Configurare l'autenticazione con smart card per Web Studio

Passaggio 1: Installare il driver della smart card

• Controller di dominio in cui è installato il servizio certificati.
• Server Web Studio
• Macchine utilizzate dagli utenti finali per accedere a Web Studio
• Macchine utilizzate per registrare i certificati per gli utenti di smart card

Passaggio 2: Rilasciare certificati per gli utenti di smart card

1. Accedere al controller di dominio e aprire Autorità di certificazione.
   
2. Duplicare il modello Agente di registrazione. I passaggi dettagliati sono i seguenti:
   1. Fare clic con il pulsante destro del mouse su Modelli di certificato e selezionare Gestisci.
      
   2. Fare clic con il pulsante destro del mouse su Agente di registrazione e selezionare Duplica modello.
   3. Nella scheda Nome soggetto, assicurarsi che Includi e-mail nel nome soggetto non sia selezionato.
      
   4. Nella scheda Crittografia, selezionare Microsoft Base Smart Card Crypto Provider, quindi fare clic su OK. Un modello denominato Copia di Agente di registrazione viene visualizzato nell'elenco Modelli di certificato.
      
3. Rilasciare certificati per smart card. I passaggi dettagliati sono i seguenti:
   1. Fare clic con il pulsante destro del mouse su Modelli di certificato e quindi selezionare Nuovo > Modello da rilasciare.
   2. Selezionare Copia di Agente di registrazione e Utente smart card.
   3. Fare clic su OK.

Passaggio 3: Registrare i certificati per gli utenti di smart card

1. Preparare una macchina Windows fisica aggiunta al dominio per l'uso di registrazione:
   1. Assicurarsi che il driver della smart card sia installato.
   2. Inserire una smart card nella macchina.
   3. Accedere alla macchina utilizzando l'account utente che si desidera assegnare alla smart card.
2. Aggiungere lo snap-in Certificati alla macchina preparata nel passaggio 1. I passaggi dettagliati sono i seguenti:
   1. Aprire mmc.
   2. Fare clic su File e quindi fare clic su Aggiungi/Rimuovi snap-in.
   3. Nella finestra Aggiungi o rimuovi snap-in che viene visualizzata, selezionare Certificati e quindi fare clic su Aggiungi >.
   4. Nella finestra di dialogo che viene visualizzata, selezionare Account utente personale e fare clic su Fine.
   5. Fare clic su OK.
      
3. Richiedere nuovi certificati per lo snap-in Certificati. I passaggi dettagliati sono i seguenti:
   1. Andare a Certificati - Utente corrente > Personale, fare clic con il pulsante destro del mouse su Certificati, quindi selezionare Tutte le attività > Richiedi nuovo certificato.
      Richiedi nuovo certificato(/en-us/citrix-virtual-apps-desktops/2411/media/add-certificate-2.png)
   2. Nella finestra di dialogo Richiedi certificati che appare, selezionare Copia di agente di registrazione e Utente smart card.
      Gestisci modelli di certificato(/en-us/citrix-virtual-apps-desktops/2411/media/add-certificate-3-1.png)
   3. Nella finestra di dialogo precedente, fare clic su Dettagli per Utente smart card e quindi fare clic su Proprietà. Viene visualizzata la finestra di dialogo Proprietà certificato.
      
   4. Nella scheda Chiave privata, espandere Provider di servizi crittografici, deselezionare Microsoft Strong Cryptographic Provider (Crittografia), selezionare solo Microsoft Base Smart Card Crypto Provider (Crittografia), quindi fare clic su OK.
   5. Fare clic su Registra.
   6. Nella finestra di dialogo Sicurezza di Windows che viene visualizzata, immettere il codice PIN della smart card e fare clic su OK. Al termine della registrazione, fare clic su Fine.
      

Passaggio 4: Configurare i server IIS di Web Studio

1. Abilitare Autenticazione con mapping del certificato client per la macchina Web Studio**.
   L'elemento <clientCertificateMappingAuthentication> non è disponibile nell'installazione predefinita di IIS 7 e versioni successive. Per ulteriori informazioni sull'installazione e l'abilitazione, consultare questo articolo Microsoft.
2. Avviare Gestione IIS sulla macchina Web Studio.
3. Abilitare Active Directory Client Certificate Authentication per la macchina. I passaggi dettagliati sono i seguenti:
   1. Selezionare la macchina nel riquadro sinistro e fare doppio clic su Authentication.
      
   2. Abilitare Active Directory Client Certificate Authentication.
      
4. Configurare il modulo backend di Web Studio per un protocollo HTTPS più sicuro con autenticazione del certificato client:
   1. Andare a Sites > Default Web Site > Studio > Backend > Smartcard, quindi fare doppio clic su SSL Settings nella sezione IIS.
      
   2. Selezionare Require per Client certificates.
      
   3. Tornare a Sites > Default Web Site > Studio > Backend > Smartcard e quindi fare doppio clic su Configuration Editor nella sezione IIS.
      
   4. Assicurarsi che /clientCertificateMappingAuthentication sia enabled.
      
5. (Windows 2022 only) Disabilitare TLS 3.1 over TCP. I passaggi dettagliati sono i seguenti:
   1. Andare a Siti > Sito Web predefinito.
   2. Fare clic su Modifica sito > Associazione.
   3. Nella finestra di dialogo Associazioni sito che viene visualizzata, selezionare il record https, quindi fare clic su Modifica.
      
   4. Nella finestra di dialogo Modifica associazione sito che viene visualizzata, selezionare Disabilita TLS 1.3 su TCP e quindi fare clic su OK.
      

• Autenticazione con smart card.
• Recupero dei token bearer FMA dal servizio Orchestration utilizzando l'autenticazione integrata di Windows.

Passaggio 5 (Facoltativo) Configurare le deleghe di autenticazione per Web Studio

1. Importare il certificato HTTPS di Orchestration del Delivery Controller™
2. Configurare la delega per il server Web Studio
3. （Facoltativo) Configura la delega per l'account di servizio del server IIS di Web Studio

Passaggio 6: Abilitare l'autenticazione con smart card per Web Studio

1. Accedi a Web Studio e seleziona Impostazioni nel riquadro sinistro.
2. Seleziona Autenticazione con smart card o Credenziali di dominio o autenticazione con smart card secondo necessità.
3. Fare clic su Applica.