# Двухфакторная аутентификация для VMware Horizon

## Описание

При подключении к удалённым рабочим столам и приложениям VMware Horizon через Unified Access Gateway (UAG) пользователи проходят двухэтапную проверку: вводят логин и пароль (первый фактор) и подтверждают вход вторым фактором.

UAG передаёт запрос на проверку первого фактора по протоколу **RADIUS** в локальный инстанс Simple2FA; он же запрашивает у пользователя подтверждение вторым фактором.

Схема работы:

1. Пользователь запускает Horizon Client и вводит логин и пароль (первый фактор).
2. Unified Access Gateway направляет запрос аутентификации через RADIUS на локальный инстанс Simple2FA.
3. Локальный инстанс проверяет логин и пароль по AD/LDAP или другому поставщику учётных записей.
4. При успешной проверке первого фактора запрашивается подтверждение вторым фактором.
5. Пользователь подтверждает второй фактор.
6. После успешной проверки обоих факторов пользователь получает доступ к рабочему столу или приложению.

## Подготовка в Simple2FA

Войдите в панель администратора локального инстанса, перейдите в раздел «Настройка ресурсов» и создайте новый ресурс:

| Поле | Значение |
| --- | --- |
| Название | VMware Horizon (или любое удобное) |
| Протокол | RADIUS |
| NAS ID | Строка идентификации RADIUS-клиента UAG (должна соответствовать атрибуту NAS-Identifier в запросах UAG). Создаётся автоматически |
| Shared Secret | Общий секрет, который будет использоваться в настройках RADIUS на UAG. Создаётся автоматически |
| Проверять первый фактор | Включить |
| Поставщики учётных записей | Выберите один или несколько каталогов, в которых будет выполняться проверка первого фактора пользователей |
| Использовать кеширование сессий | Включить, если необходимо, чтобы у пользователя после успешного входа не запрашивался второй фактор в течение указанного времени |
| Длительность кеша | Рекомендуемое значение — 60 минут |

В глобальных настройках убедитесь, что указан корректный API-ключ организации для связи локального инстанса с облаком.

## Настройка Unified Access Gateway

**1) Настройте RADIUS-аутентификацию**

1. Зайдите в административную консоль Unified Access Gateway.
2. Выберите вариант **Configure Manually**.
3. В разделе **Authentication Settings** откройте параметры **RADIUS** и задайте:
    - **Enable RADIUS:** YES;
    - **Authentication Type:** PAP;
    - **Shared Secret:** Shared Secret из карточки ресурса Simple2FA;
    - **Server Timeout In Seconds:** 40–60 (время на подтверждение второго фактора);
    - **RADIUS Server Host name:** адрес локального инстанса Simple2FA;
    - **Authentication Port:** порт RADIUS из карточки ресурса Simple2FA (по умолчанию 1812).
4. Сохраните и закройте окно.

**2) Настройте Horizon Edge Service**

1. В разделе **Edge Service Settings** откройте **Horizon Settings** и нажмите **More**.
2. Задайте параметры:
    - **Auth Methods:** RADIUS;
    - **Passcode label for RADIUS:** Password;
    - **Match Windows User Name:** YES;
    - **Enable Windows SSO:** YES.
3. Сохраните и закройте окно.

Параметры **Match Windows User Name** и **Enable Windows SSO** позволяют использовать логин и пароль, введённые на этапе RADIUS-аутентификации, для входа в Windows-сессию — пользователю не придётся вводить учётные данные повторно.

## Проверка работы

- Запустите Horizon Client и подключитесь к вашему UAG,
- Введите логин и пароль (первый фактор),
- Получите запрос второго фактора,
- Подтвердите второй фактор,
- После подтверждения откроется список доступных рабочих столов и приложений.

Результат каждой попытки входа доступен в панели администратора, в разделе [«Попытки авторизации»](../../admin/auth-attempts.md).

## Смотрите также

- [Рабочие столы и Windows](index.md)
- [Начало работы](../../start/index.md)
- [Сценарии использования](../../start/scenarios.md)