スマート カード認証を使用すると、ユーザーは物理的なスマート カードの認証情報を使用してログインできるため、App Volumes Manager 環境のセキュリティを強化できます。この機能を有効にすると、App Volumes Manager はユーザーのスマート カードから提供された X.509 証明書を検証し、証明書を Active Directory ユーザー アカウントにマッピングして、セッションを確立します。従来のユーザー名とパスワードによる認証も引き続き可能です。
このトピックでは、認証ワークフロー、証明書の検証、証明書とユーザーのマッピングについて説明します。
スマート カードによるユーザー認証のワークフロー
次に、スマート カードでログインするユーザーの認証ワークフロー全体について説明します。
-
ユーザーが App Volumes Manager の Web ログイン ページに移動します。
-
App Volumes Manager に証明書選択プロンプトが表示されます。ユーザーがスマート カードから適切な証明書を選択します。
-
スマート カードで追加の認証が必要な場合は、プロンプトに従って必要な認証情報を入力する必要があります。
-
App Volumes Manager が一連のチェックと検証を実行し、ユーザーを認証します。
チェックと検証のリストについては、「スマート カード認証のチェックと検証のリスト」を参照してください。 -
チェックと検証が成功すると、ユーザーは App Volumes Manager にアクセスできるようになります。認証に失敗すると、App Volumes Manager はユーザーをログイン画面にリダイレクトし、管理者に連絡するよう求めます。
スマート カード認証のチェックと検証
前提条件の設定後、App Volumes Manager で [Enable Smartcard Authentication] トグルを使用して、この機能を有効にできます。この機能が有効になっているときに、ユーザーが App Volumes Manager 管理ユーザー インターフェイスに移動すると、App Volumes Manager は証明書選択プロンプトを表示します。ユーザーが証明書を選択すると、App Volumes Manager は次のチェックと検証を実行します。
- 証明書の検証
App Volumes Manager は、提供された証明書が信頼できる認証局 (CA) によって発行された有効な X.509 証明書であることを確認します。
-
失効チェック
App Volumes Manager は、証明書が失効しているかどうかを確認します。失効チェックは、まず OCSP (Online Certificate Status Protocol) プロトコルを使用して実行されます。この方法では、App Volumes Manager は証明書の認証局情報アクセス (AIA) 拡張機能の URL を確認します。OCSP チェックで十分な検証ができない場合、または AIA 拡張機能がない場合、App Volumes Manager は CRL 配布ポイント拡張機能の URL を使用して CRL (証明書失効リスト) チェックを実行します。
CRL 失効チェックを使用する場合、App Volumes Manager は CRL をダウンロードし、証明書が CRL に存在するかどうかを確認します。CRL に証明書が存在する場合は、証明書が失効していることを意味します。この場合、App Volumes Manager はユーザーにアクセスを許可しません。
どちらのチェックでも十分な検証ができなかった場合、App Volumes Manager は証明書が失効していると見なし、デフォルトでユーザーのアクセスを拒否します。これにより、失効状態かどうか確認できない証明書は拒否されます。このデフォルトの動作を変更するには、Omnissa サポートにお問い合わせください。
App Volumes Manager ユーザー インターフェイスに [CRL Distribution Point URL] フィールドが表示されます。このフィールドを使用すると、CRL データをプリフェッチするように App Volumes を設定できます。CRL データがデフォルトの上限 (
1024 KB) を超えている場合、CRL 失効チェックは検証不能と見なされます。 -
ユーザーの識別
App Volumes Manager は、[Certificate Mappings] フィールドで指定された順序でユーザー ID を使用して、証明書をユーザーにマッピングします。ユーザーが正常に識別されると、App Volumes Manager はリストの残りのチェックを停止します。ユーザー ID に一致するものが見つからなかった場合、認証は失敗します。App Volumes Manager はユーザーをログイン画面にリダイレクトし、管理者に連絡するよう求めます。
[Certificate Mappings] フィールドが空の場合、App Volumes Manager はデフォルトで SID、UPN、メール アドレスを使用して、ユーザーと証明書を照合します。 -
認証
証明書とユーザーをマッピングした後、App Volumes Manager は Active Directory への LDAP バインドを実行してアカウントを検証し、セッションを確立します。
証明書を検証できない場合、またはユーザーを識別できない場合、App Volumes Manager は Active Directory のユーザー名とパスワードを入力するログイン画面を表示します。
App Volumes が証明書とユーザー アカウントをマッピングする方法
App Volumes Manager は、次のユーザー ID を使用して、X.509 証明書を Active Directory ユーザー アカウントにマッピングします。
- セキュリティ識別子 (SID)
- UPN（ユーザー プリンシパル名）形式
- メール アドレス
- 証明書マッピング (
altSecurityIdentities)
X509 の値は、X509IssuerSubject、X509SubjectOnly、X509RFC822、X509IssuerSerialNumber、X509SKI、X509SHA1PublicKeyです。
App Volumes Manager 管理ユーザー インターフェイスの [Certificate Mappings] の設定で、ユーザー ID の評価方法と順序を制御できます。このフィールドには、ユーザー ID のカンマ区切りリストを入力します。App Volumes は、これらの ID をリストの順序で評価します。サポートされている値は、SID、UPN、メール アドレスと、altSecurityIdentities でサポートされている 6 つの X.509 の値です。
このフィールドが空の場合、デフォルトでは SID、UPN、メール アドレスがこの順番で評価されます。
スマート カード認証機能を有効にするには、「 App Volumes Manager のスマート カード認証の有効化」を参照してください。
このページは役に立ちましたか?