Descrizione dell'utilizzo dell'AMA negli scenari di accesso interattivo in Windows

Scenario di problema 1 (accesso/disconnessione)

Considerare lo scenario descritto di seguito:

• Un amministratore vuole applicare l'autenticazione di accesso con smart card (SC) quando gli utenti accedono a determinate risorse sensibili alla sicurezza. A tale scopo, l'amministratore distribuisce l'AMA in base all'identificatore dell'oggetto criteri di emissione usato in tutti i certificati della smart card in Windows Server 2008 R2.
  
  Nota In questo articolo il nuovo gruppo mappato viene definito "gruppo di sicurezza universale smart card".
  

• Il criterio "Accesso interattivo: richiede smart card" non è abilitato nelle workstation. Di conseguenza, gli utenti possono accedere usando altre credenziali, ad esempio il nome utente e la password.

• L'accesso alle risorse locali e di rete richiede il gruppo di sicurezza universale smart card.

In questo scenario, ci si aspetta che solo l'utente che esegue l'accesso tramite smart card possa accedere alle risorse locali e di rete. Tuttavia, poiché la workstation consente l'accesso ottimizzato/memorizzato nella cache, la verifica memorizzata nella cache viene usata durante l'accesso per creare il token di accesso NT per il desktop dell'utente. Di conseguenza, vengono usati i gruppi di sicurezza e le attestazioni dell'accesso precedente al posto di quello corrente.

Scenario di problema 2 (blocco/sblocco)

Si consideri lo scenario seguente:

• Un amministratore vuole applicare l'autenticazione di accesso con smart card (SC) quando gli utenti accedono a determinate risorse sensibili alla sicurezza. A tale scopo, l'amministratore distribuisce l'AMA in base all'identificatore dell'oggetto criteri di emissione usato in tutti i certificati della smart card in Windows Server 2008 R2 in base all'identificatore dell'oggetto criterio di emissione.

• Il criterio "Accesso interattivo: richiede smart card" non è abilitato nelle workstation. Di conseguenza, gli utenti possono accedere usando altre credenziali, ad esempio il nome utente e la password.

• L'accesso alle risorse locali e di rete richiede il gruppo di sicurezza universale smart card.

In questo scenario, si prevede che solo un utente che esegue l'accesso tramite smart card possa accedere alle risorse locali e di rete. Tuttavia, poiché il token di accesso per il desktop dell'utente viene creato durante l'accesso, non viene modificato.

Accesso/disconnessione

Se è attiva l'ottimizzazione accesso rapido, il sottosistema di sicurezza locale (lsass) usa la cache locale per generare l'appartenenza ai gruppi nel token di accesso. In questo modo, la comunicazione con il controller di dominio non è necessaria. Di conseguenza, il tempo di accesso viene ridotto. Questa funzionalità è altamente auspicabile.

Tuttavia, questa situazione causa il problema seguente: dopo accesso SC e disconnessione SC, il gruppo AMA memorizzato nella cache locale è, erroneamente, ancora presente nel token utente dopo l'accesso interattivo con nome utente/password.

Note

• Questa situazione si applica solo agli accessi interattivi.

• Un gruppo AMA viene memorizzato nella cache nello stesso modo e utilizzando la stessa logica di altri gruppi.

In questo caso, se l'utente prova ad accedere alle risorse di rete, non viene usata l'appartenenza ai gruppi memorizzati nella cache sul lato delle risorse e la sessione di accesso dell'utente sul lato delle risorse non conterrà un gruppo AMA.

Questo problema può essere risolto disattivando Ottimizzazione accesso rapido ("Configurazione computer > Modelli amministrativi > > Accesso > > Attendi sempre la rete all'avvio e all'accesso del computer").

Importante Questo comportamento è rilevante solo nello scenario di accesso interattivo. L'accesso alle risorse di rete funzionerà come previsto perché non è necessaria l'ottimizzazione dell'accesso. Di conseguenza, non viene usata l'appartenenza ai gruppi memorizzata nella cache. Il DC viene contattato per creare il nuovo ticket utilizzando le informazioni di appartenenza al gruppo AMA più recenti.

Bloccare/sbloccare

Si consideri lo scenario seguente:

• Un utente accede in modo interattivo usando la smart card e quindi apre le risorse di rete protette da AMA.
  
  Nota Le risorse di rete protette con AMA sono accessibili solo agli utenti che hanno un gruppo AMA nel token di accesso.
  

• L'utente blocca il computer senza prima chiudere la risorsa di rete protetta AMA aperta in precedenza.

• L'utente sblocca il computer usando il nome utente e la password dello stesso utente che ha eseguito l'accesso in precedenza usando una smart card.
  

In questo scenario, l'utente può ancora accedere alle risorse protette da AMA dopo che il computer è sbloccato. Si tratta di un comportamento correlato alla progettazione del prodotto. Quando il computer è sbloccato, Windows non crea nuovamente tutte le sessioni aperte che disponevano di risorse di rete. Inoltre, Windows non ricontrolla l'appartenenza ai gruppi. Ciò è dovuto al fatto che tali azioni provocherebbero penali per le prestazioni inammissibili.

In questo scenario non esiste una soluzione guidata. Una soluzione consiste nel creare un filtro del provider di credenziali che filtra il provider di nome utente/password dopo i passaggi di accesso e blocco sc. Per altre informazioni su Provider credenziali, vedere le risorse seguenti:

Interfaccia ICredentialProviderFilter

Esempi di provider di credenziali di Windows VistaNota Non è possibile confermare se questo approccio è stato implementato correttamente.

Altre informazioni sull'AMA

AMA non può né identificare né applicare il tipo di accesso interattivo (smart card o nome utente/password). Si tratta di un comportamento correlato alla progettazione del prodotto.

L'AMA è destinato a scenari in cui le risorse di rete richiedono una smart card. Non è destinato ad essere usato per l'accesso locale.

Qualsiasi tentativo di risolvere il problema con l'introduzione di nuove caratteristiche, ad esempio la possibilità di usare l'appartenenza ai gruppi dinamici o di gestire i gruppi AMA come gruppo dinamico, potrebbe causare problemi significativi. Ecco perché i token NT non supportano le appartenenze ai gruppi dinamici. Se il sistema consentiva la pulizia dei gruppi in modo reale, gli utenti potrebbero non interagire con il proprio desktop e le proprie applicazioni. Di conseguenza, le appartenenze ai gruppi sono bloccate al momento della creazione della sessione e vengono mantenute per tutta la sessione.

Anche gli accessi memorizzati nella cache sono problematici. Se l'accesso ottimizzato è abilitato, lsass prova innanzitutto una cache locale prima di richiamare un round trip di rete. Se il nome utente e la password sono identici a quello visto dall'lsass per l'accesso precedente (questo vale per la maggior parte degli accessi), lsass crea un token con le stesse appartenenze ai gruppi dell'utente in precedenza. 

Se l'accesso ottimizzato è disattivato, è necessario un roundtrip di rete. In questo modo, le appartenenze ai gruppi funzioneranno come previsto all'accesso.

In un accesso memorizzato nella cache, lsass mantiene una voce per ogni utente. Questa voce include l'appartenenza al gruppo precedente dell'utente. Questo è protetto sia dall'ultima password che dalle credenziali della smart card che lsass ha visto. Entrambi scartano lo stesso token e la stessa chiave di credenziale. Se gli utenti provassero ad accedere usando una chiave di credenziali non aggiornata, perderebbero i dati DPAPI, il contenuto protetto con EFS e così via. Pertanto, gli accessi memorizzati nella cache producono sempre le appartenenze ai gruppi locali più recenti, indipendentemente dal meccanismo usato per l'accesso.