Beschreibung der AMA-Verwendung in interaktiven Anmeldeszenarien in Windows

Problemszenario 1 (Anmeldung/Abmeldung)

Stellen Sie sich folgendes Szenario vor:

• Ein Administrator möchte die Smartcard-Anmeldeauthentifizierung (SC) erzwingen, wenn Benutzer auf bestimmte sicherheitsrelevante Ressourcen zugreifen. Dazu stellt der Administrator AMA gemäß der Authentifizierungsmechanismus-Sicherheit für AD DS in Windows Server 2008 R2 Step-by-Step Guide für den Ausstellungsrichtlinienobjektbezeichner bereit, der in allen Smart Karte-Zertifikaten verwendet wird.
  
  Hinweis In diesem Artikel wird diese neue zugeordnete Gruppe als "intelligente Karte universelle Sicherheitsgruppe" bezeichnet.
  

• Die Richtlinie "Interaktive Anmeldung: Intelligente Karte erforderlich" ist auf Arbeitsstationen nicht aktiviert. Daher können sich Benutzer mit anderen Anmeldeinformationen wie Benutzername und Kennwort anmelden.

• Der Zugriff auf lokale und Netzwerkressourcen erfordert die intelligente Karte universelle Sicherheitsgruppe.

In diesem Szenario erwarten Sie, dass nur Benutzer, die sich mithilfe von Smartcards anmelden, auf lokale und Netzwerkressourcen zugreifen können. Da die Arbeitsstation jedoch eine optimierte/zwischengespeicherte Anmeldung zulässt, wird die zwischengespeicherte Überprüfung während der Anmeldung verwendet, um das NT-Zugriffstoken für den Desktop des Benutzers zu erstellen. Daher werden die Sicherheitsgruppen und Ansprüche aus der vorherigen Anmeldung anstelle der aktuellen verwendet.

Problemszenario 2 (Sperren/Entsperren)

Betrachten Sie das folgende Szenario:

• Ein Administrator möchte die Smartcard-Anmeldeauthentifizierung (SC) erzwingen, wenn Benutzer auf bestimmte sicherheitsrelevante Ressourcen zugreifen. Dazu stellt der Administrator AMA gemäß authentication mechanism assurance for AD DS in Windows Server 2008 R2 Step-by-Step Guide (Schritt-für-Schritt-Anleitung) für den Ausstellungsrichtlinienobjektbezeichner bereit, der in allen Smart Karte-Zertifikaten verwendet wird.

• Die Richtlinie "Interaktive Anmeldung: Intelligente Karte erforderlich" ist auf Arbeitsstationen nicht aktiviert. Daher können sich Benutzer mit anderen Anmeldeinformationen wie Benutzername und Kennwort anmelden.

• Der Zugriff auf lokale und Netzwerkressourcen erfordert die intelligente Karte universelle Sicherheitsgruppe.

In diesem Szenario erwarten Sie, dass nur ein Benutzer, der sich mit Smartcards anmeldet, auf lokale und Netzwerkressourcen zugreifen kann. Da das Zugriffstoken für den Desktop des Benutzers jedoch während der Anmeldung erstellt wird, wird es nicht geändert.

Anmeldung/Abmeldung

Wenn die Optimierung der schnellen Anmeldung aktiv ist, verwendet das lokale Sicherheitssubsystem (lsass) den lokalen Cache, um die Gruppenmitgliedschaft im Anmeldetoken zu generieren. Auf diese Weise ist die Kommunikation mit dem Domänencontroller (DC) nicht erforderlich. Daher wird die Anmeldezeit reduziert. Dies ist ein äußerst wünschenswertes Feature.

Diese Situation verursacht jedoch das folgende Problem: Nach der SC-Anmeldung und sc-Abmeldung ist die lokal zwischengespeicherte AMA-Gruppe fälschlicherweise nach der interaktiven Anmeldung des Benutzernamens/Kennworts noch im Benutzertoken vorhanden.

Notizen

• Diese Situation gilt nur für interaktive Anmeldungen.

• Eine AMA-Gruppe wird auf die gleiche Weise und mithilfe der gleichen Logik wie andere Gruppen zwischengespeichert.

Wenn der Benutzer dann versucht, auf Netzwerkressourcen zuzugreifen, wird die zwischengespeicherte Gruppenmitgliedschaft auf der Ressourcenseite nicht verwendet, und die Anmeldesitzung des Benutzers auf der Ressourcenseite enthält keine AMA-Gruppe.

Dieses Problem kann behoben werden, indem Sie die Schnelle Anmeldungsoptimierung deaktivieren ("Computerkonfiguration > Administrative Vorlagen > System > Anmeldung > Immer auf das Netzwerk beim Starten und Anmelden des Computers warten").

Wichtig Dieses Verhalten ist nur im szenario der interaktiven Anmeldung relevant. Der Zugriff auf Netzwerkressourcen funktioniert wie erwartet, da keine Anmeldeoptimierung erforderlich ist. Daher wird die zwischengespeicherte Gruppenmitgliedschaft nicht verwendet. Der Domänencontroller wird kontaktiert, um das neue Ticket mithilfe der neuesten AMA-Gruppenmitgliedschaftsinformationen zu erstellen.

Sperren/Entsperren

Betrachten Sie das folgende Szenario:

• Ein Benutzer meldet sich interaktiv mit dem intelligenten Karte an und öffnet dann AMA-geschützte Netzwerkressourcen.
  
  Hinweis Auf AMA-geschützte Netzwerkressourcen kann nur auf Benutzer zugegriffen werden, die über eine AMA-Gruppe in ihrem Zugriffstoken verfügen.
  

• Der Benutzer sperrt den Computer, ohne zuvor die zuvor geöffnete AMA-geschützte Netzwerkressource zu schließen.

• Der Benutzer entsperrt den Computer, indem er den Benutzernamen und das Kennwort desselben Benutzers verwendet, der sich zuvor mit einem intelligenten Karte) angemeldet hat.
  

In diesem Szenario kann der Benutzer weiterhin auf die AMA-geschützten Ressourcen zugreifen, nachdem der Computer entsperrt wurde. Es handelt sich hierbei um ein beabsichtigtes Verhalten. Wenn der Computer entsperrt ist, erstellt Windows nicht alle geöffneten Sitzungen, die Netzwerkressourcen enthielten, neu. Windows überprüft auch die Gruppenmitgliedschaft nicht erneut. Dies liegt daran, dass diese Aktionen zu inakzeptablen Leistungseinbußen führen würden.

Für dieses Szenario gibt es keine sofort einsatzbereite Lösung. Eine Lösung wäre die Erstellung eines Anmeldeinformationsanbieterfilters, der den Benutzernamen-/Kennwortanbieter herausfiltert, nachdem die SC-Anmelde- und Sperrschritte ausgeführt wurden. Weitere Informationen zum Anmeldeinformationsanbieter finden Sie in den folgenden Ressourcen:

ICredentialProviderFilter-Schnittstelle

Beispiele für den Anmeldeinformationsanbieter für Windows VistaHinweis Wir können nicht bestätigen, ob dieser Ansatz jemals erfolgreich implementiert wurde.

Weitere Informationen zu AMA

AMA kann den interaktiven Anmeldetyp (Smart Karte oder Benutzername/Kennwort) weder identifizieren noch erzwingen. Es handelt sich hierbei um ein beabsichtigtes Verhalten.

AMA ist für Szenarien vorgesehen, in denen Netzwerkressourcen eine intelligente Karte erfordern. Sie ist nicht für den lokalen Zugriff vorgesehen.

Jeder Versuch, dieses Problem durch die Einführung neuer Features zu beheben, z. B. die Möglichkeit, dynamische Gruppenmitgliedschaften zu verwenden oder AMA-Gruppen als dynamische Gruppe zu behandeln, kann erhebliche Probleme verursachen. Aus diesem Grund unterstützen NT-Token keine dynamischen Gruppenmitgliedschaften. Wenn das System die Kürzung von Gruppen in der Realität zulässt, werden Benutzer möglicherweise daran gehindert, mit ihrem eigenen Desktop und ihren eigenen Anwendungen zu interagieren. Daher werden Gruppenmitgliedschaften zum Zeitpunkt der Erstellung der Sitzung gesperrt und während der gesamten Sitzung beibehalten.

Zwischengespeicherte Anmeldungen sind ebenfalls problematisch. Wenn die optimierte Anmeldung aktiviert ist, versucht lsass zunächst einen lokalen Cache, bevor ein Netzwerkroundtrip aufgerufen wird. Wenn der Benutzername und das Kennwort mit dem identisch sind, was lsass für die vorherige Anmeldung gesehen hat (dies gilt für die meisten Anmeldungen), erstellt lsass ein Token, das die gleichen Gruppenmitgliedschaften aufweist wie der Benutzer zuvor. 

Wenn die optimierte Anmeldung deaktiviert ist, ist ein Netzwerkroundtrip erforderlich. Dadurch wird sichergestellt, dass die Gruppenmitgliedschaften bei der Anmeldung wie erwartet funktionieren.

Bei einer zwischengespeicherten Anmeldung behält lsass einen Eintrag pro Benutzer bei. Dieser Eintrag enthält die vorherige Gruppenmitgliedschaft des Benutzers. Dies ist sowohl durch das letzte Kennwort als auch durch die smarten Karte Anmeldeinformationen geschützt, die lsass gesehen hat. Beide entpacken dasselbe Token und denselben Anmeldeinformationsschlüssel. Wenn Benutzer versuchen würden, sich mit einem veralteten Anmeldeinformationsschlüssel anzumelden, würden sie DPAPI-Daten, EFS-geschützte Inhalte usw. verlieren. Daher erzeugen zwischengespeicherte Anmeldungen immer die neuesten lokalen Gruppenmitgliedschaften, unabhängig vom Mechanismus, der für die Anmeldung verwendet wird.