Was ist der WMI-Agent?

Der WMI-Agent ist eine „ Versa “-Software, die auf einem Windows-Gerät innerhalb einer Active Directory-Domäne installiert ist. Er überwacht Anmelde- und Abmeldevorgänge in Active Directory und leitet diese über TLS an einen VMS-Server weiter – wodurch eine passive Benutzerauthentifizierung auf „ Secure SD-WAN “-Geräten ermöglicht wird, ohne dass ein Captive Portal erforderlich ist.

Die wichtigsten Erkenntnisse

• Auf einem Windows-Gerät innerhalb einer Active Directory-Domäne installiert.
• Leitet AD-Anmelde- und Abmeldeereignisse über TLS an einen VMS-Server weiter.
• Ermöglicht eine passive Benutzerauthentifizierung, ohne dass ein Captive Portal erforderlich ist.
• Läuft eigenständig oder als Softwarepaket unter Windows Server 2016.
• Unterstützt Gruppen- und Benutzerfilter, um zu steuern, was überwacht wird.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Bereitstellungsmodelle für den WMI-Agenten · WMI-Agent und VMS · Häufig gestellte Fragen

Warum ist der WMI-Agent wichtig?

Captive Portals sind die Standardmethode, mit der SD-WAN-Geräte überprüfen, wer sich im Netzwerk befindet, doch sie unterbrechen jeden Nutzer mit einer Anmeldeseite – ein Aufwand, der sich täglich auf jede Niederlassung auswirkt. Der WMI-Agent beseitigt diesen Aufwand für Windows-Nutzer, die einer Domäne angehören: Da Active Directory die Anmeldung bereits authentifiziert, überwacht der WMI-Agent dieses Ereignis und leitet es weiter, sodass das Netzwerk erkennt, wer verbunden ist, ohne dass der Nutzer irgendetwas tun muss.

Dieses passive Modell schließt zudem eine Lücke bei der Transparenz für die Durchsetzung von Richtlinien. Ohne eine Echtzeit-Zuordnung von Benutzern zu IP-Adressen kann ein „ Secure SD-WAN “-Gerät Richtlinien nur anhand von IP-Adressen oder Subnetzen anwenden – ein unzureichender Ersatz für identitätsbasierte Regeln wie benutzerspezifische Firewall-Richtlinien oder rollenbasierten Zugriff. Durch das Streamen von AD-Ereignissen über VMS an VOS-Geräte stellt der WMI-Agent jedem Durchsetzungspunkt eine kontinuierlich aktualisierte Benutzeridentität zur Verfügung, anhand derer Richtlinien angewendet werden können, und ersetzt so ein Captive Portal auf Filialebene.

Was ist der WMI-Agent?

Der WMI-Agent ist ein Windows Management Instrumentation-Client, der auf einem Windows 10- oder Windows Server 2016-Computer innerhalb einer Active Directory-Domäne installiert wird – entweder als eigenständige Komponente oder als Teil eines Softwarepakets. Sobald er mit den Authentifizierungsdaten der Domäne konfiguriert wurde, abonniert er Benachrichtigungen über An- und Abmeldungen bei Active Directory und veröffentlicht diese als inkrementelle Aktualisierungen auf einem Echtzeit-Messaging-Server.

Bei diesem Messaging-Server handelt es sich um den „ Versa “ Messaging Service (VMS): eine Plattform für das Streaming von Nachrichten, die die Benutzerereignisse des WMI-Agenten empfängt und zur Durchsetzung von Richtlinien an VOS-Geräte weiterleitet. Die Kommunikation erfolgt über eine sichere, zertifikatsbasierte Verbindung – ein auf dem VMS-Server generiertes Stammzertifikat der Zertifizierungsstelle wird vor der Einrichtung auf dem Windows-Host installiert, und anschließend wird ein Client-Zertifikat importiert, sodass beide Seiten eine bidirektionale TLS-Authentifizierung durchführen.

Bereitstellungsmodelle für WMI-Agenten

Der WMI-Agent unterstützt auf der Windows-Seite zwei Installationsvarianten: einen schlanken Standalone-Client oder die Installation als Softwarepaket auf einem bestehenden Windows-Server. Beide laufen unter Windows 10 Client oder Windows Server 2016 und stellen eine Verbindung zu einem oder mehreren VMS-Servern her, die mit einem FQDN, einem Port und TLS-Einstellungen konfiguriert sind.

Die Konfiguration nach der Installation umfasst drei Bereiche. Die Active Directory-Einstellungen definieren die Domäne, ein Dienstkonto und das Intervall für die Wiederherstellung der Verbindung, das der Agent verwendet, wenn die Verbindung unterbrochen wird; einem Nicht-Administratorkonto kann der Zugriff ausschließlich auf das Lesen von Ereignisprotokollen beschränkt werden, anstatt ihm volle Administratorrechte zu gewähren. Die VMS-Einstellungen definieren den Mandantennamen, wie lange eine Benutzer-IP-Zuordnung gültig bleibt, bevor sie abläuft, und wie schnell doppelte Anmeldevorgänge ignoriert werden. Gruppen- und Benutzerfilter beschränken die Überwachung anschließend auf bestimmte Active Directory-Gruppen oder einzelne Konten, sodass nicht relevante Dienstkonten oder gemeinsam genutzte Rechner keine unnötigen Meldungen erzeugen. Eine vollständige, Feld-für-Feld-Konfiguration finden Sie unter „Installieren und Konfigurieren des WMI-Agenten “.

WMI-Agent & VMS

Der WMI-Agent ist eine von mehreren externen Quellen, die VMS über seine Northbound-Schnittstelle einbindet, neben RADIUS-Abrechnungsdaten, SCIM-Identitätsaktualisierungen und Threat-Intelligence-Feeds; VMS normalisiert die Daten jeder Quelle und leitet sie Southbound an die abonnierten VOS-Geräte weiter. In dieser speziellen Pipeline speist der WMI-Agent den Authentifizierungsdienst eines Drittanbieters von VMS: Dieser überprüft die Benutzeridentität ohne expliziten Anmeldeschritt, sodass „ Secure SD-WAN “-Geräte identitätsbasierte Richtlinien auf dieselbe Weise anwenden können wie ein Captive Portal, ohne jemals eines anzuzeigen. Informationen zur Bereitstellung eines VMS-Clusters finden Sie unter „VMS installieren und konfigurieren“, und Informationen zum Aktivieren und Konfigurieren der VMS-Dienste pro Mandant finden Sie unter „VMS-Dienste aktivieren und konfigurieren “.

Häufig gestellte Fragen

Was macht der WMI-Agent eigentlich?

Der WMI-Agent überwacht Anmelde- und Abmeldevorgänge in Active Directory auf einem Windows-Gerät und leitet diese an einen VMS-Server weiter. VMS verteilt diese Benutzeridentitätsdaten anschließend an VOS-Geräte, die sie zur Durchsetzung von Richtlinien nutzen, ohne dass sich der Benutzer über ein Captive Portal anmelden muss.

Wo wird der WMI-Agent installiert?

Der WMI-Agent wird auf einem Windows-Gerät installiert, das Teil einer Active Directory-Domäne ist – entweder auf einem eigenständigen Windows 10-Client oder auf einem Windows Server 2016-Host, auf dem er als Softwarepaket ausgeführt wird. Er benötigt Netzwerkzugriff sowohl zum AD-Server als auch zum VMS-Server.

Wie authentifiziert sich der WMI-Agent bei VMS?

Der WMI-Agent verwendet zertifikatsbasiertes TLS. Ein auf dem VMS-Server generiertes Stammzertifikat der Zertifizierungsstelle wird vor der Installation des Agenten auf dem Windows-Gerät installiert, und ein aus VMS exportiertes Client-Zertifikat wird anschließend in den Agenten importiert, wodurch die gegenseitige Authentifizierung für die Verbindung abgeschlossen wird.

Ersetzt der WMI-Agent ein Captive Portal?

Ja, für Windows-Benutzer, die einer Domäne angehören. Da Active Directory die Anmeldung bereits authentifiziert, leitet der WMI-Agent dieses Ereignis passiv über VMS an VOS-Geräte weiter und bestätigt so die Identität, ohne den Benutzer jemals auf eine Captive-Portal-Anmeldeseite umzuleiten oder zusätzliche Aktionen von ihm zu verlangen.

Kann ich festlegen, welche Benutzer oder Gruppen der WMI-Agent überwacht?

Ja. Der WMI-Agent unterstützt Gruppenfilter, mit denen die Überwachung auf bestimmte Active Directory-Gruppen beschränkt werden kann, sowie Benutzerfilter, mit denen einzelne Konten anhand ihres Namens überwacht oder ignoriert werden können – dies ist nützlich, um Dienstkonten, Kiosk-Anmeldungen oder gemeinsam genutzte Computer von der identitätsbasierten Durchsetzung von Richtlinien auszuschließen.

Weitere Informationen zum WMI-Agenten

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade über den WMI-Agenten informieren, sollten Sie sich als Nächstes diese Informationen ansehen.