Linux クライアントを使用してスマートカード認証を有効にする
Linux クライアントから Windows グラフィックス エージェントに接続する際、プリセッション スマート カード認証がサポートされます。以下の項には、システム要件、制限、およびエージェントのセットアップに関する情報が含まれます。
注記: [調整]
Smart カード認証は、プリンターのプリンターに対して、またはクライアントマシンからエージェントマシンに直接接続する場合にサポートされます。ただし、Smart Card 証明書の 件名の代替名 が <valid ユーザー名>@<valid ドメイン>形式 にない 場合、直接接続はサポートされません。このシナリオでは、本書のバージョン 2023.2.3.4 および Connection Manager バージョン 23.12 以降を使用する必要があります。詳細については、 以下を参照してください。
必要条件
| コンポーネント | バージョン | |
|---|---|---|
| クライアント | すべてのware Linux クライアント | 24.03+ |
| エージェント |
|
24.03+ |
| インフラ | (一部の接続に必要な場合のみ、直接接続は不要)
|
|
| ClientClient( | 7.1, 7.2 |
Windows エージェント
スマートカード認証は、以下のいずれかに接続する際にサポートされます。
- Windows Graphics Agent 24.03以上
- Windows 標準エージェント 24.03 以上
Anyware クライアント
現時点では、スマートカード認証は Linux クライアント バージョン 24.03 以降から接続しているときにのみサポートされます。
スマートカード証明書の要件
スマートカード証明書の前提条件は次のとおりです。
-
キーの使い方がデジタル署名に設定されている
-
件名一般名および/または件名の代替名 (他の名前) が設定されます。
-
拡張キー使用にはクライアント認証またはスマートカードログオンが含まれている必要があります。
-
キーの長さは2048ビットより長くすることはできません
スマートカードリーダー
次のスマートカードリーダーの検証が行われた。
-
Belkin USB スマートカードリーダー (F1DN008U)
-
Identiv SCR3310 USB Contact スマート カード リーダー
テスト済みのスマートカードモデル
このバージョンの Linux クライアントは、プレセッション認証とスマートカードのセッション中の使用を両方サポートします。以下のスマートカードモデルがテストされました。
| カード | ノート | の製品名の種類 |
|---|---|---|
| Gemalto トップ DL V2.1 144KBKS | CAC | |
| IDOSEXJetJet v8.0 | 代替トークン | |
| ID SATA ID-One 125 V8.0D | CAC | |
| G+D Sm@rtCafe Expert v7.0 | CAC | |
| G+D Sm@rtCafe Expert v7.0 144K DI | CAC | |
| PIVkey C910 | PIV | |
| PIVkey C980 | PIV | |
| PIVkey C990 | PIV | |
| ユービキー 5C | PIVインタフェースの使用。 | |
| ユービキー 5 NFC | PIVインタフェースの使用。 |
注記: スマートカード ソリューションのテスト
ネットワークの状態やその他のコンポーネントを含む環境の違いがサポートに影響する可能性があるため、ソリューションを選択する前に、ユーザー環境でソリューションを検証する必要があります。
筆記
-
スマートカード認証は、Windows の Anyware 標準エージェントおよび Windows 用 Anyware Graphics Agent でのみ機能します。
-
スマートカード認証は、インストール中にのみ有効または無効にできます。Anyware エージェントが既にインストールされている場合は、以下の手順を使用してソフトウェアを再インストールします。
-
Windows 用標準エージェントのインターフェイスを使用したインストーラーでは、この機能を有効にできません。スクリプト付き (サイレント) インストーラーを使用する必要があります。
-
現在、シングルカードリーダーとシングルリーダーの同時構成がサポートされています。
-
Client 7.4.3.13のテストが行われているが、他のバージョンが動作する場合がありますが、テストされていません。
-
PCoIP セッション中に、リモート デスクトップのデバイス マネージャーに 2 つの 同一のスマート カードが表示されます。これは想定される問題であり、セッションには影響しません。
既知の制限
-
対話型ログオン: スマートカードの取り外し動作は、スマートカードセッション中はサポートされません。
-
Elliptic Curve Curve Eccy (ECC) 証明書はサポートされていません。
-
スマートカードを使用して認証すると、Anyware Client は HP デジタルバッジを認識できません。
-
同時に使用するユーザーは、同一のスマートカードを使用して認証を行うエージェントマシンにログオンできません。複数の証明書が表示されているスマートカードでは、一度に1人のユーザーのみログオンできます。ログインできるようにするには、他のユーザーは現在のユーザーがログオフするまで待つ必要があります。
エージェントのセットアップ
注意: カードリーダードライバーのインストール
カードリーダーの中には、ドライバーをエージェントマシンにインストールする必要があるものもあります。リーダーマニュアルを参照し、必要なドライバーのインストールが必要か判定します。
-
Anyware Agent 24.03 以降がリモートマシンにダウンロードされていることを確認します。
-
RDPからリモートマシンに接続します。
-
リモートマシンで、
/InstallVSCReader設定を使用して Windows 用標準エージェントをインストールします。- Windows BAT: Windows コマンドライン ツールを開き、以下を入力します。
start /WAIT <path_to_installer> /S /NoPostReboot /InstallVSCReader echo %ERRORLEVEL%ここで
<path_to_installer>はインストーラー ファイルのシステム ファイルパスです。-
Windows PowerShell: [PowerShell] ウィンドウを開き、以下を入力します。
$process = Start-Process -FilePath <path_to_installer> -ArgumentList "/S /NoPostReboot /InstallVSCReader _?<path_to_installer>" -Wait -PassThru; $process.ExitCode
ここで
<path_to_installer>はインストーラー ファイルのシステム ファイルパスです。この本書は2回使用されます。 -
ここで説明されるとおり、Windows ライセンス情報の標準エージェントを構成します。
-
ホストマシンに MountainClientclient (SmartCard の製造元から利用可能) をインストールします。Chromebikey 5C または Youbikey 5 NFC を使用している場合は、 この手順を省略 します。
インストールに関するメモ
- コンソール セッションで XboxClient をインストールする必要があります。
- 競合を防ぐには、1つだけのWINDOWSをインストールする必要があります。
-
リモートマシンを再起動します。
クライアントセットアップ
-
Anyware Linux Client バージョン24.03以降をクライアントマシンにダウンロードしたことを確認します。
-
エージェントマシンに接続するようクライアントマシンを設定します。Anyware Linux クライアントガイドのトピック「エージェントマシンへの接続」の手順に従います。
-
クライアントマシンにスマートカードリーダーを接続し、スマートカードを使用して PCoIP セッションを認証します。スマートカードを使用して PCoIP セッションを認証する手順については、Anyware Linux クライアントガイドの「エージェントマシンへの接続」のトピックにある「Smart Card 認証を使用してセッションに接続する」を参照してください。
スマートカードサポートの取り外し
スマート カード認証のサポートを削除するには、エージェントをアンインストールし、 /InstallVSCReader オプションを使用せずに再インストールします。
注: スマートカードリーダーのアップデート
時々、Windows Server 2022上で実行中のWindowsエージェントに次の問題が発生することがあります。
- シングル サインオン (SSID) が有効になっていると、スマートカードがリモート エージェントのデバイス マネージャーの一覧に表示されません。
- SMART が無効になっていると、ロックされた画面にはスマートカードが表示されないため、これを使用して画面のロックを解除することはできません。