RDP и Windows

Airlock обеспечивает безопасный доступ без пароля к рабочим столам Microsoft Windows для локальных пользователей Windows (не домен Active Directory).

Предварительные требования

• Linux-сервер для Windows Desktop Service (можно добавить сервис к существующему экземпляру Airlock с новым join-токеном).
• Физическая или виртуальная машина Windows с включённым Remote Desktop; порт RDP (обычно 3389) открыт для Linux-сервера с агентом.
• airctl на административной машине с доступом к кластеру.

Шаг 1 из 4. Подготовка Windows

На компьютере Windows в командной строке (cmd.exe):

1. Экспорт CA пользовательских сертификатов Airlock:

curl.exe -fo airlock.cer https://airlock.example.com/webapi/auth/export?type=windows

1. Загрузка установщика Airlock Windows Auth (подставьте актуальную версию):

curl.exe -fo airlock-windows-auth-setup-amd64.exe https://deckhouse.ru/downloads/airlock/airlock-windows-auth-setup-amd64.exe

1. Запуск установщика: выберите экспортированный сертификат airlock.cer. Установщик:

   • доверяет CA Airlock;
   • устанавливает DLL для интеграции;
   • отключает NLA для RDP;
   • при необходимости включает RemoteFX.

2. Перезагрузите компьютер.

Автоматическая установка из elevated cmd/PowerShell:

airlock-windows-auth-setup-amd64.exe install --cert=airlock.cer -r

Шаг 2 из 4. Windows Desktop Service

1. Сгенерируйте join-токен:

airctl tokens add --type=windowsdesktop

1. Сохраните токен в файл на Linux-сервере, например /tmp/token.

2. Убедитесь, что Airlock установлен:

airlock version

При необходимости:

curl https://deckhouse.ru/downloads/airlock/install.sh | bash -s

1. Настройте /etc/airlock.yaml:

version: v3
airlock:
  nodename: windows-agent.example.com
  proxy_server: airlock.example.com:443
  auth_token: /tmp/token
windows_desktop_service:
  enabled: yes
  static_hosts:
  - name: win-desktop-1
    ad: false
    addr: 192.0.2.155
    labels:
      datacenter: dc1
auth_service:
  enabled: no
proxy_service:
  enabled: no
ssh_service:
  enabled: no

• proxy_server — адрес Proxy Service кластера.
• static_hosts / non_ad_hosts — IP или имена Windows-машин (без AD автообнаружение недоступно).

1. Запуск:

sudo systemctl enable airlock
sudo systemctl start airlock
sudo systemctl status airlock

Шаг 3 из 4. Роль для доступа к рабочим столам

Создайте windows-desktop-admins.yaml:

kind: role
version: v6
metadata:
  name: windows-desktop-admins
spec:
  allow:
    windows_desktop_labels:
      "*": "*"
    windows_desktop_logins: ["Administrator", "alice"]

airctl create -f windows-desktop-admins.yaml

Назначьте роль пользователю через airctl users update.

Шаг 4 из 4. Подключение

1. Войдите в веб-интерфейс Airlock под учётной записью с ролью windows-desktop-admins.

2. Resources → фильтр Desktops → Connect у нужного рабочего стола → выберите логин Windows.

3. Сессия RDP открывается в браузере и записывается. Для отключения используйте Disconnect.

4. Запись просматривается в Management → Session Recordings.

Следующие шаги

• Сузьте доступ через windows_desktop_labels и отдельные роли для разных групп пользователей.
• Для нескольких рабочих столов используйте метки в static_hosts и RBAC по меткам.