As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
Pré-requisitos
Para habilitar a autenticação mútua de Transport Layer Security (mTLS) baseada em certificado usando cartões inteligentes para o WorkSpaces cliente Amazon, você precisa de uma infraestrutura operacional de cartões inteligentes integrada à sua autogestão. Active Directory Para obter mais informações sobre como configurar a autenticação por cartão inteligente com a Amazon WorkSpaces Active Directory, consulte o Guia de WorkSpaces Administração da Amazon.
Antes de habilitar a autenticação por cartão inteligente para WorkSpaces, analise as seguintes considerações:
Requisitos de certificado de CA
O AD Connector exige um certificado de autoridade de certificação (CA), o qual representa o emissor dos seus certificados de usuário, para autenticação por cartão inteligente. O AD Connector combina os certificados de CA com os certificados apresentados pelos usuários com seus cartões inteligentes. Observe os seguintes requisitos de certificado CA:
-
Para registrar um certificado de CA, ele deve estar a mais de 90 dias da expiração.
-
Os certificados de CA devem estar no formato PEM (Privacy Enhanced Mail). Se você exportar certificados de CA de dentro do Active Directory, escolha Base64-encoded X.509 (.CER) como o formato do arquivo de exportação.
-
Todos os certificados de CA raiz e intermediários encadeados de uma CA emissora a certificados de usuário devem ser carregados para que a autenticação por cartão inteligente seja bem-sucedida.
-
No máximo, 100 certificados de CA podem ser armazenados por diretório do AD Connector
-
O AD Connector não oferece suporte ao algoritmo de assinatura RSASSA-PSS para certificados de CA.
-
Verifique se o Serviço de Propagação de Certificados está definido como Automático e em execução.
Requisitos de certificado de TLS
A seguir estão alguns dos requisitos para o certificado de usuário:
-
O certificado de cartão inteligente do usuário tem um nome alternativo de assunto (SAN) do usuário userPrincipalName (UPN).
-
O certificado de cartão inteligente do usuário tem uso aprimorado de chaves como login do cartão inteligente (1.3.6.1.4.1.311.20.2.2) Autenticação do cliente (1.3.6.1.5.5.7.3.2).
-
As informações do Online Certificate Status Protocol (OCSP) do certificado de cartão inteligente do usuário devem ser Access Method=On-line Certificate Status Protocol (1.3.6.1.5.5.7.48.1) no Authority Information Access.
Para obter mais informações sobre os requisitos de autenticação do AD Connector e do cartão inteligente, consulte Requisitos no Guia de WorkSpaces Administração da Amazon. Para obter ajuda na solução de WorkSpaces problemas da Amazon, como fazer login WorkSpaces, redefinir a senha ou conectar-se a WorkSpaces, consulte Solucionar problemas WorkSpaces do cliente no Guia WorkSpaces do usuário da Amazon.
Processo de verificação da revogação do certificado
Para realizar a autenticação por cartão inteligente, o AD Connector deve verificar o status de revogação dos certificados do usuário usando o Online Certificate Status Protocol (OCSP). Para realizar a verificação da revogação do certificado, o URL de um respondente OCSP deve ser acessível via Internet. Se estiver usando um nome de DNS, o URL de um respondente OCSP deverá usar um domínio de nível superior encontrado no banco de dados da zona raiz da Internet Assigned Numbers Authority (IANA)
A verificação de revogação de certificados do AD Connector usa o seguinte processo:
-
O AD Connector deve verificar a extensão Authority Information Access (AIA) no certificado do usuário para ver se há algum URL de respondente OCSP e, em seguida, o AD Connector usa o URL para verificar a revogação.
-
Se o AD Connector não conseguir resolver o URL encontrado na extensão AIA do certificado do usuário ou encontrar um URL de respondente OCSP no certificado do usuário, o AD Connector usará o URL do OCSP opcional fornecido durante o registro do certificado de CA raiz.
Se o URL na extensão AIA do certificado do usuário for resolvido, mas não responder, a autenticação do usuário falhará.
-
Se o URL do respondente OCSP fornecido durante o registro do certificado CA raiz não puder ser resolvido, não estiver respondendo ou se nenhum URL do respondente OCSP tiver sido fornecido, a autenticação do usuário falhará.
-
O servidor OCSP deve ser compatível com a RFC
6960. Além disso, o servidor OCSP deve oferecer suporte a solicitações usando o método GET para solicitações menores ou iguais a 255 bytes no total.
nota
O AD Connector exige um URL HTTP para o URL do respondente OCSP.
Outras considerações
Antes de habilitar a autenticação por cartão inteligente no AD Connector, considere os seguintes itens:
-
O AD Connector usa autenticação mútua de Transport Layer Security (TLS) baseada em certificado para autenticar usuários no Active Directory usando certificados de cartão inteligente baseados em hardware ou software. No momento, somente cartões de acesso comuns (CAC) e cartões de verificação de identidade pessoal (PIV) podem ser usados. Outros tipos de cartões inteligentes baseados em hardware ou software podem funcionar, mas não foram testados para uso com o protocolo de WorkSpaces streaming.
-
A autenticação por cartão inteligente substitui a autenticação por nome de usuário e senha por WorkSpaces.
Se você tiver outros AWS aplicativos configurados no diretório do AD Connector com a autenticação por cartão inteligente ativada, esses aplicativos ainda apresentarão a tela de entrada de nome de usuário e senha.
-
A habilitação da autenticação por cartão inteligente limita a duração da sessão do usuário à vida útil máxima dos tíquetes de serviço Kerberos. Você pode definir essa configuração usando uma política de grupo, e a duração é definida como 10 horas por padrão. Para obter mais informações sobre configurações e opções, consulte a documentação da Microsoft
. -
O tipo de criptografia Kerberos compatível com a conta de serviço do AD Connector deve corresponder a cada tipo de criptografia Kerberos compatível com o controlador de domínio.
