Примечания к выпуску Termidesk

добавлена возможность настройки количества обработчиков запросов в службе termidesk-vdi через параметр GUNICORN_VDI_WORKERS в файле /etc/default/termidesk-vdi.local;

добавлена обработка переменной окружения NON_INTERACTIVE_INSTALLATION. Если она установлена в yes, то не происходит отображения диалогов задания параметров. Вместо этого проводится проверка наличия всех параметров в конфигурационном файле. Если один или несколько параметров отсутствует, то установка прерывается, в syslog добавляются записи об отсутствующих параметрах. Далее проверяется наличие значений для всех критически важных параметров. Если значения для одного или нескольких параметров отсутствуют, то установка прерывается, в syslog добавляются записи об отсутствующих параметрах.

необходимые для корректной работы механизма SASL Bind системные пакеты (libsasl2-modules-gssapi-mit, cyrus-sasl-gssapi) добавлены в зависимости пакета termidesk-vdi.

[Агрегатор] добавлена деактивация узла фермы поставщика ресурсов при ошибке выполнения запроса. При наличии другого доступного узла запрос выполняется через него;

добавлены параметры «Использовать введённый пароль для подключения к РМ» и «Использовать введённый PIN для подключения к РМ» на странице «Системные параметры - Системные настройки - Аутентификация»;

добавлена политика «Режим блокировки сеанса» для предотвращения отключения сессии пользователя после блокировки экрана ВРМ;

добавлен API /aggregator версии 6.1.1;

в системных настройках («Системные параметры - Системные настройки - Общие») добавлен «Таймаут SSO, с» и на «Клиент» передаются новые параметры proxy_expired_at и timeout для SSO.

добавлен SPICE в название политики «Перенаправление часового пояса пользователя (RDP, TERA)»;

исправлен сброс политик в политике сетей;

ряд настроек безопасности Django сделан доступным для установки через конфигурационный файл config.py:

настройка Django SECURE_SSL_REDIRECT по-умолчанию True;

изменены режимы подключения протокола подставки TERA с включенным параметром «Аутентификация» (ранее режимы были перепутаны);

шаблон поставщика ресурсов VMware «Сетевая загрузка» выведен из экспериментальных;

удален канал «tunnel» из групп каналов протокола доставки TERA;

добавлен тип учетной записи «Системный пользователь», для регистрации действий от ее имени в событиях аудита;

добавлена проверка типа поставщика ресурсов для протокола «RDP (терминальный доступ)»;

добавлено разрешение на просмотр профиля Шлюза, при наличии разрешения на просмотр протокола доставки;

изменено расположение поля «Аутентификация» при редактировании протокола доставки TERA на странице «Рабочие места - Протоколы доставки». Поле размещается сразу после поля «Транспорт» и перед полем «Профиль шлюза»;

список значений поля «Режим подключения» для протокола доставки TERA теперь зависит от значений параметров «Профиль шлюза» и «Аутентификация»:

в настройках профиля Шлюза обновлена подсказка для параметра «Время жизни WSP-токена, с» с указанием допустимого диапазона и рекомендуемого значения;

значение параметра «Время жизни WSP-токена, с» по умолчанию увеличено с 30 до 70 секунд;

в веб-интерфейсе ширина боковой панели навигации по умолчанию увеличена с 256 до 280 пикселей.

исправлена ошибка, при которой не проходил запрос healthcheck от «Агрегатора» к «Порталу администратора»;

добавлена возможность переводить в режим технического обслуживания неактивные узлы;

исправлены ошибки разрешений при работе с пользователями и группами пользователей в API auth;

исправлено некорректное завершение работы службы termidesk-celery-beat. Добавлена обработка потери соединения с БД;

исправлена ошибка невозможности удалить ВРМ в статусе «Недействительный»;

исправлена ошибка неработоспособности входа по Kerberos в веб-портале;

[Агрегатор] исправлена ошибка отображения иконок фондов, протоколов доставки и групп РМ на пользовательском портале;

исправлены ошибки при изменении изображения или группы в фонде;

в веб-портале «Универсального диспетчера» исправлена ошибка, из-за которой в переходах между страницами и «хлебных крошках» отображались разделы, недоступные для текущей роли персонала;

исправлена аутентификация с использованием смарт-карт и метадомена;

[Агрегатор] в веб-портале исправлена ошибка, из-за которой форма создания тега закрывалась в случае ошибки;

улучшена диагностика ошибок подключения к RADIUS-серверу: при отсутствии валидного ответа теперь отображается более подробное сообщение с рекомендацией проверить доступность сервера, UDP-порт, настройки NAS-клиента и shared secret;

исправлен поиск по имени группы при использовании Distinguished Name;

исправлена ошибка при аутентификации деактивированного пользователя с использованием JWT-токена;

планирование задач раздела «Рабочие места - Расписания» теперь выполняется службой termidesk-celery-beat;

добавлена очистка поля «Пользователь» при изменении поля «Домен аутентификации» в форме «Создать пользователя» фонда РМ;

добавлена очистка поля «Группа» при изменении поля «Домен аутентификации» в форме «Создать группу» фонда РМ;

исправлено отображение пользователей и групп выбранного ранее домена аутентификации при повторном открытии форм «Создать пользователя» и «Создать группу» фонда РМ;

[Агрегатор] исправлена ошибка, возникавшая при подключении к ферме поставщика ресурсов через Шлюз;

исправлена ошибка, из-за которой пользователю с ролью «Персонал» и правом на просмотр отчетов были доступны операции создания и удаления отчетов;

исправлена ошибка, из-за которой дублировалось уведомление об ошибке удаления поставщика ресурсов;

исправлена проверка значения OU в параметрах гостевых ОС: «Linux MS AD DS» и «Windows MS AD DS»;

добавлена возможность сортировки данных таблицы на странице «Журналы - Журналы фермы»;

исправлена ошибка, из-за которой при публикации шаблона РМ на основе полного клона для поставщиков oVirt, zVirt и РЕД Виртуализация принудительно создавался шаблон РМ с предварительно размеченным диском;

улучшено удаление объектов компьютеров в домене аутентификации MS AD: для идентификации объекта используется параметр objectGUID, а при невозможности его получения — имя объекта (CN);

исправлена ошибка, из-за которой сервер syslog присылал сообщения старого типа;

исправлены ошибки и проверки в API-запросе replace;

исправлены потенциальные XSS-уязвимости в формах «Портала администратора»;

изменен генератор случайных чисел, используемый для генерации cookie: теперь используется криптографически стойкий генератор;

исправлена ошибка, которая возникала при изменении значения параметра «Время ожидания соединения, с» и нажатии кнопки «Тест» в форме поставщика ресурсов;

исправлена ошибка, из-за которой при добавлении групп в домене аутентификации OIDC не учитывалось значение параметра «Проверка SSL»;

исправлена работа параметра «Выбор ресурсов платформы» при редактировании поставщика ресурсов VMware. Параметр недоступен для отключения, если поставщик сохранен с выбранными ресурсами;

исправлено отображение колонки «Используется» на странице «Параметры гостевых ОС». Значение параметра определяется по наличию опубликованных фондов РМ;

[Агрегатор] исправлена ошибка, из-за которой не удавалось установить подключение с узлами ферм поставщиков ресурсов, версия которых была ниже версии Агрегатора;

исправлена ошибка, которая возникала при публикации фонда РМ в разделе «Публикации»;

исправлена ошибка при вводе РМ в домен FreeIPA. Теперь перед вводом РМ в домен удаляется существующая DNS-запись;

исправлен текст кнопки очистки фильтра на странице «Журналы - Аудит»;

исправлены ошибки перехода между страницами;

исправлена ошибка, из-за которой количество отображаемых записей в на страницах могло не соответствовать значению параметра «Показать»;

исправлена сортировка доменов аутентификации по их приоритету и имени;

исправлено некорректное поведение мастера публикации при возникновении ошибок;

исправлена ошибка, из-за которой при подключении пользователя к сессии не передавался UUID РМ на странице «Рабочие места - Индивидуальные рабочие места»;

исправлен текст сообщения о невозможности удаления домена аутентификации, пользователи которого имеют назначенные РМ;

исправлено отображение экранных кнопок создания, изменения, удаления, сохранения и загрузки объектов в соответствии с назначенными пользователю правами доступа;

добавлены логирование и обработка исключений в потоке watchdog защищенного хранилища секретов;

[Агрегатор] исправлена ошибка, из-за которой в таблицах «Фермы» и «Узлы» не работала сортировка столбца «Статус»;

исправлена ошибка отображения профиля Шлюза на странице «Рабочие места - Протоколы доставки», при добавлении протокола через интерфейс командной строки;

исправлена ошибка, из-за которой при возникновении неопознанной ошибки запросы выполнялись рекурсивно;

исправлена ошибка, из-за которой при публикации фонда отображалось сообщение о достижении максимального количества РМ;

исправлена ошибка, из-за которой отсутствовали изображения фондов при подключении через компонент «Клиент»;

исправлен текст сообщения о невозможности удаления пользователя из домена аутентификации. Причина невозможности удаления пользователя теперь также отображается в журнале домена аутентификации;

исправлена ошибка, из-за которой загружалась только часть списка метадоменов аутентификации при их добавлении в обычный домен аутентификации;

исправлено отображение поля с паролем при пустой строке;

исправлена ошибка с выводом сообщения в аудит при удалении группы;

исправлена обработка подключения к «Агрегатору» без указания URI сайта;

обновлены библиотеки для устранения уязвимостей;

исправлена ошибка в логике балансировки Метапоставщика;

исправлена логика выбора ВМ в составных фондах: добавлены режим балансировки по наименьшей относительной загрузке и фильтрация фондов по наличию готовых машин;

исправлена ошибка «NoReverseMatch» в пользовательском портале при использовании в фондах протоколов доставки HTML5;

исправлена проблема аварийного завершения и некорректной работы очередей при взаимодействии с хранилищем чувствительной информации;

исправлена ошибка локализации для шаблонов «Сетевая загрузка» поставщика VMware;

исправлена ошибка в веб-интерфейсе, при которой форма изменения фонда при открытии внутри фонда не подгружала актуальные значения;

исправлена ошибка с отсутствием кеша после публикации ресурсов;

исправлена ошибка «500» для переподключения с протоколом SPICE;

исправлена фиксация ключа proto: tcp при ответе шлюзу для протокола доставки TERA;

исправлен сброс глобальных политик, политик фондов, групп и сетей. На странице «Сети» действия «Изменить», «Удалить» и «Политики» перенесены из контекстного меню в панель над таблицей. Так же для политик сетей, групп и фондов добавлен вызов контекстного меню с пунктами «Изменить» и «Сбросить» как в глобальных политиках;

исправлены ошибки после обновления темы:

исправлена ошибка, из-за которой не отображались данные в таблице «Отчет по пользовательским сеансам»;

исправлена нестабильная работа в случае включения или выключения узлов на «Агрегаторе»;

исправлено удаление DNS A-записи ВРМ после ввода в домен FreeIPA.

удалена политика «Ограничение полосы пропускания видеоканала (TERA)»;

удален неиспользуемый транспорт UDP из формы протокола доставки TERA;

удалена возможность подготовки ВМ для пользователя в момент подключения к фонду с кешем первого уровня 0.

TERA: добавлена блокировка сессии пользователя в случае его отключения;

TERA: добавлено получение портов TERA-сервера из конфигурационного файла 30-teraqxl.xorg.conf.

увеличено время ожидания создаваемой сессии пользователя до 60 секунд;

теперь проверяется идентичность логина пользователя: при ожидании появления сессии через SSO игнорируется регистр для доменной части (если она есть);

взаимодействие со STAL: права на файл /etc/krb5.keytab теперь не меняются, если на узле установлен STAL и существует файл /opt/termidesk/stal/stal-service.

ОС Microsoft Windows: исправлена ошибка, при которой в реестре не сохранялся параметр ttl_deadline.

добавлено журналирование события при истечении срока жизни сертификата.

исправлена ошибка, из-за которой после обновления компонента «Сессионный агент» в ОС Microsoft Windows удалялись его сертификаты.

добавлена поддержка ОС Debian версии 11 с поддержкой протокола доставки TERA;

добавлена поддержка политики «Режим блокировки сеанса».

теперь настройка «Разрешить сохранение пароля в клиенте», полученная от сервера Termidesk VDI, влияет и на хранение пароля и PIN-кода в оперативной памяти. Если политика пришла со значением запрета, то пароль и PIN-код не будут храниться в оперативной памяти.

улучшена работа беспарольной Kerberos-аутентификации с использованием смарт-карты;

улучшена работа механизма перенаправления смарт-карт Microsoft VSC по протоколу TERA;

macOS: исправлена проблема зависания аутентификации для доменов OIDC и SAML. Для аутентификации используется встроенный веб-браузер;

исправлено поведение, при котором при включенной политике «Автоматический вход в систему при подключении к РМ» ПО Termidesk Viewer подключалось не вовремя. Теперь таймаут SSO настраивается и принимается от «Универсального диспетчера»;

исправлено появление в файлах журналов сообщения о заголовке Set-Cookie.

добавлена поддержка ОС Debian версии 11 с поддержкой протокола доставки TERA;

добавлена возможность определения приоритета каналов при подключении по протоколу TERA;

добавлена поддержка политики «Режим блокировки сеанса».

для корректной работы ПО Termidesk Viewer требуется библиотека libtera-client версии 7.0.9 и выше.

исправлено перенаправление смарт-карт при переподключении канала. Ошибка проявлялась аварийным завершением работы ПО Termidesk Viewer при повторном подключении;

исправлена ошибка, из-за которой окно RAIL-приложения нельзя было транслировать в видеоконференциях при использовании графического интерфейса X Window System;

исправлена ошибка, из-за которой после переподключения ПО Termidesk Viewer не выполнялось перенаправление смарт-карт;

исправлена ошибка, из-за которой при подключении по протоколу TERA не отображалось окно ПО Termidesk Viewer;

исправлена ошибка, из-за которой сохранялись некорректные сведения о перенаправляемой смарт-карте TPM;

исправлена передача начальной конфигурации расположения мониторов при подключении по протоколу RDP из ОС macOS;

исправлена ошибка, из-за которой окно ПО Termidesk Viewer не учитывало кратность изменения разрешения экрана;

исправлена ошибка, из-за которой при запуске сессии STAL не всегда применялось динамическое разрешение экрана;

улучшена обработка клавиш <Print Screen>, <Pause>, <Break>, <NumLock>, <AltGr> при подключении по протоколам TERA и RDP;

улучшена работа Kerberos-аутентификации;

TERA (tera-router): исправлены возможные утечки памяти;

исправлено поведение, при котором пролистывание экрана с сенсорной панели (тачпада) происходило быстро;

доработан плагин звука в freerdp для исправления задержки звука при воспроизведении видео в сессии рабочего стола STAL;

исправлено качество звука при работе через шлюз по протоколу TERA;

исправлено аварийное завершение работы при использовании веб-камеры;

исправлена конкуренция между каналами чтения данных протоколов SPICE, RDP и TERA, которая приводила к отсутствию вывода изображения с веб-камеры.

исправлена проблема аварийного завершения работы транспорта;

исправлена проблема печати на Альт Лиункс, скорректированы права доступа;

исправлена проблема настройки порта RDP;

скорректирована настройка таймаута D-BUS для коннектора службы stal-service;

удалены рамки окна для режима доставки приложения;

исправлена проблема настройки клавиатуры.

пакеты Termidesk VDI обновлены на актуальные.

добавлена поддержка DSCP-меток для приоритизации сетевого трафика;

добавлена обработка нажатий клавиш при изменении конфигурации клавиатуры;

добавлена возможность изменения пользователем конфигурации мониторов;

ОС Microsoft Windows: добавлен мониторинг событий из service, сигнализирующих об ошибках чтения из драйвера, и отправка команд в драйвер на переинициализацию активных мониторов. Добавлено включение первого монитора после создания мониторов. Функция исправляет ситуацию, при котрой пользователь видит черный экран, если по какой-то причине процесс TERA-сервера перезапустится при очередном подключении ПО Termidesk Viewer к ВРМ.

изменены параметры создания и размещения файлов журналов:

исключена необходимость установки пакета tera-folder-redirection.

исправлено аварийное завершение работы TERA-сервера при отключении TERA-клиента;

улучшена обработка и передача нажатий клавиш мыши и клавиатуры;

исправлена ошибка, влияющая на перенаправление смарт-карт и звука;

исправлено зависание элементов графического интерфейса управления ОС Astra Linux 1.8.3 при подключении и отключении ПО Termidesk Viewer;

улучшена работа механизмов управления сессиями и мониторами;

исправлена ошибка, из-за которой в системном трее ОС Microsoft Windows могли отображаться значки ранее запущенных экземпляров TERA-сервера;

исправлена ошибка, из-за которой после завершения сессии конфигурация мониторов восстанавливалась некорректно;

исправлено поведение, при котором отображался белый курсор в приложениях с белым фоном. Теперь курсор всегда остается видимым (для приложений с белым фоном курсор черный, для приложений с темным фоном курсор белый).

фонд РМ: при задании количества РМ в кеше рекомендуется хотя бы одному кешу (1-го или 2-го уровня) задавать значение, отличное от 0. Если значения обоих кешей будут равны 0, то РМ пользователю не будет выдано, даже если максимальное количество РМ отлично от 0. Таким образом функционал выдачи РМ пользователю по требованию (без наличия РМ в кеше) недоступен.

аутентификация PKINIT по смарт-картам не поддерживается, если на ней записан ключ с ГОСТ-алгоритмом и одновременно с этим в ОС используется библиотека libp11-3 версии 0.4.12-0.1. При аутентификации будет отображаться ошибка «OpenSSL : Unable to get private key for certificate num_». При использовании библиотеки libp11 других версий (например, 0.4.9 или 0.4.13) или далении ключа с ГОСТ-алгоритмом ошибка не воспроизводится.

перенаправление звуковых USB-устройств по протоколу TERA с пользовательской рабочей станции под управлением ОС Microsoft Windows в гостевую ОС приводит к зависанию ПО Termidesk Viewer.

политику «Автоматический вход в систему при подключении к РМ (RDP, SPICE, TERA)» необходимо выключить, если выполняется подключение по протоколу TERA к физической машине (используется ПО x11tera): в противном случае настройка TERA WITH_LOGINCTRL (управление поведением экрана физической машины для подключившегося авторизованного пользователя) перестает работать.

в случае перезагрузки удаленной физической машины с установленным протоколом TERA (ПО x11tera) потребуется ввести логин и пароль для входа в ОС;

в случае использования физической машины с установленным протоколом TERA (ПО x11tera) многомониторный режим не поддерживается.