本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
必要條件
使用憑證型身分驗證之前,請先完成下列步驟。
-
設定加入網域的叢集並設定 SAML 2.0。請確定您使用 SAML _ 主旨
NameID
的username@domain.com
userPrincipalName
格式。如需詳細資訊,請參閱步驟 5:建立SAML驗證回應的判斷提示。注意
如果您想要使用憑證型身分驗證,則不要在堆疊中啟用 Active Directory 的智慧卡登入。如需詳細資訊,請參閱智慧卡。
-
使用 AppStream 2.0 代理程式版本 10-13-2022 或更新版本搭配您的映像檔。如需詳細資訊,請參閱讓 AppStream 2.0 映像保持最新狀態。
-
(選擇性) 在SAML宣告中設定
ObjectSid
屬性。您可以使用此屬性執行與 Active Directory 使用者的強式映射。如果ObjectSid
屬性不符合在 _Subject 中指定之使用者的 Active Directory 安全性識別碼 (SID),則憑證型驗證會失敗。SAMLNameID
如需詳細資訊,請參閱步驟 5:建立SAML驗證回應的判斷提示。 -
將
sts:TagSession
權限新增至您與 SAML 2.0 組態搭配使用的IAM角色信任原則。如需詳細資訊,請參閱在 AWS STS中傳入工作階段標籤。需有此許可才能使用憑證型身分驗證。如需詳細資訊,請參閱步驟 2:建立 SAML 2.0 聯合IAM角色。 -
如果您沒有使用您的 Active Directory 設定的 AWS 私有憑證授權單位 (CA),請使用私有 CA 建立私有憑證授權單位 (CA)。 AWS 需要私有 CA 才能使用憑證型驗證。如需詳細資訊,請參閱規劃您的 AWS Private CA 部署。下列 AWS 私有 CA 設定適用於許多憑證型驗證使用案例:
-
CA 類型選項
-
短期憑證 CA 使用模式:如果 CA 僅發行最終使用者憑證以進行憑證型身分驗證,則建議此選項。
-
具有根 CA 的單一層級階層:選擇從屬 CA,以將它與現有 CA 階層整合。
-
-
關鍵演算法選項 RSA
-
主體辨別名稱選項:使用最適合的選項來識別 Active Directory 受信任的根憑證授權單位存放區中的此 CA。
-
憑證撤銷選項 — CRL 發佈
注意
憑證型驗證需要可從 AppStream 2.0 叢集執行個體和網域控制站存取的線上CRL發佈點。這需要對針對 AWS 私有 CA CRL 項目設定的 Amazon S3 儲存貯體進行未經驗證的存取權,或者如果它封鎖了公開存取,則可存取 Amazon S3 儲存貯體的 CloudFront 分發。如需這些選項的詳細資訊,請參閱規劃憑證撤銷清單 (CRL)。
-
-
使用有權指定 CA 與 AppStream 2.0 憑證型驗證搭配使用的金鑰
euc-private-ca
來標記您的私有 CA。此金鑰不需要值。如需詳細資訊,請參閱管理私有 CA 的標籤。如需有關與 AppStream 2.0 搭配使用來授與資源權限的 AWS 受管理政策的詳細資訊 AWS 帳戶,請參閱AWS 存取 AppStream 2.0 資源所需的受管原則。 -
憑證型身分驗證會使用虛擬智慧卡進行登入。如需詳細資訊,請參閱使用第三方憑證授權單位啟用智慧卡登入的指引
。請遵循下列步驟: -
使用網域控制站憑證設定網域控制站,以驗證智慧卡使用者。如果您在 Active Directory 中設定了 Active Directory Certificate Services 企業 CA,它會自動使用啟用智慧卡登入的憑證註冊網域控制站。如果您沒有 Active Directory 憑證服務,請參閱來自協力廠商 CA 的網域控制站憑證需求
。 AWS 建議 Active Directory 企業憑證授權單位自動管理網域控制站憑證的註冊。 注意
如果您使用 AWS 受管 Microsoft AD,則可以在符合網域控制站憑證需求的 Amazon EC2 執行個體上設定憑證服務。請參閱將活動目錄部署到新的 Amazon Virtual Private Cloud,以取得使用中目錄憑證服務設定的 AWS 受管 Microsoft AD 部署的範例。
使用 AWS 受管 Microsoft AD 和 Active Directory 憑證服務,您還必須建立從控制器的VPC安全群組到EC2執行憑證服務的 Amazon 執行個體的輸出規則。您必須提供安全性群組對TCP連接埠 135 和連接埠 49152 到 65535 的存取權,才能啟用憑證自動註冊。Amazon EC2 執行個體還必須允許從網域執行個體 (包括網域控制站) 對這些相同連接埠進行輸入存取。如需針對 AWS 受管理 Microsoft AD 尋找安全性群組的詳細資訊,請參閱設定您的VPC子網路和安全性群組。
-
在 AWS 私人 CA 主控台上,或使用SDK或CLI匯出私有 CA 憑證。如需詳細資訊,請參閱匯出私有憑證。
-
將私有 CA 發佈至 Active Directory。登入網域控制站或加入網域的電腦。將私有 CA 憑證複製到任何
,並以網域管理員的身分執行下列命令。您也可以使用群組原則和 Microsoft PKI Health 工具 (PKIView) 來發佈 CA。如需詳細資訊,請參閱組態指示<path>
\<file>
。 certutil -dspublish -f
<path>
\<file> RootCAcertutil -dspublish -f
<path>
\<file> NTAuthCA確定命令已順利完成,然後移除私有 CA 憑證檔案。視您的 Active Directory 複寫設定而定,CA 可能需要數分鐘的時間才能發佈到您的網域控制站和 AppStream 2.0 叢集執行個體。
注意
Active Directory 必須在 AppStream 2.0 叢集執行個體加入網域時,自動將 CA 散發給受信任的根憑證授權單位和企業NTAuth存放區。
-
對於 Windows 作業系統,CA (憑證授權單位) 的散佈會自動發生。然而,對於 RHEL 而言,您必須從 AppStream 2.0 目錄 Config 所使用的 CA 下載根 CA 憑證。如果您的KDC根 CA 憑證不同,您也必須下載這些憑證。使用憑證型驗證之前,必須先將這些憑證匯入映像或快照。
在圖像上,應該有一個名為/的文件etc/sssd/pki/sssd_auth_ca_db.pem
。它看起來應該如下所示:
-----BEGIN CERTIFICATE----- Base64-encoded certificate chain from ACM Private CA -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- Base64-encoded certificate body from ACM private CA -----END CERTIFICATE----- -----BEGIN CERTIFICATE----- Base64-encoded root CA KDC certificate chain -----END CERTIFICATE-----
注意
跨區域或帳戶複製映像,或重新建立映像與新 Active Directory 的關聯時,必須使用映像產生器上的相關憑證重新設定此檔案,然後再次擷取快照才能使用。
以下是下載根 CA 憑證的說明:
-
在映像建置器上,建立名為的檔案
/etc/sssd/pki/sssd_auth_ca_db.pem
。 -
開啟AWS私人 CA 主控台
。 -
選擇與 AppStream 2.0 目錄組態搭配使用的私有憑證。
-
選擇 [CA 憑證] 索引標籤。
-
將憑證鏈結和憑證主體複製到映像產生器
/etc/sssd/pki/sssd_auth_ca_db.pem
上。
如果使用的根 CA 憑證與 AppStream 2.0 目錄 Config 所使用的根 CA 憑證不同,請依照下列範例步驟下載它們:KDCs
-
Connect 到與映像產生器加入相同網域的 Windows 執行個體。
-
打開
certlm.msc
. -
在左窗格中,選擇「信任的根憑證授權單位」,然後選擇「憑證」。
-
針對每個根 CA 憑證,開啟內容 (按一下滑鼠右鍵) 功能表。
-
選擇 [所有工作],選擇 [匯出] 開啟 [憑證匯出精靈],然後選擇 [下一步]。
-
選擇 64 編碼 CER),然後選擇 [下一步]。
-
選擇「瀏覽」,輸入檔案名稱,然後選擇「下一步」。
-
選擇 Finish (完成)。
-
在文字編輯器中開啟匯出的憑證。
-
將檔案內容複製到映像產生器
/etc/sssd/pki/sssd_auth_ca_db.pem
上。