为 Web Studio 设置智能卡身份验证
本文概述了为 Web Studio 设置和启用智能卡身份验证所需的步骤：
步骤 5 （可选）为 Web Studio 配置身份验证委派
注意：
仅支持针对与 Web Studio 服务器来自同一 Active Directory 域的用户进行智能卡身份验证。
步骤 1：安装智能卡驱动程序
请在以下计算机上安装智能卡驱动程序：
- 安装了证书服务的域控制器。
- Web Studio 服务器
- 最终用户用于访问 Web Studio 的计算机
- 用于为智能卡用户注册证书的计算机
智能卡驱动程序因供应商而异。 例如，如果使用的是 ITS 提供的智能卡硬件，请从 https://support.globalsign.com/ssl/ssl-certificates-installation/safenet-drivers 下载 SaftNet 驱动程序。
步骤2：为智能卡用户颁发证书
注意：
以下步骤作为示例提供，以指导您完成整个过程。
在域控制器上，按照以下步骤完成任务：
-
访问您的域控制器并打开证书颁发机构。
- 复制注册代理模板。 详细步骤如下所示：
-
右键单击证书模板并选择管理。
- 右键单击注册代理并选择复制模板。
-
在加密选项卡上，选择 Microsoft Base Smart Card Crypto Provider，然后单击确定。 名为注册代理副本的模板将显示在证书模板列表中。
-
在使用者名称选项卡上，确保未选中在使用者名称中包含电子邮件。
-
- 验证智能卡用户模板的权限。 详细步骤如下所示：
- 右键单击证书模板并选择管理。
- 右键单击智能卡用户并选择属性。
-
在安全选项卡上，验证域管理员是否选择了以下权限，如下所示：
- 为智能卡颁发证书。 详细步骤如下所示：
- 右键单击证书模板，然后选择新建 > 要颁发的模板。
- 选择注册代理的副本和智能卡用户。
- 单击确定。
步骤 3：为智能卡用户注册证书
注意：
以下步骤作为示例提供，以指导您完成整个过程。
在加入了域的物理 Windows 计算机上，按照以下步骤为每个智能卡注册证书：
- 准备一台加入了域的物理 Windows 计算机以供注册使用：
- 确保智能卡驱动程序已安装。
- 将智能卡插入到计算机中。
- 使用您要分配给智能卡的用户帐户登录计算机。
- 将证书管理单元添加到您在步骤 1 中准备的计算机上。 详细步骤如下所示：
- 打开 mmc。
- 单击文件，然后单击添加/删除管理单元。
- 在出现的添加或删除管理单元窗口中，选择证书，然后单击添加 >。
- 在出现的对话框中，选择我的用户帐户，然后单击完成。
-
单击确定。
- 为证书管理单元请求新证书。 详细步骤如下所示：
-
转到证书 - 当前用户 > 个人，右键单击证书，然后选择所有任务 > 请求新证书。
-
在出现的请求证书对话框中，选择注册代理的副本和智能卡用户。
- 在上面的对话框中，单击智能卡用户的详细信息，然后单击属性。 此时将出现证书属性对话框。
- 在私钥选项卡上，展开加密服务提供程序，取消选中 Microsoft Strong Cryptographic Provider (Encrption)，仅选择 Microsoft Base Smart Card Crypto Provider (Encryption)，然后单击确定。
- 单击注册。
- 在出现的 Windows 安全对话框中，输入智能卡 PIN 码，然后单击确定。 注册完成后，单击完成。
-
注册成功后，证书 - 当前用户 -> 个人 -> 证书下会出现两个证书，如下面的屏幕截图所示。 
步骤 4：配置 Web Studio IIS 服务器
在每个 Web Studio 服务器上，请按照以下步骤配置 IIS 以进行智能卡身份验证：
-
为 Web Studio 计算机**启用客户端证书映射身份验证。
<clientCertificateMappingAuthentication>元素在 IIS 7 及更高版本的默认安装中不可用。 有关安装和启用的详细信息，请参阅此 Microsoft 文章。 - 在 Web Studio 计算机上启动 IIS 管理器。
-
为计算机启用 Active Directory 客户端证书身份验证。 详细步骤如下所示：
-
在左侧窗格中选择计算机，然后双击身份验证。
-
启用 Active Directory 客户端证书身份验证。
-
- 配置 Web Studio Backend 模块以获得使用客户端证书身份验证的更安全的 HTTPS 协议：
-
转到站点 > 默认 Web 站点 > Studio > 后端 > 智能卡，然后双击 IIS 部分中的 SSL 设置。
-
为客户端证书选择要求。
-
返回站点 > 默认 Web 站点 > Studio > 后端 > 智能卡，然后双击 IIS 部分中的配置编辑器。
-
确保 /clientCertificateMappingAuthentication 为 enabled。
-
-
（仅限 Windows 2022）禁用 TLS 3.1 over TCP。 详细步骤如下所示：
- 转到站点 > 默认 Web 站点。
- 单击编辑站点 > 绑定。
-
在出现的站点绑定对话框中，选择 https 记录，然后单击编辑。
-
在出现的编辑站点绑定对话框中，选择禁用 TLS 1.3 over TCP，然后单击确定。
须知：
Web Studio Backend 是 Web Studio 中的一个模块，提供以下功能：
- 智能卡身份验证。
- 使用集成 Windows 身份验证从 Orchestration 服务中检索 FMA 持有者令牌。
步骤 5 （可选）为 Web Studio 配置身份验证委派
当 Web Studio 和 Delivery Controller 安装在不同的服务器中时，必须将每个 Web Studio 服务器的委派配置到 Delivery Controller 以获取 HOST 和 HTTPS 服务。
请按照以下步骤完成每个 Web Studio 服务器的任务：
导入 Delivery Controller Orchestration HTTPS 证书
在 Web Studio 服务器上，将 Delivery Controller Orchestration HTTPS 证书导入到受信任的根证书颁发机构中。 详细步骤如下所示：
- 启动设置 > 管理计算机证书。
-
右键单击受信任的根证书颁发机构 > 证书并选择所有任务 > 导入。
- 按照屏幕上的说明导入 Delivery Controller Orchestration HTTPS 证书。
为 Web Studio 服务器配置委派
在域控制器上，将 Web Studio 服务器的委派配置到 Delivery Controller 以获取 HOST 和 HTTP 服务。 请按照以下步骤完成任务：
- 在域控制器上，启动 Active Directory 管理中心。
- 找到要为委派配置的 Web Studio 服务器的计算机帐户（例如，Dan002）。
-
右键单击该帐户并选择属性。
-
转到委派选项卡。
- 选择 Trust this user for delegation to specified services only（仅信任此用户委派到指定服务）> Use any authentication protocol（使用任意身份验证协议）。
- 单击添加以指定可以将此计算机帐户委托到的服务。
- 在出现的添加服务对话框中，单击添加用户或计算机以找到 Delivery Controller 的计算机名称（例如，Dan001）。
- 选择 HOST 和 HTTP 服务，然后单击确定。
-
配置结果如下面的屏幕截图所示。 
为 Web Studio IIS 服务器的服务帐户配置委派
如果您已为 Web Studio IIS 服务器配置了服务帐户，还需要将此服务帐户的委派配置到 Delivery Controller 以获取 HOST 和 HTTP 服务。 建立此委派后，Web Studio 服务器可以使用其服务帐户模拟当前智能卡用户来访问交付组 HOST 和 HTTP 服务。 请按照以下步骤完成配置：
- 在域控制器上，启动 Active Directory 管理中心。
- 找到您要为委派配置的用户帐户（例如，svr-stud-002）。
- 右键单击该帐户并选择属性。
- 按照步骤 2 中描述的步骤将 Web Studio IIS 服务帐户委派给 Delivery Controller 的 HOST 和 HTTP 服务。
配置结果如下面的屏幕截图所示。
步骤 6：为 Web Studio 启用智能卡身份验证
请按照以下步骤为 Web Studio 启用智能卡身份验证：
- 登录 Web Studio 并在左侧窗格中选择设置。
- 根据需要选择智能卡身份验证或域凭据 + 智能卡身份验证。
- 根据需要选择智能卡身份验证或域凭据或智能卡身份验证。
-
单击应用。
