Omnissa Access Connector 和 FIPS 模式（仅限 Omnissa Access FedRAMP）

Omnissa Access 26.05 Connector 可以使用符合联邦信息处理标准 (Federal Information Processing Standard, FIPS) 140-2 的算法来执行加密操作。您可以在 FIPS 模式下执行 Omnissa Access Connector 26.05 的全新安装，或者将在 FIPS 模式下安装的 22.05 Connector 或更高版本升级到版本 26.05，以启用这些算法。

美国联邦信息处理标准 (FIPS) 140-2 是美国和加拿大政府制定的标准，用于规定加密模块的安全要求。

Omnissa Access Connector 不支持从非 FIPS 安装升级或迁移到 FIPS 安装或从 FIPS 安装升级或迁移到非 FIPS 安装。22.05 之前的所有连接器版本均为非 FIPS 安装。

重要信息：

• 只有 Omnissa Access FedRAMP 租户支持处于 FIPS 模式的 Omnissa Access Connector。其他类型的租户和内部部署 Omnissa Access 安装则不支持处于 FIPS 模式的连接器。
• 虚拟应用程序服务不支持 FIPS 模式。启用了 FIPS 模式的 Omnissa Access Connector 不支持与 Citrix、Horizon、具有单 Pod 代理的 Horizon Cloud Service on Microsoft Azure 或 Horizon Cloud Service on IBM Cloud 或者 ThinApp 集成。启用了 FIPS 模式的 Omnissa Access Connector 支持集成在具有 Universal Broker 的 Horizon Cloud Service on Microsoft Azure 中运行的虚拟应用程序。

在 FIPS 模式下安装 Omnissa Access Connector

要为 Omnissa Access Connector 激活 FIPS 模式，请在安装过程中选择启用 FIPS 选项。

重要信息：

• 无法在安装后将模式从 FIPS 模式更改为非 FIPS 模式或从非 FIPS 模式更改为 FIPS 模式。因此，在开始安装之前，请仔细查看要求和必备条件，并确定是否要启用 FIPS。
• 另请注意，FIPS 安装只能升级到 FIPS 安装，非 FIPS 安装只能升级到非 FIPS 安装。

FIPS 模式的要求和必备条件

对于处于 FIPS 模式的连接器，以下要求和必备条件适用。

• 确保以 FIPS 模式安装所有连接器实例。与 Omnissa Access 租户关联的所有连接器实例都必须在 FIPS 模式下运行，或者所有实例都必须在非 FIPS 模式下运行，而无论在这些实例上安装了哪些企业服务。请不要在 FIPS 模式下部署一些连接器实例，而在非 FIPS 模式下部署另一些连接器实例。
• 对于通过集成 Windows 身份验证 (Integrated Windows Authentication, IWA) 访问的 Active Directory 类型的目录：
  • 要在 Omnissa Access 中创建通过 IWA 访问的 Active Directory 类型的目录，绑定 DN 用户密码的长度必须至少为 14 个字符。
  • 密码的最小长度 14 个字符还适用于 IWA 目录中的所有已同步用户。
  • 如果使用 sAMAccountName 属性，则用户的 sAMAccountName 加域名的长度必须至少为 16 个字符。
• 对于 Active Directory 的“更改密码”功能：

  • Active Directory 的“更改密码”功能要求最终用户密码的最小长度为 14 个字符。

    现有密码必须满足此要求。如果现有密码少于 14 个字符，用户将无法从 Omnissa Workspace ONE® Intelligent Hub 应用程序或门户更改其密码。

    新密码也必须满足此要求。当用户从 Intelligent Hub 应用程序或门户创建新密码时，不会强制满足最少 14 个字符的要求。但如果新密码的长度不符合至少 14 个字符的要求，则用户将无法再次更改密码。此外，如果用户属于通过集成 Windows 身份验证访问的 Active Directory 类型的目录，则用户将无法使用新密码登录到 Intelligent Hub 应用程序或门户。

  • 如果使用 sAMAccountName 属性，则用户的 sAMAccountName 加域名的长度必须至少为 16 个字符。

• 如果在选择所有连接均需要 STARTTLS 或所有连接均需要 LDAPS 选项的情况下设置与 Active Directory 的连接，则域控制器必须具有有效的公用 CA 签名证书（其 RSA 密钥大小长度为 2048 位或更大）。

最佳做法是在 FIPS 模式下安装 Omnissa Access Connector 之前满足这些必备条件。

限制

如果 Omnissa Access 26.05 Connector 正在 FIPS 模式下运行，则默认情况下，RADIUS（云部署）身份验证不可用。安装或升级后，RADIUS（云部署）身份验证方法将无法正常工作。要解决此问题，请在安装或升级连接器后，在用户身份验证服务中启用 RADIUS（云部署）身份验证。

要启用 RADIUS（云部署）身份验证，请执行以下操作：

1. 在 INSTALL_PATH\User Auth Service\UserAuthService.xml 文件中，添加以下 JVM 参数：

   -Dorg.bouncycastle.jsse.enable_md5=true

   重要信息：应将该行添加到 JVM 参数部分中，而不是添加到该文件中的其他任何位置。

2. 重新启动用户身份验证服务。

3. 对运行用户身份验证服务的所有连接器实例重复这些步骤。