Двухфакторная аутентификация для VMware Horizon
Описание
При подключении к удалённым рабочим столам и приложениям VMware Horizon через Unified Access Gateway (UAG) пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.
UAG передаёт запрос на проверку первого фактора по протоколу RADIUS в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.
Схема работы:
- Пользователь запускает Horizon Client и вводит логин и пароль (первый фактор).
- Unified Access Gateway направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
- Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
- При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
- Пользователь подтверждает второй фактор.
- После успешной проверки обоих факторов пользователь получает доступ к рабочему столу или приложению.
Подготовка в Simple2FA
Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:
| Поле | Значение |
|---|---|
| Название | VMware Horizon (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента UAG (должна соответствовать атрибуту NAS-Identifier в запросах UAG). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на UAG. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |
В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.
Настройка Unified Access Gateway
1) Настройте RADIUS-аутентификацию
- Зайдите в административную консоль Unified Access Gateway.
- Выберите вариант Configure Manually.
- В разделе Authentication Settings откройте параметры RADIUS и задайте:
- Enable RADIUS: YES;
- Authentication Type: PAP;
- Shared Secret: Shared Secret из карточки ресурса Simple2FA;
- Server Timeout In Seconds: 40–60 (время на подтверждение второго фактора);
- RADIUS Server Host name: адрес локального инстанса Simple2FA;
- Authentication Port: порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812).
- Сохраните и закройте окно.
2) Настройте Horizon Edge Service
- В разделе Edge Service Settings откройте Horizon Settings и нажмите More.
- Задайте параметры:
- Auth Methods: RADIUS;
- Passcode label for RADIUS: Password;
- Match Windows User Name: YES;
- Enable Windows SSO: YES.
- Сохраните и закройте окно.
Параметры Match Windows User Name и Enable Windows SSO позволяют использовать логин и пароль, введённые на этапе RADIUS-аутентификации, для входа в Windows-сессию — пользователю не придётся вводить учётные данные повторно.
Проверка работы
- Запустите Horizon Client и подключитесь к вашему UAG,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения откроется список доступных рабочих столов и приложений.
Результат каждой попытки входа доступен в панели администратора, в разделе «Попытки авторизации».