Cartes à puce
Les cartes à puce et les technologies équivalentes sont prises en charge selon les indications décrites dans cet article. Pour utiliser des cartes à puce avec XenApp ou XenDesktop :
- Il est important de bien comprendre la stratégie de sécurité de votre organisation concernant l’utilisation des cartes à puce. Ces stratégies peuvent, par exemple, déterminer comment les cartes à puce sont délivrées et comment les utilisateurs doivent les protéger. Il peut être nécessaire de réévaluer certains aspects de ces stratégies dans un environnement XenApp ou XenDesktop.
- Déterminez les types de machine utilisateur, les systèmes d’exploitation et les applications publiées qui doivent être utilisés avec des cartes à puce.
- Familiarisez-vous avec la technologie de carte à puce ainsi que le matériel et les logiciels de votre fournisseur de carte à puce.
- Déterminez comment déployer des certificats numériques dans un environnement distribué.
Types de cartes à puce
Les cartes à puce d’entreprise et de consommateur ont les mêmes dimensions et connecteurs électriques et utilisent les mêmes lecteurs de carte à puce.
Les cartes à puce d’entreprise contiennent des certificats numériques. Ces cartes à puce prennent en charge l’ouverture de session Windows et peuvent également être utilisées avec des applications pour la signature numérique et le cryptage de documents et d’e-mails. XenApp et XenDesktop prennent en charge ces utilisations.
Les cartes à puce de consommateur ne contiennent pas de certificats numériques ; elles contiennent un secret partagé. Ces cartes à puce peuvent prendre en charge les paiements (par carte de crédit avec puce et signature ou avec puce et code PIN). Elles ne prennent pas en charge l’ouverture de session Windows ou les applications Windows standard. Des applications Windows spécialisées et une infrastructure logicielle adaptée (notamment, par exemple, une connexion à un réseau de carte de paiement) sont requises pour utiliser ces cartes à puce. Contactez votre conseiller Citrix pour de plus amples informations sur la prise en charge de ces applications spécialisées sur XenApp ou XenDesktop.
Pour les cartes à puce d’entreprise, il existe des équivalents compatibles qui peuvent être utilisés de manière similaire.
- Un jeton USB équivalent à une carte à puce se connecte directement à un port USB. Ces jetons USB sont généralement de la taille d’un lecteur flash USB, mais peuvent être aussi petits qu’une carte SIM utilisée dans un téléphone mobile. Ils se présentent comme une combinaison d’une carte à puce et d’un lecteur de carte à puce USB.
- Une carte à puce virtuelle utilisant un module de plateforme sécurisée Windows (TPM) s’affiche en tant que carte à puce. Ces cartes à puce virtuelles sont prises en charge pour Windows 8 et Windows 10, à l’aide de Citrix Receiver 4.3 minimum.
- Les versions de XenApp et XenDesktop antérieures à 7.6 FP3 ne prennent pas en charge les cartes à puce virtuelles.
- Pour de plus amples informations sur les cartes à puce virtuelles, consultez la section Virtual Smart Card Overview.
Remarque : le terme « carte à puce virtuelle » est également utilisé pour décrire un certificat numérique simplement stocké sur l’ordinateur de l’utilisateur. Ces certificats numériques ne sont pas réellement similaires aux cartes à puce.
La prise en charge des cartes à puce de XenApp et XenDesktop repose sur les spécifications standard PC/SC (Personal Computer/Smart Card) de Microsoft. La configuration minimale requise exige que les cartes à puce et les lecteurs de carte à puce soient pris en charge par le système d’exploitation Windows sous-jacent et soient certifiés WHQL (laboratoires Microsoft de contrôle qualité du matériel conçu pour Windows). Consultez la documentation Microsoft pour obtenir des informations supplémentaires sur le matériel PC/SC conformité. D’autres types de machines utilisateur peuvent respecter les normes PS/SC. Pour plus d’informations, reportez-vous au programme Citrix Ready à l’adresse https://www.citrix.com/ready/.
En règle générale, un pilote de périphérique séparé est nécessaire pour la carte à puce ou équivalent de chaque fournisseur. Cependant, si des cartes à puce sont conformes à une norme telle que la norme NIST Personal Identity Verification (PIV), il est possible d’utiliser un seul pilote de périphérique pour une gamme de cartes à puce. Le pilote de périphérique doit être installé sur la machine utilisateur et le Virtual Delivery Agent (VDA). Le pilote de périphérique est souvent fourni dans le cadre du package de middleware de la carte à puce, disponible auprès d’un partenaire Citrix ; le package de middleware de carte à puce propose des fonctionnalités avancées. Le pilote de périphérique peut également être décrit comme fournisseur de service cryptographique (CSP), fournisseur de stockage de clés (KSP) ou minipilote.
Les combinaisons carte à puce et logiciel intermédiaire pour systèmes Windows suivantes ont été testées par Citrix comme exemples représentatifs de leur type. Cependant, d’autres cartes à puce et middleware peuvent également être utilisés. Pour de plus amples informations sur les cartes à puce et middleware compatibles avec Citrix, consultez https://www.citrix.com/ready.
| Logiciels intermédiaires | Correspondance des cartes |
|---|---|
| ActivClient 7.0 (mode DoD activé) | Carte DoD CAC |
| ActivClient 7.0 en mode PIV | Carte NIST PIV |
| Mini-pilote Microsoft | Carte NIST PIV |
| GemAlto Mini Driver pour carte .NET | GemAlto .NET v2+ |
| Pilote natif Microsoft | Cartes à puce virtuelles (TPM) |
Pour de plus amples informations sur l’utilisation de cartes à puce avec d’autres types de périphériques, consultez la documentation relative à Citrix Receiver pour ce périphérique.
Pour de plus amples informations sur l’utilisation de cartes à puce avec d’autres types de périphériques, consultez la documentation relative à Citrix Receiver pour ce périphérique.
Remote PC Access
Les cartes à puce sont uniquement prises en charge pour l’accès à distance vers les postes de travail physiques exécutant Windows 10, Windows 8 ou Windows 7 ; les cartes à puce ne sont pas prises en charge par les postes de travail exécutant Windows XP.
Les cartes à puce suivantes ont été testées avec Remote PC Access :
| Logiciels intermédiaires | Correspondance des cartes |
|---|---|
| Minipilote Gemalto .NET | Gemalto .NET v2+ |
| ActivIdentity ActivClient 6.2 | NIST PIV |
| ActivIdentity ActivClient 6.2 | CAC |
| Minipilote Microsoft | NIST PIV |
| Pilote natif Microsoft | Cartes à puce virtuelles |
Types de lecteurs de carte à puce
Un lecteur de carte à puce peut être intégré à la machine utilisateur, ou être connecté séparément à la machine utilisateur (généralement via USB ou Bluetooth). Les lecteurs de carte avec contact qui sont conformes à la spécification USB CCID sont pris en charge. Ils contiennent une fente dans laquelle l’utilisateur insère la carte à puce. La norme Deutsche Kreditwirtschaft (DK) définit quatre catégories de lecteurs de carte de contact.
- Les lecteurs de carte à puce de classe 1 sont les plus courants et sont généralement dotés d’une seule fente. Les lecteurs de carte à puce de classe 1 sont pris en charge, généralement avec un pilote de périphérique CCID standard fourni avec le système d’exploitation.
- Les lecteurs de carte à puce de classe 2 présentent également un pavé numérique sécurisé qui n’est pas accessible par la machine utilisateur. Les lecteurs de carte à puce de classe 2 peuvent être intégrés à un clavier avec un pavé numérique sécurisé. Pour les lecteurs de carte à puce de classe 2, contactez votre conseiller Citrix ; un pilote de périphérique spécifique au lecteur peut être nécessaire pour activer la fonctionnalité de pavé numérique sécurisé.
- Les lecteurs de carte à puce de classe 3 contiennent également un écran sécurisé. Les lecteurs de carte à puce de classe 3 ne sont pas pris en charge.
- Les lecteurs de carte à puce de classe 4 contiennent également un module de transaction sécurisé. Les lecteurs de carte à puce de classe 4 ne sont pas pris en charge.
Remarque : la classe du lecteur de carte à puce n’est pas liée à la classe du périphérique USB.
Les lecteurs de carte à puce doivent être installés avec un pilote de périphérique correspondant sur la machine utilisateur.
Pour plus d’informations sur les lecteurs de carte pris en charge, consultez la documentation correspondant au Citrix Receiver que vous utilisez. Dans la documentation de Citrix Receiver, les versions prises en charge sont généralement répertoriées dans une section sur les cartes à puce où dans la section sur la configuration système requise.
Expérience utilisateur
La prise en charge des cartes à puce est intégrée dans XenApp et XenDesktop, à l’aide d’un canal virtuel de carte à puce ICA/HDX spécifique qui est activé par défaut.
Important : n’utilisez pas la redirection USB générique pour les lecteurs de carte à puce. Cette option est désactivée par défaut pour les lecteurs de carte à puce et n’est pas prise en charge si elle est activée.
Il est possible d’utiliser plusieurs cartes à puce et plusieurs lecteurs sur la même machine utilisateur, mais si l’authentification unique est en service, une seule carte à puce doit être insérée lorsque l’utilisateur démarre une application ou un bureau virtuel. En cas d’utilisation d’une carte à puce dans une application (par exemple pour les fonctions de signature numérique ou de cryptage), des messages supplémentaires invitant à insérer la carte à puce ou à saisir un code PIN peuvent s’afficher. Cela peut se produire si plusieurs cartes à puce sont insérées en même temps.
- Si les utilisateurs sont invités à insérer une carte à puce alors que celle-ci se trouve déjà dans le lecteur, ils doivent sélectionner Annuler.
- Si les utilisateurs sont invités à entrer le code PIN, ils doivent le saisir à nouveau.
Si vous utilisez des applications hébergées s’exécutant sur Windows Server 2008 ou 2008 R2 et avec des cartes à puce exigeant Microsoft Base Smart Card Cryptographic Service Provider, vous constaterez peut-être que tous les autres utilisateurs qui utilisent une carte à puce dans le processus d’ouverture de session sont bloqués. Pour plus de détails et pour obtenir une correction pour ce problème, veuillez consulter l’article https://support.microsoft.com/kb/949538.
Vous pouvez réinitialiser les codes confidentiels à l’aide d’un système de gestion de carte ou d’un outil du fournisseur.
Important
Dans une session XenApp ou XenDesktop, l’utilisation d’une carte à puce avec l’application Connexion Bureau à distance Microsoft n’est pas prise en charge. Ceci est parfois décrit comme un scénario « double-hop ».
Avant de déployer les cartes à puce
- Vous devez vous procurer un pilote de périphérique pour le lecteur de carte à puce et l’installer sur la machine utilisateur. De nombreux lecteurs de carte à puce peuvent utiliser le pilote de périphérique CCID fourni par Microsoft.
- Vous devez vous procurer un pilote de périphérique et un logiciel de fournisseur de services de chiffrement (CSP) depuis votre fournisseur de carte à puce et les installer sur les machines utilisateur et les bureaux virtuels. Le pilote et le logiciel CSP doivent être compatibles avec XenApp et XenDesktop, consultez la documentation du fournisseur de compatibilité. Pour les bureaux virtuels utilisant des cartes à puce qui prennent en charge et utilisent le modèle minipilote, les minipilotes de carte à puce devraient se télécharger automatiquement, mais vous pouvez les obtenir à partir de https://catalog.update.microsoft.com ou auprès votre fournisseur. En outre, si des middlewares PKCS #11 sont requis, obtenez-les auprès de votre fournisseur de carte.
- Important : Citrix recommande d’installer et de tester les pilotes et le logiciel CSP sur un ordinateur physique avant d’installer le logiciel Citrix.
- Ajoutez l’adresse URL de Citrix Receiver pour Web à la liste Sites de confiance pour les utilisateurs qui travaillent avec des cartes à puce dans Internet Explorer avec Windows 10. Dans Windows 10, Internet Explorer n’est pas exécuté par défaut en mode protégé pour les sites de confiance.
- Assurez-vous que votre infrastructure de clé publique (PKI) est configurée correctement. Cela assure que le mappage de certificat vers le compte est correctement configuré pour l’environnement Active Directory et que la validation du certificat utilisateur peut être effectuée avec succès.
- Assurez-vous que votre déploiement répond à la configuration système requise des autres composants Citrix utilisé avec des cartes à puce, y compris Citrix Receiver et StoreFront.
- Vérifiez l’accès aux serveurs suivants de votre site :
- Le contrôleur de domaine Active Directory pour le compte d’utilisateur associé à un certificat d’ouverture de session sur la carte à puce
- Delivery Controller
- Citrix StoreFront
- Citrix NetScaler Gateway/Citrix Access Gateway 10.x
- VDA
- (Facultatif pour Remote PC Access) : Microsoft Exchange Server
Activer l’authentification par carte à puce
Étape 1. Problème de cartes à puce pour les utilisateurs en fonction de votre stratégie d’émission de carte.
Étape 2. (Facultatif) Définissez des cartes à puce pour activer les utilisateurs pour Remote PC Access.
Étape 3. Installez et configurez le Delivery Controller et StoreFront (s’ils ne sont pas déjà installés pour l’utilisation des cartes à puce à distance).
Étape 4. Activez StoreFront pour l’utilisation des cartes à puce. Pour de plus amples informations, consultez la section Configurer l’authentification par carte à puce dans la documentation de StoreFront.
Étape 5. Activez NetScaler Gateway/Access Gateway pour utiliser la carte à puce. Pour de plus amples informations, consultez la section Configuration de l’authentification et de l’autorisation et Configuration de l’accès par carte à puce avec l’Interface Web dans la documentation NetScaler.
Étape 6. Activez VDAs pour l’utilisation des cartes à puce.
- Assurez-vous que le VDA possède les applications et les mises à jour requises.
- Installez les logiciels intermédiaires.
- Définissez l’utilisation d’une carte à puce à distance, l’activation de la communication des données de carte à puce entre Receiver sur une machine utilisateur et une session de bureau virtuel.
Étape 7. Activez les machines utilisateur (y compris les machines appartenant à un domaine ou non) pour utiliser la carte à puce. Consultez la section Configurer l’authentification par carte à puce dans la documentation de StoreFront pour plus de détails.
- Importez le certificat racine de l’autorité de certification et le certificat émis par l’autorité de certificat dans le magasin de clés de la machine.
- Installez le middleware de carte à puce de votre fournisseur.
- Installez et configurez Citrix Receiver pour Windows, en vous assurant d’importer le fichier icaclient.adm à l’aide de la console de gestion des stratégies de groupe et d’activer l’authentification par carte à puce.
Étape 8. Testez le déploiement. Assurez-vous que votre déploiement est correctement configuré en démarrant un bureau virtuel avec une carte à puce d’utilisateur test. Testez tous les mécanismes d’accès possibles (par exemple, accès au bureau via Internet Explorer et Citrix Receiver).