Опционально для повышения общего уровня безопасности можно полностью или выборочно (на конкретного пользователя) отключить аутентификацию в домене по паролю. Также есть возможность настроить автоматическую блокировку рабочей станции или выход из операционной системы при отсоединении изделия.
4.1 Отключение аутентификации по паролю от учетной записи
Отключение аутентификации по паролю может быть произведено в рамках конкретного пользователя или всех машин в домене.
После выполнения данных настроек войти в систему можно будет только с использованием сертификата, выпущенного на изделие.
4.1.1 Запрет аутентификации по паролю от учетной записи для пользователя
- Запустите консоль управления пользователи и компьютеры Active Directory. Для этого нажмите меню «Пуск»-> «Средства администрирования» (Рисунок 81);
Рисунок 81 – Меню «Пуск»
2. Откройте «Пользователи и компьютеры Active Directory» (Рисунок 82);
Рисунок 82 – Окно «Средства администрирования»
3. Откройте папку «Users», выберите пользователя, щёлкнув по его имени правой кнопкой. Далее откройте вкладку [Учётная запись] и в параметрах учётной записи отметьте «Для интерактивного входа в сеть нужна смарт-карта», нажмите кнопку «Применить», нажмите кнопку «ОК» (Рисунок 83);
Рисунок 83 – Окно «Пользователи и компьютеры Active Directory»
4. Теперь вход по паролю для этого пользователя будет невозможен, всегда будет требоваться изделие (Рисунок 84);
Рисунок 84 – Приветственное окно Microsoft Windows 10
4.1.2 Запрет аутентификации по паролю всем компьютерам домена
Для выполнения этой настройки необходимо отредактировать групповые политики домена:
- Нажмите правой кнопкой меню «Пуск», выберите «Выполнить» (Рисунок 85);
Рисунок 85 – Меню «Пуск»
2. В окне «Выполнить» введите команду «mmc» и нажмите кнопку «ОК» (Рисунок 86);
Рисунок 86 – Окно «Выполнить»
3. В отобразившемся окне нажмите на кнопку «Файл» и выберите «Добавить или удалить оснастку» (Рисунок 87);
Рисунок 87 – Консоль
4. В следующем окне выберите «Редактор управления групповыми политиками», нажмите кнопку «Добавить», затем кнопку «ОК» (Рисунок 88);
Рисунок 88 – Окно «Добавление или удаление оснасток»
5. В следующем окне нажмите кнопку «Обзор» и выберите объект групповой политики. (Рисунок 89);
Рисунок 89 – Окно «Мастер групповой политики»
9. Укажите «Default Domain Policy» и нажмите кнопку «ОК» (Рисунок 90);
Если указать Domain Controllers, то изменения появятся только для контроллера домена.
Рисунок 90 – Окно «Поиск объекта групповой политики»
7. Нажмите кнопку «Готово» (Рисунок 91);
Рисунок 91 – Окно «Мастер групповой политики»
8. Нажмите кнопку «OK» (Рисунок 92);
Рисунок 92 – Окно «Добавление или удаление оснасток»
9. Для удобства дальнейшего использования сохраните данную консоль, для этого нажмите кнопку «Файл», далее «Сохранить». В качестве имени укажите Default Domain Policy (Рисунок 93);
Рисунок 93 – Консоль
10. Далее разверните дерево политики Default Domain Policy и перейдите в параметры безопасности по пути: Политика Default Domain Policy -> Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности (Security Settings) -> Локальные политики (Local Policies) -> Параметры безопасности (Security Options).
11. Дважды щёлкните по Интерактивный вход в систему: Требовать смарт-карту (Interactive logon: Require Windows Hello for Business or smart card) (Рисунок 94);
Рисунок 94 – Консоль
12. В отобразившемся окне отметьте «Определить следующий параметр политики», укажите «Включен» и нажмите кнопку «Ок» (Рисунок 95);
Рисунок 95 – Окно «Свойства: Interactive logon: Require Windows Hello for Business or smart card»
13. Для того чтобы обновленная политика начала действовать немедленно, необходимо её обновить. Выполните следующее. Откройте командную строку. Пуск -> Выполнить -> cmd (Рисунок 96);
Рисунок 96 – Окно «Выполнить»
14. В командной строке введите «gpupdate /force» (Рисунок 97);
Рисунок 97 – Командная строка
15. Закройте командную строку;
16. Перейдите на рабочую станцию и проверьте статус службы «Политика удаления смарт-карт (ScPolicySvc)» пройдя по пути: Меню «Пуск» -> Панель управления -> Администрирование -> Службы;
Служба должна быть в статусе «Автоматически».
17. Если всё настроено верно, и политика уже обновлена, вход по паролю будет невозможен, всегда будет требоваться изделие (Рисунок 98).
Рисунок 98 – Приветственное окно Microsoft Windows 10
4.2 Автоматическое блокирование рабочей станции и выход из операционной системы при отсоединении изделия
Существует возможность настроить автоматическое блокирование рабочей станции или автоматический выход из системы при отсоединении изделия. То есть, отходя от рабочего места и забирая с собой изделие, пользователь автоматически заблокирует систему или вообще выйдет из неё.
Для настройки этой политики выполните следующее:
- Откройте ранее сохраненную консоль (Default Domain Policy);
- Разверните политику и перейдите в параметры безопасности: Политика Default Domain Policy -> Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности;
- Дважды щёлкните по Интерактивный вход в систему: поведение при извлечении смарт-карты (Interactive logon: Smart card removal behavior) (Рисунок 99);
Рисунок 99 – Консоль
4. В отобразившихся свойствах выберите «Блокировка рабочей станции» («Lock Workstation») или «Принудительный выход из системы» («Force Logoff»), в зависимости от желаемого сценария. Далее нажмите кнопку «Применить» и кнопку «ОК» (Рисунок 100);
Рисунок 100 – Окно «Свойства: Interactive logon: «Smart card removal behavior»
Для того чтобы обновлённая политика начала действовать немедленно, необходимо её обновить. Для этого выполните следующее:
- Откройте командную строку. Пуск -> Выполнить -> cmd (Рисунок 101);
Рисунок 101 – Окно «Выполнить»
2. В открывшемся окне введите gpupdate /force. (Рисунок 102);
Рисунок 102 –Командная строка
3. Командную строку можно закрыть;
4. Перейдите на рабочую станцию и проверьте статус службы Политика удаления смарт-карт (ScPolicySvc): Пуск -> Панель управления -> Администрирование -> Службы;
5. Служба должна быть в статусе «Автоматически».
Если всё настроено верно, и политика уже обновлена, при отсоединении изделия от рабочей станции произойдёт автоматическая блокировка или выход из системы (в зависимости от настройки политики).