Руководство по публикации приложений в Метапоставщике STAL

Аннотация

В инструкции приведена краткая последовательность действий по публикации приложений на основе компонента «Сервер терминалов Astra Linux» (далее — STAL) через функционал Метапоставщика.

Описание предназначено для подготовки тестового стенда.

Публикация приложений в Метапоставщике выполняется в следующей последовательности:

шаг 1. Настройка гостевой ОС ВМ для использования в Метапоставщике;
шаг 2. Получение и добавление файла keytab для интеграции Termidesk VDI с доменом аутентификации FreeIPA;
шаг 3. Предварительные настройки Termidesk VDI;
шаг 4. Создание и публикация сервисного фонда в Termidesk VDI;
шаг 5. Создание фонда Метапоставщика в Termidesk VDI;
шаг 6. Настройка фонда Метапоставщика с публикацией приложения;
шаг 7. Получение приложения через компонент «Клиент» (далее — Клиент) Termidesk.

Исходные данные

Предварительные условия:

инфраструктура предварительно настроена;
Метапоставщик STAL и программный комплекс Termidesk VDI установлены на отдельных ВМ;
Метапоставщик STAL и программный комплекс Termidesk VDI не введены в домен;
для управления доступом и аутентификации пользователей используется домен FreeIPA.

Все указанные в данной инструкции IP-адреса должны быть заменены на актуальные, соответствующие схеме адресации, принятой в инфраструктуре организации.

Шаг 1. Настройка гостевой ОС ВМ для использования в Метапоставщике

Настройка ОС Astra Linux Special Edition 1.8

Для настройки ОС Astra Linux Special Edition 1.8 нужно:

установить пакет qemu-guest-agent для корректного взаимодействия ОС с платформой виртуализации:

sudo apt install -y qemu-guest-agent

отредактировать файл /etc/xdg/kdeglobals, добавив строки:

[KScreen]
ScreenScaleFactors=rdp0=1;

привести файл /etc/acpi/events/powerbtn-acpi-support к виду:

event=button/power
action=/sbin/poweroff

установить пакет astra-freeipa-client для ввода STAL в домен FreeIPA:

sudo apt install -y astra-freeipa-client

Предполагается, что в сетевой инфраструктуре IP-адрес DNS-сервера определяется DHCP-сервером.

Установка STAL и «Сессионного агента»

Для установки STAL и «Сессионного агента» нужно:

подключить локальный репозиторий Termidesk (см. подраздел STAL. Получение пакетов установки);

Процесс установки может отличаться в зависимости от версии. Рекомендуется обратиться к разделу документации с установкой компонента (например, для ОС Astra Linux Special Edition см. подраздел ОС Astra Linux Special Edition).

выполнить установку пакета termidesk-stal:

sudo apt install termidesk-stal

установить компонент «Сессионный агент» (termidesk-session-agent) из состава Termidesk VDI:

sudo apt install termidesk-session-agent

После установки компонента «Сессионный агент» рекомендуется выполнить его настройку в конфигурационном файле session_agent.ini: изменить параметр USE_USER_PRINCIPAL_NAME в соответствии с установленной версией STAL (см. подраздел Конфигурационный файл session_agent.ini).

проверить состояние STAL после установки. Строка Active отображает состояние сервиса, где статус active (running) означает успешный запуск:

sudo systemctl status termidesk-stal.service
sudo systemctl status termidesk-stal-sesman.service

При установке STAL по умолчанию дополнительные настройки не требуются.

Установка «Агента виртуального рабочего места»

Для установки «Агента виртуального рабочего места» нужно:

убедиться, что подключен локальный репозиторий Termidesk (см. подраздел STAL. Получение пакетов установки);
установить компонент «Агент виртуального рабочего места» (termidesk-agent) из состава Termidesk VDI:

sudo apt install termidesk-agent

Настройка «Сессионного агента»

Для настройки «Сессионного агента» нужно отредактировать файл /etc/opt/termidesk-session-agent/session_agent.ini:

параметру USE_USER_PRINCIPAL_NAME присвоить значение Auto;
параметру STAL_CONNECT_RDP_TTL присвоить значение 600;
параметру URL_BALANCER задать URL-адрес «Универсального диспетчера»;
перезапустить службу «Сессионного агента»:

sudo systemctl restart termidesk-session-agent

Настройка «Агента виртуального рабочего места»

Для настройки «Агента виртуального рабочего места» нужно:

перейти в графическом интерфейсе ОС «Звезда — Программы — Инструменты» и выбрать ярлык «VDI Agent Configuration» (см. рисунок Расположение ярлыка ПО в ОС);

Рисунок 1. Расположение ярлыка ПО в ОС

ввести пароль суперпользователя ОС;
указать параметры конфигурирования (см. рисунок Конфигурация «Агента виртуального рабочего места»):
- «Адрес сервера» — IP-адрес сервера Termidesk VDI;
- «Мастер-ключ» — мастер-ключ для подключения к серверу Termidesk VDI. Для получения мастер-ключа нужно в веб-интерфейсе Termidesk VDI («Портал администратора») перейти «Системные параметры — Системные настройки — Безопасность» и скопировать значение параметра «Мастер-ключ»;
- остальные параметры можно оставить со значениями по-умолчанию, если дополнительные настройки конфигурации не используются;

Рисунок 2. Конфигурация «Агента виртуального рабочего места»

нажать экранную кнопку [Проверить]. Убедиться, что проверка пройдена успешно;
нажать экранную кнопку [Сохранить].

Проверить состояние службы командой (статус active (running) или active (exited) свидетельствует об успешном запуске и готовности к работе):

sudo systemctl status termidesk-agent

Завершение настройки

После выполнения всех настроек нужно выключить ВМ.

Шаг 2. Получение и добавление файла `keytab` для интеграции с FreeIPA

Для получения keytab-файла на контроллере домена и добавления его на узел сервера Termidesk VDI («Портал администратора») потребуется выполнить ряд действий.

На контроллере домена FreeIPA:

получить доступ к контроллеру домена FreeIPA в режиме интерфейса командной строки;
получить kerberos-тикет для пользователя с полномочиями администратора домена:

sudo kinit admin

добавить узел сервера Termidesk VDI (указать IP-адрес и мнимый FQDN в текущем домене):

sudo ipa host-add --force --ip-address=10.100.8.15 disp.termidesk.local

добавить службу для нового сервисного аккаунта:

sudo ipa service-add HTTP/disp.termidesk.local

создать файл termidesk.keytab для сервисного аккаунта:

sudo ipa-getkeytab -s freeipa.termidesk.local -p HTTP/disp.termidesk.local -k /home/<пользователь>/termidesk.keytab

Неважно, для какого узла создан keytab, необходимо само его наличие.

Каждая генерация keytab должна производиться в новый файл. При необходимости повторного использования имени файла, существующий файл обязательно должен быть удален перед генерацией.

передать сохраненный файл termidesk.keytab на узел сервера Termidesk:

sudo scp termidesk.keytab <пользователь_узла>@<IP-адрес>:termidesk.keytab

На сервере Termidesk VDI (узел с установленным «Порталом администратора»):

переместить полученный файл termidesk.keytab в каталог /etc/opt/termidesk-vdi:

sudo mv /home/<пользователь>/termidesk.keytab /etc/opt/termidesk-vdi/

сделать владельцем этого файла пользователя termidesk:

sudo chown termidesk:termidesk /etc/opt/termidesk-vdi/termidesk.keytab

перезапустить службу termidesk-vdi:

sudo systemctl restart termidesk-vdi

Шаг 3. Предварительные настройки Termidesk VDI

Добавление домена аутентификации

Для добавления домена аутентификации:

перейти «Системные параметры — Домены аутентификации», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка «FreeIPA» (см. рисунок Выбор домена аутентификации).

Рисунок 3. Выбор домена аутентификации

откроется окно «Создать новый объект 'FreeIPA'». В поле окна ввести название объекта и заполнить обязательные параметры (см. рисунок Окно добавления домена аутентификации FreeIPA);

Рисунок 4. Окно добавления домена аутентификации FreeIPA

Подробное описание параметров приведено в разделе документации (см. подраздел Добавление домена аутентификации FreeIPA).

проверить правильность заполнения параметров, нажав экранную кнопку [Тест];
сохранить объект, нажав экранную кнопку [Сохранить].

Добавление группы домена аутентификации

Для добавления группы домена аутентификации:

перейти «Системные параметры — Домены аутентификации», в столбце «Название» сводной таблицы нажать на наименование домена аутентификации «FreeIPA»;
на вкладке «Группы» нажать экранную кнопку [Создать] и выбрать из выпадающего списка пункт «Группа» (см. рисунок Добавление группы в домен аутентификации);

Рисунок 5. Добавление группы в домен аутентификации

откроется окно «Создать новый объект 'Группа'». В поле окна выбрать название группы и заполнить обязательные параметры (см. рисунок Окно добавления группы домена аутентификации);

Рисунок 6. Окно добавления группы домена аутентификации

Подробное описание параметров приведено в разделе документации (см. подраздел Действия над группами в домене аутентификации).

Добавление параметров гостевой ОС

Для добавления параметров гостевой ОС:

перейти «Рабочие места — Параметры гостевых ОС», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка тип «Linux FreeIPA» (см. рисунок Выбор гостевой ОС Linux для добавления параметров конфигурации);

Рисунок 7. Выбор гостевой ОС Linux для добавления параметров конфигурации

откроется окно «Создать Linux FreeIPA». В поле окна ввести название и заполнить обязательные параметры (см. рисунок Окно добавления параметров конфигурации ОС Linux);

Рисунок 8. Окно добавления параметров конфигурации ОС Linux

Подробное описание параметров приведено в разделе документации (см. подраздел Параметры гостевой ОС Linux).

Добавление протокола доставки

Для добавления протокола доставки следует перейти «Рабочие места — Протоколы доставки», нажать экранную кнопку [Создать] и выбрать из выпадающего списка протокол «RDP (терминальный доступ)» (см. Выбор протокола доставки).

Рисунок 9. Выбор протокола доставки

Откроется окно «Создание протокола "RDP (терминальный доступ)"» (см. рисунок Окно добавления протокола доставки).

Рисунок 10. Окно добавления протокола доставки

Подробное описание параметров приведено в разделе документации (см. подраздел Подключение по протоколу RDP для доступа к ресурсам сервера терминалов).

Для проверки правильности заполнения формы можно использовать экранную кнопку [Тест].

Добавление логотипов

Логотипы используются для визуальной идентификации объектов в Termidesk VDI.

Для добавления логотипа следует перейти «Рабочие места — Галерея» и нажать экранную кнопку [Создать] (см. рисунок Добавление логотипа).

Рисунок 11. Добавление логотипа

При этом откроется окно «Создать изображение в галерее» (см. рисунок Окно добавления логотипа).

В открывшемся окне следует ввести текстовое наименование изображения, нажать экранную кнопку [Нажмите для загрузки] и указать расположение логотипа. После загрузки логотипа следует нажать экранную кнопку [Сохранить].

Рисунок 12. Окно добавления логотипа

Добавление группы рабочих мест

Для добавления группы рабочих мест следует перейти «Рабочие места — Группы рабочих мест» и нажать экранную кнопку [Создать] (см. рисунок Добавление группы рабочих мест).

Рисунок 13. Добавление группы рабочих мест

При этом откроется окно «Создать группу рабочих мест» (см. рисунок Окно добавления группы рабочих мест). В окне нужно заполнить поля «Название», «Комментарий» (при необходимости) и «Приоритет».

Рисунок 14. Окно добавления группы рабочих мест

В примере:

Параметру «Приоритет» было задано значение «1» — приоритет отображения группы в списке.

Шаг 4. Создание и публикация сервисного фонда в Termidesk VDI

Сервисный фонд — специальный фонд для функционала Метапоставщика, использующийся для тиражирования ресурсов.

Добавление поставщика ресурсов для сервисного фонда

В качестве источников ресурсов для Метапоставщика могут выступать:

платформы виртуализации;
автономные машины.

В разделе приведен пример добавления сервисного фонда Метапоставщика с использованием ресурсов платформы виртуализации zVirt.

Для добавления поставщика ресурсов в графическом интерфейсе управления Termidesk VDI следует перейти «Инфраструктура — Поставщики ресурсов», затем нажать экранную кнопку [Создать] и выбрать из выпадающего списка «zVirt (поставщик ресурсов на базе zVirt)» (см. рисунок Выбор поставщика ресурсов на платформе zVirt).

Рисунок 15. Выбор поставщика ресурсов на платформе zVirt

При этом откроется окно «Создание поставщика zVirt» (см. рисунок Окно создания поставщика zVirt»).

Рисунок 16. Окно создания поставщика zVirt»

Подробное описание полей приведено в таблице «Добавление платформы zVirt».

Для проверки правильности заполнения формы можно использовать экранную кнопку [Тест].

Для сохранения объекта следует нажать экранную кнопку [Создать].

Создание шаблона РМ сервисного фонда для платформы zVirt

В качестве примера приведен процесс создания шаблона РМ на основе связанного клона для платформы zVirt.

Для добавления шаблона следует:

перейти «Инфраструктура — Поставщики ресурсов», в столбце «Название» сводной таблицы нажать на наименование поставщика ресурсов платформы zVirt (см. рисунок Выбор поставщика ресурсов);

Рисунок 17. Выбор поставщика ресурсов

при этом откроется форма «Шаблоны рабочих мест». В открывшейся форме нужно нажать на экранную кнопку [Создать], из выпадающего списка выбрать шаблон: «Связанный клон» (см. рисунок Создание шаблона РМ на основе связанного клона).

Рисунок 18. Создание шаблона РМ на основе связанного клона

заполнить параметры в окне «Создание шаблона» (см. рисунок Окно добавления связанного клона zVirt).

Рисунок 19. Окно добавления связанного клона zVirt

Подробное описание полей приведено в таблице «Шаблон на основе связанного клона для zVirt».

Создание сервисного фонда РМ для Метапоставщика

Для добавления сервисного фонда РМ следует:

перейти «Рабочие места — Фонды» и нажать экранную кнопку [Создать], из выпадающего списка выбрать «Виртуальные машины» (см. рисунок Добавление сервисного фонда РМ);

Рисунок 20. Добавление сервисного фонда РМ

при этом откроется окно «Виртуальные машины» (см. рисунок Окно добавления фонда РМ). В полях формы «Базовые настройки фонда» следует ввести название фонда, имя публикации, выбрать шаблон РМ, задать количество РМ и нажать экранную кнопку [Далее];

Рисунок 21. Окно добавления фонда РМ

будет выполнен переход на форму «Дополнительные настройки фонда», где следует произвести дополнительные настройки фонда РМ, обязательно отметив параметр «Сервисный фонд» (см. рисунок Форма дополнительных настроек фонда РМ);

Рисунок 22. Форма дополнительных настроек фонда РМ

При задании количества рабочих мест в кеше 1-го уровня следует учитывать, что Метапоставщик будет выполнять балансировку нагрузки между созданными РМ.

в форме «Настройки ограничения количества интерактивных сессий» следует задать необходимые ограничения для сеансов на терминальном сервере (см. рисунок Форма настройки ограничений количества интерактивных сессий):
- «Максимальное количество одновременных сеансов»: «181» — количество одновременных сеансов на терминальном сервере;
- «Ограничить пользователя одним сеансом»: «Да» — ограничение пользователей одним сеансом терминального сервера;
  
  Рисунок 23. Форма настройки ограничений количества интерактивных сессий
в форме «Завершение настройки фонда» нажать экранную кнопку [Завершить]. При успешном создании фонда в этом же окне должно появиться сообщение «Фонд успешно создан!».

Подробное описание полей приведено в разделе «Добавление фонда ВМ».

Публикация сервисного фонда РМ

Для публикации сервисного фонда РМ следует:

перейти «Рабочие места — Фонды» и в сводной таблице в столбце «Фонд рабочих мест» выбрать наименование фонда РМ;
на открывшейся странице в разделе «Публикации» нажать экранную кнопку [Создать] (см. рисунок Создание новой публикации фонда ВРМ);

Рисунок 24. Создание новой публикации фонда ВРМ

в окне «Создать публикацию» в раскрывающемся списке следует выбрать ВМ, на основе которой будет выполняться тиражирование РМ. После ввода опционального текстового комментария нужно нажать экранную кнопку [Опубликовать] для запуска задачи обновления фонда на РМ (см. рисунок Окно подтверждения публикации).

Рисунок 25. Окно подтверждения публикации

Сразу после публикации в столбце «Прогресс» будет отображена индикация серым цветом, указывающая на начало процесса публикации. Далее индикация синим цветом будет отображать прогресс выполнения публикации. Необходимо дождаться индикации зеленым цветом, сообщающей об успешном завершении процесса публикации (см. рисунок Индикация прогресса выполнения публикации со статусом «Публикация успешно завершена»).

Рисунок 26. Индикация прогресса выполнения публикации со статусом «Публикация успешно завершена»

Подробная информация о прогрессе публикаций содержится в подразделе Публикация фонда РМ.

Шаг 5. Создание фонда Метапоставщика в Termidesk VDI

Создание публикации фонда Метапоставщика с приложением

Для публикации фонда Метапоставщика с приложением следует:

перейти «Рабочие места — Фонды», нажать экранную кнопку [Создать] и из выпадающего списка выбрать тип мастера публикации: «Приложение»;
откроется мастер публикации фонда. Следует:
- выбрать тип публикации (см. рисунок Выбор типа публикации);
  
  Рисунок 27. Выбор типа публикации
- затем создать Метапоставщик для размещения публикации (см. рисунок Выбор поставщика для публикации);
  
  Рисунок 28. Выбор поставщика для публикации
- заполнить параметры Метапоставщика (см. рисунок Настройка параметров Метапоставщика). Подробное описание параметров приведено в разделе документации (см. подраздел Добавление фонда публикации служб «Метапоставщика»);
  
  Рисунок 29. Настройка параметров Метапоставщика
- задать наименование приложения и выбрать приложение для публикации (см. рисунок Выбор публикуемого приложения);
  
  Рисунок 30. Выбор публикуемого приложения
- настроить параметры публикации (см. рисунок Настройка фонда Метапоставщика для публикуемого приложения);
  
  Рисунок 31. Настройка фонда Метапоставщика для публикуемого приложения
- задать домен аутентификации и группу пользователей, входящую в этот домен, которым будет доступен фонд (см. рисунок Выбор группы пользователей домена аутентификации);
  
  Рисунок 32. Выбор группы пользователей домена аутентификации
- выбрать пользователя домена аутентификации (см. рисунок Выбор пользователя домена аутентификации);
  
  Рисунок 33. Выбор пользователя домена аутентификации
- выбрать протокол доставки, который будет доступен для фонда Метапоставщика (см. рисунок <<>>);
  
  Рисунок 34. Выбор протокола доставки для фонда Метапоставщика
- после завершения настройки нажать экранную кнопку [Завершить]. При успешном создании фонда в этом же окне должно появиться сообщение «Фонд успешно создан!».

Публикация фонда Метапоставщика

Публикация фонда не требуется.

Шаг 6. Настройка фонда Метапоставщика с публикацией приложения

Настройка сводится к изменению значений по-умолчанию для некоторых политик:

перейти «Рабочие места — Фонды», в сводной таблице выделить фонд с опубликованным приложением и нажать экранную кнопку [Политики];
задать политике «Аутентификация на уровне сети (RDP)» значение «RDP» или «TLS».

Шаг 7. Получение приложения через Клиент Termidesk VDI

Для получения приложения через Клиент нужно:

нажать экранную кнопку [Добавить сервер] (см. рисунок Добавление сервера Termidesk);

Рисунок 35. Добавление сервера Termidesk

ввести IP-адрес сервера Termidesk (при распределенной установке — «Портала пользователя») и нажать экранную кнопку [Да] (см. рисунок Окно добавления сервера Termidesk);

Рисунок 36. Окно добавления сервера Termidesk

в полях окна «Настройка подключения к серверу» заполнить параметры аутентификации пользователя и нажать экранную кнопку [Да] (см. рисунок Настройка подключения к серверу Termidesk);

Рисунок 37. Настройка подключения к серверу Termidesk

созданный сервер отобразится в списке Клиента. Для подключения к серверу следует нажать экранную кнопку [Подключиться] (см. рисунок Подключение к выбранному серверу);

Рисунок 38. Подключение к выбранному серверу

в открывшемся окне выбрать приложение «Chromium» (см. рисунок Выбор опубликованного приложения);

Рисунок 39. Выбор опубликованного приложения

в случае успешного подключения Клиент отобразит окно ПО Termidesk Viewer с опубликованным приложением (см. рисунок Отображение опубликованного приложения в окне ПО Termidesk Viewer).

Рисунок 40. Отображение опубликованного приложения в окне ПО Termidesk Viewer