Перейти к основному содержимому
Версия: Privileged Access Manager 3.5

Серверы

Для установки компонентов PAM серверы на ОС Windows должны:

  • обращаться к одному DNS-серверу
  • находиться в одном домене и сети
  • иметь запущенную службу WinRM
  • иметь имя хоста, совпадающее с DNS-именем сервера, в нижнем регистре и формате FQDN, например pam.my-company.local

Подробнее о требованиях и сетевом взаимодействии серверов — в разделе Системные требования.

Запуск службы WinRM​

Для установки компонентов PAM на серверах управления и доступа запустите службу WinRM:

  1. Запустите PowerShell от имени администратора.

  2. Выполните команду:

    Enable-PSRemoting –Force

    Команда задает стандартные настройки WinRM, меняет тип запуска службы на автоматический и разрешает входящие сетевые подключения через брандмауэр Windows к портам 5985 и 5986.

Настройка сервера доступа RDS​

Пользователи PAM могут открывать Web/Desktop-сессии через сервер доступа RDS. Подключение реализовано с помощью Remote Desktop Services Microsoft (Службы удаленных рабочих столов). Когда пользователь подключается к серверу доступа RDS, запускается приложение Indeed PAM. Приложение проверяет права пользователя, аутентифицирует его и ведет логирование сессии. Запуск приложений осуществляется в режиме RemoteApp.

Чтобы подготовить сервер к работе, включите службу WinRM, разверните роль RDS и настройте брандмауэр.

Перед развертыванием роли RDS убедитесь, что:

  • к серверу не применяются групповые политики, связанные с удаленным доступом
  • на сервере отсутствуют любые из компонентов роли RDS (RDCB, RDG, RDL, RDSH, RDVH, RDWA)

Развертывание роли Remote Desktop Services​

  1. Откройте Диспетчер серверов (Server Manager) и в меню Управление (Manage) выберите Добавить роли и компоненты (Add Roles and Features).
  2. Выберите тип установки Установка служб удаленных рабочих столов (Remote Desktop Services Installation) и нажмите Далее (Next).
  3. Выберите тип развертывания Стандартное развертывание (Standard deployment) и нажмите Далее (Next).
  4. Выберите сценарий развертывания Развертывание рабочих столов на основе сеансов (Session-based desktop deployment) и нажмите Далее (Next).
  5. Пропустите шаг Роли серверов (Role Services) и нажмите Далее (Next).
  6. Выберите имя текущего сервера на шагах Посредник подключений к удаленным рабочим столам (RD Connection Broker), Веб-доступ к удаленным рабочим столам (RD Web Access),  Узел сеансов удаленных рабочих столов (RD Session Host) и нажмите Далее (Next).
  7. Включите опцию Автоматически перезапускать конечный сервер, если это потребуется (Restart the destination server automatically if required) и нажмите Развернуть (Deploy).
  8. После перезагрузки откройте Диспетчер серверов (Server Manager) и дождитесь завершения процесса.

Настройка правила брандмауэра​

  1. Перейдите на вкладку Локальный сервер (Local server) и нажмите на значение параметра Брандмауэр Microsoft Defender (Windows Defender Firewall).
  2. Перейдите в окно Брандмауэр и безопасность сети (Firewall & network protection) и нажмите Дополнительные параметры (Advanced settings).
  3. Перейдите в окно Мониторинг брандмауэра Защитника Windows (Windows Defender Firewall with Advanced Security) и откройте вкладку Правила для входящих подключений (Inbound Rules).
  4. Нажмите Создать правило (New Rule) и задайте настройки:
    1. Выберите тип правила Для порта (Port) и нажмите Далее (Next).
    2. Укажите порт в поле Определенные локальные порты (Specific local ports):
      • 5985 — для подключений по протоколу HTTP
      • 5986 — для подключений по протоколу HTTPS
    3. Выберите Разрешить подключение (Allow the connection) и нажмите Далее (Next).
    4. Выберите все профили и нажмите Далее (Next).
    5. Введите название правила в поле Имя (Name) и нажмите Готово (Finish).