在 “个人” 中 WorkSpaces 使用智能卡进行身份验证

将您的 CA 证书添加到 Linux WorkSpaces

为了帮助您启用智能卡，我们已将该enable_smartcard脚本添加到我们的 Linux WorkSpaces DCV 捆绑包中。此脚本将执行以下操作：

以下过程说明如何使用enable_smartcard脚本导入 CA 证书以及如何为 Linux 启用智能卡身份验证 WorkSpaces。

1. 创建一个启用了 DCV 协议 WorkSpace 的新 Linux。在 Amazon WorkSpaces 控制台 WorkSpace 中启动时，请务必在 “选择捆绑包” 页面上为协议选择 DCV，然后选择一个 Linux WorkSpaces 公共捆绑包。

2. 在新创建的文件中 WorkSpace，确保/etc/skylight.conf文件在[features]章节中有pam_smartcard = true行：

   [features]
   pam_smartcard = true

   注意

   如果尚未将所有用户配置为使用强altSecurityIdentities证书映射，您也可以在中的同一[features]部分中添加一smartcard_weak_mapping = true行/etc/skylight.conf以支持旧版映射方法，但我们建议尽快迁移这些用户以使用强映射方法。

3. 在 WorkSpace，以 root 身份运行以下命令pem-path1，其中pem-path2、等是文件的路径，每个文件都包含智能卡和域控制器证书信任链中的一个 CA 证书。所有这些文件都应采用 PEM 格式，每个文件包含一个证书。可以使用 Glob 模式（例如*.pem）

   /usr/lib/skylight/enable_smartcard --ca-cert pem-path1 pem-path2 pem-path3 ...

   注意

   在运行上述命令 WorkSpace 之前，请确保在上安装了其他依赖包，并以 root 身份使用以下命令。

   对于 Rocky Linux 和红帽企业 Linux WorkSpaces：

   dnf install sssd-dbus libsss_simpleifp sssd-tools krb5-pkinit opensc

   对于 Ubuntu WorkSpaces 来说：

   apt install krb5-pkinit opensc

4. 在上执行任何其他自定义。 WorkSpace例如，您可能希望添加一个系统范围的策略，以允许用户在 Firefox 中使用智能卡。（Chrome 用户必须自己在客户端上启用智能卡。 有关更多信息，请参阅 Amazon WorkSpaces 用户指南中的智能卡支持。）

5. 从@@ 中创建自定义 WorkSpace 映像和捆绑包 WorkSpace。

6. 使用新的自定义捆绑包 WorkSpaces 为用户启动。

允许用户在 Firefox 中使用智能卡

您可以在 Linux WorkSpace 映像中添加 SecurityDevices 策略，让您的用户能够在 Firefox 中使用智能卡。有关向 Firefox 添加系统范围策略的更多信息，请参阅上的 Mozilla 策略模板。 GitHub

1. 在你 WorkSpace 用来创建 WorkSpace 映像的上，创建一个名policies.json为的新文件，其中PREFIX位于/usr/lib64基于 Fedora 的系统（亚马逊 Linux 2 PREFIX/firefox/distribution/、红帽企业 Linux 和 Rocky Linux WorkSpaces）和基于 Debian 的系统（Ubuntu）/usr/lib上。 WorkSpaces

2. 在 JSON 文件中，添加以下 SecurityDevices 策略，其中NAME_OF_DEVICE是您要用来标识pkcs模块的任何值。例如，您可能想使用 "OpenSC" 这样的值：

   {
       "policies": {
           "SecurityDevices": {
               "NAME_OF_DEVICE": "PREFIX/opensc-pkcs11.so"
           }
       }
   }

启用调试日志记录

• /etc/sssd/sssd.conf为每个单独的部分添加一debug_level = LEVEL行，其中LEVEL是所需的详细程度，从 1 到 10。然后可以在/var/log/sssd/目录中找到每个相应部分的日志。有关更多详细信息，请参阅此处和此处的 SSSD 文档。

将您的根 CA 证书添加到您的亚马逊 Linux 2 WorkSpaces

为了帮助您启用智能卡，我们已将 enable_smartcard 脚本添加到我们的 Amazon Linux DCV 捆绑包中。此脚本将执行以下操作：

以下过程说明了如何使用enable_smartcard脚本将根 CA 证书添加到 Amazon Linux 2 WorkSpaces 以及如何为亚马逊 Linux 2 启用智能卡 WorkSpaces。

1. 创建一个启用 DCV 协议 WorkSpace 的新 Amazon Linux 2。在亚马逊 WorkSpaces 控制台 WorkSpace 中启动时，请务必在 “选择捆绑包” 页面上为协议选择 DCV，然后选择一个 Amazon Linux 2 公共捆绑包。

2. 在新版本中 WorkSpace，以 root 身份运行以下命令，其中pem-path是 PEM 格式的根 CA 证书文件的路径。

   /usr/lib/skylight/enable_smartcard --ca-cert pem-path

   注意

   Amazon Linux 2 WorkSpaces 假设智能卡上的证书是针对用户的默认用户主体名称 (UPN) 颁发的，例如sAMAccountName@domain，其中domain是完全限定的域名 (FQDN)。

   要使用备用 UPN 后缀，请参阅 run /usr/lib/skylight/enable_smartcard --help，了解更多信息。备用 UPN 后缀的映射对每个用户来说都是唯一的。因此，必须对每个用户单独执行映射 WorkSpace。

3. （可选）默认情况下，所有服务都允许在 Amazon Linux 2 上使用智能卡身份验证 WorkSpaces。要将智能卡身份验证仅限于特定服务，必须编辑 /etc/pam.d/system-auth。取消 pam_succeed_if.so 对应的 auth 行的注释，并根据需要编辑服务列表。

   取消 auth 行的注释后，要允许服务使用智能卡身份验证，必须将其添加到列表中。要使服务仅使用密码身份验证，必须从列表中将其删除。

4. 对执行任何其他自定义。 WorkSpace例如，您可能希望添加一个系统范围的策略，以允许用户在 Firefox 中使用智能卡。（Chrome 用户必须自己在客户端上启用智能卡。 有关更多信息，请参阅 Amazon WorkSpaces 用户指南中的智能卡支持。）

5. 从@@ 中创建自定义 WorkSpace 映像和捆绑包 WorkSpace。

6. 使用新的自定义捆绑包 WorkSpaces 为用户启动。

允许用户在 Firefox 中使用智能卡

您可以通过向您的亚马逊 Linux 2 WorkSpace 映像添加 SecurityDevices 策略来允许您的用户在 Firefox 中使用智能卡。有关向 Firefox 添加系统范围策略的更多信息，请参阅上的 Mozilla 策略模板。 GitHub

1. 在你 WorkSpace 用来创建 WorkSpace 图像的上，创建一个名为policies.json的新文件/usr/lib64/firefox/distribution/。

2. 在 JSON 文件中，添加以下 SecurityDevices 策略，其中NAME_OF_DEVICE是您要用来标识pkcs模块的任何值。例如，您可能想使用 "OpenSC" 这样的值：

   {
       "policies": {
           "SecurityDevices": {
               "NAME_OF_DEVICE": "/usr/lib64/opensc-pkcs11.so"
           }
       }
   }

启用调试日志记录

要排查 pam_pkcs11 和 pam-krb5 配置问题，您可以启用调试日志记录。

1. 在 /etc/pam.d/system-auth-ac 文件中，编辑 auth 操作，并将 pam_pksc11.so 的 nodebug 参数更改为 debug。

2. 在 /etc/pam_pkcs11/pam_pkcs11.conf 文件中，将 debug = false; 更改为 debug = true;。debug 选项分别适用于每个映射器模块，因此，您可能需要直接在pam_pkcs11部分下方和相应的映射器部分（默认情况下，这为 mapper generic）下，对其进行更改。

3. 在 /etc/pam.d/system-auth-ac 文件中，编辑 auth 操作，并将 debug 或 debug_sensitive 参数添加到 pam_krb5.so。