Configuration de l’autorité de certification

Cet article décrit la configuration avancée du Service d’authentification fédérée (FAS) pour l’intégration avec les serveurs d’autorité de certification qui ne sont pas pris en charge par la console de gestion FAS. Les instructions utilisent les API PowerShell fournies par FAS. Vous devez disposer de connaissances de base sur PowerShell avant d’exécuter les instructions de cet article.

Configurer l’autorité de certification Microsoft pour l’accès TCP

Par défaut, l’autorité de certification Microsoft utilise DCOM pour l’accès. Cela peut compliquer la mise en place d’un pare-feu de sécurité, par conséquent Microsoft permet le basculement vers un port TCP statique. Sur l’autorité de certification Microsoft, ouvrez le panneau de configuration de DCOM et modifiez les propriétés de l’application « CertSrv DCOM » :

image localisée

Modifiez les points de terminaison (endpoints) pour sélectionner un point de terminaison statique et spécifiez un numéro de port TCP (900 dans l’illustration ci-dessus).

Redémarrez l’autorité de certification Microsoft et soumettez une demande de certificat. Si vous exécutez netstat –a –n –b, vous verrez que certsvr écoute désormais le port 900 :

image localisée

Il n’est pas nécessaire de configurer le serveur FAS (ou toute autre machine utilisant l’autorité de certification), car DCOM a une étape de négociation utilisant le port RPC. Lorsqu’un client doit utiliser DCOM, il se connecte au service DCOM RPC sur le serveur de certificats et demande l’accès à un serveur DCOM particulier. Cela déclenche l’ouverture du port 900 et le serveur DCOM indique au serveur FAS comment se connecter.

Pré-générer les certificats utilisateur

La durée d’ouverture de session pour les utilisateurs peut nettement s’améliorer lorsque les certificats utilisateur sont pré-générés dans le serveur FAS. Les sections suivantes décrivent comment y procéder, pour un ou plusieurs serveurs FAS.

Obtenir une liste d’utilisateurs Active Directory

Vous pouvez améliorer la génération de certificat en interrogeant AD et en stockant la liste des utilisateurs dans un fichier (par exemple, un fichier .csv), comme illustré dans l’exemple suivant.

Import-Module ActiveDirectory

$searchbase = "cn=users,dc=bvt,dc=local" # AD User Base to Look for Users, leave it blank to search all
$filename = "user_list.csv" # Filename to save

if ($searchbase -ne ""){
    Get-ADUser -Filter {(UserPrincipalName -ne "null") -and (Enabled -eq "true")} -SearchBase $searchbase -Properties UserPrincipalName | Select UserPrincipalName | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $filename
} else {
    Get-ADUser -Filter {(UserPrincipalName -ne "null") -and (Enabled -eq "true")} -Properties UserPrincipalName | Select UserPrincipalName | Export-Csv -NoTypeInformation -Encoding utf8 -delimiter "," $filename
}

Get-ADUser est une applet de commande qui envoie une requête de liste d’utilisateurs. L’exemple ci-dessus contient un argument de filtre pour inclure uniquement les utilisateurs disposant d’un UserPrincipalName et avec un état de compte « activé ».

L’argument SearchBase spécifie la partie d’Active Directory dans laquelle rechercher des utilisateurs. Vous pouvez ignorer cette option si vous voulez inclure tous les utilisateurs présents dans Active Directory. Remarque : cette requête peut renvoyer un grand nombre d’utilisateurs.

Le fichier CSV ressemble à l’exemple ci-dessous :

image localisée

Serveur FAS

Le script PowerShell utilise la liste d’utilisateurs générée et crée une liste de certificats utilisateur.

Add-PSSnapin Citrix.A*
$csv = "user_list.csv"
$rule = "default" # rule/role in your admin console
$users = Import-Csv -encoding utf8 $csv
foreach ( $user in $users )
{
    $server = Get-FasServerForUser -UserPrincipalNames $user.UserPrincipalName
    if( $server.Server -ne $NULL) {
        New-FasUserCertificate -Address $server.Server -UserPrincipalName $user.UserPrincipalName -CertificateDefinition $rule"_Definition" -Rule $rule
    }
    if( $server.Failover -ne $NULL) {
        New-FasUserCertificate -Address $server.Failover -UserPrincipalName $user.UserPrincipalName -CertificateDefinition $rule"_Definition" -Rule $rule
    }
}

Si vous disposez de plusieurs serveurs FAS, le certificat d’un utilisateur particulier est généré deux fois : une fois sur le serveur principal et une autre sur le serveur de basculement.

Le script ci-dessus inclut une règle « default ». Si votre règle porte un autre nom (par exemple, « hello »), il vous suffit de modifier la variable $rule dans le script.

image localisée

Renouveler les certificats d’autorité d’inscription

Si plusieurs serveurs FAS sont utilisés, vous pouvez renouveler un certificat d’autorisation FAS sans affecter les utilisateurs connectés.

Remarque :

Vous pouvez également utiliser l’interface graphique pour réautoriser FAS :

image localisée

Effectuez la procédure suivante dans l’ordre indiqué :

  1. Créer un nouveau certificat d’autorisation : New-FasAuthorizationCertificate

  2. Noter le GUID du nouveau certificat d’autorisation, renvoyé par : Get-FasAuthorizationCertificate

  3. Placer le serveur FAS en mode de maintenance : Set-FasServer –Address <FAS server> -MaintenanceMode $true

  4. Changer le nouveau certificat d’autorisation : Set-FasCertificateDefinition –AuthorizationCertificate <GUID>

  5. Retirer le serveur FAS du mode de maintenance : Set-FasServer –Address <FAS server> -MaintenanceMode $false

  6. Supprimer l’ancien certificat d’autorisation : Remove-FasAuthorizationCertificate

Informations connexes