與 Horizon 搭配使用時適用於 Unified Access Gateway 的 NIAP CSfC 準則

Unified Access Gateway 搭配 Horizon 符合 NIAP/CSfC 相容性，且該驗證需在 Unified Access Gateway 應用裝置中進行特定組態設定，以支援 NIAP/CSfC 運作。

組態設定變更如下所示：

1. 在 vSphere 7 或更新版本上部署 FIPS 版本的 Unified Access Gateway。

2. 在部署期間設定以下參數。

   **附註：**這些參數僅能在部署時進行設定。如果您未在部署期間進行設定，Unified Access Gateway 將使用預設值。

   參數	說明
   root 密碼管理原則
   passwordPolicyMinLen	root 密碼的長度下限
   passwordPolicyMinClass	root 密碼的複雜性下限
   rootPasswordExpirationDays	經過多少天後就必須強制重設 root 密碼
   passwordPolicyFailedLockout	嘗試登入失敗幾次之後，即暫時鎖定 root 使用者的存取權
   passwordPolicyUnlockTime	在暫時鎖定後，經歷幾秒即解除鎖定 root 使用者
   rootSessionIdleTimeoutSeconds	root 使用者的閒置工作階段會在經歷幾秒後到期
   管理員密碼管理原則
   adminpasswordPolicyMinLen	管理員密碼的長度下限
   adminpasswordPolicyFailedLockoutCount	嘗試登入失敗幾次之後，即暫時鎖定管理員使用者的存取權
   adminpasswordPolicyUnlockTime	在暫時鎖定後，經歷幾秒即解除鎖定管理員使用者
   adminSessionIdleTimeoutMinutes	管理員使用者的閒置工作階段會在經歷幾秒後到期
   其他參數
   登入橫幅文字	在 SSH 或 Web 主控台登入期間要顯示的橫幅文字
   SecureRandom 來源	此參數必須設定為 /dev/random

   如需瞭解這些參數及其數值的詳細資訊，請參閱執行 PowerShell 指令碼來部署。

3. 產生 TLS 憑證的 CSR，並將簽署後的憑證繫結至 Unified Access Gateway 的管理員介面與公開介面。如需詳細資訊，請參閱使用 uagcertutil 命令產生 CSR 和私密金鑰。

   **附註：**請確保憑證鏈結中所有憑證皆使用 SHA-384 簽章。憑證與 [系統設定] 下 [TLS 組態] 中的任何簽章演算法只要有任何的不相符，都可能導致 TLS 信號交換失敗，並失去對伺服器的存取權。

4. 在管理員 UI 的 [系統組態] 區段中設定以下參數。

   1. 將 TLS 伺服器加密套件設定為 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384。

   2. 將 TLS 用戶端加密套件設定為

      TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256
      

   3. 將 SSL 提供者設定為 JDK。

   4. 將 [TLS 具名群組] 設定為 secp256r1,secp384r1,secp521r1,ffdhe2048,ffdhe3072,ffdhe4096,ffdhe6144,ffdhe8192。

   5. 將 TLS 簽章配置設定為 rsa_pkcs1_sha384。

   6. 設定管理員免責聲明文字。

   7. 開啟與主機的時間同步切換。

   8. 開啟延伸的伺服器憑證驗證切換。

      **附註：**Unified Access Gateway 不支援作為 CRL 使用的 LDAP URL，僅支援 HTTP URL。

5. 使用 TLS 通訊協定進行 Syslog 伺服器設定。

   **附註：**Syslog 伺服器憑證必須將 extendedKeyUsage 標記為 critical extension。

   •   1.  按一下**選取**，上傳 **Syslog TLS 用戶端憑證**和 **TLS Syslog 用戶端憑證金鑰**。
     

6. 開啟 Syslog 包括系統訊息切換。

7. 按一下新增 Syslog 項目，將新的 Syslog 項目新增至表格並提供以下詳細資料。

   1. 將類別設定為 All Events。
   2. 將通訊協定設定為 TLS。
   3. 新增 Syslog 伺服器主機和連接埠。

8. 按一下選取，上傳受信任的 CA 憑證。

9. 按一下新增以儲存新項目，然後按一下儲存以儲存 Syslog 設定。

10. 設定並啟用 X509 憑證驗證設定。如需這些設定的詳細資訊，請參閱設定憑證驗證。

    1. 開啟 [驗證設定] 下的 X.509 憑證組態。
    2. 開啟啟用 X.509 憑證切換。
    3. 按一下選取，以 PEM 格式上傳用戶端的受信任根憑證和中繼 CA 憑證。
    4. 開啟憑證撤銷切換。
    5. 設定以 CRL 為基礎的憑證撤銷檢查。您可以設定 URL 以擷取 CRL，也可以設定為從憑證鏈結本身讀取詳細資料。
    6. 儲存 X.509 憑證驗證設定組態。

11. 產生 SAML 身分識別提供者設定，並進行 SAML 服務提供者設定。

    1. 開啟 SAML 設定，並展開 SAML 身分識別提供者設定。
    2. 上傳私密金鑰和憑證鏈結 (使用 RSA+SHA384 演算法簽署)，以產生身分識別提供者設定。
    3. 提供 Unified Access Gateway 的外部主機名稱，以下載產生的身分識別提供者設定 XML。
    4. 上傳位於連線伺服器的 XML 檔案並下載 SAML 中繼資料 XML。
    5. 開啟 [SAML 設定]，並展開 [SAML 服務提供者] 設定。
    6. 輸入服務提供者名稱，然後貼上 SAML 中繼資料 XML 內容。如需詳細資訊，請參閱複製服務提供者 SAML 中繼資料。
    7. 儲存 SAML 服務提供者設定。