View a markdown version of this page

Habilitación de la autenticación mTLS en Conector AD para usarla con tarjetas inteligentes - AWS Directory Service
Requisitos previosHabilitación de la autenticación con tarjeta inteligente

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Habilitación de la autenticación mTLS en Conector AD para usarla con tarjetas inteligentes

Puedes usar la autenticación mutua de seguridad de la capa de transporte (mTLS) basada en certificados con tarjetas inteligentes para autenticar a los usuarios en Amazon a WorkSpaces través de tu Active Directory (AD) y AD Connector autogestionados. Cuando está habilitada, los usuarios seleccionan su tarjeta inteligente en la pantalla de inicio de WorkSpaces sesión e introducen un PIN para autenticarse, en lugar de usar un nombre de usuario y una contraseña. A partir de ahí, el escritorio virtual de Windows o Linux utiliza la tarjeta inteligente para autenticarse en AD desde el sistema operativo nativo del escritorio.

nota

La autenticación con tarjeta inteligente en AD Connector solo está disponible en los siguientes Regiones de AWS casos y solo con WorkSpaces. Por el momento, no se admiten otras AWS aplicaciones.

  • Este de EE. UU. (Norte de Virginia)

  • Oeste de EE. UU. (Oregón)

  • Asia-Pacífico (Sídney)

  • Asia Pacífico (Tokio)

  • Europa (Irlanda)

  • AWS GovCloud (US-West)

  • AWS GovCloud (US-East)

También puede anular el registro y deshabilitar los certificados.

Temas

Requisitos previos

Para habilitar la autenticación mutua de seguridad de la capa de transporte (mTLS) basada en certificados mediante tarjetas inteligentes para el WorkSpaces cliente de Amazon, necesita una infraestructura operativa de tarjetas inteligentes integrada con su Active Directory autogestionado. Para obtener más información sobre cómo configurar la autenticación con tarjetas inteligentes con Amazon WorkSpaces y Active Directory, consulte la Guía de administración de Amazon. WorkSpaces

Antes de habilitar la autenticación con tarjeta inteligente WorkSpaces, revise los siguientes requisitos previos:

Requisitos del certificado de CA

Conector AD requiere un certificado de entidad de certificación (CA), que representa al emisor de los certificados de usuario, para la autenticación con tarjeta inteligente. Conector AD hace coincidir los certificados de CA con los certificados presentados por los usuarios con sus tarjetas inteligentes. Tenga en cuenta los siguientes requisitos de los certificados de CA:

  • Antes de registrar un certificado de CA, deben quedar más de 90 días para que caduque.

  • Los certificados de CA deben estar en Privacy-Enhanced formato Mail (PEM). Si exporta certificados de CA desde Active Directory, elija Base64-encoded X.509 (.CER) como formato de archivo de exportación.

  • Para que la autenticación con tarjeta inteligente se haga correctamente, se deben cargar todos los certificados de CA raíz e intermediaria que van desde la CA emisora hasta los certificados de usuario.

  • Se puede almacenar un máximo de 100 certificados de entidad de certificación por directorio del Conector AD.

  • AD Connector no admite el algoritmo de RSASSA-PSS firma para los certificados de CA.

  • Compruebe que el servicio de propagación de certificados esté configurado como Automático y en ejecución.

Requisitos del certificado de usuario

Los siguientes son algunos de los requisitos para el certificado de usuario:

  • El certificado de tarjeta inteligente del usuario tiene el nombre alternativo del sujeto (SAN) del usuario del usuario PrincipalName (UPN).

  • El certificado de tarjeta inteligente del usuario tiene un uso de claves mejorado como inicio de sesión con tarjeta inteligente (1.3.6.1.4.1.311.20.2.2) y autenticación de cliente (1.3.6.1.5.5.7.3.2).

  • La información del protocolo de estado de los certificados en línea (OCSP) para el certificado de tarjeta inteligente del usuario debe ser Método de acceso = Protocolo de estado del certificado (On-line1.3.6.1.5.5.7.48.1) en el sistema de acceso a la información de la autoridad.

Para obtener más información sobre los requisitos de autenticación con tarjeta inteligente y AD Connector, consulte los requisitos en la Guía de administración de Amazon. https://docs.aws.amazon.com/workspaces/latest/adminguide/smart-cards.html#smart-cards-requirements WorkSpaces Para obtener ayuda para solucionar problemas de Amazon WorkSpaces , como el inicio de sesión WorkSpaces, el restablecimiento de la contraseña o la conexión WorkSpaces, consulta la sección Solución de problemas con los WorkSpaces clientes en la Guía WorkSpaces del usuario de Amazon.

Proceso de comprobación de la revocación de certificados

Para llevar a cabo la autenticación con tarjeta inteligente, Conector AD debe comprobar el estado de revocación de los certificados de usuario mediante el protocolo Online Certificate Status Protocol (OCSP). Para llevar a cabo la comprobación la revocación de certificados, la URL de un agente de respuesta OCSP ser accesible desde Internet. Si usa un nombre de DNS, la URL de un agente de respuesta OCSP debe usar un dominio de nivel superior que se encuentre en la Base de datos de la zona raíz de la Internet Assigned Numbers Authority (IANA).

nota

Los directorios creados después del 7 de octubre de 2025 requieren que los servidores OCSP utilizados para la validación de los SmartCard certificados puedan enrutarse a través de la configuración de red de la VPC. Si no se puede acceder a su servidor OCSP a través de las tablas de enrutamiento, los grupos de seguridad y las ACL de red de la VPC, la SmartCard autenticación fallará durante las comprobaciones de revocación de certificados. Para resolver este problema, asegúrese de que:

  • Enrutamiento de red: las tablas de enrutamiento de la VPC permiten que el tráfico llegue al servidor OCSP desde las subredes en las que están implementadas las instancias del directorio del conector AD.

  • Grupos de seguridad: los grupos de seguridad asociados a las interfaces de red de su directorio permiten el tráfico saliente hacia su servidor OCSP en el puerto 80 (HTTP).

  • ACL de red: las ACL de la red de subred permiten el tráfico bidireccional hacia el servidor OCSP. to/from

  • Internet Gateway/NAT: si su servidor OCSP está conectado a Internet, asegúrese de que su VPC tenga la configuración adecuada de puerta de enlace de Internet o puerta de enlace NAT para las subredes del directorio. Si su tipo de red es IPv4, necesitará tener configuradas la NAT y la puerta de enlace a Internet en su VPC.

La comprobación de revocación de certificados del Conector AD utiliza el siguiente proceso:

  • Conector AD debe comprobar la extensión Authority Information Access (AIA) del certificado de usuario para una URL del agente de respuesta OCSP y, a continuación, Conector AD utiliza la URL para comprobar la revocación.

  • Si Conector AD no puede resolver la URL que se encuentra en la extensión AIA del certificado de usuario o encuentra una URL del agente de respuesta OCSP en el certificado de usuario, Conector AD utiliza la URL de OCSP opcional proporcionada durante el registro del certificado de CA raíz.

    Si la URL de la extensión AIA del certificado de usuario se resuelve, pero no tiene respuesta, se produce un error en la autenticación del usuario.

  • Si la URL del agente de respuesta OCSP proporcionada durante el registro del certificado de CA raíz no se resuelve, no responde o, en cambio, no se proporcionó ninguna URL del agente de respuesta OCSP, se producirá un error en la autenticación del usuario.

  • El servidor OCSP debe ser compatible con la RFC 6960. Además, el servidor OCSP debe admitir las solicitudes que utilicen el método GET para las solicitudes que tengan un total de 255 bytes o menos.

nota

Conector AD requiere una URL HTTP para la URL del agente de respuesta OCSP.

Consideraciones

Antes de habilitar la autenticación con tarjeta inteligente en Conector AD, tenga en cuenta lo siguiente:

  • Conector AD utiliza la autenticación Mutual Transport Layer Security (mutual TLS) basada en certificados para autenticar a los usuarios en Active Directory mediante certificados de tarjetas inteligentes basados en hardware o software. Por el momento, solo se admiten las tarjetas de acceso común (CAC) y las tarjetas de verificación de identidad personal (PIV). Es posible que otros tipos de tarjetas inteligentes basadas en hardware o software funcionen, pero no se han probado para su uso con el WorkSpaces protocolo de transmisión.

  • La autenticación con tarjeta inteligente reemplaza la autenticación de nombre de usuario y contraseña por WorkSpaces.

    Si tiene otras AWS aplicaciones configuradas en el directorio de AD Connector con la autenticación con tarjeta inteligente habilitada, esas aplicaciones seguirán mostrando la pantalla de ingreso de nombre de usuario y contraseña.

  • Al habilitar la autenticación con tarjeta inteligente, se limita la duración de la sesión del usuario a la duración máxima de los tickets de servicio de Kerberos. Puede configurar esta opción mediante una política de grupo (de forma predeterminada, está configurada en 10 horas). Para obtener más información sobre esta configuración, consulte la documentación de Microsoft.

  • El tipo de cifrado Kerberos compatible con la cuenta de servicio del Conector AD debe coincidir con todos los tipos de cifrado Kerberos compatibles con el controlador de dominio.

Habilitación de la autenticación con tarjeta inteligente

Para habilitar la autenticación con tarjeta inteligente WorkSpaces en tu AD Connector, primero debes importar los certificados de tu autoridad de certificación (CA) a AD Connector. Puedes importar tus certificados de CA a AD Connector mediante la AWS Directory Service consola, la API o la CLI. Siga estos pasos para importar los certificados de CA y, posteriormente, habilitar la autenticación con tarjeta inteligente.

Habilitación de la delegación restringida de Kerberos para la cuenta de servicio del Conector AD

Para usar la autenticación con tarjeta inteligente con Conector AD, debe habilitar la delegación limitada de Kerberos (KCD) para la cuenta del servicio del Conector AD en el servicio LDAP del directorio AD autoadministrado.

La delegación limitada de Kerberos es una característica de Windows Server. Esta característica les permite a los administradores del servicio especificar y aplicar límites de confianza en una aplicación limitando el alcance hasta el que pueden actuar los servicios de esta última en representación de un usuario. Para obtener más información, consulte Delegación limitada de Kerberos.

nota

La delegación restringida de Kerberos (KCD) requiere que la parte del nombre de usuario de la cuenta de servicio de AD Connector coincida con los s AMAccountName del mismo usuario. La s AMAccountName está restringida a 20 caracteres. S AMAccountName es un atributo de Microsoft Active Directory que se utiliza como nombre de inicio de sesión en las versiones anteriores de los clientes y servidores de Windows.

  1. Use el comando SetSpn para establecer un nombre principal de servicio (SPN) para la cuenta de servicio del Conector AD en el AD autoadministrado. Esto habilita la cuenta de servicio para la configuración de delegación.

    El SPN puede ser cualquier combinación de servicios o nombres, pero no un duplicado de un SPN existente. -s comprueba si hay duplicados.

    setspn -s my/spn service_account

  2. En Usuarios y equipos de AD, abra el menú contextual (haga clic con el botón derecho), elija la cuenta de servicio del Conector AD y elija Propiedades.

  3. Seleccione la pestaña Delegación.

  4. Elija las opciones Confiar en este usuario para delegar únicamente en el servicio especificado y Utilizar cualquier protocolo de autenticación.

  5. Seleccione Agregar y, a continuación, Usuarios o equipos para localizar el controlador de dominio.

  6. Haga clic en Aceptar para mostrar una lista de los servicios disponibles que se utilizan para la delegación.

  7. Elija el tipo de servicio ldap y seleccione Aceptar.

  8. Elija Aceptar para guardar la nueva configuración.

  9. Repita este proceso para otros controladores de dominio en el Active Directory. Como alternativa, puede automatizar el proceso utilizando PowerShell.

Registro del certificado de CA en el Conector AD

Utilice uno de los métodos siguientes para registrar un certificado de CA para el directorio del Conector AD.

Método 1: Para registrar su certificado de CA en AD Connector (Consola de administración de AWS)

  1. En el panel de navegación de la consola de AWS Directory Service, seleccione Directorios.

  2. Elija el enlace del ID de directorio correspondiente a su directorio.

  3. En la página Directory details (Detalles del directorio), elija la pestaña Networking & security (Redes y seguridad).

  4. En la sección Autenticación con tarjeta inteligente, seleccione Acciones y, a continuación, seleccione Registrar certificado.

  5. En el cuadro de diálogo Registrar un certificado, seleccione Elegir archivo y, a continuación, seleccione un certificado y elija Abrir. Si lo desea, puede llevar a cabo una comprobación de revocación de este certificado al proporcionar una URL del agente de respuesta OCSP del Protocolo Online Certificate Status Protocol (OCSP). Para obtener más información acerca de OCSP, consulte Proceso de comprobación de la revocación de certificados.

  6. Elija Register certificate (Registrar certificado). Cuando vea que el estado del certificado cambia a Registrado, el proceso de registro se habrá completado correctamente.

Método 2: Para registrar su certificado de CA en AD Connector (AWS CLI)

  • Ejecute el comando siguiente. Para los datos del certificado, elija la ubicación del archivo de certificado de CA. Para proporcionar una dirección secundaria del agente de respuesta OCSP, utilice el objeto ClientCertAuthSettings opcional. 

    aws ds register-certificate --directory-id your_directory_id --certificate-data file://your_file_path --type ClientCertAuth --client-cert-auth-settings OCSPUrl=http://your_OCSP_address

    Si se ejecuta correctamente, la respuesta proporciona un ID de certificado. También puede comprobar que el certificado de CA se ha registrado correctamente al ejecutar el siguiente comando de la CLI:

    aws ds list-certificates --directory-id your_directory_id

    Si el valor de estado devuelve Registered, el certificado se ha registrado correctamente.

Habilitar la autenticación con tarjeta inteligente si es compatible AWS aplicaciones y servicios

Utilice uno de los métodos siguientes para registrar un certificado de CA para el directorio del Conector AD.

Método 1: Para habilitar la autenticación con tarjeta inteligente en AD Connector (Consola de administración de AWS)

  1. Vaya a la sección Autenticación con tarjeta inteligente en la página Detalles del directorio y seleccione Habilitar. Si esta opción no está disponible, compruebe que se ha registrado correctamente un certificado válido y vuelva a intentarlo.

  2. En el cuadro de diálogo Habilitar la autenticación con tarjeta inteligente, seleccione Habilitar.

Método 2: Para habilitar la autenticación con tarjeta inteligente en AD Connector (AWS CLI)

  • Ejecute el comando siguiente.

    aws ds enable-client-authentication --directory-id your_directory_id --type SmartCard

    Si se hace correctamente, Conector AD devuelve una respuesta HTTP 200 con un cuerpo HTTP vacío.

Para obtener más información sobre cómo ver su certificado, anular su registro o deshabilitarlo, consulte Administración de la configuración de autenticación con tarjeta inteligente.