Настройка единого входа для устройств, присоединенных к Microsoft Entra

Статья
04/23/2024
Применяется к:

✅ Windows 11, ✅ Windows 10

В этой статье описаны Windows Hello для бизнеса функциональные возможности или сценарии, которые применяются к:

Тип развертывания:
Тип доверия.доверия ключей контроллеров домена . доверия сертификатов контроллеров домена.
Тип соединения. Microsoft Entra присоединиться

Windows Hello для бизнеса в сочетании с устройствами, присоединенными к Microsoft Entra, упрощает пользователям безопасный доступ к облачным ресурсам с помощью надежных двухфакторных учетных данных. По мере того как организации переходят ресурсы в облако, некоторые ресурсы могут оставаться локальными, и Microsoft Entra присоединенным устройствам может потребоваться доступ к ним. С помощью дополнительных конфигураций гибридного развертывания вы можете предоставить единый вход в локальные ресурсы для Microsoft Entra присоединенных устройств с помощью Windows Hello для бизнеса, с помощью ключа или сертификата.

Примечание.

Эти действия не требуются при использовании облачной модели доверия Kerberos.

Предварительные условия

В отличие от Microsoft Entra устройств с гибридным присоединением, Microsoft Entra присоединенные устройства не имеют связи с доменом Active Directory. От этого зависит способ проверки подлинности пользователей в Active Directory. Проверьте следующие конфигурации, чтобы убедиться, что они поддерживают Microsoft Entra присоединенных устройств:

Точка распространения списка отзыва сертификатов (CRL)
Сертификаты контроллера домена
Сетевая инфраструктура на месте для доступа к локальным контроллерам домена. Если компьютеры являются внешними, можно использовать любое VPN-решение.

Точка распространения CRL (CDP)

Сертификаты, выданные центром сертификации, могут быть отозваны. Когда центр сертификации отзывает сертификат, он записывает сведения о сертификате в список отзыва сертификатов (CRL).
Во время проверки сертификата Windows сравнивает текущий сертификат со сведениями в списке отзыва сертификатов, чтобы определить, действителен ли сертификат.

Снимок экрана: свойство CDP сертификата.

На снимке экрана свойство CDP сертификата контроллера домена показывает путь LDAP. Если использовать Active Directory для устройств, присоединенных к домену, вы получаете высокодоступную точку распространения CRL. Однако Microsoft Entra присоединенные устройства не могут считывать данные из Active Directory, а проверка сертификата не дает возможности пройти проверку подлинности перед чтением списка отзыва сертификатов. Проверка подлинности становится циклической проблемой: пользователь пытается пройти проверку подлинности, но для завершения проверки подлинности должен прочитать Active Directory, но пользователь не может прочитать Active Directory, так как он не прошел проверку подлинности.

Чтобы устранить эту проблему, точка распространения списка отзыва сертификатов должна быть расположением, доступным для Microsoft Entra присоединенных устройств, которые не требуют проверки подлинности. Простейшее решение — опубликовать точку распространения CRL на веб-сервере, использующем протокол HTTP (а не HTTPS).

Если в вашей точке распространения списка отзыва сертификатов не указана точка распространения HTTP, необходимо перенастроить центр сертификации, выдающий сертификат, чтобы в список точек распространения была включена точка распространения CRL HTTP, предпочтительно первая.

Примечание.

Если ваш ЦС опубликовал как base , так и delta CRL, обязательно опубликуйте delta CRL в пути HTTP. Включите веб-сервер для получения разностного списка отзыва сертификатов , разрешив двойной экранирование на веб-сервере (IIS).

Сертификаты контроллера домена

Центры сертификации записывают сведения CDP в сертификаты по мере их выдачи. Если точка распространения изменяется, ранее выданные сертификаты должны быть повторно выданы, чтобы центр сертификации включал новую CDP. Сертификат контроллера домена является одним из важнейших компонентов Microsoft Entra присоединенных устройств, которые будут выполнять проверку подлинности в Active Directory.

Почему системе Windows необходимо проверять сертификат контроллера домена?

Windows Hello для бизнеса применяет строгую функцию проверки KDC при проверке подлинности из Microsoft Entra присоединенного устройства к домену. Это применение накладывает более строгие критерии, которым должен соответствовать Центр распространения ключей (KDC). При проверке подлинности с помощью Windows Hello для бизнеса на устройстве, присоединенном к Microsoft Entra, клиент Windows проверяет ответ от контроллера домена, гарантируя выполнение всех следующих действий:

Контроллер домена имеет закрытый ключ для предоставленного сертификата.
Корневой ЦС, выдающий сертификат контроллера домена, находится в доверенных корневых центрах сертификации устройства.
Используйте шаблон сертификата проверки подлинности Kerberos вместо любого другого более старого шаблона.
Сертификат контроллера домена имеет расширенное использование ключа проверки подлинности KDC (EKU)
Альтернативное имя субъекта сертификата контроллера домена имеет DNS-имя, соответствующее имени домена.
Хэш-алгоритм сигнатуры сертификата контроллера домена — sha256
Открытый ключ сертификата контроллера домена — RSA (2048 бит).

Важно.

Проверка подлинности с Microsoft Entra гибридного устройства, присоединенного к домену, с помощью Windows Hello для бизнеса не требует, чтобы сертификат контроллера домена включает EKU проверки подлинности KDC. Если вы добавляете Microsoft Entra присоединенных устройств в существующую доменную среду, убедитесь, что сертификат контроллера домена обновлен для включения EKU проверки подлинности KDC.

Настройка точки распространения списка отзыва сертификатов для выдающего ЦС

Используйте этот набор процедур, чтобы обновить ЦС, который выдает сертификаты контроллера домена, чтобы включить точку распространения CRL на основе HTTP.

Настройка Internet Information Services для размещения точки распространения списка отзыва

Необходимо разместить новый список отзыва сертификатов на веб-сервере, чтобы Microsoft Entra присоединенные устройства могли легко проверять сертификаты без проверки подлинности. Эти файлы можно разместить на веб-серверах множеством способов. Приведенные ниже действия являются лишь одним и могут быть полезны для администраторов, не знакомых с добавлением новой точки распространения списка отзыва сертификатов.

Важно.

Не настраивайте сервер IIS, на котором размещена точка распространения CRL, для использования протокола HTTPS или сертификата проверки подлинности сервера. Клиенты должны обращаться к точке распространения по протоколу HTTP.

Установка веб-сервера

Войдите на сервер в качестве локального администратора и запустите диспетчер сервера, если он не был запущен во время входа.
Выберите узел Локальный сервер в области навигации. Выберите Управление и добавить роли и компоненты.
В мастере добавления ролей и компонентов выберите Выбор сервера. Убедитесь, что выбран локальный сервер. Выберите Роли сервера. Выберите поле проверка рядом с полем Веб-сервер (IIS)
Выберите Далее с помощью остальных параметров мастера, приняв значения по умолчанию, и установите роль веб-сервера.

Настройка веб-сервера

Из средств администрирования Windows откройте диспетчер служб IIS
Разверните область навигации, чтобы отобразить Веб-сайт по умолчанию. Выберите и щелкните правой кнопкой мыши веб-сайт по умолчанию и выберите Добавить виртуальный каталог...
В диалоговом окне Добавление виртуального каталога введите cdp в поле Псевдоним. Для физического пути введите или найдите расположение физического файла, в котором будет размещен список отзыва сертификатов. В этом примере используется путь c:\cdp . Нажмите кнопку ОК

Примечание.

Запомните этот путь, поскольку позднее он понадобится для настройки разрешений доступа к общей папке и к файлам.
Выберите CDP в разделе Веб-сайт по умолчанию в области навигации. Откройте раздел Просмотр каталогов в области содержимого. Выберите Включить в области сведений.
Выберите CDP в разделе Веб-сайт по умолчанию в области навигации. Откройте Редактор конфигурации
В списке Раздел перейдите по адресу system.webServer/security/requestFiltering
В списке именованных пар значений в области содержимого установите для параметра allowDoubleEscaping значение Истина. Выберите Применить в области действий
Закрытие диспетчера служб IIS

Создание записи ресурса DNS для URL-адреса точки распространения CRL

На DNS-сервере или с административной рабочей станции откройте диспетчер DNS из администрирования.
Разверните элемент Зоны прямого просмотра, чтобы отобразить зону DNS для вашего домена. Щелкните правой кнопкой мыши доменное имя в области навигации и выберите Создать узел (A или AAAA)...
В диалоговом окне Новый узел введите crl в поле Имя. Введите IP-адрес настроенного веб-сервера в поле IP-адрес. Выберите Добавить узел. Нажмите кнопку ОК , чтобы закрыть диалоговое окно DNS . Выберите Готово
Закрытие диспетчера DNS

Эта процедура дает возможность настроить разрешения доступа NTFS и общих папок на веб-сервере, чтобы центр сертификации могут автоматически публиковать список отзыва сертификатов.

На веб-сервере откройте windows Обозреватель и перейдите к папке cdp, созданной на шаге 3 настройки веб-сервера.
Щелкните правой кнопкой мыши папку cdp и выберите Свойства. Перейдите на вкладку Общий доступ . Выберите Расширенный общий доступ.
Выберите Открыть общий доступ к этой папке. Введите cdp$ в поле Имя общей папки. Выберите Разрешения
В диалоговом окне Разрешения для cdp$ выберите Добавить.
В диалоговом окне Выбор пользователей, компьютеров, учетных записей служб или групп выберите Типы объектов. В диалоговом окне Типы объектов выберите Компьютеры, а затем нажмите кнопку ОК.
В диалоговом окне Выбор пользователей, компьютеров, учетных записей служб или групп в поле Введите имена объектов для выбора введите имя сервера, на котором центр сертификации выдает список отзыва сертификатов, а затем выберите Проверить имена. Нажмите кнопку ОК.
В диалоговом окне Разрешения для cdp$ выберите центр сертификации в списке Группы или пользователи. В разделе Разрешения для выберите Разрешить для параметра Полный доступ. Выберите ОК
В диалоговом окне Расширенный общий доступ нажмите кнопку ОК.

Совет

Убедитесь, что пользователи могут получить доступ к \\Server FQDN\sharename.

Отключение кэширования

На веб-сервере откройте windows Обозреватель и перейдите к папке cdp, созданной на шаге 3 настройки веб-сервера.
Щелкните правой кнопкой мыши папку cdp и выберите Свойства. Перейдите на вкладку Общий доступ . Выберите Расширенный общий доступ.
Выберите Кэширование. Выберите Нет файлов или программ из общей папки доступны автономные
Нажмите кнопку ОК.

Настройка разрешений NTFS для папки CDP

На веб-сервере откройте windows Обозреватель и перейдите к папке cdp, созданной на шаге 3 настройки веб-сервера.
Щелкните правой кнопкой мыши папку cdp и выберите Свойства. Перейдите на вкладку Безопасность .
На вкладке Безопасность выберите Изменить.
В диалоговом окне Разрешения для cdp выберите Добавить
В диалоговом окне Выбор пользователей, компьютеров, учетных записей служб или групп выберите Типы объектов. В диалоговом окне Типы объектов выберите Компьютеры. Нажмите кнопку ОК.
В диалоговом окне Выбор пользователей, компьютеров, учетных записей служб или групп в поле Введите имена объектов для выбора введите имя центра сертификации, а затем выберите Проверить имена. Нажмите кнопку ОК.
В диалоговом окне Разрешения для cdp выберите имя центра сертификации в списке Группы или пользователи. В разделе Разрешения для выберите Разрешить для параметра Полный доступ. Нажмите кнопку ОК.
Нажмите кнопку Закрыть в диалоговом окне "Свойства cdp"

Настройка нового CDP и расположения публикации в выдающем ЦС

Веб-сервер готов к размещению точки распространения CRL. Теперь настройте центр сертификации, выдающий сертификат, чтобы опубликовать список отзыва сертификатов в новом расположении и включить новую точку распространения списка отзыва сертификатов.

Настройка точки распространения CRL

В центре сертификации войдите в систему с правами локального администратора. Запустите консоль центра сертификации из администрирования
В области навигации щелкните правой кнопкой мыши имя центра сертификации и выберите Пункт Свойства.
Выберите Расширения. На вкладке Расширения выберите CRL Distribution Point (CDP) в списке Select extension (Выбрать расширение ).
На вкладке Расширения выберите Добавить. Введите http://crl.[имя_домена]/cdp/ в расположении. Например, <http://crl.corp.contoso.com/cdp/> или <http://crl.contoso.com/cdp/> диалоговое (не забывайте о косой черте).
Выберите <CaName> в списке Переменная и нажмите кнопку Вставка. Выберите <CRLNameSuffix> в списке Переменная и нажмите кнопку Вставка. Выберите <DeltaCRLAllowed> в списке Переменная и нажмите кнопку Вставка.
Введите .crl в конце текста в поле Расположение. Нажмите кнопку ОК.
Выберите только что созданную
Выберите Включить в списки отзыва сертификатов. Клиенты используют его для поиска расположений разностного списка отзыва сертификатов.
Выберите Включить в расширение CDP выданных сертификатов.
Выберите Применить сохранить выбранные параметры. Выберите Нет при запросе на перезапуск службы.

Примечание.

Кроме того, при необходимости можно удалить ненужные точки распространения CRL и расположения публикации.

Настройка расположения публикации CRL

В центре сертификации войдите в систему с правами локального администратора. Запустите консоль центра сертификации из администрирования
В области навигации щелкните правой кнопкой мыши имя центра сертификации и выберите Пункт Свойства.
Выберите Расширения. На вкладке Расширения выберите CRL Distribution Point (CDP) в списке Select extension (Выбрать расширение ).
На вкладке Расширения выберите Добавить. Введите имя компьютера и общей папки точки распространения CRL в поле Настройка файлового ресурса CDP. Например, \\app\cdp$\ (не забывайте обратную косую черту)
Выберите <CaName> в списке Переменная и нажмите кнопку Вставка. Выберите <CRLNameSuffix> в списке Переменная и нажмите кнопку Вставка. Выберите <DeltaCRLAllowed> в списке Переменная и нажмите кнопку Вставка.
Введите .crl в конце текста в поле Расположение. Нажмите кнопку ОК.
Выберите , которое вы только что создали.
Выберите Опубликовать списки отзыва сертификатов в этом расположении.
Выберите Опубликовать разностные списки отзыва сертификатов в этом расположении.
Выберите Применить сохранить выбранные параметры. При запросе на перезапуск службы выберите Да . Нажмите кнопку ОК , чтобы закрыть диалоговое окно свойств.

Публикация нового CRL

В центре сертификации войдите в систему с правами локального администратора. Запустите консоль центра сертификации из администрирования
В области навигации щелкните правой кнопкой мыши отозванные сертификаты, наведите указатель мыши на все задачи и выберите Опубликовать
В диалоговом окне Публикация списка отзыва сертификатов выберите Создать список отзыва сертификатов и нажмите кнопку ОК.

Проверка публикации CDP

Убедитесь, что новая точка распространения списка отзыва сертификатов работает.

Откройте браузер. Перейдите к http://crl.[yourdomain].com/cdp. Вы увидите два файла, созданные при публикации нового списка отзыва

Повторная выдача сертификатов контроллера домена

При правильной настройке ЦС с допустимой точкой распространения CRL на основе HTTP необходимо перевыпускать сертификаты контроллерам домена, так как старый сертификат не имеет обновленной точки распространения CRL.

Вход в контроллер домена с использованием учетных данных администратора
Открывает диалоговое окно Выполнить Введите certlm.msc , чтобы открыть диспетчер сертификатов для локального компьютера.
В области навигации разверните узел Личные. Выберите Сертификаты. В области сведений выберите существующий сертификат контроллера домена, включающий проверку подлинности KDC, в списке Личного предполагаемых целей.
Щелкните выбранный сертификат правой кнопкой мыши. Наведите указатель мыши на все задачи и выберите Продлить сертификат с помощью нового ключа.... В мастере регистрации сертификатов выберите Далее
На странице Запрос сертификатов этого мастера проверьте, что у выбранного сертификата правильный шаблон. Убедитесь, что его состояние — "Доступен". Выберите Регистрация
После завершения регистрации нажмите кнопку Готово , чтобы закрыть мастер.
Повторите эту процедуру на всех контроллерах домена

Примечание.

Можно настроить контроллеры доменов для автоматической регистрации и продления сертификатов. Автоматическая регистрация сертификатов дает возможность избежать неполадок проверкой подлинности, обусловленных окончанием срока действия сертификатов. Сведения о развертывании автоматической регистрации сертификатов для контроллеров домена см. в руководствах по развертыванию Windows Hello.

Важно.

Если вы не используете автоматическую регистрацию сертификатов, создайте напоминание в календаре, чтобы получить уведомление за два месяца до даты окончания срока действия сертификата. Отправьте напоминание нескольким пользователям в организации: дата окончания срока действия сертификатов должна быть известна нескольким сотрудникам.

Проверка CDP в новом сертификате

Вход в контроллер домена с использованием учетных данных администратора
Открывает диалоговое окно Выполнить Введите certlm.msc , чтобы открыть диспетчер сертификатов для локального компьютера.
В области навигации разверните узел Личные. Выберите Сертификаты. В области сведений дважды щелкните существующий сертификат контроллера домена, включающий проверку подлинности KDC в списке предполагаемых целей.
Перейдите на вкладку Сведения . Прокрутите список вниз, пока не будут отображаться точки распространения списка CRL в столбце Поле списка. Выбор точки распространения списка отзыва отзыва сертификатов
Проверьте информацию под списком, и убедитесь, что в сертификате указан новый URL-адрес точки распространения CRL. Нажмите кнопку ОК.

Развертывание сертификата корневого ЦС на устройствах, присоединенных к Microsoft Entra

Контроллеры домена имеют сертификат, включающий новую точку распространения CRL. Затем вам потребуется корпоративный корневой сертификат, чтобы его можно было развернуть на Microsoft Entra присоединенных устройствах. При развертывании корпоративных корневых сертификатов на устройстве устройство гарантирует, что устройство доверяет всем сертификатам, выданным центром сертификации. Без сертификата Microsoft Entra присоединенные устройства не доверяют сертификатам контроллера домена, и проверка подлинности завершается сбоем.

Экспорт корневого сертификата предприятия

Вход в контроллер домена с использованием учетных данных администратора
Открывает диалоговое окно Выполнить Введите certlm.msc , чтобы открыть диспетчер сертификатов для локального компьютера.
В области навигации разверните узел Личные. Выберите Сертификаты. В области сведений дважды щелкните существующий сертификат контроллера домена, включающий проверку подлинности KDC в списке предполагаемых целей.
Перейдите на вкладку Путь сертификации . В представлении Путь сертификации выберите самый верхний узел и выберите Просмотреть
В диалоговом окне Новый сертификат выберите вкладку Сведения . Выберите Копировать на вкладку
В мастере экспорта сертификатов нажмите кнопку Далее.
На странице Экспорт формата файла мастера нажмите кнопку Далее.
На странице Файл для экспорта в мастере введите имя и расположение корневого сертификата и нажмите кнопку Далее. Нажмите кнопку Готово , а затем нажмите кнопку ОК , чтобы закрыть диалоговое окно
Нажмите кнопку ОК два раза, чтобы вернуться к диспетчеру сертификатов для локального компьютера. Закрытие диспетчера сертификатов

Развертывание сертификата с помощью Intune

Чтобы настроить устройства с помощью Microsoft Intune, используйте настраиваемую политику:

Перейдите в Центр администрирования Microsoft Intune
Выберите Профили > конфигурации устройств > Create профиль
Выберите Платформа > Windows 8.1 и более поздних версий и Тип > профиля Доверенный сертификат.
Выберите Create
В разделе Параметры конфигурации щелкните значок папки и найдите файл корневого сертификата предприятия. Выбрав файл, нажмите кнопку Открыть, чтобы отправить его в Intune
В раскрывающемся списке Целевое хранилище выберите Хранилище сертификатов компьютера — корневой каталог.
Нажмите кнопку Далее
В разделе Назначение выберите группу безопасности, содержащую в качестве участников устройства или пользователей, которые вы хотите настроить Далее>.
Просмотрите конфигурацию политики и выберите Create

Если вы планируете использовать сертификаты для единого входа в локальной среде, выполните дополнительные действия, описанные в статье Использование сертификатов для единого входа в локальной среде. В противном случае вы можете войти на устройство, присоединенное к Microsoft Entra, с помощью Windows Hello для бизнеса и проверить единый вход в локальный ресурс.

Настройка единого входа для устройств, присоединенных к Microsoft Entra