Beskrivelse av AMA-bruk i interaktive påloggingsscenarioer i Windows

Problemscenario 1 (pålogging/pålogging)

Vurder følgende scenario:

• En administrator ønsker å fremtvinge påloggingsgodkjenning for smartkort (SC) når brukere får tilgang til visse sikkerhetssensitive ressurser. For å gjøre dette distribuerer administratoren AMA i henhold til Godkjenningsmekanismesikring for AD DS i Windows Server trinnvise veiledningen for 2008 R2 for utstedelsespolicyobjektidentifikatoren som brukes i alle smartkortsertifikatene.
  
  Obs! I denne artikkelen omtaler vi denne nye tilordnede gruppen som «den universelle sikkerhetsgruppen for smartkort».
  

• Policyen «Interaktiv pålogging: Krev smartkort» er ikke aktivert på arbeidsstasjoner. Brukere kan derfor logge på ved hjelp av annen legitimasjon, for eksempel brukernavn og passord.

• Lokal og nettverksressurstilgang krever den universelle sikkerhetsgruppen for smartkort.

I dette scenarioet forventer du at bare brukere som logger på ved hjelp av smartkort, har tilgang til lokale ressurser og nettverksressurser. Men fordi arbeidsstasjonen tillater optimalisert/bufret pålogging, brukes den bufrede verifisatoren under pålogging til å opprette NT-tilgangstokenet for brukerens skrivebord. Sikkerhetsgruppene og krav fra den forrige påloggingen brukes derfor i stedet for den gjeldende.

Problemscenario 2 (lås/lås opp)

Vurder følgende scenario:

• En administrator ønsker å fremtvinge påloggingsgodkjenning for smartkort (SC) når brukere får tilgang til visse sikkerhetssensitive ressurser. For å gjøre dette distribuerer administratoren AMA i henhold til Godkjenningsmekanismesikring for AD DS i Windows Server trinnvise veiledningen for 2008 R2 for utstedelse av policyobjektidentifikatoren som brukes i alle smartkortsertifikatene.

• Policyen «Interaktiv pålogging: Krev smartkort» er ikke aktivert på arbeidsstasjoner. Brukere kan derfor logge på ved hjelp av annen legitimasjon, for eksempel brukernavn og passord.

• Lokal og nettverksressurstilgang krever den universelle sikkerhetsgruppen for smartkort.

I dette scenarioet forventer du at bare en bruker som logger på ved hjelp av smartkort, har tilgang til lokale ressurser og nettverksressurser. Fordi tilgangstokenet for brukerens skrivebord opprettes under påloggingen, endres det imidlertid ikke.

Pålogging/pålogging

Hvis rask påloggingsoptimalisering er aktiv, bruker det lokale sikkerhetsdelsystemet (lsass) lokal hurtigbuffer til å generere gruppemedlemskap i påloggingstokenet. Når du gjør dette, er ikke kommunikasjonen med domenekontrolleren (DC) nødvendig. Derfor reduseres påloggingstiden. Dette er svært ønskelig funksjon.

Denne situasjonen forårsaker imidlertid følgende problem: Etter SC-pålogging og SC-pålogging finnes fortsatt den lokalt bufrede AMA-gruppen på feil måte i brukertokenet etter interaktiv pålogging med brukernavn/passord.

Notater

• Denne situasjonen gjelder bare for interaktive pålogginger.

• En AMA-gruppe bufres på samme måte og ved å bruke samme logikk som andre grupper.

I denne situasjonen, hvis brukeren deretter prøver å få tilgang til nettverksressurser, brukes ikke bufret gruppemedlemskap på ressurssiden, og brukerens påloggingsøkt på ressurssiden ikke inneholder en AMA-gruppe.

Dette problemet kan løses ved å deaktivere rask påloggingsoptimalisering («Datamaskinkonfigurasjon > Administrative maler > system > pålogging > Vent alltid på nettverket ved oppstart og pålogging av datamaskinen).)

Viktig! Denne virkemåten er bare relevant i det interaktive påloggingsscenarioet. Tilgang til nettverksressurser vil fungere som forventet fordi det ikke er behov for påloggingsoptimalisering. Bufret gruppemedlemskap brukes derfor ikke. DC kontaktes for å opprette den nye billetten ved hjelp av den nyeste informasjonen om AMA-gruppemedlemskap.

Lås / lås opp

Vurder følgende scenario:

• En bruker logger seg på interaktivt ved hjelp av smartkortet og åpner deretter AMA-beskyttede nettverksressurser.
  
  Vær oppmerksom på at AMA-beskyttede nettverksressurser bare kan få tilgang til brukere som har en AMA-gruppe i tilgangstokenet.
  

• Brukeren låser datamaskinen uten først å lukke den tidligere åpnede AMA-beskyttede nettverksressursen.

• Brukeren låser opp datamaskinen ved hjelp av brukernavnet og passordet til den samme brukeren som tidligere logget på ved hjelp av et smartkort).
  

I dette scenarioet kan brukeren fortsatt få tilgang til de AMA-beskyttede ressursene etter at datamaskinen er låst opp. Denne virkemåten er etter utforming. Når datamaskinen er ulåst, oppretter ikke Windows alle åpne økter som hadde nettverksressurser. Windows sjekker heller ikke gruppemedlemskap på nytt. Dette er fordi disse handlingene ville føre til uakseptable ytelsesstraffer.

Det finnes ingen ferdig løsning for dette scenarioet. Én løsning er å opprette et filter for legitimasjonsleverandør som filtrerer ut brukernavnet/passordleverandøren etter at SC-påloggingen og låsetrinnene utføres. Hvis du vil ha mer informasjon om legitimasjonsleverandør, kan du se følgende ressurser:

ICredentialProviderFilter-grensesnitt

Eksempler på legitimasjonsleverandør for Windows VistaObs! Vi kan ikke bekrefte om denne fremgangsmåten noensinne er implementert.

Mer informasjon om AMA

AMA kan verken identifisere eller fremtvinge den interaktive påloggingstypen (smartkort eller brukernavn/passord). Denne virkemåten er etter utforming.

AMA er beregnet på scenarioer der nettverksressurser krever et smartkort. Den er ikke ment å brukes for lokal tilgang.

Ethvert forsøk på å løse dette problemet ved å introdusere nye funksjoner, for eksempel muligheten til å bruke dynamisk gruppemedlemskap eller å håndtere AMA-grupper som en dynamisk gruppe, kan forårsake betydelige problemer. Derfor støtter ikke NT-tokener dynamiske gruppemedlemskap. Hvis systemet tillater at grupper trimmes i sanntid, kan brukere bli forhindret fra å samhandle med sine egne skrivebord og programmer. Gruppemedlemskap låses derfor når økten opprettes og opprettholdes gjennom hele økten.

Bufrede pålogginger er også problematiske. Hvis optimalisert pålogging er aktivert, prøver lsass først en lokal hurtigbuffer før den aktiverer en rundtur i nettverket. Hvis brukernavnet og passordet er identisk med det lsass så for den forrige påloggingen (dette gjelder for de fleste pålogginger), oppretter lsass et token som har de samme gruppemedlemskapene som brukeren hadde tidligere. 

Hvis optimalisert pålogging er slått av, kreves det en nettverksrundestripe. Dette sikrer at gruppemedlemskapene fungerer på pålogging som forventet.

I en bufret pålogging beholder lsass én oppføring per bruker. Denne oppføringen inkluderer brukerens forrige gruppemedlemskap. Dette er beskyttet av både det siste passordet eller smartkortlegitimasjonen som lsass så. Begge deler ut det samme tokenet og legitimasjonsnøkkelen. Hvis brukere prøver å logge på ved hjelp av en foreldet legitimasjonsnøkkel, mister de DPAPI-data, EFS-beskyttet innhold og så videre. Bufrede pålogginger produserer derfor alltid de nyeste lokale gruppemedlemskapene, uavhengig av mekanismen som brukes til å logge på.