Cookie-Based Autenticação na Amazon WorkSpaces Aplicações

WorkSpaces Os aplicativos usam cookies do navegador para autenticar sessões de streaming e permitir que os usuários se reconectem a uma sessão ativa sem reinserir suas credenciais de login todas as vezes. Os tokens de autenticação são armazenados nos cookies do navegador para cada cenário de autenticação. Embora os cookies sejam necessários para muitos serviços on-line, eles podem ser vulneráveis a ataques de roubo de cookies. É altamente recomendável que você tome medidas proativas para evitar o roubo de cookies, como implementar soluções robustas de proteção de endpoints para os dispositivos dos usuários. Além disso, para mitigar o impacto potencial no caso de roubo de cookies, recomendamos que você considere as seguintes ações:

• Imponha limite de sessão única: Para o seu WorkSpaces Aplicativos Imagens do Windows, crie uma chave de registro em HKEY_USERS\S-1-5-18\Software\GSettings\com\nicesoftware\dcv\session-management com o nome máximo de clientes simultâneos defina como 1 para permitir apenas uma conexão por vez. Isso limita o número de sessões simultâneas a uma e bloqueia o espelhamento de sessões ativas. Para obter mais informações, consulte session-management Parameters.

• Impor a expiração e a reautenticação da sessão

  • Reduza o SessionDuration valor para que o token de autenticação expire após o usuário iniciar com êxito a sessão de streaming. A reutilização de cookies de autenticação após a expiração da SessionDuration exige que os usuários se reautentiquem. SessionDuration especifica o tempo máximo em que uma sessão de streaming federada para um usuário pode permanecer ativa antes que a reautenticação seja necessária. O valor padrão são 60 minutos. Para obter mais informações, consulte Etapa 5: criar declarações para a resposta de autenticação de SAML.

  • Para ajudar a maximizar a segurança, os usuários devem encerrar as sessões adequadamente com a barra de ferramentas (encerrar sessão), em vez de fechar a janela de streaming. Encerrar a sessão por meio da barra de ferramentas encerra tanto a sessão do usuário quanto a instância de streaming. Isso requer nova autenticação para acesso futuro, evitando o uso indevido de cookies. Se um usuário fechar a janela de streaming sem encerrar a sessão, a sessão e a instância permanecerão ativas por um tempo limite de desconexão configurável (em minutos). O tempo limite de desconexão deve ser um número entre 1 e 5.760, com um valor padrão de 15 minutos. Para evitar o uso indevido de sessões inativas, recomendamos definir um tempo limite de desconexão curto. Para obter mais informações, consulte Crie uma frota na Amazon WorkSpaces Aplicações.

• Limitar o acesso ao stream WorkSpaces Aplicativos e aplicativos para seus intervalos de IP: Recomendamos que você implemente IP-based Políticas do IAM. Isso garante que WorkSpaces As sessões de aplicativos só podem ser acessadas por clientes cujo endereço IP pertença a um intervalo de IP autorizado. Todas as tentativas de conexão iniciadas por um usuário cujo endereço IP do cliente esteja fora de um intervalo autorizado serão negadas, mesmo que ele esteja apresentando um cookie de autenticação válido (possivelmente roubado de um usuário). Para obter mais informações, consulte Limite o acesso ao streaming da Amazon AppStream Aplicativos 2.0 para seus intervalos de IP.

• Adicionar autenticação adicional: Para iniciar instâncias de streaming associadas a um domínio, você pode ingressar em seu WorkSpaces Aplicações Always-On e On-Demand O Windows envia frotas e criadores de imagens para domínios no Microsoft Active Directory e usa seus domínios existentes do Active Directory, baseados na nuvem ou no local. Depois da inicial SAML-based Na autenticação, seus usuários serão solicitados a fornecer suas credenciais de domínio para autenticação adicional no domínio organizacional. Para obter mais informações, consulte Usando o Active Directory com WorkSpaces aplicativos.

Se você tiver alguma dúvida ou precisar de ajuda, entre em contato com a Central do AWS Support.