Перейти к основному содержимому

Общие функциональные характеристики

Система разработана и поставляется в строгом соответствии с требованиями законодательства Российской Федерации в области информационной безопасности, включая требования к импортозамещению, сертификации и защите критической информационной инфраструктуры (КИИ). Ниже представлены ключевые требования, реализованные в продукте.

Функциональная спецификация​

Подключение пользователей​

  • Безопасное подключение — система обеспечивает возможность безопасного подключения пользователей с клиентских устройств из локальной сети Компании и из сети Интернет к технологическому виртуальному рабочему месту.
  • Шифрование протокола подключения — система имеет возможность включения шифрования протокола пользовательского подключения как из периметра Компании, так и из публичной сети Интернет.
  • Способы подключения — подключение к системе обеспечивается встроенными средствами операционной системы либо с помощью клиентского ПО, доступного для свободной загрузки.
  • Подключение к виртуальным десктопам — для пользовательского подключения к опубликованным рабочим столам и приложениям не используются управляющие интерфейсы гипервизоров; подключение осуществляется к IP-адресам виртуальных десктопов/терминальных серверов.

Работа пользователей​

  • Работа в виртуальных рабочих местах — система обеспечивает работу пользователей в виртуальных рабочих местах на поддерживаемых операционных системах с предустановленными в образ ОС приложениями и виртуальными доставляемыми приложениями.
  • Витрина ресурсов — для доступа к приложениям и рабочим столам используется Витрина ресурсов.
  • Разграничение доступа — система обеспечивает возможность разграничения доступа к публикуемым рабочим столам и приложениям на основе групп безопасности и ролей (Microsoft Active Directory).

Унифицированные коммуникации​

  • Поддержка UCS — система поддерживает и не ограничивает работу ПО для унифицированных коммуникаций Заказчика (UCS) для организации аудио/видео конференций, чатов, демонстрации экрана рабочего стола/приложений и других возможностей UCS.

Управление и масштабирование​

  • Управление приоритетами процессов — система обеспечивает возможность управления приоритетами процессов в ОС виртуальных рабочих мест.
  • Управление масштабированием — система поддерживает функцию управления масштабированием и возможность включения наследования с клиентской ОС настроек масштабирования для корректного отображения рабочих столов, приложений, текста, изображений и других графических элементов в удобном для просмотра размере.
  • Масштабирование системы — система имеет возможность масштабирования путём добавления дополнительных компонентов и/или путём увеличения мощностей задействованных серверов.

Автоматизация и развёртывание​

  • Инструменты автоматизации развёртывания — система имеет инструменты автоматизации развёртывания клиентской, серверной и агентской частей.
  • Тихая установка (silent install) — для клиентской и агентской частей системы предусмотрена возможность установки в режиме командной строки с заданными параметрами.

Обновление и поддержка​

  • Регулярное обновление компонентов — система поддерживает регулярную процедуру обновления всех компонентов для своевременного устранения выявленных уязвимостей.
  • Поддержка клиентского ПО — клиентское ПО поддерживается вендором, в том числе в контексте выпуска обновлений безопасности в течение всего жизненного цикла системы.
  • Бесплатное распространение клиентского ПО — клиентское ПО распространяется бесплатно, в том числе для коммерческого использования.

Инфраструктурная спецификация​

  • Работа без доступа в Интернет — система обеспечивает полнофункциональную работу без доступа в Интернет и без использования облачных технологий (on premise).
  • Размещение всех компонентов в периметре Компании — все компоненты системы находятся в периметре Компании и не используют шлюзов управления, файловых хранилищ или других элементов системы, расположенных в облачной инфраструктуре, неподконтрольной Заказчику.
  • IP-адресация — все компоненты системы, взаимодействующие по сети, используют предоставленную Заказчиком IP-адресацию.
  • Работа на физическом оборудовании и системе виртуализации — все компоненты системы имеют возможность работать как на физическом оборудовании, так и на системе виртуализации Компании.
  • Автоматическое восстановление — система автоматически восстанавливается в рабочее состояние при аварийной или плановой перезагрузке ОС серверов инфраструктуры.

Развёртывание системы​

Оборудование​

  • Установка на оборудование Заказчика — система имеет возможность установки на оборудование Заказчика.
  • Размещение в периметре Компании — все компоненты системы находятся в периметре Компании и не используют шлюзов управления, расположенных в облачной инфраструктуре, неподконтрольной Заказчику.
  • Развёртывание без прямого доступа в Интернет — развёртывание системы производится из периметра Компании без прямого доступа в Интернет, в том числе при использовании образов контейнеров. Допускается создание локального зеркала репозитория с блокировкой пакетов с рейтингом безопасности > 7.
  • Поддержка актуального оборудования — в течение всего срока технической поддержки система поддерживает актуальное серверное оборудование архитектуры x86.

Поддержка ОС для виртуальных рабочих мест и опубликованных приложений​

  • Публикация рабочих столов Windows Server — система поддерживает публикацию рабочих столов операционных систем Windows Server 2019+.
  • Публикация приложений Windows Server и Linux — система поддерживает публикацию приложений операционных систем Windows Server и Linux.
  • Поддерживаемые ОС для рабочих столов Linux Desktop:
  • Astra Linux (актуальных версий)
  • Альт (актуальных версий)
  • RED OS (РЕД ОС)
  • Ubuntu 22.04+
  • Red Hat 8+
  • CentOS Stream (актуальных версий)
  • Поддерживаемые ОС для рабочих столов Windows Desktop:
  • Windows Desktop 10 (Professional, Enterprise, LTSC актуальных версий)
  • Windows Desktop 11 (Professional, Enterprise, LTSC актуальных версий)

Поддержка клиентской части системы​

  • Поддерживаемые ОС Windows Desktop — Windows 10 Professional, Windows 10 Enterprise, Windows 11 Professional, Windows 11 Enterprise.
  • Поддерживаемые ОС Windows Server — Windows Server 2016, Windows Server 2019, Windows Server 2022.
  • Поддерживаемые ОС Linux Desktop — Ubuntu, CentOS Stream, Red Hat, Astra Linux, Альт, RED OS (актуальных версий).
  • Поддерживаемые ОС Mac OS — macOS актуальной версии.
  • Языки интерфейса — русский и английский.
  • Поддерживаемые рабочие места — физические ПК, физические серверы, виртуальные рабочие места на базе десктопной и серверной ОС.
  • Тонкие клиенты — система поддерживает работу на тонких клиентах на базе ОС Windows и Linux.
  • Работа на каналах связи — система обеспечивает работу пользователей на симметричном канале от 512 Кбит/с и на каналах с задержками 100–500 мс без ухудшения производительности сеанса.
  • Политики оптимизации протокола доставки — система позволяет настраивать качество изображения, глубину цвета, частоту кадров, качество аудио и видео потоков, использовать аппаратное кодирование, отключать анимацию и отображение содержимого окна при перетаскивании.
  • Перенаправление кодирования/декодирования мультимедиа — система поддерживает перенаправление кодирования/декодирования мультимедиа контента браузера на сторону клиента для снижения потребления ресурсов сервера и сети.
  • Централизованное изменение конфигурации — система поддерживает централизованную настройку клиентской части (например, через групповые политики Microsoft Active Directory), включая:
  • указание адреса витрины ресурсов;
  • управление буфером обмена и его ограничение;
  • управление пробросом устройств;
  • управление подключением локальных и сетевых принтеров;
  • настройку масштабирования экрана;
  • настройку аутентификации (Kerberos, SSO, смарт-карты);
  • настройку аудиоустройств;
  • использование горячих клавиш в сеансе ОС Linux.

Виртуальные рабочие места​

Система предоставляет следующие типы:

  • рабочий стол в общем пуле (поддержка ОС Windows, Linux);
  • рабочий стол в общем пуле с пользовательским диском (поддержка ОС Windows);
  • персональный рабочий стол (поддержка ОС Windows, Linux).
  • Независимость виртуальных машин — виртуальные машины работают независимо друг от друга; операции создания, запуска, выключения или удаления не влияют на работу других рабочих мест.

Виртуальное рабочее место​

  • Однотипность узлов — каждый узел системы аналогичен другому в части настроек, функций, сетевых доступов и набора ПО. Выбор узла осуществляется пользователем по своему усмотрению.
  • Поддержка ПО фиксации действий пользователей — система поддерживает текущее ПО фиксации действий пользователей Заказчика (Стахановец) либо включает аналогичный функционал записи сессий.
  • Доставка приложений — система обеспечивает доставку офисных и технологических приложений на виртуальные рабочие места.

Разграничение прав доступа в системе​

  • Ролевая модель доступа — система поддерживает детализированные ролевые доступы для раздельного администрирования и использования компонентов. Предусмотрены роли:
  • администратор с полным доступом;
  • администратор с доступом на чтение.
  • Создание неограниченного количества ролей — система позволяет создавать неограниченное количество ролей с настраиваемыми правами, включая отправку уведомлений в сессию.
  • Назначение прав — права назначаются на учётные записи и группы Microsoft Active Directory.
  • Разделение уровней доступа — система поддерживает разделение уровней доступа по ролевой модели к функционалу управления.
  • Аутентификация в среде с несколькими лесами Active Directory — система поддерживает аутентификацию при наличии доверительных отношений между лесами, а также использование учётных записей из доверенных доменов.

Управление системой​

  • Централизованное управление — система поддерживает:
  • добавление, удаление, конфигурирование и просмотр статуса серверов инфраструктуры;
  • управление подключением к платформе виртуализации;
  • управление питанием виртуальных машин;
  • контроль использования лицензий;
  • установку режима обслуживания для ВМ или группы машин/серверов;
  • назначение рабочих столов и приложений пользователям;
  • управление политиками системы.
  • Журналирование действий администраторов — система ведёт логи действий администраторов с возможностью управления настройками журналирования.
  • Отправка уведомлений пользователям — система поддерживает отправку уведомлений пользователям в сессию с контролем доставки.
  • API интерфейс для автоматизации — система имеет API/модули PowerShell/python для автоматизации эксплуатации и мониторинга, включая выгрузку списка сессий, списка машин, управление питанием и режимом обслуживания, выгрузку конфигурации.
  • Протоколы аутентификации — для идентификации и аутентификации используются стандартные и криптостойкие протоколы Microsoft Active Directory (приоритет — Kerberos).
  • Криптостойкие протоколы шифрования — система поддерживает криптостойкие протоколы для обмена данными между компонентами.
  • База данных — система поддерживает размещение БД на отдельных серверах с отказоустойчивыми решениями (MS SQL Clustered, Always On, Mirrored) и размещением на системе виртуализации Компании.

Управление виртуальными машинами и подготовке образа​

  • Автоматическое развёртывание — система поддерживает автоматическое развёртывание ВМ с помощью золотого образа.
  • Управление питанием — система поддерживает включение, выключение и перезагрузку ВМ.
  • Поддержание необходимого количества ВМ — система обеспечивает поддержание необходимого количества включённых ВМ с учётом расписания; при недостатке автоматически включаются дополнительные машины.
  • Режим обслуживания — для машин предусмотрен ручной режим обслуживания с временным исключением из списка доступных пользователям.
  • Автоматическая перезагрузка — система поддерживает автоматическую перезагрузку ВМ.
  • Управление золотыми образами — система располагает инструментами (в том числе автоматизированными) для управления золотыми образами, включая создание и обновление образа с помощью отдельных слоёв/контейнеров/пакетов.
  • Интеграция с SCCM — система поддерживает работу с золотым образом ОС Windows, созданным с помощью Microsoft System Center Configuration Manager.
  • Отображение информации об образе — система предоставляет инструменты для централизованного отображения информации о текущем образе и его версии для работающих ВМ.

Управление пользовательскими сессиями​

  • Управление буфером обмена — система поддерживает управление буфером обмена на основе членства в доменной группе Active Directory, включая односторонний буфер обмена.
  • Управление пробросом устройств — система поддерживает гибкое управление пробросом устройств на основе членства в доменной группе для USB-камер, носителей, аудиоустройств, гарнитур, принтеров, сканеров.
  • Управление профилем пользователя — система поддерживает управление пользовательскими профилями.

Единая витрина ресурсов​

  • Единая точка подключения — система имеет единую балансируемую точку подключения (Витрину ресурсов) в виде web-ресурса или толстого клиента.
  • Поддержка браузеров — web-версия поддерживает Microsoft Edge, Google Chrome, Mozilla Firefox, Safari.
  • Второй фактор аутентификации — система поддерживает второй фактор (OTP через SMS или TOTP) для подключений из периметра и извне, с возможностью выбора варианта пользователем.
  • Администрирование второго фактора — управление вторым фактором доступно только администраторам.
  • Удалённый доступ из Интернета — для организации удалённого доступа используются отдельные прокси-серверы в DMZ, не содержащие критически важных данных.
  • Сквозная аутентификация — система поддерживает сквозную аутентификацию для доступа к приложениям без многократного ввода паролей.

Отказоустойчивость системы​

  • Работа при недоступности БД — система поддерживает работу функционала при недоступности базы данных.
  • Нагрузка — система обслуживает не менее 7300 географически распределённых одновременных пользовательских подключений без потери производительности.
  • Многоуровневая защита от отказа — выход из строя компонентов/ролей не влияет на работу текущих сессий и других изолированных инсталляций.
  • Плановые работы — обновление и изменение конфигурации исключают простои всего комплекса и влияние на пользователей.
  • Доступность — система предоставляет заявленный функционал 99,6% времени в год с учётом плановых работ.
  • Отсутствие круглосуточного обслуживания — система не требует круглосуточного присутствия администраторов у консоли управления.

Функционал отчетности, мониторинга и логирования​

  • Отчётность — система поддерживает формирование отчётов с экспортом в csv, xls и pdf.
  • Исторические отчёты и тренды — система поддерживает построение настраиваемых отчётов по сессиям, ошибкам входа, производительности и нагрузке, а также онлайн-визуализацию текущего статуса (health check).
  • Мониторинг в реальном времени — система предоставляет инструменты мониторинга сессий пользователей и инфраструктуры.
  • Проактивный мониторинг — система поддерживает автоматический проактивный мониторинг запуска рабочих столов по расписанию с фиксацией результатов в логе.
  • Интеграция с системой мониторинга — система имеет возможность интеграции с системой мониторинга Заказчика с настройкой метрик ошибок подключения, недоступности ВМ и компонентов.
  • Логирование — клиентская, агентская и серверная части ведут логи в текстовом формате с указанием даты/времени, описания события и уровня критичности.

​

Реализация мер по обеспечению безопасности​

Идентификация и аутентификация (ИАФ)​

  • Идентификация и аутентификация пользователей и процессов — система обеспечивает идентификацию и аутентификацию пользователей и инициируемых ими процессов (ИАФ.1).
  • Интеграция со службой каталога — система интегрируется со службой каталога.
  • Аутентификация в виртуальный рабочий стол — система поддерживает аутентификацию с использованием пароля (первый фактор) и одноразового пароля (второй фактор).
  • Аутентификация в VDI — система поддерживает аутентификацию с использованием пароля.
  • Формирование средств аутентификации — система обеспечивает формирование средств аутентификации.
  • Установка и контроль характеристик пароля — система поддерживает установку и контроль характеристик пароля на различных уровнях доступа, максимального количества неуспешных попыток аутентификации до блокировки и периода блокировки.
  • Маскирование вводимых символов — система обеспечивает маскирование вводимых символов при вводе аутентификационной информации.

Управление доступом (УПД)​

  • Управление учётными записями пользователей (УПД.1) — система интегрируется со службой каталога и поддерживает объединение учётных записей в группы.
  • Реализация модели управления доступом (УПД.2) — система поддерживает ролевую модель управления доступом.
  • Блокирование сеанса доступа при неактивности (УПД.10) — система блокирует сеанс доступа автоматически или по запросу в веб-интерфейсе управления и интерфейсе управления гипервизором.

Аудит безопасности (АУД)​

  • Анализ действий отдельных пользователей (АУД.9) — система поддерживает интеграцию с SIEM для отправки событий безопасности.