Настройка разблокировки доверенного сигнала

Windows Hello для бизнеса поддерживает многофакторную проверку подлинности, объединяя привязанные к устройству учетные данные (фактор владения) с ПИН-кодом (коэффициентом знаний) или биометрическим жестом, например распознаванием лиц или сканированием отпечатков пальцев (фактор наследуемости). В средах, где только владение устройством может не обеспечить достаточную уверенность, например, если ПИН-код пользователя может быть замечен злоумышленником поблизости, требование дополнительного сигнала доверия вместе с ПИН-кодом или биометрическим жестом может помочь улучшить Windows Hello для бизнеса при входе и снизить риск несанкционированного доступа.

Windows Hello для бизнеса можно настроить с помощью разблокировки доверенного сигнала, расширив Windows Hello доверенными сигналами. Администраторы могут настроить устройства, чтобы требовать дополнительный сигнал доверия "фактор", который дополняет традиционные Windows Hello проверки подлинности путем наслоения на дополнительный сигнал, например подключение к знакомому дополнительному устройству или сети.

Разблокировка доверенного сигнала идеально подходит для организаций, которые:

• Заявили, что учетные данные, привязанные к устройству Windows Hello, авторизованные только с помощью ПИН-кода, не соответствуют их требованиям безопасности
• Хотите уменьшить влияние информационных работников, которые совместно используют учетные данные
• Хотите сохранить привычный пользовательский интерфейс для входа в Windows вместо развертывания пользовательского решения

Принцип работы

Поставщики учетных данных для первого разблокировки и поставщики учетных данных второго разблокировки отвечают за большую часть конфигурации. Каждый из этих компонентов содержит глобальный уникальный идентификатор (GUID), который представляет отдельный поставщик учетных данных Windows. Если параметр политики включен, пользователи разблокировать устройство с помощью по крайней мере одного поставщика учетных данных из каждой категории, прежде чем Windows позволит пользователю перейти на свой рабочий стол.

Параметр политики состоит из трех компонентов:

• Поставщики учетных данных для первого фактора разблокировки
• Поставщики учетных данных второго фактора разблокировки
• Сигнальные правила для разблокировки устройства

Настройка факторов разблокировки

Поддерживаемые поставщики учетных данных:

Поставщики учетных данных по умолчанию для поставщиков учетных данных для первого фактора разблокировки включают:

• ПИН-код (обязательный)
• Сканирование отпечатков пальцев
• Распознавание лиц

Поставщики учетных данных по умолчанию для поставщиков учетных данных второго фактора разблокировки :

• Доверенный сигнал (обязательный)

Настройте разделенный запятыми список идентификаторов GUID поставщика учетных данных, которые вы хотите использовать в качестве первых факторов разблокировки. Перечисленные поставщики учетных данных не обязательно должны находиться в определенном порядке.

Настройка правил сигнала для поставщика учетных данных доверенного сигнала

Параметр Сигнальные правила для разблокировки устройства содержит правила, которые поставщик учетных данных доверенного сигнала использует для обеспечения соответствия всем условиям разблокировки устройства.

Элемент правила

Вы указываете правила сигналов в формате XML. Каждое правило сигнала содержит начальный и конечный rule элементы, содержащие schemaVersion атрибут и значение. Текущая поддерживаемая версия схемы — 1.0.

Пример

<rule schemaVersion="1.0">
</rule>

Один элемент

Каждый элемент rule имеет элемент signal . Все элементы сигнала имеют type элемент и value. Поддерживаемые значения:

• Bluetooth
• Конфигурация IP
• Wi-Fi

Bluetooth

Сигнал Bluetooth определяется с дополнительными атрибутами в элементе signal. В конфигурации Bluetooth не используются другие элементы. Элемент signal можно завершить коротким конечным тегом />.

Пример:

<rule schemaVersion="1.0">
    <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Значение атрибута rssiMin показывает необходимый уровень сигнала, чтобы устройство считалось "находящимся в радиусе действия". Значение по умолчанию -10 позволяет пользователю перемещаться по офису среднего размера или рабочему кабинету, и при этом Windows не будет активировать блокировку устройства. RssiMaxDelta имеет значение по умолчанию –10, которое предписывает Windows заблокировать устройство, как только сила сигнала ослабнет более чем на 10.

Измерения RSSI относительны и ниже по мере уменьшения сигналов Bluetooth между двумя парными устройствами. Значение 0 больше -10. Значение -10 больше ,чем -60, и указывает на то, что устройства движутся друг от друга дальше.

Конфигурация IP

Сигналы конфигурации IP определяются с помощью одного или нескольких элементов ipConfiguration. Каждый элемент имеет строковое значение. Элементы IpConfiguration не имеют атрибутов или вложенных элементов.

IPv4Prefix

Префикс сети IPv4, представленный в стандартной интернет-нотации с точками. Сетевой префикса, который использует нотацию CIDR, должен быть частью строки сетевого адреса. Сетевой порт не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4Prefix. Пример:

<ipv4Prefix>192.168.100.0/24</ipv4Prefix>

IPv4-адреса, назначенные в диапазоне 192.168.100.1–192.168.100.254, соответствуют этой конфигурации сигнала.

IPv4Gateway

Сетевой шлюз IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4Gateway. Пример:

<ipv4Gateway>192.168.100.10</ipv4Gateway>

IPv4DhcpServer

DHCP-сервер IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv4DhcpServer. Пример:

<ipv4DhcpServer>192.168.100.10</ipv4DhcpServer>

IPv4DnsServer

DNS-сервер IPv4, представленный в стандартной интернет-нотации с точками. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать один или несколько элементов ipv4DnsServer .

Пример

<ipv4DnsServer>192.168.100.10</ipv4DnsServer>

IPv6Prefix

Префикс сети IPv6, представленный в сети IPv6 в стандартной шестнадцатеричной кодировке. Префикс сети в нотации CIDR является частью строки сетевого адреса. Сетевой порт или ИД области действия не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6Prefix. Пример:

<ipv6Prefix>21DA:D3::/48</ipv6Prefix>

IPv6Gateway

Сетевой шлюз IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6Gateway. Пример:

<ipv6Gateway>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6Gateway>

IPv6DhcpServer

DNS-сервер IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать только один элемент ipv6DhcpServer. Пример:

<ipv6DhcpServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DhcpServer

IPv6DnsServer

DNS-сервер IPv6, представленный в стандартной шестнадцатеричной кодировке. Идентификатор области IPv6 может присутствовать в строке сетевого адреса. Сетевой порт или префикс не может быть представлен в строке сетевого адреса. Элемент signal может содержать один или несколько элементов ipv6DnsServer. Пример:

<ipv6DnsServer>21DA:00D3:0000:2F3B:02AA:00FF:FE28:9C5A%2</ipv6DnsServer>

dnsSuffix

Полное доменное имя внутреннего DNS-суффикса организации, в котором в основном DNS-суффиксе компьютера существует любая часть полного доменного имени в этом параметре. Элемент signal может содержать один или несколько элементов dnsSuffix. Пример:

<dnsSuffix>corp.contoso.com</dnsSuffix>

Wi-Fi

Вы определяете сигналы Wi-Fi с помощью одного или нескольких элементов Wi-Fi. Каждый элемент имеет строковое значение. Элементы Wifi не имеют атрибутов или вложенных элементов.

SSID

Содержит идентификатор набора служб (SSID) беспроводной сети. SSID — это имя беспроводной сети. Элемент SSID является обязательным. Пример:

<ssid>corpnetwifi</ssid>

BSSID

Содержит базовый идентификатор набора служб (BSSID) беспроводной точки доступа. BSSID — это mac-адрес беспроводной точки доступа. Элемент BSSID необязателен. Пример:

<bssid>12-ab-34-ff-e5-46</bssid>

Безопасность

Содержит тип безопасности, который клиент использует при подключении к беспроводной сети. Элемент безопасности является обязательным и должен содержать одно из следующих значений:

Пример:

<security>WPA2-Enterprise</security>

TrustedRootCA

Содержит отпечаток доверенного корневого сертификата беспроводной сети. Можно использовать любой допустимый доверенный корневой сертификат. Значение представлено в виде шестнадцатеричной строки, где каждый байт в строке отделяется одним пробелом. Элемент является необязательным. Пример:

<trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>

Sig_quality

Содержит числовое значение в диапазоне от 0 до 100, которое представляет уровень сигнала беспроводной сети, который необходимо считать доверенным сигналом.

Пример:

<sig_quality>80</sig_quality>

Примеры конфигураций доверенного сигнала

Пример 1

В следующем примере настраивается тип сигнала IPConfig с помощью элементов Ipv4Prefix, Ipv4DnsServer и DnsSuffix .

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <ipv4Prefix>10.10.10.0/24</ipv4Prefix>
        <ipv4DnsServer>10.10.0.1</ipv4DnsServer>
        <ipv4DnsServer>10.10.0.2</ipv4DnsServer>
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>

Пример 2

В следующем примере настраивается тип сигнала IpConfig с помощью элемента dnsSuffix и сигнала Bluetooth для телефонов. В этом примере предполагается, что правило IpConfig или Bluetooth должно иметь значение true, чтобы итоговая оценка сигнала была истинной.

<rule schemaVersion="1.0">
    <signal type="ipConfig">
        <dnsSuffix>corp.contoso.com</dnsSuffix>
    </signal>
</rule>,
<rule schemaVersion="1.0">
    <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</rule>

Пример 3

В следующем примере настраивается то же, что и в примере 2 с использованием составных and элементов. В этом примере предполагается, что ipConfig и правило Bluetooth должны иметь значение true, чтобы итоговая оценка сигнала была истинной.

<rule schemaVersion="1.0">
<and>
  <signal type="ipConfig">
   <dnsSuffix>corp.microsoft.com</dnsSuffix>
  </signal>
  <signal type="Bluetooth" scenario="Authentication" classOfDevice="512" rssiMin="-10" rssiMaxDelta="-10"/>
</and>
</rule>

Пример 4

В следующем примере Wi-Fi настраивается в качестве доверенного сигнала.

<rule schemaVersion="1.0">
  <signal type="wifi">
    <ssid>contoso</ssid>
    <bssid>12-ab-34-ff-e5-46</bssid>
    <security>WPA2-Enterprise</security>
    <trustedRootCA>a2 91 34 aa 22 3a a2 3a 4a 78 a2 aa 75 a2 34 2a 3a 11 4a aa</trustedRootCA>
    <sig_quality>80</sig_quality>
  </signal>
</rule>

Настройка разблокировки доверенного сигнала

Чтобы настроить разблокировку доверенного сигнала, можно использовать:

• Microsoft Intune/CSP
• Групповая политика

Ниже приведены инструкции по настройке устройств. Выберите вариант, который лучше всего соответствует вашим потребностям.

Устранение неполадок

Разблокировка доверенного сигнала записывает события в журнал событий в разделе Журналы приложений и служб\Microsoft\Windows\HelloForBusiness с именем категории Device Unlock.

События