KACE Asset Management Appliance 7.1 - Guia de administração

Configuração de tabelas de roteamento local

Configure as tabelas de roteamento local para permitir que o K1000 encaminhe o tráfego através de diversos gateways em uma rede.

Tabelas de roteamento local são úteis quando o equipamento físico está localizado em um único escritório e os serviços gerenciados estão localizados em um local diferente. Por exemplo, se o equipamento estivesse localizado em Texas e os dispositivos gerenciados, na Califórnia, a solução K1000 atenderia aos dispositivos na sub-rede do Texas. Usando a tabela de roteamento local, o equipamento poderia ser apontado à rede na Califórnia, de forma a servir de host para os dispositivos tanto da Califórnia quanto do Texas.

Acesse o Painel de controle da solução:

◦

Se o componente Organização não estiver habilitado na solução, faça login no Console do administrador do K1000, http://K1000_hostname/admin e clique em Configurações.

◦

Se o componente Organização estiver ativado na solução, faça login no Console de administração do sistema K1000, http://K1000_hostname/system, ou selecione Sistema na lista suspensa no canto superior direito da página e clique em Configurações.

Clique em Tabela de roteamento local para exibir a página Configurações de tabela de roteamento local.

Clique no botão Adicionar para adicionar uma entrada:

Especifique as seguintes configurações:

Opção	Descrição
Nome	Digite um nome para a rota.
Destino	Digite o endereço IP ou rede para o destino com o qual deseja que sua solução K1000 se comunique.
Máscara de sub-rede ou CIDR	Insira a máscara de sub-rede da rede especificada. Por exemplo: 24, 255.255.240.0. Isso é aplicado ao host.
Gateway	Digite o endereço IP do roteador que roteia o tráfego entre a solução K1000 e a rede de destino.

Clique em Salvar no fim da linha para salvar a entrada.

Clique em Salvar e reinicializar na parte inferior da página para salvar todas as alterações.

Será exibido um aviso, indicando que é necessário reiniciar o servidor Apache™.

Clique em OK para continuar.

Configuração das definições do servidor Web local para hosts de lista branca

É possível definir as configurações do servidor da Web local para especificar uma lista branca de hosts que têm permissão para acessar o Console do administrador, Console de administração de sistema e Console do usuário. Após a criação da lista branca, o acesso fica restrito aos hosts incluídos nela.

NOTA: Após a inclusão de um endereço IP ou nome de domínio na lista branca (adicionados à Lista de permissão), somente esse endereço IP ou domínio terá acesso. Todos os outros serão bloqueados.

Acesse o Painel de controle da solução:

◦

Se o componente Organização não estiver habilitado na solução, faça login no Console do administrador do K1000, http://K1000_hostname/admin e clique em Configurações.

◦

Clique em Lista de controle de acesso para exibir a página Detalhes da Lista de controle de acesso.

Especifique as seguintes opções:

Opção	Descrição
Sem restrições de acesso	Selecione esta opção para permitir o acesso de qualquer endereço da web.
Restringir acesso conforme especificado abaixo	Selecione esta opção para restringir o acesso aos endereços da web na Lista de permissão. Para incluir endereços IP da sub-rede da solução na lista branca, além dos destinos especificados, selecione Permitir todos os endereços IP na mesma sub-rede da solução.

Na seção Lista de permissão, clique no botão Adicionar para adicionar uma entrada:

Especifique as seguintes opções.

Opção

Descrição

Destino

Especifique o destino:

•

adminui: Esse é o Console do administrador, nível Admin. Uma lista branca de usuários que podem fazer login em http://K1000_hostname/admin.

•

userui: Esse é o Console do usuário. Uma lista branca de usuários que podem fazer login em http://K1000_hostname/user.

•

systemui: Esse é o Console de administração de sistema (disponível somente se o componente Organização estiver habilitado na solução). Uma lista branca de usuários que podem fazer login em http://K1000_hostname/system.

Nome de domínio/endereço IP

Fornece o endereço a ser permitido. Pode ser:

•

Um nome de domínio (completo ou parcial)

•

Um endereço IP (completo ou parcial)

Máscara de sub-rede/CIDR

(Opcional) Forneça uma máscara de sub-rede/CIDR (Roteamento entre domínios sem classe) a ser permitida. Isso permite um controle de sub-rede mais refinado.

Clique em Salvar no fim da linha para salvar a entrada.

Clique em Salvar na parte inferior da página para salvar todas as alterações.

Será exibido um aviso, indicando que é necessário reiniciar o servidor Apache.

Clique em OK para continuar.

NOTA: Após a inclusão de um endereço IP ou nome de domínio na Lista de permissão, somente esse endereço IP ou domínio poderá acessar a página. Todos os outros serão bloqueados.

Definição das configurações de segurança para a solução

Você deve definir as configurações de segurança da solução para ativar determinadas funcionalidades, como compartilhamento Samba, SSL, SNMP, SSH, acesso a banco de dados e acesso FTP.

Para habilitar o SSL, é necessário possuir o arquivo de chave privada SSL correto e um certificado SSL assinado. Se sua chave privada possui senha, isso impedirá que o equipamento reinicie automaticamente. Se tiver esse problema, entre em contato com o Suporte da Quest em https://support.quest.com/pt-br/contact-support.

NOTA: Salvar as alterações às configurações de segurança reinicia a solução.

NOTA: Em alguns casos, o navegador Firefox® não exibe a página de login do Console do administrador corretamente após a ativação do acesso à porta 443 e reinicia a solução. Se isso acontecer, limpe o cache e cookies do navegador Firefox e tente novamente.

Acesse o Painel de controle da solução:

◦

Se o componente Organização não estiver habilitado na solução, faça login no Console do administrador do K1000, http://K1000_hostname/admin e clique em Configurações.

◦

Clique em Configurações de segurança para exibir a página Configurações de segurança.

Na seção superior, especifique as seguintes configurações:

Opção

Descrição

Ativar o SSH

Permite logins de SSH na solução. Quando o SSH está habilitado, as comunicações criptografadas com SSH são permitidas pela porta 22.

Habilitar compactação do servidor da web

Habilita a solução para comprimir páginas da web. Essa compactação reduz o tempo necessário para carregar as páginas Console do administrador eConsole do usuário no navegador.

Ativação de acesso à API do inventário

Usa comandos da API para atualizar as informações de inventário. Se você quiser carregar informações do dispositivo com a API, é necessário ativar esta configuração. Consulte Adição manual de dispositivos usando a API.

Senha da API

A senha para o acesso pela API (interface de programação do aplicativo) às informações de inventário. Essa senha é usada apenas para o acesso à API e não precisa coincidir com outras senhas.

Habilitar acesso SNMP READ

Habilita o acesso SNMP unidirecional (somente leitura) para acessar os dispositivos gerenciados na rede.

Sequência da comunidade SNMP

A sequência da comunidade SNMP que permite acesso SNMP somente leitura. O valor padrão é public.

Habilitar monitoramento de armadilha de SNMP

Habilita o SNMP (Protocolo simples de gerenciamento de rede), um protocolo para monitoramento de dispositivos gerenciados em uma rede. O SNMP é compatível com o Dell Open Manage e diversos produtos de terceiros. Se você não desejar receber armadilhas de SNMP de dispositivos de rede, desmarque essa opção.

Ao habilitar esse recurso na solução e quando todos os dispositivos relacionados também estiverem habilitados para monitoramento, a solução poderá receber armadilhas de SNMP a partir de dispositivos da rede monitorada, como impressoras, projetores e roteadores. Esse recurso aplica-se somente a dispositivos de rede gerenciados através de dispositivos gerenciados por SNMP, como dispositivos sem agente que utilizam conexões SNMP.

Para obter informações sobre como habilitar o monitoramento de dispositivos, consulte Ativação do monitoramento para um ou mais dispositivos.

Armadilhas de SNMP são mensagens iniciadas por dispositivos de rede e enviadas para o receptor de armadilha da solução. Por exemplo, um roteador pode enviar uma mensagem quando houver falha em sua fonte de alimentação. Ou, uma impressora inicia uma mensagem quando está sem papel. A solução recebe essas armadilhas e gera alertas quando determinados limites predefinidos são atingidos.

•

Versão 1 ou 2 de SNMP: Essa versão exige somente uma sequência de comunidade válida. Uma sequência de comunidade é necessária para permitir que a solução receba mensagens de armadilha de SNMP dos dispositivos de rede monitorados. A solução oferece suporte a várias sequências de segurança. Para adicionar uma sequência de comunidade, abra a guia v1/v2, clique em

, digite a sequência de comunidade e clique em Salvar.

•

Versão 3 de SNMP: Essa versão implementa recursos de configuração remota e de segurança aperfeiçoados e exige um nome de usuário válido e informações de criptografia. Para adicionar um nome de segurança, abra a guia v3, clique em

e forneça as seguintes informações:

◦

Nome de segurança: O nome da conta de usuário de USM (modelo de segurança com base no usuário) que envia a armadilha de SNMP.

◦

ID do mecanismo: O ID do mecanismo do aplicativo SNMP que envia a armadilha de SNMP.

◦

Senha de autenticação: A senha associada ao nome de segurança.

◦

Protocolo de autenticação: O protocolo utilizado para autenticar o usuário: MD5 ou SHA.

◦

Senha de privacidade: A chave de criptografia do pacote de dados.

◦

Protocolo de privacidade: Protocolo de criptografia: AES ou DES.

◦

Nível de segurança: Indica o nível de segurança:

▪

authPriv: A identidade do remetente é verificada e as informações são criptografadas.

▪

authNoPriv: A identidade do remetente é verificada, mas as informações não são verificadas.

▪

noAuthNoPriv: A identidade do remetente não é verificada e as informações não são criptografadas.

Arquivos MIB

Carregue os arquivos MIB (management information base, base de informações de gerenciamento) específicos ao fornecedor. Um arquivo MIB permite que o receptor de armadilha da solução converta as armadilhas de SNMP em mensagens que podem ser lidas por humanos. Esses arquivos são opcionais.

•

Para carregar um arquivo MIB, na página Configurações de segurança, sob Arquivos MIB, na área Carregar MIB, clique em Procurar e selecione um arquivo MIB.

•

Um arquivo MIB deve atender a determinados padrões. A solução valida cada arquivo MIB que é carregado. Se você carregar um arquivo MIB inválido, uma mensagem de erro será exibida na parte superior da página Configurações de segurança. Se você não desejar validar o conteúdo do arquivo MIB, marque a caixa de seleção Pular validação de MIB.

Habilitar arquivos de backup seguros

Exige uma autenticação com nome de usuário e senha para acessar os arquivos de backup do K1000, que ficam disponíveis ao inserir uma URL em um navegador.

Desmarque essa opção para habilitar o acesso aos arquivos de backup por meio de uma URL sem autenticação com nome de usuário e senha. Isso é útil para processos externos que requerem acesso. Consulte Sobre backups da solução.

Habilitar backup via FTP

Habilita o acesso aos arquivos de backup do banco de dados por meio de um servidor FTP somente leitura. Isso permite criar um processo em outro servidor para acessar os arquivos de backup.

Se não precisar desse acesso, desmarque essa opção.

Tornar FTP gravável

Habilita o carregamento de arquivos de backup usando o FTP. O FTP é útil para os arquivos de backup que são grandes demais para o mecanismo HTTP padrão e causam o esgotamento do tempo limite do navegador.

Senha de novo usuário do FTP

Exige uma senha para o acesso aos arquivos de backup por FTP.

Habilite mDNS

Permite que a solução responda às solicitações de multicast Domain Name System (mDNS) e DNS Service Discovery (DNS-SD). Essa opção é mais fácil para que os usuários e administradores localizem o Console do administrador e o Console do usuário. Se você não precisa que a solução responda a essas solicitações, desmarque esta opção.

Ativar gráficos de diagnóstico do servidor da web

Ative o K1000 para exibir informações de uso do servidor Web da solução, como acesso ao Apache e estatísticas de volume. Essas informações aparecem em gráficos no registro Desempenho do sistema. Se essa opção estiver desmarcada, os gráficos não serão atualizados. Consulte Visualização dos registros da solução.

Habilitar acesso de banco de dados

Permite que usuários gerem relatórios sobre o banco de dados do K1000 usando uma ferramenta externa, como o Microsoft Access ou Excel, na porta 3306. Se você não precisar expor o banco de dados dessa forma, desmarque essa opção.

Permitir acesso ao banco de dados seguro (SSL)

Habilita o acesso de SSL ao banco de dados e acesse opções adicionais de SSL.

Opcional: Na seção Chave de criptografia da solução, clique em Gerar chave para gerar uma nova chave de criptografia. Essa chave é usada para permitir que o Suporte da Quest acesse a solução para solucionar problemas usando uma amarração. Não é necessário gerar uma nova chave, a menos que você ache que a chave atual foi comprometida. Consulte Ativar tether para o Suporte da Quest.

O carimbo de data e hora mostra o momento em que a chave foi gerada.

Na seção Login único, clique nas configurações de autenticação:

Opção	Descrição
Desativado	Impedir que o K1000 use o login único. O login único permite aos usuários que estejam conectados ao domínio acessem o Console do administrador e o Console do usuário do K1000 sem precisar inserir novamente suas credenciais na página de login do K1000.
Active Directory	Usar Active Directory para autenticação. O Active Directory usa o domínio para autenticar usuários na rede. Consulte Utilização do Active Directory para login único.
Quest Identity Broker	Use o Quest Identity Broker (QIB) para autenticação. O QIB é uma solução de conexão única (SSO) baseada na nuvem que permite aos usuários realizarem autenticação segura com vários fornecedores de identidade. Consulte Utilização do Quest Identity Broker para a conexão única.

Na seção Configurações do Samba Share, especifique as seguintes configurações:

Opção

Descrição

Para soluções com o componente Organização habilitado:

Habilitar compartilhamentos de arquivo de organização

Para soluções sem o componente Organização habilitado:

Habilitar compartilhamento de arquivo

Usa o compartilhamento de cliente da solução para armazenar arquivos, como os arquivos usados para instalar o aplicativo em dispositivos gerenciados.

A solução compartilhada pelo cliente possui um servidor de arquivos Windows integrado que pode ser usado pelo serviço de provisionamento para auxiliar na distribuição do cliente Samba na rede. A Quest recomenda que esse servidor de arquivos seja habilitado somente ao realizar instalações de aplicativos em dispositivos gerenciados.

NOTA: Se o componente Organização estiver habilitado na solução, será possível selecionar opções adicionais de compartilhamento de arquivo para cada organização. Consulte Habilitar o compartilhamento de arquivos no nível do sistema..

Requer NTLMv2 para que a solução compartilhe arquivos

Habilita autenticação do NTLMv2 para os compartilhamentos de arquivos do K1000. Se essa opção estiver ativada, os dispositivos gerenciados conectados aos compartilhamentos de arquivos do K1000 irão exigir suporte ao NTLMv2 e autenticar no K1000 usando o NTLMv2. Mesmo que o NTLMv2 seja mais seguro do que o NTLM e LANMAN, ele não é o mais comum, e essa opção está geralmente desativada. Se estiver ativada, a opção desativa lanman auth e ntlm auth no servidor Samba. Os níveis de 1 a 4 do NTLMv2 são compatíveis. Se você precisar de um nível 5 do NTLM v2, pense na possibilidade de realizar um provisionamento manual do software do Agente do K1000. Consulte Implantação manual do Agente do K1000.

Requer NTLMv2 para compartilhamentos de arquivo off-board

Forçar certas funções do K1000 que têm suporte através do cliente Samba, como provisionamento do Agente, a autenticar o acesso off-board a compartilhamentos de arquivos na rede usando o NTLMv2. Embora o NTLMv2 seja mais seguro do que o NTLM e LANMAN, outras configurações são mais comuns e essa opção está geralmente desativada. Se estiver ativada, essa opção ativa client ntlmv2 auth para funções do cliente Samba.

Opcional: Na seção SSL, especifique as configurações de SSL:

IMPORTANTE: A habilitação de SSL é uma mudança automática unidirecional para os dispositivos gerenciados. Se você desativar o SSL, os dispositivos terão que ser reconfigurados manualmente.

Opção	Descrição
Habilitar acesso na porta 80	Habilita o acesso à solução pela porta 80. A Quest recomenda que você habilite o acesso à porta 80, pois, por padrão, os instaladores do Agente entram em contato com a solução através dela. Os agentes alternam para o SSL pela porta 443 depois de adquirem a configuração do servidor. Se você desativar o acesso à porta 80, contate o Suporte da Quest para ajustar os scripts de implantação do Agente para lidar com SSL.
Ativar SSL	Habilita os dispositivos gerenciados para se conectarem à solução usando SSL (HTTPS). Habilite essa configuração somente depois de ter implantado a solução na LAN no modo não SSL. Para ativar o SSL, é necessário carregar um certificado SSL conforme descrito em 8.
Ativar SSL v3	(Exibido somente se a opção Enable SSL (Ativar SSL) estiver selecionada). Ativar dispositivos gerenciados para se conectar à solução usando SSLv3, que é uma versão mais antiga do SSL. Devido às vulnerabilidades associadas ao SSLv3, essa configuração deve ser ativada somente se você tiver dispositivos gerenciados por agente executando a versão 6.3 ou anterior do agente do K1000. O SSLv3 é desabilitado por padrão nos novos dispositivos K1000. Para obter mais informações sobre as vulnerabilidades associadas ao SSLv3, consulte https://support.quest.com/kb/136510.

Para carregar um certificado SSL, use um destes métodos:

◦

Clique em Formulário de certificado SSL para gerar solicitações de certificado ou carregar certificados autoassinados. Consulte Geração de um certificado SSL.

◦

Se você tiver um certificado SSL e uma chave privada, clique em Procurar ou Escolher arquivo nos campos Arquivo de chave privada de SSL ou Arquivo de certificado SSL para selecioná-los. Esses arquivos devem estar em formato Privacy Enhance Mail (PEM), similar aos usados por servidores de Web baseados em Apache.

◦

Selecione Habilitar certificado de SSL intermediário para ativar e carregar certificados SSL intermediários, que são certificados assinados fornecidos pelos emissores de certificado como proxies para certificados de raiz. Os certificados SSL intermediários devem estar no formato PEM.

◦

Se o certificado estiver no formato PKCS-12, clique em Procurar ou em Escolher arquivo no campo Arquivo do PKCS-12 para selecioná-lo e insira a senha para o arquivo no campo Senha para o arquivo do PKCS-12.

Na seção Proteger anexos no Service desk, escolha se adicionará segurança para arquivos que estão anexados aos tíquetes do Service desk:

◦

Marque a caixa de seleção para ativar a segurança para arquivos anexados a tíquetes. Se você escolher essa opção, os usuários só poderão acessar os arquivos anexados aos tíquetes de dentro do Console do administrador ou do Console do usuário do K1000.

◦

Desmarque a caixa de seleção para permitir que o usuário acesse arquivos clicando em links de tíquetes de fora do Console do administrador ou do Console do usuário.

10.

Clique em Salvar e reiniciar serviços para salvar as alterações e reiniciar a solução.

NOTA: Em alguns casos, o navegador Firefox não exibe a página de login do Console do administrador corretamente depois da ativação do acesso à porta 443 e reinicia a solução. Se isso acontecer, limpe o cache e cookies do navegador Firefox e tente novamente.

Configuração do Active Directory como método de login único

O login único do Active Directory permite que usuários que estejam conectados ao domínio acessem o Console do administrador e o Console do usuário do K1000 sem precisar inserir novamente suas credenciais.

Antes de conectar o K1000 a um servidor do Active Directory, verifique se:

•

Certifique-se de que as definições de rede e DNS estejam configuradas para ativar a solução K1000 a fim de acessar o servidor Active Directory. Consulte Alterar as configurações de rede da solução.

•

Certifique-se de que as configurações de hora no servidor Active Directory correspondam a essas configurações na solução K1000. Para obter mais informações sobre como configurar a hora na solução K1000, consulte Definição de configurações de data e hora da solução.

Acesse o Painel de controle da solução:

◦

Se o componente Organização não estiver habilitado na solução, faça login no Console do administrador do K1000, http://K1000_hostname/admin e clique em Configurações.

◦

Na seção Login único da página Configurações de segurança, selecione Active Directory e forneça as seguintes informações:

Opção	Descrição
Domínio	O nome de host do domínio de seu servidor Active Directory®, como example.com.
Nome de usuário	O nome de usuário da conta do administrador no servidor Active Directory. Por exemplo, username@example.com.
Senha	A senha da conta do administrador no servidor Active Directory.

Clique em Associar.

A solução executa os testes a seguir, que exigem permissão somente leitura, para determinar se o domínio está configurado corretamente de modo a permitir que o K1000 se conecte ao domínio:

◦

Verifica se o sistema operacional compatível e os patches corretos para o sistema operacional

◦

Verifica se há espaço em disco suficiente para instalar o QAS

◦

Verifica se o nome de host do sistema não é "localhost"

◦

Verifica se o serviço de nome está configurado para usar DNS

◦

Verifica em resolv.conf se a formatação das entradas de serviço de nome está correta e se o host pode ser resolvido

◦

Verifica se há um nome de servidor com os registros DNS SRV apropriados para o Active Directory

◦

Detecta um controlador de domínio gravável com a porta UDP 389 aberta

◦

Detecta o site do Active Directory, se disponível

◦

Verifica se a porta do protocolo TCP 464 está aberta para kpasswd Kerberos

◦

Verifica se a porta UDP 88 e a porta do protocolo TCP 88 estão abertas para o tráfego Kerberos

◦

Verifica se a porta do protocolo TCP 389 está aberta para o protocolo LDAP

◦

Verifica se há um servidor de catálogo global e se a porta do protocolo TCP 3268 está aberta para comunicação com servidores de catálogo globais

◦

Verifica se há uma diferença de horário válida em relação ao Active Directory

◦

Verifica a configuração do aplicativo QAS no Active Directory

◦

Verifica se a porta do protocolo TCP 445 está aberta para o tráfego Microsoft CIFS

Esses testes não precisam de acesso de gravação e não verificam a permissão para gravar em qualquer diretório. Além disso, esses testes não verificam as credenciais de nome de usuário e senha. Se as credenciais estiverem incorretas, o K1000 talvez não possa se conectar ao domínio mesmo que os testes sejam bem-sucedidos.

É exibida uma mensagem informando os resultados do teste. Para exibir os erros, se houver, clique em Registros e, na lista suspensa Registro, selecione Erros de servidor.

Opcional: Selecione Forçar conexão para ignorar erros e conectar o dispositivo ao domínio.

Clique em Salvar e reiniciar serviços.

Quando os usuários estão conectados aos dispositivos que ingressaram no domínio do Active Directory, eles podem acessar o Console do usuário do K1000 sem precisar informar novamente suas credenciais. Se os usuários estiverem em dispositivos que não estejam conectados ao domínio Active Directory, a janela de login será exibida e eles poderão efetuar login usando uma conta de usuário local do K1000. Consulte Adicionar ou editar contas de usuário no nível do sistema.

NOTA: Para usar o login único com os navegadores Internet Explorer e Firefox, os usuários devem definir as configurações de seu navegador para usar a autenticação apropriada. Consulte Configuração das configurações do navegador para o login único.

Please select your product:

To serve you better, please complete the Purpose of your Chat:

Recommended Solutions for Your Problem

KACE Asset Management Appliance 7.1 - Guia de administração

Configuração de tabelas de roteamento local

Configuração de tabelas de roteamento local

Configuração das definições do servidor Web local para hosts de lista branca

Configuração das definições do servidor Web local para hosts de lista branca

Definição das configurações de segurança para a solução

Definição das configurações de segurança para a solução

Configuração do Active Directory como método de login único

Configuração do Active Directory como método de login único