如何管理 Windows 登录的智能卡（库存、证书、到期日期等）？

Question

我们正在实施智能卡，以使用 Windows + AD 中的内置支持、YubiKeys 和 Gemalto .NET 卡来遵守两种形式的身份验证。

作为管理员，我可以为用户颁发新证书，并在智能卡中安装此类证书，无需额外的第三方工具，只需使用 Windows 中当前的内置支持即可。我需要的是一个可以跟踪我的卡并帮助管理其中的证书、到期日期、密码策略等的管理工具。

除了 Versasec，我在市场上找不到任何其他解决方案。虽然 versasec 工具可以满足我的所有需求，但他们的销售和支持非常糟糕（忽略丑陋的界面）。其他公司只提供针对物理访问等基础设施的工具，但目前还没有一家公司支持 Windows 工作站的逻辑访问。

任何建议将被认真考虑。

Answer 1

我不太清楚 Gemalto 产品线的管理情况，YubiKeys但是您首先应该知道 IDPrime .NET 产品线已经停产，该IDPrime MD产品线将会被取代。金雅拓：

我们想向您通报，我们将宣布停止销售以下智能卡：

IDPrime .Net  
IDPrime .Net Bio

重要日期：

Milestone     Date

Last-Time-Buy (LTB)   September 29, 2017  
End-of-Sale (EOS)     September 30, 2017  
End-of-Life (EOL)     September 30, 2018

对于智能卡管理，真正重要的是范围。如果您有大量卡，投资 CMS（卡管理系统）是明智之举，例如 Microsoft FIM、Verasec vSEC:CMS、Gemalto IDAdmin 200 等。对于小型部署，实际上只需解决三个问题，并且所有问题都可以通过免费提供的工具实现。

1. 管理员 PIN- 在 Gemalto 卡上，这是一个 24 字节值，默认设置为 0x00。Verasec vSEC:CMS K 系列工具可将其更改为随机值。因此，如果智能卡丢失，证书将无法恢复，因为只允许 5 次管理员登录失败。请务必安全记录新的管理员 PIN，因为它将用于执行以下任务：
   1. 解除用户 PIN 封锁
   2. 设置用户 PIN 策略
   3. 其他管理活动（重置卡、管理其他角色等）
2. 卡片管理- 此活动主要包括设置用户 PIN 策略，但它可以扩展到管理其他用户角色。Verasec vSEC：CMS K 系列可以完成足够的工作，尽管 Gemalto 的 Minidriver Manager 功能更全面。只需确保将适用的管理员 PIN 添加到文件中，MD_Manager.ini即可以管理员角色登录。Gemalto Minidriver Manager 可以本地执行除更改管理员 PIN 之外的所有管理职责。
3. 解除用户 PIN 封锁- Verasec vSEC：CMS K 系列提供此功能，而 Gemalto 提供一种名为 Response Calculator 的工具。