Omnissa Access Connector und FIPS-Modus (nur Omnissa Access FedRAMP)

Mit Omnissa Access Connector 26.05 können Sie Verschlüsselungsvorgänge mithilfe von FIPS 140-2-konformen Algorithmen (Federal Information Processing Standard) durchführen. Sie können die Verwendung dieser Algorithmen aktivieren, indem Sie eine Neuinstallation von Omnissa Access Connector 26.05 im FIPS-Modus oder ein Upgrade eines im FIPS-Modus installierten 22.05-Konnektors oder höher auf Version 26.05 durchführen.

Der Federal Information Processing Standard (FIPS) 140-2 ist ein Standard der US-amerikanischen und kanadischen Regierung, der Sicherheitsanforderungen für kryptografische Module spezifiziert.

Der Omnissa Access Connector unterstützt weder ein Upgrade noch eine Migration von einer Nicht-FIPS-Installation auf eine FIPS-Installation noch ein Upgrade oder eine Migration von einer FIPS-Installation auf eine Nicht-FIPS-Installation. Alle Connector-Versionen vor 22.05 waren Nicht-FIPS-Installationen.

Wichtig:

• Omnissa Access Connector im FIPS-Modus wird nur mit Omnissa Access FedRAMP-Mandanten unterstützt. Andere Mandantentypen und lokale Omnissa Access-Installationen bieten keine Unterstützung für den Konnektor im FIPS-Modus.
• Der Dienst „Virtuelle App“ bietet keine Unterstützung für den FIPS-Modus. Omnissa Access Connector-Instanzen mit aktiviertem FIPS-Modus bieten keine Unterstützung für die Integration in Citrix, Horizon, Horizon Cloud Service on Microsoft Azure mit Einzel-Pod-Broker oder Horizon Cloud Service on IBM Cloud oder ThinApp. Ein Omnissa Access Connector mit aktiviertem FIPS-Modus unterstützt die Integration virtueller Apps, die in Horizon Cloud Service on Microsoft Azure mit Universal Broker ausgeführt werden.

Installieren von Omnissa Access Connector im FIPS-Modus

Um den FIPS-Modus für den Omnissa Access Connector zu aktivieren, wählen Sie während der Installation die Option FIPS aktivieren aus.

Wichtig:

• Sie können den Modus nach der Installation weder vom FIPS-Modus in den Nicht-FIPS-Modus noch vom Nicht-FIPS-Modus in den FIPS-Modus ändern. Überprüfen Sie die Anforderungen und Voraussetzungen deshalb sorgfältig und denken Sie vor der Installation darüber nach, ob FIPS aktiviert werden soll.
• Beachten Sie auch, dass eine FIPS-Installation nur auf eine FIPS-Installation und eine Nicht-FIPS-Installation nur auf eine Nicht-FIPS-Installation aktualisiert werden kann.

Anforderungen und Voraussetzungen für den FIPS-Modus

Für den Connector im FIPS-Modus gelten die folgenden Anforderungen und Voraussetzungen.

• Stellen Sie sicher, dass Sie alle Konnektorinstanzen im FIPS-Modus installieren. Alle einem Omnissa Access-Mandanten zugeordneten Konnektorinstanzen müssen unabhängig von den installierten Unternehmensdiensten entweder im FIPS-Modus oder im Nicht-FIPS-Modus ausgeführt werden. Stellen Sie bestimmte Connector-Instanzen nicht im FIPS-Modus und andere nicht im Nicht-FIPS-Modus bereit.
• Für Verzeichnisse vom Typ „Active Directory über integrierte Windows-Authentifizierung (IWA)“:
  • Zum Erstellen eines Verzeichnisses vom Typ „Active Directory über IWA“ in Omnissa Access muss das Bind-DN-Benutzerkennwort mindestens 14 Zeichen aufweisen.
  • Die Mindestlänge von 14 Zeichen für Kennwörter gilt auch für alle synchronisierten Benutzer im IWA-Verzeichnis.
  • Wird das Attribut sAMAccountName verwendet, müssen der sAMAccountName des Benutzers und der Domänenname eine Mindestlänge von 16 Zeichen haben.
• Für die Funktion „Kennwort ändern“ für Active Directory:

  • Die Funktion „Kennwort ändern“ für Active Directory erfordert eine Mindestlänge von 14 Zeichen für Endbenutzerkennwörter.

    Vorhandene Kennwörter müssen diese Anforderung erfüllen. Benutzer können ihr Kennwort nicht über die Omnissa Workspace ONE® Intelligent Hub-App oder das -Portal ändern, wenn das vorhandene Kennwort weniger als 14 Zeichen umfasst.

    Neue Kennwörter müssen diese Anforderung ebenfalls erfüllen. Die Mindestlänge von 14 Zeichen wird nicht erzwungen, wenn Benutzer ein neues Kennwort über die Intelligent Hub-App oder das -Portal erstellen. Wenn das neue Kennwort jedoch weniger als 14 Zeichen umfasst, kann der Benutzer das Kennwort nicht erneut ändern. Wenn der Benutzer außerdem einem Verzeichnis vom Typ „Active Directory über integrierte Windows-Authentifizierung“ angehört, kann sich der Benutzer nicht mit dem neuen Kennwort bei der Intelligent Hub-App oder beim -Portal anmelden.

  • Wird das Attribut sAMAccountName verwendet, müssen der sAMAccountName des Benutzers und der Domänenname eine Mindestlänge von 16 Zeichen haben.

• Wenn Sie die Verbindung zu Active Directory einrichten und dabei die Option STARTTLS sind für alle Verbindungen erforderlich oder LDAPS für alle Verbindungen erforderlich auswählen, müssen die Domänencontroller über gültige, von einer öffentlichen Zertifizierungsstelle signierte Zertifikate mit einer RSA-Schlüssellänge von mindestens 2048 Bit verfügen.

Es empfiehlt sich, diese Voraussetzungen zu implementieren, bevor der Omnissa Access Connector im FIPS-Modus installiert wird.

Einschränkungen

Wenn der Omnissa Access 26.05 Connector im FIPS-Modus ausgeführt wird, ist RADIUS-Authentifizierung (Cloud-Bereitstellung) standardmäßig nicht verfügbar. Nach der Installation oder dem Upgrade funktioniert die RADIUS-Authentifizierungsmethode (Cloud-Bereitstellung) nicht. Aktivieren Sie zur Problembehebung RADIUS-Authentifizierung (Cloud-Bereitstellung) im Benutzerauthentifizierungsdienst, nachdem Sie den Konnektor installiert oder aktualisiert haben.

So aktivieren Sie RADIUS-Authentifizierung (Cloud-Bereitstellung):

1. Fügen Sie der Datei INSTALL_PATH\User Auth Service\UserAuthService.xml folgendes JVM-Argument hinzu:

   -Dorg.bouncycastle.jsse.enable_md5=true

   WICHTIG: Fügen Sie die Zeile zum Abschnitt „JVM-Argumente“ und nicht an einer anderen Position in der Datei hinzu.

2. Starten Sie den Benutzerauthentifizierungsdienst neu.

3. Wiederholen Sie diese Schritte für alle Konnektorinstanzen, auf denen der Benutzerauthentifizierungsdienst ausgeführt wird.