Сотрудник входит в 1С по RDP, но администратор не видит, что тот делал внутри сеанса. Добавить контроль на один терминальный сервер недостаточно: RDS Connection Broker может направить пользователя на другой узел фермы.
«Онланта» проверила PAM Infrascope в таком сценарии. Система принимала стандартное RDP-подключение, передавала запрос брокеру, а тот выбирал RD Session Host. Этого достаточно, чтобы включить продукт в ограниченный пилот. Переводить через него рабочий доступ к 1С пока рано.
В публикациях CNews, РБК Компании и CISOCLUB перечислены проверенные функции. Однако там нет методики, числа одновременных сеансов, задержек и результатов испытания отказов. Проверка подтверждает совместимость сценария, а не производительность под вашей нагрузкой.
Что проверила «Онланта»
PAM, или система контроля привилегированного доступа, ставит дополнительный слой между пользователем и целевым сервером. Через него администратор задаёт правила подключения, контролирует действия и разбирает записи сеансов.
По материалам CNews и РБК Компании, «Онланта» развернула PAM Infrascope в своём публичном облаке. NGR Softlab подготовила подключение к RDS-ферме через обычный для пользователя RDP-сценарий.
Путь подключения выглядел так:
пользователь → PAM Infrascope → RDS Connection Broker → RD Session Host → сеанс 1С
PAM передавал запрос брокеру. Connection Broker определял конкретный сервер фермы и направлял туда пользователя. Сотруднику не требовалось выбирать узел вручную или менять привычный способ входа.
Такое встраивание сохраняет разделение задач. PAM проверяет доступ и фиксирует действия перед фермой. RDS продолжает распределять сеансы между терминальными серверами.
«Онланта» также проверила SSH, SFTP, аудит, OCR и изоляцию браузера. OCR здесь нужен для поиска по содержимому записанного графического сеанса, когда обычного текстового журнала недостаточно.
| Заявленная проверка | Что она подтверждает | Какой вопрос остаётся |
|---|---|---|
| Подключение к RDS-ферме | PAM передаёт запрос Connection Broker, а не привязывает пользователя к одному RD Session Host | Вернётся ли пользователь в прежний сеанс после разрыва связи |
| Аудит сеансов | Действия внутри подключения можно регистрировать и просматривать | Какие действия 1С видны в записи и насколько удобно искать эпизод |
| OCR | Система распознаёт содержимое экрана для последующего поиска | Как распознавание работает с вашим разрешением, масштабом и интерфейсом 1С |
| SSH | Через PAM проходит привилегированный доступ к узлам с SSH | Совпадают ли правила SSH и RDP с вашей моделью ролей |
| SFTP | Через контролируемый сеанс проходят файловые операции | Можно ли ограничить направления, типы и объём передаваемых файлов |
| Изоляция браузера | PAM разделяет доступ к веб-ресурсам | Нужна ли функция вашему RDS-сценарию и как она влияет на рабочие приложения |
Публикации подтверждают работу функций в тестовом контуре. Они не обещают тот же результат при вашем числе пользователей и вашей схеме RDS.
Формулировку «подтвердил эффективность» нельзя принимать как независимое заключение. Доступные материалы пересказывают проверку и заявления «Онланты» и NGR Softlab. Прямого отчёта с критериями приёмки, конфигурацией стенда и протоколом испытаний среди них нет.
Почему одного успешного RDP-подключения мало
Для одиночного терминального сервера маршрут предсказуем: пользователь обращается к известному узлу. В ферме конечный сервер выбирает Connection Broker. Проверка PAM должна учитывать это решение брокера.
Жёсткая привязка политики к одному RD Session Host создаёт пробел. Первый вход может пройти через PAM, а повторное подключение — привести пользователя на другой узел или в уже открытый сеанс.
Поэтому пилот проверяет не только факт входа. Нужен полный маршрут до приложения, включая повторное подключение и возврат в существующий сеанс.
Если вы ещё выбираете сам способ публикации 1С, сначала сопоставьте общий удалённый сеанс и локальный клиент. PAM не исправит ошибку в базовой схеме доступа. Он контролирует уже выбранный маршрут.
В рабочем контуре также не должно оставаться обходного пути. Иначе администратор войдёт на RD Session Host напрямую, а запись PAM ничего не покажет. Перед пилотом проверьте защиту внешних путей входа к серверу 1С.
Что публикации не сообщают
В материалах нет числа параллельных RDP-сеансов. Нет конфигурации узлов, версии Windows Server и состава RDS-ролей. Не описана нагрузка внутри сеанса.
Без этих данных нельзя оценить запас PAM по подключениям. Нельзя также сравнить задержку прямого RDP-входа с маршрутом через систему контроля.
Нет и результатов отказоустойчивости. Публикации не отвечают, что произойдёт при недоступности PAM, Connection Broker или одного RD Session Host. Не указан порядок аварийного доступа.
Это не делает проведённую проверку бесполезной. Она закрывает первый вопрос: умеет ли PAM Infrascope работать с RDS-фермой через брокер. Следующие вопросы придётся закрыть на своей схеме.
Как собрать пилот, не затрагивая рабочую ферму
Начните с копии маршрута, а не с подключения всех администраторов. Пилотный контур должен повторять основные узлы: PAM, Connection Broker, несколько RD Session Host и приложение, открываемое по RDP.
Не переносите в пилот обычных сотрудников. Возьмите отдельную учётную запись с теми же групповыми политиками, которые действуют у привилегированного пользователя. Так вы увидите работу правил, не меняя действующий доступ.
Прямой вход на RD Session Host для пилотной учётной записи надо закрыть. Иначе успешный тест ничего не докажет: часть подключений сможет пройти в обход PAM.
Перед проверкой запишите текущий путь пользователя. Нужны адрес входа, способ аутентификации, роль Connection Broker и правила повторного подключения. Этот список станет основой протокола приёмки.
Какие проверки нужны до рабочего доступа
Состав проверок следует из функций, которые перечислила «Онланта». Но критерии придётся задать самостоятельно: опубликованного протокола испытаний нет.
Не назначайте произвольный предел задержки или число пользователей. Сначала зафиксируйте наблюдаемый результат. После этого вы сможете добавить внутренние требования своей компании.
| Риск | Что проверить | Критерий решения |
|---|---|---|
| PAM обходит Connection Broker | Открыть RDP-сеанс через PAM и проверить выбранный RD Session Host | Пользователь попадает на узел, который назначил брокер |
| Повторный вход создаёт новый сеанс | Разорвать соединение и подключиться снова тем же способом | Пользователь возвращается в назначенный ранее сеанс |
| Аудит не захватывает работу в 1С | Открыть 1С, выполнить разрешённые действия и завершить сеанс | Запись открывается, а нужный эпизод можно найти |
| OCR не находит элементы интерфейса | Найти в записи заранее выбранную надпись из окна 1С | Поиск приводит к правильному месту сеанса |
| Политика пропускает запрещённое действие | Задать одно проверяемое ограничение и попытаться его нарушить | PAM блокирует действие и сохраняет событие |
| SFTP создаёт обход для файлов | Проверить разрешённую и запрещённую передачу | Разрешённая операция проходит, запрещённая блокируется |
| Прямой RDP остаётся доступным | Попытаться войти на RD Session Host в обход PAM | Пилотная учётная запись не получает прямой доступ |
| Недоступность PAM закрывает администрирование | Отключить пилотный узел PAM и пройти согласованный аварийный маршрут | Ответственный администратор получает доступ по отдельной процедуре |
| Отказ одного узла ломает возврат | Сделать недоступным один тестовый RD Session Host | Результат совпадает с принятой схемой восстановления RDS |
| Записи доступны лишним сотрудникам | Проверить роли просмотра и выгрузки аудита | Записи видят только назначенные проверяющие |
Положительный результат — не отметка «подключение состоялось». Пилот принят, когда маршрут, запись, политика и аварийный доступ отработали предсказуемо.
Последнюю строку часто пропускают. Запись привилегированного сеанса сама содержит чувствительные сведения. Доступ к ней требует не менее строгих правил, чем вход на терминальный сервер.
Как проверить аудит на реальной работе в 1С
Выберите короткий сценарий, который администратор сможет воспроизвести без изменения данных. Например, запуск клиента, открытие тестовой базы и переход между заранее выбранными окнами.
После завершения сеанса откройте запись и найдите каждый этап. Отдельно проверьте поиск через OCR. Название базы, масштаб интерфейса и разрешение экрана должны совпадать с рабочими условиями.
Затем повторите сценарий после разрыва RDP-соединения. Запись должна показать продолжение нужного сеанса, а не отдельную несвязанную цепочку.
Не подменяйте аудит видеозаписью. Для расследования нужен ответ на четыре вопроса: кто подключился, к какому узлу, когда выполнил действие и что зафиксировала политика.
Если одного из ответов нет, зафиксируйте пробел в протоколе пилота. Обещание функции в новости не закрывает этот пробел.
Как испытать аварийный доступ
Отказ PAM нельзя проверять впервые во время сбоя рабочей фермы. В пилоте заранее определите, кто открывает аварийный доступ и где хранится процедура.
Затем отключите тестовый PAM от маршрута. Ответственный администратор должен войти способом, который не зависит от недоступного компонента. Обычные пользователи при этом не должны получить обходной канал.
После восстановления PAM проверьте завершение аварийного режима. Временный доступ надо закрыть, а его использование — зафиксировать по принятой у вас процедуре.
Публикации «Онланты» не описывают такую проверку. Поэтому успешное подключение через Connection Broker нельзя считать доказательством отказоустойчивости.
RemoteApp потребует отдельной подготовки
Новости о PAM Infrascope не содержат инструкции для RemoteApp. Не переносите на него требования другого продукта как готовый рецепт.
Состав подготовительных работ можно оценить по документации BI.ZONE PAM 2.2. Это отдельная система, а её инструкция показывает возможный объём настройки терминального сервера.
Документация BI.ZONE требует DBeaver версии 23 или новее, актуальный Google Chrome и совместимый ChromeDriver. Файлы размещают в C:\Users\Public\Distr, а настройку выполняют под учётной записью доменного администратора.
Эти требования относятся только к BI.ZONE PAM 2.2. Для PAM Infrascope запросите собственную инструкцию NGR Softlab и сверьте версии компонентов. Подмена документации между продуктами даст ложный протокол приёмки.
RemoteApp лучше вынести в отдельный этап. Сначала подтвердите обычный RDP-маршрут через Connection Broker. Затем добавьте запуск опубликованного приложения и повторите проверки аудита, политик и возврата в сеанс.
Какие документы запросить у поставщика
До рабочего внедрения нужен документ, который можно приложить к решению о приёмке. Новостная публикация для этого не подходит.
Запросите у NGR Softlab схему поддерживаемого подключения к RDS-ферме. В ней должны быть PAM, Connection Broker, RD Session Host, точки аутентификации и аварийный маршрут.
Отдельно запросите перечень поддерживаемых версий Windows Server и компонентов RDS. Текущие публикации таких сведений не дают.
Понадобится и описание отказов. Нужны действия при недоступности PAM, брокера и целевого узла. Без них пилот проверит штатный вход, но оставит открытым самый дорогой сценарий.
Последний документ — критерии приёмки аудита. Зафиксируйте, какие события записываются, кто просматривает сеансы, как работает поиск и сколько хранятся материалы. Срок хранения задаёт ваша политика, а не новость о продукте.
Вердикт: пилотировать можно, переносить рабочий доступ рано
Проверка «Онланты» закрывает вопрос базовой совместимости PAM Infrascope с RDS-фермой. Запрос проходит через Connection Broker, а пользователь сохраняет привычный RDP-вход.
Она не закрывает производительность, параллельные сеансы и отказы. Поэтому продукт можно допустить к ограниченному пилоту. Решение о рабочем внедрении принимают только после испытания на вашей схеме.
Перед началом пилота:
- Нарисуйте текущий маршрут RDP до сеанса 1С.
- Закройте пилотной учётной записи прямой вход на RD Session Host.
- Проведите один тестовый маршрут через Connection Broker.
- Проверьте аудит, OCR, политики и передачу файлов.
- Отдельно испытайте доступ при недоступности PAM.
Для оформления такого допуска пригодится порядок проверки новой системы доступа до рабочего внедрения. Логика та же: анонс открывает дверь в пилот, но не заменяет протокол приёмки.