Інфраструктура сертифіката для смарт -карт

Використання смарт -карт для перевірки автентичності користувачів є найстійкішою формою перевірки автентичності користувачів в Windows 2000. Для VPN - підключень віддаленого доступу Ви повинні використовувати протокол EAP (Extensible Authentication Protocol), вказавши тип TLS Smart card or other certificate (TLS) (Смарт - карта або інший сертифікат), також відомий як EAP- TLS (EAP- Transport Level Security).

Розгортання смарт -карт у Вашій організації складається з наступних етапів:

1. Створіть інфраструктуру сертифіката, що використовує центри сертифікації.

2. Налаштуйте дозволу безпеки для кожного домена і делегування для шаблонів сертифіката: Користувач смарт -картки (Smart Card User), Вхід в систему з використанням смарт -картки (Smart Card Logon) і Агент подачі заявок (Enrollment Agent).

3. Налаштуйте ЦС для видачі сертифікатів смарт -карт і агентів подачі заявок на сертифікати.

4. Налаштуйте станцію подачі заявок (комп'ютер, який використовується для фізичної установки сертифікатів на смарт -карти).

5. Використовуйте станцію подачі заявок для підготовки смарт -карти з сертифікатом входу в систему, призначеної для певного облікового запису користувача.

За додатковою інформацією про налаштування смарт -карт для входу в систему зверніться до розділу Контрольний список: впровадження використання смарт -карт для входу в систему Windоws (Checklist: Deploying smart cards for logging on to Windows) довідки Windows 2000 Server.

Для пошуку необхідного розділу в довідці Windows 2000 Server:

1. Натисніть Пуск (Start) і виберіть Довідка (Help).

2. У діалоговому вікні Windows 2000 перейдіть на вкладку Пошук (Search).

3. Зніміть прапорець Схожі слова (Match similar words) і встановіть прапорець Тільки в заголовках (Search titles only).

4. У полі Шукати наступні слова (Type the keyword to find) введіть назву розділу і натисніть кнопку Розділи (List topics).

5. У списку розділів під кнопкою Показати (Select topic), двічі клацніть по розділу, назва якого відповідає введеному в полі пошуку.

Індивідуальні смарт -карти видаються користувачам, які мають комп'ютер зі зчитувачем смарт -карт. Для входу в систему на комп'ютері необхідно вставити смарт -карту в зчитувач смарт -карт і ввести PIN- код (personal identification number - особистий ідентифікаційний номер). Коли користувач намагається встановити VPN -підключення, сертифікат смарт -карти використовується в процесі узгодження підключення.

Щоб налаштувати протокол EAP- TLS для використання смарт -карт на VPN -клієнті:

• VPN -підключення має бути налаштований для використання протоколу EAP з типом перевірки автентичності Смарт- карта або інший сертифікат (Smart Card or other certificate).

• У властивостях типу перевірки автентичності Смарт- карта або інший сертифікат протоколу EAP, виберіть Використовувати мою смарт- карту (Use my smart card). Якщо потрібно перевіряти сертифікат комп'ютера VPN - або IAS -сервера, встановіть прапорець Перевіряти сертифікат сервера (Validate server certificate). Якщо необхідно підключати тільки сервери з певного домену, встановіть прапорець Підключити дані сервери: (Connect only if server name ends with) і введіть ім'я домену. Щоб запитати у сервера сертифікат, виданий певним йому довіреною кореневим ЦС, виберіть ЦС в списку Довірені кореневі центри сертифікації: (Trusted root certificate authority).

Для налаштування перевірки автентичності EAP- TLS на VPN - сервері:

• Відкрийте властивості VPN -сервера в оснащенні Маршрутизація та віддалений доступ. Перейдіть на вкладку Безпека (Security). Натисніть кнопку Методи перевірки автентичності... (Authentication Methods). У діалоговому вікні встановіть прапорець Протокол розширеної перевірки автентичності (Extensible Authentication Protocol, EAP).

Для налаштування перевірки автентичності EAP- TLS в політиці віддаленого доступу:

• Відкрийте властивості політики віддаленого доступу, яка використовується для VPN - підключень. Натисніть кнопку Змінити профіль (Edit profile). У діалоговому вікні, зміни профілю виберіть вкладку Перевірка справжності (Authentication). На цій вкладці повинен бути відзначений прапорець Протокол розширеної перевірки автентичності (Extensible Authentication Protocol, EAP). Значенням параметра Виберіть прийнятний тип протоколу для цієї політики має бути Смарт- карта або інший сертифікат (Smart Card or other certificate). Також Ви повинні вказати відповідний сертифікат комп'ютера для перевірки під час процесу перевірки справжності EAP- TLS. Якщо комп'ютер, на якому настроєна політика віддаленого доступу, має кілька встановлених сертифікатів комп'ютера, налаштуйте властивості параметра Смарт- карта або інший сертифікат і вкажіть відповідний сертифікат комп'ютера, який буде використовуватися в процесі перевірки автентичності EAP- TLS.

Поиск по сайту: