Omnissa Access Connector e modo FIPS (somente FedRAMP para Omnissa Access)

O Omnissa Access 24.07 Connector pode executar operações criptográficas usando algoritmos em conformidade com o Federal Information Processing Standard (FIPS) 140-2. Você pode habilitar o uso desses algoritmos executando uma nova instalação do Omnissa Access Connector 24.07 no modo FIPS ou atualizando um conector 22.05 ou posterior instalado no modo FIPS para a versão 24.07.

O Federal Information Processing Standard (FIPS) 140-2 é um padrão do governo dos EUA e do Canadá que especifica os requisitos de segurança para módulos criptográficos.

O Omnissa Access Connector não oferece suporte à atualização ou migração de uma instalação não FIPS para uma instalação FIPS ou de uma instalação FIPS para uma instalação não FIPS. Todas as versões do Connector anteriores a 22.05 eram instalações não FIPS.

Importante:

• O Omnissa Access Connector no modo FIPS é compatível apenas com locatários do FedRAMP. Outros tipos de locatários e instalações do no local não oferecem suporte ao Omnissa Access Connector no modo FIPS.
• O serviço de Aplicativo Virtual não é compatível com o modo FIPS. Os Omnissa Access Connectors com o Modo FIPS habilitado não oferecem suporte à integração com o Citrix, o Horizon, o Horizon Cloud Service on Microsoft Azure com Single-Pod Broker ou o Horizon Cloud Service on IBM Cloud ou ThinApp. Um Omnissa Access Connector com o modo FIPS ativado oferece suporte à integração de aplicativos virtuais que estão em execução no Horizon Cloud Service on Microsoft Azure com o Universal Broker.

Instalar o Omnissa Access Connector no modo FIPS

Para ativar o modo FIPS para o Omnissa Access Connector, selecione a opção Ativar FIPS durante a instalação.

Importante:

• Não é possível alterar o modo após a instalação, do modo FIPS para o modo não FIPS ou do modo não FIPS para o modo FIPS. Para isso, consulte atentamente os requisitos e os pré-requisitos e decida se deseja ativar o FIPS ou não antes de iniciar a instalação.
• Além disso, esteja ciente de que uma instalação FIPS só pode ser atualizada para uma instalação FIPS, e uma instalação não FIPS só pode ser atualizada para uma instalação não FIPS.

Requisitos e pré-requisitos para o modo FIPS

Para o Connector no modo FIPS, os requisitos e pré-requisitos a seguir são aplicáveis.

• Instale todas as instâncias do Connector no modo FIPS. Todas as instâncias do conector associadas a um locatário do Omnissa Access devem ser executadas no modo FIPS ou todas devem ser executadas no modo não FIPS, independentemente de quais serviços empresariais estejam instalados nelas. Não implante algumas das instâncias do conector no modo FIPS e outras no modo não FIPS.
• Para diretórios do tipo Active Directory sobre Autenticação Integrada do Windows (IWA):
  • Para criar um diretório do tipo Active Directory sobre IWA no Omnissa Access, a senha do usuário do DN de associação deve ter um comprimento mínimo de 14 caracteres.
  • O comprimento mínimo de 14 caracteres para senhas também se aplica a todos os usuários sincronizados no diretório IWA.
  • Se o atributo sAMAccountName for usado, o sAMAccountName do usuário mais o nome de domínio deverá ter um comprimento mínimo de 16 caracteres.
• Para o recurso Alterar Senha do Active Directory:

  • O recurso Alterar Senha para o Active Directory requer um comprimento mínimo de 14 caracteres para senhas de usuário final.

    As senhas existentes devem atender a esse requisito. Os usuários não poderão alterar suas senhas no aplicativo ou portal Omnissa Workspace ONE® Intelligent Hub se a senha existente tiver menos de 14 caracteres.

    Novas senhas também devem atender a esse requisito. O mínimo de 14 caracteres não é aplicado quando os usuários criam uma nova senha por meio do aplicativo ou portal do Intelligent Hub. No entanto, se a nova senha não tiver pelo menos 14 caracteres, o usuário não poderá alterar a senha novamente. Além disso, se o usuário pertencer a um diretório do tipo Active Directory sobre Autenticação Integrada do Windows, o usuário não poderá fazer login no aplicativo ou portal do Intelligent Hub com a nova senha.

  • Se o atributo sAMAccountName for usado, o sAMAccountName do usuário mais o nome de domínio deverá ter um comprimento mínimo de 16 caracteres.

• Se você configurar a conexão com o Active Directory com a opção STARTTLS necessário para todas as conexões ou LDAPS necessário para todas as conexões selecionada, os controladores de domínio deverão ter certificados válidos, assinados por CA pública, com tamanho de chave RSA de 2048 bits ou maior.

A prática recomendada é implementar esses pré-requisitos antes de instalar o Omnissa Access Connector no modo FIPS.

Limitações na versão 24.07

Se o Omnissa Access 24.07 Connector estiver em execução no modo FIPS, RADIUS autenticação (implantação em nuvem) não estará disponível por padrão. Após a instalação ou o upgrade, o método de autenticação do RADIUS (implantação na nuvem) não funciona. Para resolver o problema, ative a autenticação RADIUS (implantação em nuvem) no serviço de Autenticação do Usuário após instalar ou atualizar o conector.

Para ativar a autenticação RADIUS (implantação na nuvem):

1. No arquivo INSTALL_PATH\User Auth Service\UserAuthService.xml, adicione o seguinte argumento JVM:

   -Dorg.bouncycastle.jsse.enable_md5=true

   IMPORTANTE: adicione a linha à seção de argumentos JVM e não a qualquer outro local no arquivo.

2. Reinicie o serviço de Autenticação do Usuário.

3. Repita essas etapas para todas as instâncias do conector que executam o serviço de Autenticação do Usuário.