Назад | Перейти на главную страницу

Как управлять смарт-картами для входа в Windows (инвентарь, сертификаты, срок действия и т. Д.)?

Мы внедряем смарт-карты для соблюдения двух форм аутентификации с использованием встроенной поддержки в Windows + AD, с использованием карт YubiKeys и Gemalto .NET.

Как администратор я могу выдавать новые сертификаты для пользователей и устанавливать такие сертификаты на смарт-карты без дополнительных сторонних инструментов, а просто с текущей встроенной поддержкой в ​​Windows. Мне нужен инструмент управления, который мог бы отслеживать мои карты и помогать управлять сертификатами в них, датой истечения срока действия, политиками паролей и т. Д.

Мне не удалось найти на рынке никакого решения, кроме Versasec. Хотя инструмент versasec делает все, что мне нужно, их продажи и поддержка ужасны (игнорируя уродливый интерфейс). Другие компании предоставляют только инструменты для инфраструктуры, нацеленные на физический доступ и тому подобное, но пока ни один из них не поддерживает логический доступ для рабочих станций Windows.

Любые советы будут оценены.

Я не уверен насчет управления YubiKeys однако, что касается линейки продуктов Gemalto, вы должны сначала знать, что линия IDPrime .NET была прекращена, а IDPrime MD линейка продуктов будет заменой. Per Gemalto:

Сообщаем вам, что мы объявляем о прекращении продаж следующих смарт-карт:

IDPrime .Net  
IDPrime .Net Bio

Ключевые даты:

Milestone     Date

Last-Time-Buy (LTB)   September 29, 2017  
End-of-Sale (EOS)     September 30, 2017  
End-of-Life (EOL)     September 30, 2018

С управлением смарт-картами все сводится к объему. Если у вас большое количество карт, имеет смысл инвестировать в CMS (систему управления картами), такую ​​как Microsoft FIM, Verasec vSEC: CMS, Gemalto IDAdmin 200 и т. Д. Для небольших развертываний действительно есть только три точки, которые нужно решить: все может быть достигнуто с помощью свободно доступных инструментов.

  1. ПИН-код администратора - на картах Gemalto это 24-байтовое значение, по умолчанию установлено значение 0x00. Инструмент Verasec vSEC: CMS K-series позволяет изменить это значение на случайное. Таким образом, если смарт-карта потеряна, сертификаты не будут восстановлены, поскольку разрешены только 5 неудачных попыток входа администратора. Обязательно надежно задокументируйте новый ПИН-код администратора, поскольку он потребуется для выполнения следующих задач:
    1. Разблокировать PIN-код пользователя
    2. Установить политику ПИН-кода пользователя
    3. Другие действия администратора (сброс карты, управление другими ролями и т. Д.)
  2. Управление картой - это действие в основном включает настройку политик ПИН-кодов пользователей, хотя оно может распространяться и на управление другими ролями пользователей. Verasec vSEC: CMS серии K выполняет достаточную работу, хотя Minidriver Manager от Gemalto гораздо более всеобъемлющий. Просто не забудьте добавить соответствующий PIN-код администратора в MD_Manager.ini файл, чтобы вы могли войти в систему как администратор. Gemalto Minidriver Manager может выполнять все функции управления, кроме изменения PIN-кода администратора.
  3. Разблокировать PIN-код пользователя - Verasec vSEC: CMS серии K предлагает эту функцию, а Gemalto предлагает инструмент под названием Response Calculator.