get-ChildItem <путь к сертификату в файловой системе>\<отпечаток сертификата> | Export-Certificate -FilePath uawsuser.cer -Type Cert

6. Добавьте созданный сертификат uawsuser.cer в хранилище:

   Import-Certificate -FilePath .\uawsuser.cer -CertStoreLocation Cert:\LocalMachine\TrustedPeople

   Import-Certificate -FilePath .\uawsuser.cer -CertStoreLocation Cert:\LocalMachine\Root

7. Привяжите созданный сертификат к служебной учетной записи:

   New-Item -Path <путь к объекту в хранилище сертификатов> `

   -Subject 'uaws' `

   -URI * `

   -Issuer <отпечаток корневого сертификата> `

   -Credential (Get-Credential) `

   -Force

8. При появлении запроса укажите имя служебной учетной записи, к которой вы хотите привязать сертификат, и ее пароль.
9. Перезапустите WinRM, выполнив следующую команду:

   Restart-Service WinRM

10. Экспортируйте сертификат и ключ сертификата как PFX-файл:

    $mypwd = ConvertTo-SecureString -String '<пароль сертификата>' -Force -AsPlainText

    Get-ChildItem -Path <путь к объекту в хранилище сертификатов>\<отпечаток сертификата> | Export-PfxCertificate -FilePath <путь к сертификату и ключу в файловой системе>\uawsuser.pfx -Password $mypwd

11. Скопируйте файл uawsuser.pfx на основной узел кластера ha-node-1.
12. Распакуйте файл uawsuser.pfx в файл сертификата и ключа с расширением .pem с помощью OpenSSL:

    openssl pkcs12 -in uawsuser.pfx -clcerts -nokeys -out uawsuser.pem

    openssl pkcs12 -in uawsuser.pfx -nocerts -nodes -out uawsuserkey.pem

13. Скопируйте файлы uawsuser.pem и uawsuserkey.pem в директорию /var/lib/uaws/collector/ssl.

    Для развертывания службы идентификации пользователей в отказоустойчивом кластере вам нужно выполнить это действие и на основном, и на резервном узлах.

14. Откройте файл конфигурации компонента Collector и в блоке параметров dc в параметрах user-cert и user-cert-key укажите путь к этим файлам:

    user-cert: "/var/lib/uaws/collector/ssl/uawsuser.pem"

    user-cert-key: "/var/lib/uaws/collector/ssl/uawsuserkey.pem"

15. Перезапустите службу WinRM и проверьте, что параметры применены:

    Restart-Service WinRM

Удаленное подключение к контроллеру домена Microsoft Active Directory через WinRM по сертификату успешно настроено.