![U2F(YubiKey 等)和 Active Directory](https://linux22.com/image/694159/U2F%EF%BC%88YubiKey%20%E7%AD%89%EF%BC%89%E5%92%8C%20Active%20Directory.png)
我正在寻找有关如何将 U2F(使用 YubiKey 或类似设备)集成到 Active Directory Windows 域(将是 Windows 2016 服务器)的信息。我尤其感兴趣的是确保 Windows 登录到工作站/服务器的安全,以要求使用 U2F 令牌作为第二个因素(仅使用密码根本不起作用)。
简而言之,目标是每次身份验证都是通过密码+U2F 令牌或使用 kerberos 令牌完成的。
关于这个特定场景或经验教训的更多信息,任何关于哪里可以找到的提示都会很有用。
答案1
简洁版本
我开始研究将 FreeRADIUS 与 Windows 网络策略访问服务 (NPS) 结合使用,因为我们拥有混合的 Windows/Linux 环境(并且 YubiRADIUS 不再受支持)。FreeRADUIS 将用于将 YubiKey 与 AD Auth 绑定在一起。
我在搜索中找到了几个非免费资源,例如 WiKID Systems 和 AuthLite,它们可用于使用 Yubikeys 进行双因素身份验证(链接如下)。似乎有一种方法可以使用内置 Windows 服务(使用网络策略和访问服务 (NPS))来实现非常接近的效果,我将其用作 FreeRADIUS 工作的基础。
这是使 NPS 与 WiKD 协同工作的教程
此 URL 描述了如何使其与 AuthLite 配合使用
https://www.tachyondynamics.com/yubikey-and-windows-domain-2-factor-authentication/
这两种实现似乎都需要某种形式的 RADIUS 服务器来传递第二因素身份验证。至少这是我的理解。
此外:如果您搜索“Windows Server 2016 2-factor yubikey”或类似内容,您可能会找到更多内容。
希望这可以帮助!