Omnissa Access Connector y el modo FIPS (solo Omnissa Access FedRAMP)

Omnissa Access Connector 24.07 puede realizar operaciones de cifrado usando algoritmos conformes al Estándar federal de procesamiento de información (FIPS) 140-2. Puede habilitar el uso de estos algoritmos realizando una instalación nueva de Omnissa Access Connector 24.07 en modo FIPS o actualizando una versión 22.05 o posterior instalada en modo FIPS a la versión 24.07.

El Estándar federal de procesamiento de información (Federal Information Processing Standard, FIPS) 140-2 es un estándar del gobierno de EE. UU. y Canadá que especifica los requisitos de seguridad para módulos criptográficos.

Omnissa Access Connector no admite la actualización ni la migración de una instalación que no sea FIPS a una instalación FIPS, o de una instalación FIPS a una instalación que no sea FIPS. Todas las versiones anteriores a Connector 22.05 eran instalaciones que no eran FIPS.

Importante:

• Omnissa Access Connector en modo FIPS solo es compatible con inquilinos de Omnissa Access FedRAMP. Los otros tipos de inquilinos e instalaciones locales de Omnissa Access no admiten el conector en modo FIPS.
• El servicio de aplicaciones virtuales no admite el modo FIPS. Las instancias de Omnissa Access Connector con el modo FIPS habilitado no admiten la integración con Citrix, Horizon, Horizon Cloud Service on Microsoft Azure con agente de pod único u Horizon Cloud Service on IBM Cloud, o ThinApp. Omnissa Access Connector con el modo FIPS habilitado admite la integración de aplicaciones virtuales que se ejecutan en Horizon Cloud Service on Microsoft Azure con Universal Broker.

Instalar Omnissa Access Connector en modo FIPS

Para activar el modo FIPS para Omnissa Access Connector, seleccione la opción Habilitar FIPS durante la instalación.

Importante:

• No se puede cambiar el modo después de la instalación, del modo FIPS al modo no FIPS o del modo no FIPS al modo FIPS. Por lo tanto, revise los requisitos etenidamente y decida si desea habilitar FIPS o no antes de comenzar la instalación.
• Tenga en cuenta también que una instalación FIPS solo se puede actualizar a una instalación FIPS, y una instalación que no es FIPS solo se puede actualizar a una que no es FIPS.

Requisitos para el modo FIPS

Para el conector en modo FIPS, se aplican los siguientes requisitos y requisitos.

• Asegúrese de instalar todas las instancias del conector en modo FIPS. Todas las instancias del conector asociadas con un inquilino de Omnissa Access deben ejecutarse en modo FIPS o todas deben ejecutarse en modo no FIPS, independientemente de los servicios empresariales que estén instalados en ellas. No implemente algunas instancias del conector en modo FIPS y otras en modo no FIPS.
• Para directorios de tipo Active Directory mediante autenticación de Windows integrada (IWA):
  • Para crear un directorio de tipo Active Directory mediante IWA en Omnissa Access, la contraseña de usuario de DN de enlace debe tener una longitud mínima de 14 caracteres.
  • La longitud mínima de 14 caracteres para las contraseñas también se aplica a todos los usuarios sincronizados en el directorio de IWA.
  • Si se utiliza el atributo sAMAccountName, el nombre de dominio sAMAccountName del usuario debe tener una longitud mínima de 16 caracteres.
• Para la función Cambiar contraseña de Active Directory:

  • La función Cambiar contraseña para Active Directory requiere una longitud mínima de 14 caracteres para las contraseñas de los usuarios finales.

    Las contraseñas existentes deben cumplir con este requisito. Los usuarios no podrán cambiar sus contraseñas desde la aplicación o el portal de Omnissa Workspace ONE® Intelligent Hub si su contraseña actual tiene menos de 14 caracteres.

    Las nuevas contraseñas también deben cumplir este requisito. El mínimo de 14 caracteres no se aplica cuando los usuarios crean una nueva contraseña desde la aplicación o el portal de Intelligent Hub. Sin embargo, si la nueva contraseña no tiene al menos 14 caracteres, el usuario no podrá volver a cambiar la contraseña. Además, si el usuario pertenece a un directorio de tipo Active Directory mediante autenticación de Windows integrada, el usuario no podrá iniciar sesión en la aplicación o el portal de Intelligent Hub con la nueva contraseña.

  • Si se utiliza el atributo sAMAccountName, el nombre de dominio sAMAccountName del usuario debe tener una longitud mínima de 16 caracteres.

• Si configura la conexión a Active Directory con la opción STARTTLS requerido para todas las conexiones o LDAPS requerido para todas las conexiones seleccionada, los controladores de dominio deben tener certificados firmados por una CA pública válida con un tamaño de clave RSA de al menos 2048 bits.

La práctica recomendada es implementar estos requisitos antes de instalar Omnissa Access Connector en modo FIPS.

Limitaciones de la versión 24.07

Si Omnissa Access Connector 24.07 se ejecuta en modo FIPS, la autenticación RADIUS (implementación en la nube) no está disponible de forma predeterminada. Después de la instalación o la actualización, el método de autenticación RADIUS (implementación en la nube) no funciona. Para solucionar este problema, habilite la autenticación RADIUS (implementación en la nube) en el servicio de autenticación de usuarios después de instalar o actualizar el conector.

Para habilitar la autenticación RADIUS (implementación en la nube):

1. En el archivo INSTALL_PATH\User Auth Service\UserAuthService.xml, agregue el siguiente argumento JVM:

   -Dorg.bouncycastle.jsse.enable_md5=true

   IMPORTANTE: Agregue la línea en la sección de argumentos de JVM y no en ninguna otra parte del archivo.

2. Reinicie el servicio de autenticación de usuarios.

3. Repita estos pasos para todas las instancias del conector que ejecuten el servicio de autenticación de usuarios.