认证管理是VDI部署过程中一个容易被忽略的部分。尽管数字认证并不是强制需求,但是有时候虚拟桌面的内部和外部都需要使用它。 在虚拟桌面基础设施(VDI)中,哪些方面可以使用数字认证来加强安全性呢?对于数字认证的使用,每个组织的需求都不尽相同。在主要使用Windows的组织当中,最好确保虚拟桌面对于使用SSL加密的应用服务器保持信任。
并且建议对于组织当中的任何远程桌面协议(RDP)文件进行数字签名。 基于Web的应用程序 除非你居住在山洞之中,否则你一定知道现在IT领域最大的趋势之一就是许多应用程序正在向云中迁移。即使你在本地运行所有的应用程序,这些应用中的大部分也很有可能是支持Web的,这样就可……
我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。
我原创,你原创,我们的内容世界才会更加精彩!
【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
![TechTarget微信公众号二维码](/wp-content/uploads/res/images/spriteimg/ttweixin.jpg)
TechTarget
官方微博
![TechTarget中国官方微博二维码](/wp-content/uploads/res/images/spriteimg/ttweibo.jpg)
TechTarget中国
认证管理是VDI部署过程中一个容易被忽略的部分。尽管数字认证并不是强制需求,但是有时候虚拟桌面的内部和外部都需要使用它。
在虚拟桌面基础设施(VDI)中,哪些方面可以使用数字认证来加强安全性呢?对于数字认证的使用,每个组织的需求都不尽相同。在主要使用Windows的组织当中,最好确保虚拟桌面对于使用SSL加密的应用服务器保持信任。并且建议对于组织当中的任何远程桌面协议(RDP)文件进行数字签名。
基于Web的应用程序
除非你居住在山洞之中,否则你一定知道现在IT领域最大的趋势之一就是许多应用程序正在向云中迁移。即使你在本地运行所有的应用程序,这些应用中的大部分也很有可能是支持Web的,这样就可以通过Web浏览器来访问它们了。
大多数应用程序Web接口使用安全套接字层(SSL)加密方式来加强敏感数据的安全性。SSL加密是基于认证的,但是加密过程中需要使用的X.509认证是安装在运行应用程序的Web服务器上,而不是客户端电脑或者虚拟桌面上的。但是,这并不意味着对于虚拟桌面不需要进行认证。
当浏览器尝试和Web服务器进行SSL连接时,浏览器会检查服务器端认证是否可用、没有过期和来自可信源。如果认证已经过期或者来自可疑源,那么当用户尝试访问加密页面时,浏览器会显示错误信息。
Windows桌面操作系统已经提前配置了信任所有知名的商业(公开)认证中心。然而,并非所有使用认证的Web应用程序都是通过广泛信任的组织进行发布。对于在本地运行的应用程序来说具有更大的可能性。
比如,Exchange服务器提供了一个称为Outlook Web App的web接口。最新版本的Exchange服务器默认都使用了自签名认证,但是自签名认证并不能通过虚拟机的信任。对于这种情况,微软推荐使用公共认证中心或者企业认证中心发布的认证替代自签名认证。
一些组织选择使用Windows服务器作为企业认证中心。这样做可以获得更多的自由度,根据需求来发布认证,而不用为从公共认证中心购买认证支付费用。但是,就像使用自签名认证一样,由企业认证中心发布的认证不能通过虚拟桌面的信任。下面是解决这个问题的方法:
图1. 必须要将认证中心的认证添加到虚拟桌面的信任根认证中心里
从企业认证中心下载一个CA认证,将其加入到虚拟桌面的信任根认证中心列表(如图1所示)。作为替代方案,也可以使用参加微软根认证项目会员的公共认证中心对内部的认证进行共同签名。
使用认证进行连接
在微软的VDI环境中,RDP文件用于将Windows客户端和虚拟桌面或RemoteApp应用程序进行连接。尽管RDP文件在没有认证的情况下仍然可以工作,但是微软推荐使用认证来对所有RDP文件进行数字签名。这可以确凿地证明RDP文件是由组织发布的,而不是用来连接到恶意主机的伪造文件。
尽管使用数字签名的RDP文件是个不错的方法,但是仍然有一些限制值得注意。首先,只有Windows客户端可以使用RDP文件。其次,用户只能在6.1以及更高版本的设备,或者在微软远程桌面客户端平台上使用数字签名的RDP文件来连接到远程桌面。
图2. 使用组策略强制Windows客户端检查RDP文件的数字签名
如果想要检测对RDP文件进行数字签名过程中可能遇到的问题,那么最好配置远程桌面客户端来寻找签名。如果客户端机器已经加入到域中,可以使用组策略来完成操作。如果没有在域中,可以更改本地安全策略。
控制安全设定策略位于Computer ConfigurationPoliciesAdministrative TemplatesWindows ComponentsRemote Desktop ServicesRemote Desktop Connection Client。“使用指定SHA1特征指定可信RDP发行商” 设定可以用于指定特殊的RDP文件信任源(如图2所示)你还需要禁止“允许未知发行商的.RDP文件”设定。
需要注意的是在BYOD环境中更改本地安全策略可能会很复杂。
作者
相关推荐
-
如何应对三种最棘手的VDI挑战
很少有技术性项目只需要遵循厂商的建议就能够轻松完成,而企业在部署VDI时可能会面临更多的问题。
-
VDI部署:如何节省闪存空间
在VDI生态链中存储往往代表着最弱的一环,尤其是当组织仅依赖硬盘系统时更是如此。简单来讲,机械硬盘跟不上数百个或者上千个同时运行的虚拟桌面对存储的性能需求。
-
确保VDI用户获得最佳体验的三种方式
VDI用户不关心底层基础设施、架构以及IT必须要平衡的所有活动组件。他们希望VDI提供的用户体验至少不比物理桌面差。
-
密码太多记不住?SSO帮你轻松访问VDI及外部资源
随着云服务的广泛应用,单点登录技术(SSO)最近倍受青睐,它也可以帮助IT在VDI部署过程中更好地平衡安全性与用户体验。