6.2.23 VMware View 5.x

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Аннотация

Настоящий документ содержит сведения о настройке двухфакторной аутентификации в VDI-сессию, а также в административный интерфейс VMware View 5.x (сертифицированный по требованиям ФСТЭК России) с использованием электронных ключей JaCarta PKI и вспомогательного программного обеспечения “Единый Клиент JaCarta”.

О платформе VMware View

VMware View — продукт для виртуализации персональных компьютеров от VMware, Inc. Первые версии (2.0.0 и 2.1.0) продавались под именем VMware VDI, однако, начиная с версии 3.0.0, имя было изменено на VMware View. Начиная с версии 5.2, стал частью VMware Horizon Suite и получил название VMware Horizon View. Версия 5.1 имеет сертификацию, согласно требованиям ФСТЭК России.

Описание демо-стенда

Серверная часть

• VMware Hypervisor (ESXi) – физический сервер с установленным гипервизором – VMware ESXi, на

котором хостятся виртуальные машины.

• Microsoft Windows Server 2012 R2 — сервер с ролью контроллера домена (Domain Controller) и центра сертификации (Certification Authority)

• Microsoft Windows Server 2012 R2 — сервер с установленным vCenter Server для управления всей виртуальной инфраструктурой

• Microsoft Windows Server 2012 R2 —View Connection Server – сервер управления инфраструктурой виртуальных рабочих столов. Управляет подключениями к виртуальным рабочим столам, созданием и мониторингом пулов десктопов.

На каждом сервере должен быть установлен набор драйверов и утилит управления электронными ключами JaCarta PKI: JC-Client 6.32 и выше или “Единый Клиент JaCarta” 2.10 и выше.

Клиентская часть

• Microsoft Windows 7x64 — ПК пользователя, c которого будет осуществляться аутентификация в

VMware View.

На каждом клиентском устройстве должен быть установлен набор драйверов и утилит управления электронными ключами JaCarta PKI: JC-Client 6.32 и выше или “Единый Клиент JaCarta” 2.10 и выше.

Ход настройки

Настоящая инструкция описывает добавление дополнительного способа аутентификации в уже настроенную на парольную аутентификацию VDI-инфраструктуру VMware View по цифровым сертификатам, находящимся на смарт-картах или USB-токенах JaCarta. Это в свою очередь предполагает, что инфраструктура VMware View, а также vCenter уже развёрнуты, также настроен домен контроллер (Active Directory) и центр сертификации (Certification Authority), а у пользователей имеются электронные ключи JaCarta с выпущенными на них цифровыми сертификатами.

Для того чтобы реализовать аутентификацию по смарт-картам или USB-токенам в VMware View, необходимо выполнить следующие действия:

• заменить сертификат, который используется для SSL-соединения между клиентом и View Connection Server;
• добавить корневой сертификат вашего центра сертификации в файл Truststore сервера;
• произвести настройку View Connection Server.

Замена сертификата View Connection Server

Замена сертификата View Connection Server включает ряд действий.

Подготовка шаблона сертификата для View Connection Server.

Подготовка шаблона сертификата

Выдача сертификата для View Connection Server.

Замена сертификата, используемого View Connection Server для SSL-соединения.

1. Запустите оснастку Центр сертификации Пуск -> Администрирование -> Центр сертификации.

2. В открывшемся окне выберите ЦС, далее щёлкните правой кнопкой на вкладке Шаблоны сертификатов, выберите пункт Управление. Щёлкните правой кнопкой на шаблоне Компьютер -> Скопировать шаблон.

3. В копии шаблона установите галочку на Разрешать экспортировать закрытый ключ и выберите в качестве формата имени субъекта DNS-имя.

Сохраните шаблон.

Закройте окно управления шаблонами сертификатов. Щёлкните правой кнопкой на вкладке Шаблоны сертификатов -> Создать -> Выдаваемый шаблон сертификата, в открывшемся меню выберите необходимый шаблон и нажмите Ок. Этим действием шаблон будет разрешён к выдаче**.** На этом подготовка шаблона сертификата закончена.

4. Запустите консоль mmc, нажмите Файл -> Добавить или удалить оснастку, дважды щёлкните на Сертификаты, в появившемся окне выберите пункт Учётной записи компьютера -> Далее -> Готово - > ОК.

5. В открывшемся окне выберите вкладку Сертификаты -> Личное -> Сертификаты, далее щёлкните правой кнопкой пункт Все задачи, нажмите Запросить новый сертификат -> Далее -> Далее -> Выберите свой шаблон -> Заявка.

   

6. Убедитесь в том, что в консоли появился выданный сертификат.

   

   

Прежде чем производить замену сертификата, его необходимо экспортировать в формате .pfx, для этого щёлкните правой кнопкой на выданном сертификате, далее Все задачи -> Экспорт.

7. В открывшемся мастере экспорта сертификатов нажмите Далее, на следующей вкладке выберите Да, экспортировать закрытый ключ -> Далее -> Далее, задайте пароль для экспортируемого сертификата –> укажите директорию для создания файла сертификата и его имя -> Далее -> Готово.

   

   

В результате получится файл в формате **.pfx, содержащий сертификат для замены. После того, как файл сертификата подготовлен, необходимо поместить его в директорию:

C:\Program Files\VMware\VMware View\Server\sslgateway\conf

8. В этой же директории создайте файл locked.properties и в нём укажите следующее:.

keyfile=<имя файла>.pfx keypass=<пароль, указанный при экспорте>

Далее перезапустите службу View Connection Server. Для того чтобы убедиться в том, что служба запущена, и используется именно ваш сертификат, можно посмотреть лог в папке

C:\ProgramData\VMware\VDM\logs\

Теперь SSL-соединение строится с использованием этого сертификата.

Добавление ключей и корневого сертификата в Truststore сервера

1. Далее необходимо настроить доверие сервера VMware View, т.е. определить, кому можно доверять при аутентификации по сертификатам, хранимым на смарт-картах или USB-токенах. Для этого нужно:.

• c оздать файл Truststore – хранилище ключей;
• разрешить Smart Card Logon в настройках View Connection Server.

2. Для того чтобы создать файл Truststore, можно воспользоваться утилитой keytool из Java Runtime Environment (JRE), которая устанавливается с VMware View, но, чтобы было удобно воспользоваться ею из командной строки, нужно добавить путь к файлам Java в переменные окружения сервера.

3. Откройте Свойства компьютера -> Дополнительные параметры системы -> Дополнительно -> Переменные среды -> в системной переменной Path, в конце строки добавьте:.

;%ProgramFiles%\VMware\VMware View\Server\jre\bin

По аналогии с экспортом сертификата View Connection Server, описанным выше, произведите экспорт корневого сертификата вашего ЦС. А полученный сертификат в формате .cer добавьте в хранилище ключей View Connection Server. Для этого откройте командную строку Пуск -> Выполнить -> cmd.exe. Далее перейдите в каталог C:\Program Files\VMware\VMware View\Server\sslgateway\conf

4. и задайте следующую команду:.

keytool -import -alias <Псевдоним_по_желанию> -file <Файл_сертификата>
-keystore <Имя_файла_хранилища>

Пример команды: keytool -import -alias alias -file CA.cer -keystore truststorefile.key

В процессе импорта необходимо будет ввести парольную фразу для защиты хранилища и подтвердить доверие сертификату.

5. Теперь добавьте в уже созданный ранее файл locked.properties следующие строчки:.

trustKeyfile=<Имя_файла_хранилища>
trustStoretype=JKS
useCertAuth=true

Пример: trustKeyfile= truststorefile.key

trustStoretype=JKS

useCertAuth=true

Настройка View Connection Server

1. Необходимо включить функции Smart Card Logon в настройках View Connection Server.

2. Прежде чем включать аутентификацию по смарт-картам, убедитесь в том, что в глобальных настройках View Connection Server установлен флаг “Require SSL for client connections and View Administrator”.

   

Зайдите в Web-консоль VMware View.

3. Перейдите во View Configuration –> Servers -> Connections Servers -> Edit.

   

VMware View позволяет применять три варианта использования смарт-карт.

Not allowed – не используется (вход только по паролю пользователя).

Optional – по выбору (по паролю или смарт-карте).

Required – требуется смарт-карта или USB-токен (вход только по смарт-карте). Выберите нужный и нажмите ОК.

Далее необходимо перезапустить службу View Connection Server.

4. На этом настройка View Connection Server закончена.

Настройка проброса смарт-карты пользователя

Проброс смарт-карты пользователя позволяет производить прозрачную аутентификацию в виртуальную машину с вводом PIN-кода один раз.

При использовании тонких клиентов Teradici настройка, как правило, не требуется.

При использовании программных клиентов Windows, MacOS, Linux необходимо выполнить установку VMware View Agent с активацией опции Smartcard Redirection.

Проверка работоспособности

Для корректной работы на стороне клиента необходимо добавить сертификат вашего ЦС в список доверенных, а также производить подключение к View Connection Server по имени сервера, указанному в выданном ему сертификате. После ввода PIN-кода произойдёт аутентификация и отобразятся доступные для пользователя ресурсы.