Как реализовать Windows Hello для бизнеса с облачной доверенностью

Многофакторная аутентификация в последние дни стала стандартом, но для наших устройств Windows большинство из нас все еще использует только имя пользователя и пароль. Проблема с надежными паролями в том, что они иногда трудно запоминаются, и пользователи часто используют их повторно на нескольких сайтах. Windows Hello для бизнеса заменяет пароли двухфакторной аутентификацией на ваших устройствах Windows.

При аутентификации с помощью Windows Hello для бизнеса мы можем использовать биометрию (отпечаток пальца или распознавание лиц) или вход с помощью ПИН-кода. Это в сочетании с встроенным чипом TPM на вашем устройстве предоставляет двухфакторный вход. Мы даже можем расширить это до многофакторной аутентификации с помощью доверенных сигналов.

В этой статье мы рассмотрим, как работает Windows Hello for Business, как его внедрить и как настроить многофакторную разблокировку (рекомендуется).

Windows Hello для бизнеса - основа

Windows Hello for Business (WHfB) заменяет необходимость в надежных, трудно запоминаемых паролях, используя двухфакторную аутентификацию на ваших устройствах. Аутентификация осуществляется с помощью биометрии или PIN-кода и привязана к устройству. Это означает, что Windows Hello for Business необходимо настроить на каждом устройстве, которым пользуется пользователь.

Двухфакторная аутентификация создается на основе того, что пользователь знает или является (ПИН-код или биометрия), и того, что пользователь имеет - ключ, сгенерированный чипом TPM в устройстве. Сочетание этих двух элементов отправляется поставщику удостоверений, Azure AD, для получения токена аутентификации.

Windows Hello для бизнеса может быть расширен до настоящей многофакторной аутентификации с использованием динамического разблокирования. Динамическое разблокирование позволяет вам комбинировать PIN-код/биометрию с, например, доверенными сигналами, такими как сигнал Bluetooth вашего телефона или информация о сети.

Это позволяет нам создать сценарий, в котором пользователь может войти в систему только с помощью датчика отпечатков пальцев на работе (доверенное место), но ему необходимо иметь при себе телефон или ввести свой ПИН-код в качестве второго фактора, когда он работает в кафе.

ПИН-код против пароля

Часто задаваемый вопрос заключается в том, чем ПИН-код является более безопасным, чем пароль. ПИН-код, который вы используете для Windows Hello for Business, может состоять только из цифр и имеет минимальную длину по умолчанию в 6 символов. Поэтому сильный пароль кажется более безопасным, верно?

Разница между ними заключается в том, что пароль можно использовать на любом устройстве или даже в интернете в случае Microsoft 365. PIN-код, однако, привязан к конкретному устройству, поэтому, когда кто-то другой знает ваш PIN-код, им все равно нужно иметь доступ к вашему устройству, чтобы войти в вашу учетную запись.

Теперь проблема с PIN-кодом заключается в том, что его легко можно украсть с помощью «подсматривания через плечо». Когда вы на мгновение оставляете свой компьютер без присмотра, кто-то может получить доступ к вашему устройству таким образом. Хороший способ снизить этот риск — использовать многофакторную разблокировку. Это использует доверенные сигналы, например, Bluetooth вашего мобильного телефона, чтобы проверить, что именно вы входите в систему.

Хорошо знать, что простые ПИН-коды не допускаются. Windows Hello for Business использует алгоритм для проверки постоянной дельты между одной цифрой и следующей. Это предотвращает использование повторяющихся, последовательных и простых шаблонов. Например, следующие шаблоны ПИН-кодов не разрешены:

• 1111
• 1234
• 1357
• 9630
• 1593

Внедрение доверия к гибридным облакам

Когда у вас гибридная среда с локальной Active Directory и Azure AD, тогда Cloud Trust является рекомендованным способом от Microsoft для реализации Windows Hello for Business. Реализовать Windows Hello for Business гораздо легче с Cloud Trust по сравнению со старыми методами Key Trust или Certificate Trust.

Для реализации Cloud Trust мы собираемся настроить Kerberos Azure AD с помощью PowerShell. Для развертывания на устройствах мы будем использовать групповую политику.

Требования

Чтобы использовать новый метод облачного доверия, вы должны убедиться, что вы соответствуете следующим требованиям:

• Многофакторная аутентификация включена
• По крайней мере Windows 10 21H2 или Windows 11
• Полностью обновлённый контроллер домена Windows Server 2016 или более поздней версии

Создание объекта сервера Kerberos Azure AD

Первый шаг - включить Kerberos Azure AD в нашем домене. Это создаст объект контроллера домена только для чтения в вашей Active Directory и будет использоваться для генерации TGT (билетов на предоставление билетов) для локальной аутентификации. Если вы хотите узнать больше о том, как это работает, обязательно ознакомьтесь с этой технической статьей от Microsoft.

Возможно, у вас уже развернут Azure AD Kerberos, если вы используете безпарольную SSO в вашем окружении. В этом случае вам не нужно его развертывать заново.

Чтобы установить Azure AD Kerberos, мы будем использовать PowerShell. Убедитесь, что у вас есть учетная запись глобального администратора для Azure AD и учетная запись администратора домена для вашего локального AD.

1. На вашем контроллере домена откройте Windows PowerShell (от имени администратора)
2. Установите модуль PowerShell Azure AD Kerberos:

Ensure TLS 1.2 for PowerShell gallery access.
[Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12

Install the module
Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber

Далее мы собираемся создать объект сервера Kerberos. Для этого нам понадобятся учетные записи администратора, поэтому мы создадим объект в Active Directory и проверим нашего арендатора. Если вы выполняете команды PowerShell на контроллере домена, то вам не нужно вводить учетные данные локального администратора (см. пример 2 ниже).

Я предполагаю, что вы используете современную аутентификацию для вашей среды Azure AD. Если нет, убедитесь, что вы её настроили! С помощью метода ниже у вас будет запрашиваться аутентификация, что позволит вам использовать многофакторную аутентификацию.

Get your domain
$domain = $env:USERDNSDOMAIN

Enter a domain administrator username and password.
$domainCred = Get-Credential

UserPrincipalName of an Azure AD Global Administrator
$userPrincipalName = "[email "

Create the new Azure AD Kerberos Server object in Active Directory
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential $domainCred

Пример 2 – Запуск скрипта на контроллере домена:

Get your domain
$domain = $env:USERDNSDOMAIN

UserPrincipalName of an Azure AD Global Administrator
$userPrincipalName = "[email "

Create the new Azure AD Kerberos Server object in Active Directory
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName

После завершения вы найдете объект компьютера AzureADKerberos в вашем Active Directory в OU контроллера домена:

Мы также можем проверить конфигурацию с помощью PowerShell, но вам, возможно, потребуется повторная аутентификация для просмотра деталей:

Get-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName

Настройте Windows Hello для бизнеса с помощью групповый политик

В гибридной среде мы можем использовать групповые политики для настройки Windows Hello для бизнеса на устройствах. Поскольку мы используем метод облачной уверенности, мы можем использовать только настройки конфигурации компьютера. Это означает, что политика должна быть назначена на компьютеры и не может быть назначена пользователям.

1. В Управлении групповыми политиками создайте новую политику, например, CPO_Enable_WHfB
2. Отредактируйте политику и перейдите к:
   Политика > Административные шаблоны > Компоненты Windows > Windows Hello для бизнеса

3. Включите следующие настройки

   • Используйте Windows Hello для бизнеса
   • Используйте доверие облака для локальной аутентификации
   • Используйте аппаратное устройство безопасности

Эти три настройки являются основой, которая вам нужна для использования Windows Hello для бизнеса в гибридной среде. Убедитесь, что вы сначала назначили политику OU с тестовыми компьютерами. Для развертывания вы можете включить опцию «Не начинать настройку Windows Hello после входа в систему» в настройке Использовать Windows Hello для бизнеса. Таким образом, пользователи не будут получать запрос сразу после входа в систему и смогут настроить это, когда им будет удобно.

Тестирование

Настроив политику и назначив её для объектов организационной единицы с компьютерами, пришло время протестировать внедрение Windows Hello для бизнеса. Первый шаг - убедиться, что последние политики загружены на клиенте. Вы можете принудительно обновить их с помощью команды GPUpdate или проверить статус с помощью RSOP.

Заметка

Пользователи, которые являются членами группы операторов учетных записей, серверов, резервного копирования или печати в Active Directory, не смогут использовать WHfB. Эти группы защищены AdminSDHolder и имеют атрибут adminCount, установленный в 1. По замыслу, некоторые атрибуты этих учетных записей не будут синхронизироваться с Azure AD.

Если вы отключили опцию «Не начинать настройку Windows Hello после входа в систему», то в следующий раз, когда вы войдете в компьютер, вы увидите экран настройки Windows Hello.

После настройки отпечатка пальца необходимо добавить PIN-код. PIN-код всегда требуется, он может использоваться в случае, если датчик отпечатков пальцев не работает, или в качестве второго фактора аутентификации в сценарии многофакторной разблокировки.

Пользователю сначала необходимо завершить запрос MFA для подтверждения личности пользователя. После запроса MFA мы можем настроить ПИН.

После настройки метода входа для Windows Hello для бизнеса на вашем устройстве может потребоваться до 30 минут, чтобы он заработал. Причина этого заключается в том, что инструмент Azure AD Connect сначала должен синхронизировать необходимые атрибуты. Вы можете принудительно синхронизировать Azure AD с помощью следующей команды PowerShell на сервере, где установлен клиент Azure AD Connect:

Start-ADSyncSyncCycle -PolicyType Delta

Вы также можете проверить, синхронизирован ли ключ обратно с вашим Active Directory, проверив атрибут msDS-KeyCredentialLink в учетной записи пользователя.

Динамическая блокировка

При развертывании Windows Hello для бизнеса в вашем тенанте я действительно рекомендую также настроить Динамическую блокировку. С точки зрения безопасности пользователи действительно должны блокировать свои компьютеры, когда отходят от рабочего стола. Оставлять компьютер разблокированным — это риск безопасности, кто-то может получить доступ к конфиденциальной или чувствительной информации. Это также предотвращает изменение данных неуполномоченными лицами.

Блокировка компьютера для большинства пользователей не является проблемой, просто нажмите Windows key + L. Но разблокировка с длинным и сложным паролем — это то, что сдерживает пользователей. Однако теперь это не должно быть проблемой, ведь мы реализовали возможность разблокировки компьютера одним прикосновением к датчику отпечатков пальцев.

Динамический замок использует сигнал Bluetooth мобильного телефона пользователя, чтобы определить, находится ли пользователь рядом с компьютером или нет. Когда сигнал становится слишком слабым, он заблокирует компьютер, если компьютер неактивен.

Заметка

Динамическая блокировка блокирует компьютер только тогда, когда сигнал Bluetooth теряется, а компьютер неактивен. Это означает, что если кто-то получит доступ до того, как система заблокируется, компьютер просто не заблокируется. Следовательно, функция Динамической блокировки не является заменой для пользователя, чтобы заблокировать компьютер. Она только уменьшает вероятность того, что пользователь забудет его заблокировать.

Включение динамической блокировки с помощью групповой политики

Чтобы включить динамическую блокировку, сначала нужно изменить политику, которую мы создали ранее:

1. В Управлении групповыми политиками отредактируйте политику Windows Hello для бизнеса
2. Перейдите к:
   Политика > Административные шаблоны > Компоненты Windows > Windows Hello для бизнеса
3. Включите настройку: Настроить динамические факторы блокировки

В настройках политики вы увидите правило сигнала для динамического блокирования. Оно содержит следующее значение по умолчанию:

<rule schemaVersion="1.0"> <signal type="bluetooth" scenario="Dynamic Lock" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/> </rule> 

Рекомендуется использовать правило по умолчанию, но также полезно знать, как оно работает и какие у вас есть варианты. Давайте более подробно рассмотрим правило XML. Для реализации функции динамической блокировки нам необходимо использовать Bluetooth-устройство, которое задается атрибутом Type, а сценарий - Динамическая блокировка. Эти два параметра нельзя изменить.

По умолчанию Windows будет отслеживать сигнал Bluetooth вашего телефона, что указывается значением атрибута classOfDevice 512. Для классов устройств также доступны другие опции. В основном, вы можете использовать любое Bluetooth-устройство, с которым можете подключиться к Windows, но наиболее распространенными для использования являются:

Последние два атрибута, rssiMin и rssiMaxDelta, говорят о силе сигнала. rssiMin указывает на необходимую силу сигнала, чтобы устройство считалось в диапазоне. Значение по умолчанию -10 позволяет пользователю перемещаться по офису среднего размера, не блокируя устройство. rssiMaxDelta определяет, как Windows должен заблокироваться, когда сила сигнала теряется более чем на -10.

Сопряжение вашего телефона с Windows

Чтобы динамическая блокировка работала, пользователям необходимо подключить свой телефон к Windows. Подключение по Bluetooth не является действительно сложным, просто откройте Пуск и введите Bluetooth. Это покажет опцию Bluetooth и других устройств, где вы можете добавить устройство Bluetooth. Подключите ваш телефон, чтобы динамическая блокировка работала.

Вы можете проверить динамическую блокировку на клиентском устройстве, открыв Настройки > Учетные записи > Параметры входа. Прокрутите немного вниз, и вы увидите, что динамическая блокировка включена и связана с вашим телефоном.

Многофакторная разблокировка

При входе в Windows мы обычно используем однофакторную аутентификацию: пароль, PIN-код или отпечаток пальца. Как было упомянуто в начале, особенно PIN-код легко может быть скомпрометирован при подглядывании через плечо. Но также пароли могут быть скомпрометированы. Нападающий может получить доступ к вашей системе с помощью этих украденных учетных данных.

С Windows Hello для бизнеса мы можем добавить дополнительный фактор для разблокировки Windows. Для второго фактора вам потребуется использовать другой поставщик учетных данных, чем для первой разблокировки. Дополнительным вариантом, который мы используем, является доверительный сигнал (подробнее о доверительных сигналах позже). По умолчанию для второго фактора разблокировки используются PIN-код и доверительные сигналы.

Для настройки многофакторной разблокировки мы будем использовать групповые политики. Мы можем определить, какие поставщики учетных данных (PIN-код, отпечаток пальца, распознавание лиц, доверенный сигнал) мы хотим использовать в качестве первого и второго факторов разблокировки. Эти поставщики учетных данных обозначены с использованием GUIDs:

Включить многофакторную разблокировку

Чтобы включить многофакторную разблокировку в Windows Hello для бизнеса, нам нужно будет снова отредактировать групповую политику.

1. В Управлении групповыми политиками отредактируйте политику Windows Hello для бизнеса
2. Перейдите к:
   Политика > Административные шаблоны > Компоненты Windows > Windows Hello для бизнеса
3. Включите настройку: Настроить динамические разблокирующие факторы

Настройка по умолчанию для динамического разблокировки (многофакторная разблокировка) следующая. Для первого разблокирования вы можете использовать следующие поставщики удостоверений:

• PIN – {D6886603-9D2F-4EB2-B667-1971041FA96B}
• С отпечатком пальца - {BEC09223-B018-416D-A0AC-523971B639F5}
• Распознавание лиц - {8AF662BF-65A0-4D0A-A540-A338A999D36F}

А для второго фактора разблокировки вы можете по умолчанию использовать либо:

• Доверенный сигнал – {27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}
• PIN – {D6886603-9D2F-4EB2-B667-1971041FA96B}

Оба настроены в параметрах политики с использованием GUID, разделенных запятыми:

First unlock
{D6886603-9D2F-4EB2-B667-1971041FA96B},{8AF662BF-65A0-4D0A-A540-A338A999D36F},{BEC09223-B018-416D-A0AC-523971B639F5}

Second unlock
{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD},{D6886603-9D2F-4EB2-B667-1971041FA96B}

Если вы хотите добавить распознавание лиц в качестве второго фактора разблокировки, вы можете просто добавить GUID в список:

Trusted signal, PIN, Facial recognition
{27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD},{D6886603-9D2F-4EB2-B667-1971041FA96B},{8AF662BF-65A0-4D0A-A540-A338A999D36F}

Доверенные сигналы

Наиболее распространенным вариантом второго фактора разблокировки является Доверенный сигнал. Идея состоит в том, что вы либо измеряете, находится ли пользователь рядом с устройством Windows, основываясь на сигнале Bluetooth телефона или носимых устройств, либо проверяете, находится ли устройство Windows в доверенной сети.

Сигнал Bluetooth телефона является опцией по умолчанию. Как и с Динамической блокировкой, у нас есть однострочный XML-файл, где мы можем настроить тип сигнала и класс устройства.

<rule schemaVersion="1.0"> <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/> </rule> 

Теперь Bluetooth работает отлично в большинстве случаев, особенно в сочетании с функцией динамической блокировки. Но Bluetooth не всегда является вариантом. Настольные компьютеры часто не имеют Bluetooth-адаптера, или пользователи не хотят соединять свои (личные) мобильные устройства с корпоративным устройством. Другой вариант для надежного сигнала - проверить сетевую среду устройства.

Например, когда устройство находится в офисе или подключено к известной беспроводной сети, мы можем удовлетворить требование доверенного сигнала на основе деталей сети или беспроводной сети. Мы можем, например, проверить диапазон IP, имя беспроводной сети (SSID), MAC-адрес точки доступа или суффикс DNS. Просмотрите документацию для получения всех возможных вариантов.

Хорошо знать, что вы можете использовать несколько правил вместе, так что вы можете проверять как сигнал Bluetooth, так и детали сети. А когда дело доходит до проверки сети, вы можете использовать несколько условий.

Примеры надежных сигналов

Теперь я не собираюсь объяснять все возможные параметры для ipConfig и сигнала Wifi, но я приведу вам несколько часто используемых примеров для доверенного сигнала.

Заметка

Конфигурация XML должна быть в формате однострочного XML. Используйте минимизатор XML, чтобы сжать ваш XML в одну строку. Убедитесь, что у вас только одна строка!

В первом примере мы собираемся проверить надежный сигнал по либо dnsSuffix конфигурации IP, либо по сигналу Bluetooth. Обратите внимание, что два правила разделены запятой. Теперь код ниже не сжат, поэтому прежде чем вы сможете его использовать, вам нужно будет его сжать.

<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <dnsSuffix>a-d.site</dnsSuffix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0">
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Скопируйте и вставьте код в XML Beautifier и нажмите Minify XML. Обратите внимание, что в результате у нас все еще 2 строки, а не одна! Поставьте курсор за запятой в строке 1 и нажмите клавишу удаления. Это поместит XLM в одну строку.

XML-результат должен выглядеть следующим образом перед тем, как вы добавите настройки политики:

<rule schemaVersion="1.0"><signal type="ipConfig"><dnsSuffix>a-d.site</dnsSuffix></signal></rule>,<rule schemaVersion="1.0"><signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/></rule>

Вы также можете проверить два или более правила, используя элемент AND. Например, мы хотим проверить имя беспроводной сети (SSID) и диапазон IP. Обратите внимание на элемент AND под элементом правила. В этом случае устройство должно быть подключено к беспроводной сети lazywifi и иметь IP-адрес, назначенный в диапазоне 192.168.0.x.

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
    <ipv4Prefix>192.168.0.0/24</ipv4Prefix>
  </signal> 
  <signal type="wifi">
    <ssid>lazywifi</ssid> 
  </signal>
</and>
</rule>

Если у вас несколько офисов, то, вероятно, вы захотите проверить различные сетевые настройки. В таких случаях убедитесь, что вы создаете правило для каждой сетевой среды, например:

<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <ipv4Prefix>172.16.10.0/24</ipv4Prefix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0"> 
  <signal type="ipConfig"> 
    <ipv4Prefix>172.16.30.0/24</ipv4Prefix> 
  </signal> 
</rule>,
<rule schemaVersion="1.0">
  <signal type="bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Устранение неполадок

Конфигурация надежного сигнала может потребовать немного проб и ошибок, чтобы она заработала идеально. Имейте в виду, что изменения политики могут занять некоторое время, чтобы отразиться на клиенте. Поэтому убедитесь, что вы проверили, применены ли последние настройки, с помощью утилиты RSOP. В ходе моих собственных тестов я заметил, что сигналы беспроводной сети не работали надежно. Некоторые клиенты не смогли удовлетворить дополнительный фактор, хотя и были подключены к правильной беспроводной сети.

При устранении неполадок Windows Hello для бизнеса на клиенте обязательно используйте средство просмотра событий. Оно предоставляет отличное представление о том, какие поставщики учетных данных использует WHfB и были ли какие-либо проблемы. Вы найдете события в средстве просмотра событий по пути:
Журналы приложений и служб > Microsoft > Windows > HelloForBusiness > Операционный

При использовании многофакторного разблокирования, также известного как динамическое разблокирование, вы увидите два события в просмотрщике событий. Первое событие - это разблокировка первого фактора. В представленном ниже примере видно, что я использовал Отпечаток пальца – {BEC09223-B018-416D-A0AC-523971B639F5} в качестве удостоверения личности. GUID указан в группе A, поэтому мы можем успешно использовать его.

Через несколько секунд мы видим второе событие фактора разблокировки. Здесь мы использовали доверительный сигнал {27FBDB57-B613-4AF2-9D7E-4FA7A66C21AD}, который указан как поставщик в Группе B.

Заключение

Развертывание Windows Hello for Business с использованием облачной доверенности довольно просто по сравнению со старыми методами. Убедитесь, что вы тщательно протестировали реализацию, прежде чем вводить её в вашей организации. Я видел новые ноутбуки Hp, где датчик отпечатков пальцев не работает с Windows Hello for Business сразу из коробки. Обновление драйвера чаще всего решает проблему, но убедитесь, что вы протестировали различные устройства, которые есть в вашей организации.

Windows Hello для бизнеса не только является хорошим улучшением безопасности, но также делает вход в систему более удобным для ваших пользователей. Это действительно поможет в принятии этого решения в вашей организации.

Если у вас есть вопросы, просто оставьте комментарий ниже.