Configurer l’authentification par carte à puce pour Web Studio

Cet article décrit les étapes requises pour configurer et activer l’authentification par carte à puce pour Web Studio :

Étape 1 : Installer le pilote de carte à puce

Étape 2 : Émettre des certificats pour les utilisateurs de cartes à puce

Étape 3 : Inscrire des certificats pour les utilisateurs de cartes à puce

Étape 4 : Configurer les serveurs IIS de Web Studio

Étape 5 (Facultatif) : Configurer les délégations d’authentification pour Web Studio

Étape 6 : Activer l’authentification par carte à puce pour Web Studio

Remarque :

L’authentification par carte à puce est prise en charge uniquement pour les utilisateurs du même domaine Active Directory que les serveurs Web Studio.

Étape 1 : Installer le pilote de carte à puce

Installez le pilote de carte à puce sur les machines suivantes :

• Contrôleurs de domaine où le service de certificat est installé.
• Serveurs Web Studio
• Machines que les utilisateurs finaux utilisent pour accéder à Web Studio
• Machines que vous utilisez pour inscrire des certificats pour les utilisateurs de cartes à puce

Les pilotes de carte à puce varient selon le fournisseur. Par exemple, si vous utilisez du matériel de carte à puce fourni par ITS, téléchargez les pilotes SaftNet depuis https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers.

Étape 2 : Émettre des certificats pour les utilisateurs de cartes à puce

Remarque :

Les étapes suivantes sont fournies à titre d’exemple pour vous guider tout au long du processus.

Sur votre contrôleur de domaine, suivez ces étapes pour accomplir la tâche :

1. Accédez à votre contrôleur de domaine et ouvrez Autorité de certification.

   

2. Dupliquez le modèle Agent d’inscription. Les étapes détaillées sont les suivantes :

   1. Cliquez avec le bouton droit sur Modèles de certificats et sélectionnez Gérer.

      

   2. Cliquez avec le bouton droit sur Agent d’inscription et sélectionnez Dupliquer le modèle.

   3. Sous l’onglet Cryptographie, sélectionnez Microsoft Base Smart Card Crypto Provider, puis cliquez sur OK. Un modèle nommé Copie de l’agent d’inscription apparaît dans la liste Modèles de certificats.

      

   4. Sous l’onglet Nom du sujet, assurez-vous que l’option Inclure l’e-mail dans le nom du sujet n’est pas sélectionnée.

      

3. Délivrez des certificats pour les cartes à puce. Les étapes détaillées sont les suivantes :
   1. Faites un clic droit sur Modèles de certificats, puis sélectionnez Nouveau > Modèle à délivrer.
   2. Sélectionnez Copie de l’agent d’inscription et Utilisateur de carte à puce.
   3. Cliquez sur OK.

Étape 3 : Inscrire des certificats pour les utilisateurs de cartes à puce

Remarque :

Les étapes suivantes sont fournies à titre d’exemple pour vous guider tout au long du processus.

Sur une machine Windows physique jointe à un domaine, suivez ces étapes pour inscrire des certificats pour chaque carte à puce :

1. Préparez une machine Windows physique jointe à un domaine pour l’inscription :
   1. Assurez-vous que le pilote de la carte à puce est installé.
   2. Insérez une carte à puce dans la machine.
   3. Connectez-vous à la machine en utilisant le compte utilisateur que vous souhaitez attribuer à la carte à puce.
2. Ajoutez le composant logiciel enfichable Certificats sur la machine que vous avez préparée à l’étape 1. Les étapes détaillées sont les suivantes :
   1. Ouvrez mmc.
   2. Cliquez sur Fichier, puis sur Ajouter/Supprimer un composant logiciel enfichable.
   3. Dans la fenêtre Ajouter ou supprimer des composants logiciels enfichables qui s’affiche, sélectionnez Certificats, puis cliquez sur Ajouter >.
   4. Dans la boîte de dialogue qui s’affiche, sélectionnez Mon compte d’utilisateur et cliquez sur Terminer.

   5. Cliquez sur OK.

      

3. Demandez de nouveaux certificats pour le composant logiciel enfichable Certificats. Les étapes détaillées sont les suivantes :

   1. Accédez à Certificats - Utilisateur actuel > Personnel, cliquez avec le bouton droit sur Certificats, puis sélectionnez Toutes les tâches > Demander un nouveau certificat.

      

   2. Dans la boîte de dialogue Demander des certificats qui s’affiche, sélectionnez Copie de l’agent d’inscription et Utilisateur de carte à puce.

      

   3. Dans la boîte de dialogue ci-dessus, cliquez sur Détails pour Utilisateur de carte à puce, puis sur Propriétés. La boîte de dialogue Propriétés du certificat s’affiche.
   4. Sous l’onglet Clé privée, développez Fournisseur de services cryptographiques, désélectionnez Microsoft Strong Cryptographic Provider (Chiffrement), sélectionnez uniquement Microsoft Base Smart Card Crypto Provider (Chiffrement), puis cliquez sur OK.
   5. Cliquez sur Inscrire.
   6. Dans la boîte de dialogue Sécurité Windows qui s’affiche, entrez le code PIN de la carte à puce et cliquez sur OK. Une fois l’inscription terminée, cliquez sur Terminer.

Après une inscription réussie, deux certificats apparaissent sous Certificats - Utilisateur actuel -> Personnel -> Certificats, comme illustré dans la capture d’écran suivante.

Étape 4 : Configurer les serveurs IIS de Web Studio

Sur chaque serveur Web Studio, suivez les étapes suivantes pour configurer IIS pour l’authentification par carte à puce :

1. Activez Authentification par mappage de certificat client pour la machine Web Studio**.

   L’élément <clientCertificateMappingAuthentication> n’est pas disponible sur l’installation par défaut d’IIS 7 et versions ultérieures. Pour plus d’informations sur l’installation et l’activation, consultez cet article Microsoft.

2. Démarrez le Gestionnaire des services Internet (IIS) sur la machine Web Studio.

3. Activez l’Authentification par certificat client Active Directory pour la machine. Les étapes détaillées sont les suivantes :

   1. Sélectionnez la machine dans le volet gauche et double-cliquez sur Authentification.

      

   2. Activez l’Authentification par certificat client Active Directory.

      

4. Configurez le module Backend de Web Studio pour un protocole HTTPS plus sécurisé avec authentification par certificat client :

   1. Accédez à Sites > Default Web Site > Studio > Backend > Smartcard, puis double-cliquez sur Paramètres SSL dans la section IIS.

      

   2. Sélectionnez Exiger pour les Certificats clients.

      

   3. Retournez à Sites > Default Web Site > Studio > Backend > Smartcard, puis double-cliquez sur Configuration Editor dans la section IIS.

      

   4. Assurez-vous que /clientCertificateMappingAuthentication est activé.

      

5. (Windows 2022 uniquement) Désactivez TLS 3.1 sur TCP. Les étapes détaillées sont les suivantes :

   1. Accédez à Sites > Default Web Site.
   2. Cliquez sur Modifier le site > Liaison.

   3. Dans la boîte de dialogue Liaisons de site qui apparaît, sélectionnez l’enregistrement https, puis cliquez sur Modifier.

      

   4. Dans la boîte de dialogue Modifier la liaison de site qui apparaît, sélectionnez Désactiver TLS 1.3 sur TCP, puis cliquez sur OK.

      

Bon à savoir :

Le backend de Web Studio est un module de Web Studio qui fournit les fonctions suivantes :

• Authentification par carte à puce.
• Récupération des jetons de porteur FMA du service d’orchestration à l’aide de l’authentification Windows intégrée.

Étape 5 (Facultatif) Configurer les délégations d’authentification pour Web Studio

Lorsque Web Studio et les Delivery Controllers sont installés sur des serveurs différents, vous devez configurer des délégations pour chaque serveur Web Studio vers les Delivery Controllers pour les services HOST et HTTPS.

Suivez ces étapes pour effectuer la tâche pour chaque serveur Web Studio :

1. Importer le certificat HTTPS d’orchestration du Delivery Controller™
2. Configurer la délégation pour le serveur Web Studio
3. Configurer la délégation pour le compte de service du serveur IIS de Web Studio

Importer le certificat HTTPS d’orchestration du Delivery Controller

Sur le serveur Web Studio, importez le certificat HTTPS d’orchestration du Delivery Controller dans les Autorités de certification racines de confiance. Les étapes détaillées sont les suivantes :

1. Démarrez Paramètres > Gérer les certificats d’ordinateur.

2. Cliquez avec le bouton droit sur Autorités de certification racines de confiance > Certificats et sélectionnez Toutes les tâches > Importer.

   

3. Suivez les instructions à l’écran pour importer le certificat HTTPS d’orchestration du Delivery Controller.

Configurer la délégation pour le serveur Web Studio

Sur le contrôleur de domaine, configurez la délégation pour le serveur Web Studio vers le Delivery Controller pour les services HOST et HTTP. Suivez ces étapes pour effectuer la tâche :

1. Sur le contrôleur de domaine, démarrez Centre d’administration Active Directory.
2. Recherchez le compte ordinateur du serveur Web Studio que vous souhaitez configurer pour la délégation (par exemple, Dan002).

3. Cliquez avec le bouton droit sur le compte et sélectionnez Propriétés.

   

   1. Accédez à l’onglet Délégation.

      

   2. Sélectionnez N’approuver cet utilisateur que pour la délégation aux services spécifiés > Utiliser n’importe quel protocole d’authentification.
   3. Cliquez sur Ajouter pour spécifier les services auxquels ce compte ordinateur peut être délégué.
   4. Dans la boîte de dialogue Ajouter un service qui s’affiche, cliquez sur Ajouter des utilisateurs ou des ordinateurs pour localiser le nom d’ordinateur du Delivery Controller (par exemple, Dan001).
   5. Sélectionnez les services HOST et HTTP, puis cliquez sur OK.

Les résultats de la configuration sont affichés dans la capture d’écran suivante.

Configurer la délégation pour le compte de service du serveur IIS de Web Studio

Si vous avez configuré un compte de service pour le serveur IIS de Web Studio, vous devez également configurer la délégation pour ce compte de service vers le Delivery Controller pour les services HOST et HTTP. Une fois cette délégation établie, le serveur Web Studio peut utiliser son compte de service pour usurper l’identité de l’utilisateur de carte à puce actuel afin d’accéder aux services HOST et HTTP du groupe de mise à disposition. Suivez ces étapes pour terminer la configuration :

1. Sur le contrôleur de domaine, démarrez le Centre d’administration Active Directory.
2. Recherchez le compte utilisateur que vous souhaitez configurer pour la délégation (par exemple, svr-stud-002).
3. Cliquez avec le bouton droit sur le compte et sélectionnez Propriétés.
4. Suivez la procédure décrite à l’étape 2 pour déléguer le compte de service IIS de Web Studio aux services HOST et HTTP du Delivery Controller.

Les résultats de la configuration sont affichés dans la capture d’écran suivante.

Étape 6 : Activer l’authentification par carte à puce pour Web Studio

Suivez ces étapes pour activer l’authentification par carte à puce pour Web Studio :

1. Connectez-vous à Web Studio et sélectionnez Paramètres dans le volet gauche.
2. Sélectionnez Authentification par carte à puce ou Informations d’identification de domaine + Authentification par carte à puce selon les besoins.
3. Sélectionnez Authentification par carte à puce ou Informations d’identification de domaine ou authentification par carte à puce selon les besoins.

4. Cliquez sur Appliquer.