第一代租用戶 - 為網繭指定雙因素驗證功能

在網繭部署精靈步驟中指定其Unified Access Gateway組態時，您也可以指定使用雙因素驗證，讓使用者透過那些閘道組態存取其桌面和應用程式。

重要： 此資訊僅適用於當您有權在第一代控制平面中存取第一代租用戶環境時。如 知識庫文章 92424 中所述，第一代控制平面已終止提供 （EOA）。如需詳細資料，請參閱該文章。

如果在精靈中為閘道組態指定了雙因素驗證詳細資料，則在網繭部署程序期間，網繭部署工具會使用指定的雙因素驗證詳細資料來設定閘道組態對應的已部署Unified Access Gateway應用裝置。

如 Unified Access Gateway 說明文件中所述，為 Unified Access Gateway 應用裝置設定了雙因素驗證時，Unified Access Gateway 應用裝置會根據您指定的雙因素驗證原則來驗證傳入的使用者工作階段。Unified Access Gateway根據您指定的驗證原則驗證使用者工作階段後， Unified Access Gateway會將該桌面或應用程式啟動的使用者用戶端要求轉送至已部署的網繭管理員，以在用戶端與可用的桌面或應用程式之間建立連線工作階段。

重要： 部署網繭後，當您計劃將租用戶的Universal Broker設定設為使用雙因素驗證，且您已同時使用外部閘道組態和內部閘道組態部署網繭時，可能還需要執行其他部署後步驟，以確保Universal Broker可區分外部使用者與內部使用者，以適當套用為通用指定的雙因素驗證設定經紀人。如需詳細資料，請參閱 在Universal Broker環境中實作雙因素驗證時的最佳做法。

先決條件

針對您要輸入雙因素驗證詳細資料的外部或內部 Unified Access Gateway 組態，確認您已完成精靈中 Unified Access Gateway 組態的欄位，如 第一代租用戶 - 指定Horizon Cloud網繭的閘道組態中所述。設定對內部部署驗證伺服器的雙因素驗證時，您也可以提供下列欄位中的資訊，使Unified Access Gateway 執行個體能夠解析該內部部署伺服器的路由。

確認您的驗證伺服器組態中使用了下列資訊，以便在網繭部署精靈的適當欄位中提供。如果您使用的是RADIUS驗證伺服器，且同時擁有主要和次要伺服器，請分別取得其資訊。

• RADIUS

  如果要同時為主要和輔助 RADIUS 伺服器進行設定，請分別取得它們的資訊。

  • 驗證伺服器的 IP 位址或 DNS 名稱

  • 在驗證伺服器的通訊協定訊息中用於加密和解密的共用密碼

  • 驗證連接埠號碼，通常為 1812/UDP （適用於 RADIUS）。

  • 驗證類型驗證類型包括 PAP （密碼驗證通訊協定）、CHAP （Challenge Handshake 驗證通訊協定）、MSCHAP1、MSCHAP2 （Microsoft Challenge Handshake 驗證通訊協定版本 1 和 2）。

    注： 檢查RADIUS廠商的說明文件，以取得您的RADIUS廠商建議的驗證通訊協定，並遵循其指定的通訊協定類型。網繭支援使用 RADIUS 進行雙因素驗證的功能是由 Unified Access Gateway 執行個體提供，且Unified Access Gateway支援 PAP、CHAP、MSCHAP1 和 MSCHAP2。PAP 通常不如MSCHAP2安全。PAP 也是比 MSCHAP2 更簡單的協定。因此，即使大多數 RADIUS 廠商與更簡單的 PAP 通訊協定相容，某些RADIUS廠商也與更安全的 MSCHAP2 不相容。

• RSA SecurID

  注： 執行資訊清單 3139.x 或更新版本的 Microsoft Azure 部署上的 Horizon Cloud 支援RSA SecurID類型。從 2022 年 3 月中旬開始，[新增網繭] 和 [編輯網繭] 精靈中用來指定RSA SecurID類型的 UI 選項將變為可見且可供選擇。

  • RSA SecurID驗證管理員伺服器的存取金鑰。
  • RSA SecurID通訊連接埠號碼。依照RSA SecurID驗證 API 的 RSA 驗證管理員系統設定中所設定，通常為 5555。
  • RSA SecurID驗證管理員伺服器的主機名稱。
  • RSA SecurID驗證管理員伺服器的 IP 位址。
  • 如果RSA SecurID驗證管理員伺服器或其負載平衡器伺服器具有自我簽署憑證，則您需要在 [新增網繭] 精靈中提供 CA 憑證。憑證應為 PEM 格式 （檔案類型 .cer 為 、.cert 或 .pem）

程序

1. 開啟 啟用雙因素驗證 切換。

   啟用此切換時，精靈會顯示其他組態欄位。使用捲軸存取所有欄位。

   下列螢幕擷取畫面為您在 外部 UAG 區段中將此切換設為開啟後顯示的畫面範例。

   

2. 選取您的雙因素驗證類型： Radius 或 RSA SecurID。

   目前，可用的支援類型為 RADIUS 和 RSA SecurID。

   選取類型後， 雙因素驗證組態 功能表會自動反映您正在新增該所選類型的組態。例如，如果選取 RSA SecurID 類型， 則雙因素驗證組態 功能表會顯示 新增RSA SecurID。

3. 在 組態名稱 欄位中，輸入此組態的識別名稱。

4. 在內容區段中，指定使用者與登入畫面互動的相關詳細資料，以用於進行存取驗證。

   精靈會根據 Horizon Cloud on Microsoft Azure 部署支援與其閘道組態搭配使用的組態來顯示欄位。這些欄位會根據選取的雙因素驗證類型而有所不同。請參閱下表，該表對應於您選擇的類型、RADIUS或RSA SecurID。

   • RADIUS

     完成這些欄位時，需要指定有關主要驗證伺服器的詳細資料。如果您有次要驗證伺服器，請啟用 輔助伺服器 切換，並指定該伺服器的詳細資料。

     選項	說明
     顯示名稱	您可以將此欄位保留空白。即使此欄位會在精靈中顯示，它僅會在Unified Access Gateway組態中設定內部名稱。Horizon 用戶端不會使用此名稱。
     顯示提示	選擇性地輸入文字字串，在終端使用者用戶端登入畫面的訊息中，當提示使用者輸入RADIUS使用者名稱和密碼時，將顯示給使用者。指定的提示會向使用者 顯示為輸入您的 DisplayHint 使用者名稱和密碼，其中 DisplayHint 是您在此欄位中指定的文字。 此提示可協助引導使用者輸入正確的RADIUS密碼。例如，指定以下範例公司使用者名稱和網域密碼之類的詞語時，系統會對使用者顯示提示，在下方輸入您的範例公司使用者名稱，並在下方輸入網域密碼作為使用者名稱和密碼。
     名稱識別碼尾碼	此設定用在 SAML 案例中，其中您的網繭設定為使用 TrueSSO 進行單一登入。選擇性地提供一個字串，該字串將附加至傳送給網繭管理員的要求中的 SAML 判斷提示使用者名稱。例如，如果在登入畫面上輸入 使用者名稱 user1 ，並且已在此處指定名稱 ID 尾碼 @example.com ，則會在要求中傳送 SAML 判斷提示使用者名稱 user1@example.com 。
     反覆運算的次數	輸入使用者嘗試使用此RADIUS系統登入時所允許的失敗驗證嘗試次數上限。
     維護使用者名稱	啟用此切換可在用戶端、Unified Access Gateway 執行個體和 RADIUS 服務之間進行的驗證流程期間保留使用者的Active Directory使用者名稱。啟用時： 使用者必須使用與其Active Directory驗證相同的使用者RADIUS認證。 使用者無法變更登入畫面中的使用者名稱。 如果此切換設為關閉，則使用者將可在登入畫面中輸入不同的使用者名稱。 附註： 關於啟用 維護使用者名稱 與Horizon Cloud中網域安全性設定之間的關聯性，請參閱 一般設定頁面上 的網域安全性設定主題。
     主機名稱/IP 位址	輸入驗證伺服器的 DNS 名稱或 IP 位址。
     共用密碼	輸入與驗證伺服器通訊的密碼。此值必須與伺服器設定的值相同。
     驗證	指定在驗證伺服器上設定用來傳送或接收驗證流量的 UDP 連接埠。預設值為 1812。
     帳戶處理連接埠	選擇性地指定在驗證伺服器上設定用來傳送或接收帳戶處理流量的 UDP 連接埠。預設值為 1813。
     機制	選取指定的驗證伺服器支援，且您想要讓已部署網繭使用的驗證通訊協定。
     伺服器逾時	指定網繭應等待驗證伺服器回應的秒數。經過此秒數後，如果伺服器仍未回應，則會傳送重試。
     重試次數上限	指定網繭應對驗證伺服器重試失敗要求的次數上限。
     領域前置詞	選擇性地提供系統在使用者名稱傳送至驗證伺服器時將放置在名稱開頭的字串。使用者帳戶位置稱為領域。 例如，如果在登錄螢幕上將使用者名輸入為 user1，並且在此處指定了領域前綴 DOMAIN-A\，則系統會將 DOMAIN-A\user1 發送到身份驗證伺服器。如果未指定領域前置詞，則僅傳送輸入的使用者名稱。
     領域尾碼	選擇性地提供系統在將使用者名稱傳送至驗證伺服器時將附加至該名稱的字串。例如，如果在登入畫面上輸入使用者名稱 user1，而先前已在此處指定領域尾碼 @example.com，則系統會將 user1@example.com 傳送至驗證伺服器。

   • RSA SecurID

     選項	說明
     存取金鑰	輸入RSA SecurID系統的存取金鑰，此金鑰取自系統的 RSA SecurID 驗證 API 設定中。
     伺服器連接埠	指定您系統RSA SecurID驗證 API 設定中所設定的通訊連接埠值，依預設，通常為 5555。
     伺服器主機名稱	輸入驗證伺服器的 DNS 名稱。
     伺服器 IP 位址	輸入驗證伺服器的 IP 位址。
     反覆運算的次數	輸入允許使用者在鎖定一小時之前允許的失敗驗證嘗試次數上限。預設值為嘗試五 （5） 次。
     CA 憑證	當 RSA SecurID 驗證管理員伺服器或其負載平衡器使用自我簽署憑證時，需要使用此項。在此情況下，請複製 CA 憑證並貼到此欄位中。如本頁上文所述，應以 PEM 格式提供憑證資訊。 如果伺服器具有公用憑證授權機構 （CA） 所簽署的憑證，則此欄位是選用的。
     驗證	指定在逾時之前，可在 Unified Access Gateway 執行個體與 RSA SecurID 驗證伺服器之間嘗試驗證的秒數。預設值為 180。