Description de l’utilisation de AMA dans les scénarios d’ouverture de session interactive dans Windows

Problème de scénario 1 (ouverture/fermeture de session)

Considérez le scénario suivant :

• Un administrateur souhaite mettre en œuvre l’authentification d’ouverture de session de carte à puce (SC) lorsque les utilisateurs accèdent à certaines ressources sensibles à la sécurité. Pour ce faire, l’administrateur déploie AMA selon l' Assurance du mécanisme d’authentification pour les services AD DS dans le Guide pas à pas de Windows Server 2008 R2 pour l’identificateur d’objet de stratégie d’émission qui est utilisé dans tous les certificats de carte à puce.
  
  Remarque Dans cet article, nous faisons référence à ce nouveau groupe mappé en tant que « groupe de sécurité universel de carte à puce. »
  

• Le « ouverture de session Interactive : carte à puce nécessaire » stratégie n’est pas activé sur les stations de travail. Par conséquent, les utilisateurs peuvent vous connecter à l’aide d’autres informations d’identification, nom d’utilisateur et mot de passe.

• Local et le groupe de sécurité universel de carte à puce requiert l’accès aux ressources réseau.

Dans ce scénario, vous vous attendez que seul l’utilisateur qui se connecte l’à l’aide de cartes à puce peut accéder aux locaux et ressources réseau. Toutefois, comme la station de travail autorise optimisé/mise en cache d’ouverture de session, le vérificateur de mise en cache est utilisé lors de l’ouverture de session pour créer le jeton d’accès NT pour le bureau de l’utilisateur. Par conséquent, les groupes de sécurité et les revendications de l’ouverture de session précédente sont utilisées au lieu de celle en cours.

Problème de scénario 2 (verrouillage)

Considérez le scénario suivant :

• Un administrateur souhaite mettre en œuvre l’authentification d’ouverture de session de carte à puce (SC) lorsque les utilisateurs accèdent à certaines ressources sensibles à la sécurité. Pour ce faire, l’administrateur déploie AMA selon L’Assurance du mécanisme d’authentification pour les services AD DS dans le Guide pas à pas de Windows Server 2008 R2 pour l’identificateur d’objet de stratégie d’émission qui est utilisé dans tous les certificats de carte à puce.

• Le « ouverture de session Interactive : carte à puce nécessaire » stratégie n’est pas activé sur les stations de travail. Par conséquent, les utilisateurs peuvent vous connecter à l’aide d’autres informations d’identification, nom d’utilisateur et mot de passe.

• Local et le groupe de sécurité universel de carte à puce requiert l’accès aux ressources réseau.

Dans ce scénario, vous pensez que seul un utilisateur qui se connecte l’à l’aide de cartes à puce peut accéder aux local et ressources réseau. Toutefois, parce que le jeton d’accès pour le bureau de l’utilisateur est créé lors de l’ouverture de session, il n’est pas modifié.

Logon/logoff

Si l’optimisation d’ouverture de session rapide est active, le sous-système de sécurité locale (lsass) utilise le cache local pour générer l’appartenance aux groupes dans le jeton d’ouverture de session. En procédant ainsi, la communication avec le contrôleur de domaine (DC) n’est pas obligatoire. Par conséquent, l’ouverture de session est réduite. Il s’agit d’une fonctionnalité très intéressante.

Toutefois, cette situation provoque le problème suivant : après l’ouverture de session SC et SC de fermeture de session, le groupe AMA mis en cache localement est incorrecte, toujours présent dans le jeton de l’utilisateur après l’ouverture de session interactive d’utilisateur nom/mot de passe.

Remarques

• Cette situation s’applique uniquement aux ouvertures de session interactives.

• Un groupe AMA est mise en cache de la même manière et en utilisant la même logique que les autres groupes.

Dans ce cas, si l’utilisateur tente ensuite d’accéder aux ressources du réseau, l’appartenance au groupe mis en cache sur le côté de la ressource n’est pas utilisé et ouverture de session de l’utilisateur sur le côté de la ressource ne contient pas un groupe AMA.

Ce problème peut être résolu en désactivant l’optimisation d’ouverture de session rapide (« Configuration de l’ordinateur > modèles d’administration > système > connexion > toujours attendre le réseau lors du démarrage de l’ordinateur et d’ouverture de session »).

Important Ce comportement est pertinent que dans le scénario de connexion interactive. Accès aux ressources réseau fonctionne comme prévu, car il est inutile d’optimisation d’ouverture de session. Par conséquent, l’appartenance au groupe mis en cache n’est pas utilisé. Le contrôleur de domaine est contacté pour créer le nouveau ticket en utilisant les informations d’appartenance de groupe AMA plus récentes.

Lock/unlock

Considérez le scénario suivant :

• Un utilisateur ouvre une session interactive en utilisant la carte à puce, puis ouvre les ressources réseau protégé par AMA.
  
  Remarque Réseau protégé de AMA les ressources peuvent être accessibles uniquement aux utilisateurs qui ont un groupe AMA dans leur jeton d’accès.
  

• L’utilisateur verrouille l’ordinateur sans fermer au préalable la ressource réseau de protégé AMA précédemment ouverte.

• L’utilisateur déverrouille l’ordinateur en utilisant le nom d’utilisateur et le mot de passe de l’utilisateur qui a déjà ouvert une session à l’aide d’une carte à puce).
  

Dans ce scénario, l’utilisateur peut toujours accéder aux ressources protégées par AMA après déverrouillage de l’ordinateur. Ce comportement est voulu par la conception. Lorsque l’ordinateur est déverrouillé, Windows ne recrée pas toutes les sessions ouvertes qui avaient des ressources réseau. Windows également ne revérifie sa l’appartenance au groupe. C’est parce que ces actions entraînerait une dégradation des performances inacceptables.

Il n’y a aucune solution prête à l’emploi pour ce scénario. Une solution consisterait à créer un filtre de fournisseur d’informations d’identification qui filtre le fournisseur de nom/mot de passe d’utilisateur après la connexion de la SC et étapes de verrouillage se produisent. Pour en savoir plus sur le fournisseur d’informations d’identification, consultez les ressources suivantes :

Interface de ICredentialProviderFilter

Exemples de fournisseurs d’informations d’identification de Windows VistaRemarque  Nous ne pouvons pas confirmer si cette approche a été correctement implémentée.

Plus d’informations sur AMA

AMA peut identifier ni imposer le type d’ouverture de session interactive (carte à puce ou nom d’utilisateur/mot de passe). Ce comportement est voulu par la conception.

AMA est destinée aux scénarios dans lesquels les ressources réseau exigent une carte à puce. Il n’a pas destiné à être utilisé pour l’accès local.

Toute tentative de résoudre ce problème en introduisant de nouvelles fonctionnalités, telles que la possibilité d’utiliser l’appartenance de groupe dynamique ou à des groupes de AMA de poignée sous la forme d’un groupe dynamique, peut provoquer des problèmes graves. C’est pourquoi les jetons NT ne prennent pas en charge les appartenances de groupe dynamique. Si le système autorisé à ajuster dans réel, les groupes, les utilisateurs ne pourraient peut-être pas d’interagir avec leurs propres postes de travail et les applications. Par conséquent, les appartenances aux groupes sont verrouillés au moment où la session est créée et sont conservés pendant toute la session.

Les ouvertures de session mises en cache sont également problématiques. Si une connexion optimisée est activée, lsass essaie d’abord un cache local avant d’appeler un réseau aller-retour. Si le nom d’utilisateur et le mot de passe sont identiques à ce que lsass de scie pour les ouvertures de session précédentes (cela est vrai pour la plupart des ouvertures de session), lsass crée un jeton qui a les appartenances de même que l’utilisateur possède.

Si une connexion optimisée est désactivée, un aller-retour réseau est requis. Ce serait faire, assurez-vous que les appartenances aux groupes de travail à ouverture de session comme prévu.

Dans une ouverture de session mises en cache, lsass conserve une entrée par l’utilisateur. Cette entrée inclut l’appartenance de l’utilisateur précédent. Il est protégé par les deux dernier mot de passe ou les informations d’identification de carte à puce de scie lsass. Les deux désencapsuler la même clé de jeton et les informations d’identification. Si les utilisateurs ont été pour tenter de se connecter à l’aide d’une clé d’informations d’identification obsolètes, ils perdraient DPAPI données protégées par EFS de contenu et ainsi de suite. Par conséquent, les ouvertures de session mises en cache produisent toujours les appartenances aux groupes locaux plus récentes, quel que soit le mécanisme qui est utilisé pour ouvrir une session.