Cookie-Based Authentifizierung bei Amazon WorkSpaces Anwendungen

WorkSpaces Anwendungen verwenden Browser-Cookies, um Streaming-Sitzungen zu authentifizieren und Benutzern zu ermöglichen, sich wieder mit einer aktiven Sitzung zu verbinden, ohne jedes Mal ihre Anmeldeinformationen erneut eingeben zu müssen. Authentifizierungstoken werden für jedes Authentifizierungsszenario in Browser-Cookies gespeichert. Cookies sind zwar für viele Onlinedienste erforderlich, können jedoch potenziell anfällig für Cookie-Diebstahlangriffe sein. Wir empfehlen Ihnen dringend, proaktive Maßnahmen zur Verhinderung von Cookie-Diebstahl zu ergreifen, z. B. die Implementierung robuster Endpunktschutzlösungen für die Geräte Ihrer Benutzer. Um die möglichen Auswirkungen eines Cookie-Diebstahls abzumildern, empfehlen wir Ihnen außerdem, die folgenden Maßnahmen in Betracht zu ziehen:

• Das Limit für eine Sitzung durchsetzen: Für dein WorkSpaces Anwendungen, Windows-Images, erstellen Sie einen Registrierungsschlüssel unter HKEY_USERS\S-1-5-18\Software\GSettings\com\nicesoftware\dcv\session-management mit dem Namen maximale Anzahl gleichzeitiger Clients auf 1 setzen, um jeweils nur eine Verbindung zuzulassen. Dadurch wird die Anzahl gleichzeitiger Sitzungen auf eine beschränkt und die Spiegelung aktiver Sitzungen wird blockiert. Weitere Informationen finden Sie unter Parameter für die Sitzungsverwaltung.

• Erzwingen Sie den Ablauf der Sitzung und die erneute Authentifizierung

  • Reduzieren Sie die SessionDuration Wert, sodass das Authentifizierungstoken abläuft, nachdem der Benutzer die Streamingsitzung erfolgreich gestartet hat. Wenn Sie Authentifizierungscookies nach Ablauf der SessionDuration wiederverwenden, müssen sich Benutzer erneut authentifizieren. SessionDuration gibt an, wie lange eine Verbundstreamingsitzung für einen Benutzer maximal aktiv bleiben kann, bevor eine erneute Authentifizierung erforderlich ist. Der Standardwert beträgt 60 Minuten. Weitere Informationen finden Sie unter Schritt 5: Erstellen von Zusicherungen für die SAML-Authentifizierungsantwort.

  • Um die Sicherheit zu maximieren, sollten Benutzer Sitzungen ordnungsgemäß über die Symbolleiste beenden (Sitzung beenden), anstatt das Streaming-Fenster zu schließen. Wenn Sie die Sitzung über die Toolbar beenden, werden sowohl die Benutzersitzung als auch die Streaming-Instance beendet. Dies erfordert eine erneute Authentifizierung für zukünftige Zugriffe, um den Missbrauch von Cookies zu verhindern. Wenn ein Benutzer das Streaming-Fenster schließt, ohne die Sitzung zu beenden, bleiben die Sitzung und die Instanz für einen konfigurierbaren Timeout-Zeitraum (in Minuten) bei der Trennung aktiv. Das Timeout für die Trennung muss eine Zahl zwischen 1 und 5760 sein, wobei der Standardwert 15 Minuten beträgt. Um den Missbrauch inaktiver Sitzungen zu verhindern, empfehlen wir, einen kurzen Timeout für die Trennung festzulegen. Weitere Informationen finden Sie unter Erstellen Sie eine Flotte in Amazon WorkSpaces Anwendungen.

• Beschränken Sie den Zugriff auf den Stream WorkSpaces Anwendungen und Anwendungen für Ihre IP-Bereiche: Wir empfehlen Ihnen, Folgendes zu implementieren IP-based IAM-Richtlinien. Dies stellt sicher, dass WorkSpaces Auf Anwendungssitzungen kann nur von Clients aus zugegriffen werden, deren IP-Adresse zu einem autorisierten IP-Bereich gehört. Alle Verbindungsversuche, die von einem Benutzer initiiert werden, dessen IP-Adresse außerhalb eines autorisierten Bereichs liegt, werden abgelehnt, auch wenn ein ansonsten gültiges Authentifizierungs-Cookie angezeigt wird (das möglicherweise von einem Benutzer gestohlen wurde). Weitere Informationen finden Sie unter Beschränken Sie den Zugriff auf das Streamen von Amazon AppStream 2.0-Anwendungen für Ihre IP-Bereiche.

• Zusätzliche Authentifizierung hinzufügen: Um mit einer Domain verbundene Streaming-Instances zu starten, können Sie Ihren beitreten WorkSpaces Anwendungen Always-On und On-Demand Windows-Flotten und Image-Builder für Domänen in Microsoft Active Directory und verwenden Sie Ihre vorhandenen Active Directory-Domänen, entweder cloudbasiert oder lokal. Nach dem ersten SAML-based Bei der Authentifizierung werden Ihre Benutzer aufgefordert, ihre Domain-Anmeldeinformationen für eine zusätzliche Authentifizierung gegenüber der Organisationsdomäne anzugeben. Weitere Informationen finden Sie unter Active Directory mit WorkSpaces Anwendungen verwenden.

Wenn Sie Bedenken haben oder Hilfe benötigen, wenden Sie sich an AWS Support Zentrum.