Esquema para conectar dispositivos KES ao servidor envolvendo a delegação de restrição Kerberos (KCD)

O esquema para conectar dispositivos KES ao Servidor de Administração envolvendo a delegação restringida Kerberos (KCD) fornece o seguinte:

• Integração com um proxy reverso.
• Uso do Kerberos Constrained Delegation (aqui referido como KCD) para a autenticação de dispositivos móveis.
• Integração com a Infraestrutura de chaves públicas (aqui referida como PKI) para aplicar certificados de usuário.

Ao usar este esquema de conexão, observe o seguinte:

• O tipo de conexão dos dispositivos KES com o proxy reverso deve ser “autenticação SSL bilateral”, ou seja, um dispositivo deve se conectar ao proxy reverso por meio de seu certificado do usuário proprietário. Para fazer isto, você deve integrar o certificado do usuário no pacote de instalação de Kaspersky Endpoint Security for Android que foi instalado no dispositivo. Este pacote KES deve ser criado pelo Servidor de Administração especificamente para este dispositivo (usuário).
• Você deve especificar o certificado especial (personalizado) em vez do certificado de servidor padrão para o protocolo móvel:
  1. Na janela de propriedades do Servidor de Administração, na seção Configurações, marque a caixa de seleção Abrir a porta para dispositivos móveis e selecione Adicionar certificado na lista suspensa.
  2. Na janela exibida, especifique o mesmo certificado definido no proxy reverso quando o ponto de acesso ao protocolo móvel foi publicado no Servidor de Administração.
• Os certificados de usuário de dispositivos KES devem ser emitidos por Certificate Authority (CA) do domínio. Não se esqueça de que, se o domínio incluir CAs de múltiplas raízes, os certificados de usuário devem ser emitidos pela CA, definida na publicação no proxy reverso.

  Você pode assegurar-se de que o certificado do usuário esteja em conformidade com requisito acima descrito, usando um dos seguintes métodos:

  • Especifique o certificado do usuário especial no Assistente de Novo Pacote de Instalação e no Assistente de Instalação de Certificados.
  • Integre o Servidor de Administração com o PKI do domínio e defina a configuração correspondente nas regras de emissão de certificados:
    1. Na árvore do console, expanda a pasta Gerenciamento de Dispositivos Móveis e selecione a subpasta Certificados.
    2. No espaço de trabalho da pasta Certificados, clique no botão Configurar as regras de emissão do certificado para abrir a janela Regras de emissão do certificado.
    3. Na seção Integração com PKI, configure a integração com a infraestrutura de chaves públicas.
    4. Na seção Emissão de certificados móveis, especifique a origem dos certificados.

Abaixo encontra-se um exemplo da Kerberos Constrained Delegation (KCD) com as seguintes suposições:

• O ponto do acesso ao protocolo móvel no Servidor de Administração é definido na porta 13292.
• O nome do dispositivo com o proxy reverso é firewall.mydom.local.
• O nome do dispositivo com o Servidor de Administração é ksc.mydom.local.
• O nome da publicação externa do ponto de acesso ao protocolo móvel é kes4mob.mydom.global.

Conta de domínio para o Servidor de Administração

Você deve criar uma conta de domínio (por exemplo, KSCMobileSrvcUsr) sob a qual o serviço Servidor de Administração será executado. Você pode especificar uma conta do serviço Servidor de Administração ao instalar o Servidor de Administração ou através do utilitário klsrvswch. O utilitário klsrvswch está localizado na pasta de instalação do Servidor de Administração. O caminho de instalação padrão: <Disco>:\Program Files (x86)\Kaspersky Lab\Kaspersky Security Center.

Uma conta de domínio deve ser especificada pelos seguintes motivos:

• O recurso para o gerenciamento de dispositivos KES é uma parte integral do Servidor de Administração.
• Para assegurar um funcionamento apropriado do Kerberos Constrained Delegation (KCD), o lado recebedor (ou seja, o Servidor de Administração) deve ser executado sob uma conta de domínio.

Nome do serviço principal para http/kes4mob.mydom.local

No domínio, sob a conta KSCMobileSrvcUsr, adicione um SPN para publicar o serviço de protocolo móvel na porta 13292 do dispositivo com o Servidor de Administração. Para o dispositivo kes4mob.mydom.local com o Servidor de Administração, isto aparecerá como segue:

setspn -a http/kes4mob.mydom.local:13292 mydom\KSCMobileSrvcUsr

Configuração das propriedades de domínio do dispositivo com o proxy reverso (firewall.mydom.local)

Para delegar o tráfego, é necessário confiar o dispositivo com o proxy reverso (firewall.mydom.local) ao serviço definido pelo SPN (http/kes4mob.mydom.local:13292).

Para confiar o dispositivo com proxy reverso ao serviço definido pelo SPN (http/kes4mob.mydom.local:13292), o administrador deve executar as seguintes ações:

1. No snap-in Microsoft Management Console nomeado “usuários e computadores do Active Directory”, selecione o dispositivo com o proxy reverso instalado (firewall.mydom.local).
2. Nas propriedades do dispositivo, na guia Delegação, defina Confiar neste computador somente para a delegação ao serviço especificado alterne para Usar qualquer protocolo de autenticação.
3. Na lista Serviços aos quais esta conta pode apresentar credenciais delegadas, adicione o SPN http/kes4mob.mydom.local:13292.

Certificado especial (personalizado) para a publicação (kes4mob.mydom.global)

Para publicar o protocolo móvel do Servidor de Administração, você deve emitir um certificado especial (personalizado) para o FQDN kes4mob.mydom.global e especificá-lo em vez do certificado de servidor padrão nas configurações do protocolo móvel do Servidor de Administração no Console de Administração. Para fazer isso, na janela de propriedades do Servidor de Administração, na seção Configurações, selecione a caixa de seleção Abrir a porta para dispositivos móveis e, a seguir, selecione Adicionar certificado na lista suspensa.

Observe que o contêiner de certificado do servidor (arquivo com a extensão p12 ou pfx) também deve conter uma cadeia de certificados raiz (chaves públicas).

Configuração da publicação no proxy reverso

No proxy reverso, para o tráfego que vai de um dispositivo móvel até a porta 13292 do kes4mob.mydom.global, é necessário configurar a KCD no SPN (http/kes4mob.mydom.global:13292) usando o certificado emitido para o FQND (kes4mob.mydom.global). Observe que publicar e ponto de acesso publicado (porta 13292 do Servidor de Administração) deve compartilhar o mesmo certificado de servidor.

Consulte também: Integração com a infraestrutura de chaves públicas Fornecer acesso à Internet ao Servidor de Administração Servidor de Administração na LAN, dispositivos gerenciados na Internet, proxy reverso em uso

Topo da página