Schemat zdalnej instalacji z użyciem delegowania protokołu Kerberos (KCD)

Aby móc korzystać ze schematu wdrażania z Kerberos Constrained Delegation (KCD), muszą zostać spełnione następujące wymagania:

• Serwer administracyjny i serwer iOS MDM znajdują się w wewnętrznej sieci organizacji.
• Używany jest odwrotny serwer proxy obsługujący KCD.

Ten schemat instalacji obejmuje:

• Integracja z odwrotnym serwerem proxy obsługującym KCD
• Użycie KCD do autoryzacji urządzeń mobilnych
• Integrację z PKI do stosowania certyfikatów użytkownika

Podczas korzystania z tego schematu zdalnej instalacji należy:

• W Konsoli administracyjnej, w ustawieniach usługi sieciowej iOS MDM zaznaczyć pole Zapewnij kompatybilność z Kerberos constrained delegation.
• Jako certyfikat dla usługi sieciowej iOS MDM określ certyfikat niestandardowy, który został zdefiniowany, gdy usługa sieciowa iOS MDM została opublikowana na odwrotnym serwerze proxy.
• Certyfikaty użytkownika dla urządzeń iOS muszą być wystawione przez urząd certyfikacji (CA) domeny. Jeśli domena zawiera kilka głównych urzędów certyfikacji, certyfikaty użytkownika muszą być wystawione przez urząd certyfikacji, który został określony, gdy usługa sieciowa iOS MDM została opublikowana na odwrotnym serwerze proxy.

  Możesz zapewnić, że certyfikat użytkownika jest zgodny z wymaganiami wystawiania certyfikatów urzędu certyfikacji przy użyciu jednej z następujących metod:

  • Określ certyfikat użytkownika w kreatorze Nowego profilu iOS MDM oraz w kreatorze instalacji certyfikatu.
  • Zintegruj Serwer administracyjny z infrastrukturą kluczy publicznych domeny oraz zdefiniuj odpowiednie ustawienie w regułach wystawiania certyfikatów:
    1. W drzewie konsoli rozwiń folder Zarządzanie urządzeniami mobilnymi, z którego wybierz podfolder Certyfikaty.
    2. W obszarze roboczym folderu Certyfikaty kliknij przycisk Konfiguruj reguły wydawania certyfikatów, aby otworzyć okno Reguły wydawania certyfikatu.
    3. W sekcji Integracja z PKI skonfiguruj integrację z infrastrukturą kluczy publicznych.
    4. W sekcji Wydawanie certyfikatów dla urządzeń mobilnych określ źródło certyfikatów.

Poniżej znajduje się przykład konfiguracji delegowania protokołu Kerberos (KCD) z następującymi założeniami:

• Usługa sieciowa iOS MDM działa na porcie 443.
• Nazwa urządzenia z odwrotnym serwerem proxy to firewall.mydom.local.
• Nazwa urządzenia z usługą sieciową iOS MDM to iosmdm.mydom.local.
• Nazwa zewnętrznej publikacji usługi sieciowej iOS MDM to iosmdm.mydom.global.

Nazwa główna usługi dla http/iosmdm.mydom.local

W domenie należy zarejestrować nazwę główną usługi (SPN) dla urządzenia z usługą sieciową iOS MDM (iosmdm.mydom.local):

setspn -a http/iosmdm.mydom.local iosmdm

Konfiguracja właściwości domeny urządzenia z odwrotnym serwerem proxy (firewall.mydom.local)

Aby przeprowadzić ruch sieciowy, przełącz urządzenie z odwrotnym serwerem proxy (firewall.mydom.local) do usługi, która jest definiowana po SPN (http/iosmdm.mydom.local).

W celu przełączenia urządzenia z odwrotnego serwera proxy do usługi definiowanej po SPN (http/iosmdm.mydom.local), administrator musi wykonać następujące działania:

1. W przystawce Microsoft Management Console o nazwie „Użytkownicy i komputery usługi Active Directory” wybierz urządzenie z zainstalowanym odwrotnym serwerem proxy (firewall.mydom.local).
2. We właściwościach urządzenia, na zakładce Delegowanie ustaw przełącznik Ufaj temu komputerowi w delegowaniu tylko do określonych usług na Użyj dowolnego protokołu uwierzytelniania.
3. Dodaj SPN (http/iosmdm.mydom.local) do listy Usługi, którym to konto może przedstawiać delegowane poświadczenia.

Specjalny (niestandardowy) certyfikat dla opublikowanej usługi sieciowej (iosmdm.mydom.global)

Konieczne jest opublikowanie specjalnego (niestandardowego) certyfikatu dla usługi sieciowej iOS MDM na FQDN iosmdm.mydom.global i określić w Konsoli administracyjnej, w ustawieniach usługi sieciowej iOS MDM, że zastępuje on domyślny certyfikat.

Należy pamiętać, że kontener certyfikatów (plik z rozszerzeniem .p12 lub .pfx) musi także zawierać łańcuch certyfikatów głównych (klucze publiczne).

Publikowanie usługi sieciowej iOS MDM na odwrotnym serwerze proxy

Na odwrotnym serwerze proxy, dla ruchu przechodzącego z urządzenia mobilnego do portu 443 usługi iosmdm.mydom.global należy skonfigurować KCD na SPN (http/iosmdm.mydom.local), korzystając z certyfikatu opublikowanego dla FQDN (iosmdm.mydom.global). Nie można zapominać, że publikacja oraz opublikowana usługa sieciowa powinny korzystać z tego samego certyfikatu serwera.

Zobacz również: Standardowa konfiguracja: Kaspersky Device Management for iOS w strefie DMZ Integracja z infrastrukturą kluczy publicznych

Przejdź do góry