Kerberos

Kerberos es un protocolo de autenticación que utiliza tickets criptográficos para evitar la transmisión de contraseñas de texto sin formato. Los clientes obtienen tickets de concesión de tickets del Centro de distribución de claves Kerberos (KDC) y presentan esos tickets como sus credenciales de red para obtener acceso a los servicios.

En Host Access for the Cloud, Kerberos permite a los usuarios finales acceder a sus sesiones de host en el servidor de sesión sin que se soliciten las credenciales.

La autenticación Kerberos se habilita y se configura en MSS y, a continuación, se activa en cada servidor de sesión de la distribución. Consulte la documentación de Kerberos en MSS para obtener más información sobre los requisitos, además de sobre la configuración y el uso de Kerberos.

A continuación, se detallan los pasos generales para utilizar la autenticación Kerberos en Host Access for the Cloud.

Pasos para habilitar y configurar Kerberos

1. Habilitar y configurar Kerberos en MSS
2. Configurar cada servidor de sesión de HACloud para Kerberos
3. Configurar el navegador para Kerberos
4. Lanzar sesiones

Configurar Kerberos en el servidor de sesión

Para configurar un servidor de sesión para ejecutar Kerberos, edite el archivo service.yml y añada el perfil oauth:

1. Abra <directorio de instalación>/sessionserver/microservices/sessionserver/service.yml.

2. Añada oauth al conjunto de perfiles activos:

   - name: SPRING_PROFILES_ACTIVE
     value: tls, oauth
   

3. Reinicie el servidor de sesión.

De forma opcional, si se configura una distribución de alta disponibilidad con equilibradores de carga, deben configurarse el perfil oauth (paso anterior) y las siguientes propiedades en el archivo service.yml de cada servidor de sesión.

1. Configure la dirección URL del equilibrador de carga de MSS. El servidor de sesión redirigirá a los usuarios a esta dirección URL para la autenticación.

   - name: AUTHSVC_HOST
     value: {dirección URL del equilibrador de carga de MSS}
   

2. Configure el nombre de dominio del equilibrador de carga del servidor de sesión. MSS redirigirá de nuevo a este servidor después de que se autentique un usuario.

   - name: PROXY_DOMAIN
     value: {nombre completo del equilibrador de carga del servidor de sesión}
   

3. Configure el puerto que se utilizará cuando se acceda al servidor de sesión a través del equilibrador de carga del servidor de sesión.

   - name: PROXY_PORT
     value: {número de puerto del equilibrador de carga del servidor de sesión}
   

4. Reinicie el servidor de sesión.

Ejemplo

    - name: SPRING_PROFILES_ACTIVE 
      value: tls, oauth (Si se utilizan equilibradores de carga...) 
    - name: AUTHSVC_HOST 
      value: https://mss-load-balancer.mydomain.com 
    - name: PROXY_DOMAIN 
      value: sessionserver-load-balancer.mydomain.com 
    - name: PROXY_PORT 
      value: 7443

Configurar el navegador para Kerberos

Para poder entrar a la sesión mediante Kerberos, el navegador debe estar configurado correctamente para la autenticación de Windows mediante Kerberos y el equipo debe ser miembro del dominio adecuado (dominio de Kerberos). Consulte la ayuda del navegador para obtener instrucciones sobre cómo habilitar Kerberos.

Lanzar sesiones

Las sesiones de HACloud no necesitan ninguna configuración adicional para iniciarse y autenticarse con Kerberos, siempre que el navegador se haya configurado correctamente para la autenticación de Windows / Kerberos. Solo tiene que ir a https://session-server-lb.mydomain.com:7443 y entrará automáticamente al servidor de sesión de HACloud.