Перейти к основному содержимому
Версия: Indeed Access Manager 9.7

Indeed AM Smart Card Provider

Компонент Indeed AM Smart Card Provider предназначен для аутентификации пользователей по персональным устройствам (смарт-картам, USB-ключам).

Примечание

Этот тип аутентификаторов можно зарегистрировать только с помощью утилиты управления аутентификаторами.

Этот способ аутентификации поддерживается в следующих модулях:

В Enterprise SSO и Windows Logon поддерживаются следующие устройства:

Устройства Рутокен
  • Рутокен S
  • Рутокен Lite
  • Рутокен ЭЦП
  • Рутокен ЭЦП 2.0
  • Рутокен ЭЦП 3.0
Устройства eToken
  • eToken Pro 32k
  • eToken Pro 64k
  • eToken Pro Java 72k
Устройства ESMART
  • Token 64k
  • Token SC 64k
  • Token USB 64k
Устройства Avest
  • Avest Key 256A
Устройства SafeNet
  • iKey 1000
  • iKey 1032
Устройства JaCarta
  • JaCarta PKI
  • JaCarta PKI/ГОСТ
  • JaCarta-2 PKI/ГОСТ
Устройства Gemalto
  • IDPrime MD

В Linux Logon поддерживаются следующие устройства:

Устройства Рутокен
  • Рутокен S
  • Рутокен Lite
  • Рутокен ЭЦП 2.0
  • Рутокен ЭЦП 3.0
Устройства JaCarta
  • JaCarta PKI / PKI 2.0 / PKI 3.0
  • JaCarta PRO / eToken PRO
  • JaCarta PKI/ГОСТ / JaCarta-2 PKI/ГОСТ

Возможны варианты использования одного и того же устройства аутентификации как с запросом PIN-кода, так и без него:

  • Компонент Indeed AM Smart Card Provider позволяет пользователю пройти аутентификацию с помощью карты, PIN-код запрашиваться не будет.
  • Компонент Indeed AM Smart Card Provider + PIN требует ввод PIN-кода при каждой аутентификации пользователя.
Примечание

Indeed AM Smart Card Provider + PIN не позволяет задавать, изменять или удалять PIN-коды устройств аутентификации. Для изменения или удаления PIN-кодов используйте специализированное программное обеспечение от производителей устройств аутентификации.

Идентификатор провайдера
Smart Card {0AF65AD8-DB77-4B64-B489-958D9B36E28C}
Smart Card + PIN {42456525-8EC1-4AB1-97B8-45AF8635D10F}

Установка провайдера​

Важно

В инфраструктуре с несколькими серверами Core Server установите провайдер на каждом из них.

Провайдер добавляется с помощью мастера конфигурации на шаге Схема хостов → Провайдеры.

Если требуется добавить Smart Card Provider к существующей конфигурации Access Manager:

  1. Откройте мастер конфигурации.
  2. На шаге Схема хостов в разделе Провайдеры выберите SmartCard (+PIN).
  3. Сделайте резервную копию и перейдите на шаг Применение изменений.

Групповые политики​

Как добавить административные шаблоны (ADMX)

Файлы шаблонов политик входят в состав дистрибутива Indeed AM и расположены в папке Misc\ADMX Templates.

  1. Скопируйте файлы шаблонов групповых политик из C:\Indeed\Indeed AM <номер версии>\Misc\ADMX Templates в одну из следующих папок:

    • C:\Windows\PolicyDefinitions — локальное хранилище ADMX-файлов.
    • C:\Windows\SYSVOL\sysvol\indeed.local\Policies\PolicyDefinitions — хранилище ADMX-файлов на контроллере домена.

    Если папка PolicyDefinitions отсутствует, создайте ее.

  2. Скопируйте файл IndeedID.BaseFile.admx и все необходимые ADMX-файлы в папку \PolicyDefinitions.

  3. Скопируйте файл IndeedID.BaseFile.adml и все ADML-файлы, аналогичные скопированным ADMX-файлам, из папки \Indeed AM <номер версии>\Misc\GroupPolicyTemplates\<en-US или ru-RU> в одну из следующих папок:

    • \PolicyDefinitions\en-US — для англоязычной локализации сервера
    • \PolicyDefinitions\ru-RU — для русскоязычной локализации сервера

  4. Скопируйте шаблоны из папки ADMX Templates\BSPs в корневую папку PolicyDefinitions рядом с остальными ADMX-файлами.

  5. Добавьте шаблоны политик и провайдеров аутентификации в раздел Конфигурация компьютера (Computer Configuration).

  6. Добавьте шаблоны политик Indeed AM Paste в раздел Конфигурация пользователя (User Configuration).

После загрузки групповые политики Indeed ID станут доступны в редакторе групповой политики. Политики можно настроить локально в Редакторе локальной групповой политики (gpedit.msc) или для домена в Редакторе управления групповыми политиками, который открывается из Консоли управления групповыми политиками (gpmc.msc).

Поведение при извлечении смарт-карты​

Smart Card Provider поддерживает политику безопасности Microsoft Интерактивный вход в систему: поведение при извлечении смарт-карты.

С помощью этой политики вы можете определить действие, которое будет выполняться при извлечении смарт-карты с рабочей станции пользователя.

Таймаут выполнения действия при извлечении смарт-карты​

Политика раздела Windows Logon определяет продолжительность стандартного и сервисного таймаута после извлечения устройства аутентификации. 

Политика задает интервал времени в секундах между извлечением смарт-карты и действием, выполняемым согласно политике Windows Интерактивный вход: поведение при извлечении смарт-карты (Interactive logon: Smart-card enhanced removal behavior). 

Информация

Административный файл шаблона политики IndeedID.Client.admx входит в состав дистрибутива и расположен в каталоге Misc.

Наличие стандартного таймаута предотвращает автоматическую блокировку компьютера при случайном извлечении устройства аутентификации. 

Наличие сервисного таймаута предотвращает автоматическую блокировку компьютера в случаях, когда извлечение используемого устройства аутентификации необходимо (зарегистрировать дополнительный аутентификатор, получить доступ в операционную систему или приложение под другой учетной записью и аутентификатором). Для активации сервисного таймаута перед извлечением устройства нажмите и удерживайте комбинацию клавиш [Ctrl]+[L]. 

Если политика не задана или отключена, то таймаут перед автоматической блокировкой рабочей станции не предоставляется.

Использование дополнительных данных​

Информация

Политика не поддерживается в модуле Linux Logon.

Политика позволяет настроить режим повышенной безопасности с возможностью записи дополнительных данных на устройство и чтения этих данных. Режим использования дополнительных данных предотвращает повторную инициализацию устройства и последующее несанкционированное использование аутентификатора от имени учетной записи настоящего владельца.

Информация

Административный файл шаблона политики IndeedID.Smartcard.Provider.admx входит в состав дистрибутива и расположен в каталоге Misc.

Дополнительные данные – это последовательность из 64 случайных байт, которая записывается на смарт-карту (usb-ключ) и включается в состав аутентификатора вместе с серийным номером средства аутентификации. Дополнительные данные считываются с устройства и проходят проверку одновременно с серийным номером при аутентификации пользователя. 

Режим использования дополнительных данных включен, если настройка политики установлена в значение Включен (Enabled) или Не задан (Not Configured). Разрешить работу без дополнительных данных – разрешение работы провайдера без использования дополнительных данных (при включенной политике).

Опция может использоваться для работы с устройствами, зарегистрированными в старых версиях Indeed AM Smart Card Provider (без поддержки дополнительных данных).

Ожидание смарт-карты после входа в терминальную сессии​

Политика позволяет задать время в секундах, в течение которого будет происходить ожидание смарт-карты после входа в терминальную сессию в случае некорректной работы PKCS смарт-карты.

Пример аутентификации​

При первом входе в систему или приложение с использованием технологии аутентификации Indeed AM необходимо выбрать способ входа.

  1. Нажмите Сменить способ входа в окне Вход в Windows (окно Аутентификация для Enterprise SSO) и выберите способ входа:

    • Смарт-карта или USB-ключ или Смарт-карта или USB-ключ + PIN — если установлены оба компонента.
    • Смарт-карта или USB-ключ (Смарт-карта или USB-ключ) — если установлен только Smart Card.
    • Смарт-карта или USB-ключ (Смарт-карта или USB-ключ + PIN) — если установлен только Smart Card + PIN.

  2. Подключите USB-ключ или считыватель с вставленной смарт-картой к рабочей станции пользователя. Если используется способ входа Indeed AM Smart Card Provider + PIN, введите PIN-код и нажмите кнопку Вход. 

  3. После обработки данных с карты будет выполнена аутентификация. В случае успешного входа по аутентификатору способ входа Смарт-карта или USB-ключ (Смарт-карта или USB-ключ + PIN) запоминается как предпочтительный и будет автоматически предложен пользователю при следующем входе в систему или приложение.