为 Web Studio 设置智能卡身份验证

步骤 1：安装智能卡驱动程序

• 安装了证书服务的域控制器。
• Web Studio 服务器
• 最终用户用于访问 Web Studio 的计算机
• 用于为智能卡用户注册证书的计算机

步骤 2：为智能卡用户颁发证书

1. 访问您的域控制器并打开“证书颁发机构”。
   
2. 复制“注册代理”模板。详细步骤如下：
   1. 右键单击“证书模板”并选择“管理”。
      
   2. 右键单击“注册代理”并选择“复制模板”。
   3. 在“使用者名称”选项卡上，确保未选中“在使用者名称中包含电子邮件”。
      
   4. 在“加密”选项卡上，选择“Microsoft 基本智能卡加密服务提供程序”，然后单击“确定”。名为“注册代理副本”的模板将显示在“证书模板”列表中。
      
3. 为智能卡颁发证书。详细步骤如下：
   1. 右键单击 证书模板，然后选择 新建 > 要颁发的模板。
   2. 选择 注册代理副本 和 智能卡用户。
   3. 单击 确定。

步骤 3：为智能卡用户注册证书

1. 准备一台已加入域的物理 Windows 计算机以用于注册：
   1. 确保智能卡驱动程序已安装。
   2. 将智能卡插入计算机。
   3. 使用您要分配给智能卡的用户帐户登录到计算机。
2. 将 证书 管理单元添加到您在步骤 1 中准备的计算机上。详细步骤如下：
   1. 打开 mmc。
   2. 单击 文件，然后单击 添加/删除管理单元。
   3. 在出现的 添加或删除管理单元 窗口中，选择 证书，然后单击 添加 >。
   4. 在出现的对话框中，选择 我的用户帐户，然后单击 完成。
   5. 单击 确定。
      
3. 为 Certificates 管理单元请求新证书。详细步骤如下：
   1. 转到 证书 - 当前用户 > 个人，右键单击 证书，然后选择 所有任务 > 请求新证书。
      
   2. 在出现的 Request Certificates 对话框中，选择 Copy of Enrollment Agent 和 Smartcard User。
      
   3. 在上述对话框中，单击“Smartcard User”的“详细信息”，然后单击“属性”。此时将显示“证书属性”对话框。
      
   4. 在 私钥 选项卡上，展开 加密服务提供程序，清除 Microsoft 增强型加密服务提供程序 (加密)，仅选择 Microsoft 基本智能卡加密服务提供程序 (加密)，然后单击 确定。
   5. 单击 Enroll。
   6. 在显示的“Windows 安全中心”对话框中，输入智能卡 PIN 码，然后单击“确定”。注册完成后，单击“完成”。
      

步骤 4：配置 Web Studio IIS 服务器

1. 为 Web Studio 计算机启用 客户端证书映射身份验证**。
   在 IIS 7 及更高版本的默认安装中，<clientCertificateMappingAuthentication> 元素不可用。有关安装和启用的更多信息，请参阅这篇 Microsoft 文章。
2. 在 Web Studio 计算机上启动 IIS Manager。
3. 为计算机启用 Active Directory 客户端证书身份验证。详细步骤如下：
   1. 在左窗格中选择计算机，然后双击 Authentication。
      IIS > 身份验证(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/ad-client-auth-1.png)
   2. 启用 Active Directory 客户端证书身份验证。
      IIS > 启用 AD 客户端证书身份验证(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/ad-client-auth-2.png)
4. 为 Web Studio 后端模块配置更安全的 HTTPS 协议以及客户端证书身份验证：
   1. 转到 Sites > Default Web Site > Studio > Backend > Smartcard，然后在 IIS 部分中双击 SSL Settings。
      IIS 后端模块智能卡 SSL(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/iis-server-backend-smartcard-ssl.png)
   2. 为 客户端证书 选择 要求。
      IIS 服务器后端智能卡 SSL 必需(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/iis-server-backend-smartcard-ssl-required.png)
   3. 返回到 Sites > Default Web Site > Studio > Backend > Smartcard，然后在 IIS 部分中双击 Configuration Editor。
      IIS > 配置编辑器(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/iis-server-backend-smartcard-config.png)
   4. 确保 /clientCertificateMappingAuthentication 已启用。
      启用客户端身份验证(/en-us/citrix-virtual-apps-desktops/2507-ltsr/media/iis-server-backend-smartcard-config-enabled.png)
5. (仅限 Windows 2022) 禁用通过 TCP 的 TLS 3.1。详细步骤如下：
   1. 转到 站点 > 默认网站。
   2. 单击 编辑站点 > 绑定。
   3. 在出现的“站点绑定”对话框中，选择 https 记录，然后单击“编辑”。
      
   4. 在出现的“编辑站点绑定”对话框中，选择“禁用 TLS 1.3 over TCP”，然后单击“确定”。
      

• 智能卡身份验证。
• 使用集成 Windows 身份验证从编排服务检索 FMA 持有者令牌。

步骤 5 (可选) 为 Web Studio 配置身份验证委派

1. 导入 Delivery Controller™ 编排 HTTPS 证书
2. 为 Web Studio 服务器配置委派
3. （可选）为 Web Studio IIS 服务器的服务帐户配置委派

步骤 6：为 Web Studio 启用智能卡身份验证

1. 登录 Web Studio 并在左侧窗格中选择 设置。
2. 根据需要选择 智能卡身份验证 或 域凭据或智能卡身份验证。
3. 单击应用。