Smartcard-Authentifizierung

Die Tanium™ Console unterstützt Smartcard-Authentifizierung. Eine Smartcard sind physische Zugangsdaten, die über einen Mikrochip und Daten verfügen, wie z. B. sichere Zertifikate und Schlüssel. Smartcards werden auch als Common Access Cards (CAC) und PIV-(Personal Identity Verification)-Karten bezeichnet. Endpunktsysteme werden mit Smartcard-Lesegeräten eingerichtet, und die Endbenutzer verwenden ihre Smartcard zur Authentifizierung und für den Zugriff.

Bereitstellungsanforderungen

Wenn die Smartcard-Authentifizierung aktiviert ist, müssen sich der Tanium™ Server und der Tanium™ Modulserver auf separaten Hosts befinden. Alle Authentifizierungen an der Tanium Console erfordern Smartcards, es sei denn, die Authentifizierungsanforderung stammt aus einer der folgenden Quellen:

• Dem System, das den Tanium Server über die lokale Loopback-Adresse (127.0.0.1 für Ipv4) oder [::1]für Ipv6) hostet.
• Die Verbindung zwischen dem Tanium-Modulserver und dem Tanium Server.

Folglich müssen sich alle zusätzlichen Integrationen, die Sie automatisieren möchten, auf einem der beiden Hosts befinden. Beispiele:

• SSRS-Plugin
• Excel-Plugin (es sei denn, Sie verwenden die Version, die Smartcard-Authentifizierung unterstützt)
• Verbindungsmanager – AD Sync
• Pytan
• SOC-Websites Dritter, die Tanium nach Daten abfragen

Ein Zertifikat erstellen

Die Smartcard-Authentifizierung für den Zugriff auf die Tanium Console hängt von der öffentlichen Schlüsselinfrastruktur (public key infrastructure, PKI) ab, die für das Unternehmen eingerichtet wurde. Sie können beginnen, wenn Sie ein Client-Zertifikat haben, das vom Stammzertifikat für die Domäne unterzeichnet wurde, in der Tanium Server bereitgestellt wird. Stellen Sie sicher, dass es über das Attribut Garantiert dem Remote-Computer Ihre Identität verfügt.

Das folgende Verfahren zeigt, wie Sie Zertifikate aus dem Client-Zertifikat extrahieren und verwenden, um eine neue Zertifikatsdatei zu erstellen.

In den meisten Fällen müssen Sie nur das Stammzertifikat extrahieren. Wenn dies nicht funktioniert, müssen Sie möglicherweise auch Zwischenzertifikate zur Kette hinzufügen.

Zertifikate extrahieren

1. Rufen Sie eine Kopie einer Client-Zertifikatsdatei ab, die von der Stamm-CA für die Domäne unterzeichnet wurde. Siehe Abbildung 1.
2. Doppelklicken Sie auf einem Windows-Computer auf die Zertifikatsdatei, um sie im Windows-Zertifikat-Snap-In zu öffnen.
3. Wählen Sie auf der Registerkarte Certification Path (Zertifizierungspfad), und wählen Sie das Stammzertifikat aus. In diesem Beispiel ist DigiCert das Stammzertifikat.

4. Gehen Sie zu Registerkarte Details (Details), und klicken Sie auf Copy to (In) File (Datei kopieren), um den Zertifikatsexport-Assistenten anzuzeigen.
5. Wählen Sie Base-64-codiert X.509 (.CER).
6. Wählen Sie einen Ordner aus und legen Sie einen Dateinamen fest. Nennen Sie ihn so etwas wie example1.cer.
7. Überprüfen Sie die Einstellungen, und klicken Sie auf Finish (Beenden), um das Zertifikat zu speichern.
8. Wenn Ihre Bereitstellung über intermediäre CAs verfügt, wiederholen Sie diese Schritte, um die Zertifikate für intermediäre CAs zu extrahieren. Gehen Sie zur Registerkarte Certification Path (Zertifizierungspfad), und wählen Sie das nächste Zertifikat in der Kette aus. Im folgenden Beispiel ist DigiCert SHA2 High Assurance Server CA das nächste Zertifikat. Exportieren Sie dieses Zertifikat mit einem Namen wie example2.cer.

Neue Zertifikatsdatei erstellen

1. Erstellen Sie eine Datei mit der Bezeichnung cac.pem.
2. Kopieren Sie den Inhalt der einzelnen Zertifikate in der Kette und fügen Sie ihn in die Datei ein.








• Jeder Abschnitt der Zertifikatsdatei muss mit -----ZERTIFIKAT STARTEN----- beginnen und mit -----ZERTIFIKAT BEENDEN----- enden.
• Es darf nur einen Zeilenumbruch zwischen jedem Zertifikat in der Kette geben.
• Am Anfang oder Ende der Datei dürfen keine zusätzlichen Leerzeichen oder Zeilenumbrüche vorhanden sein.
• Das vorangegangene Beispiel zeigt das Root-Zertifikat zuletzt, was eine Konvention ist, die Tanium Support verwendet.
3. Speichern Sie die Datei.

Tanium Appliance: CAC konfigurieren

Windows: CAC konfigurieren

Fehlerbehebung

• Überprüfen Sie die Konfiguration auf Rechtschreibfehler (z. B. zusätzliche Leerzeichen oder Groß-/Kleinschreibung).
• Testen Sie, ob das System nur mit den erforderlichen Registry-Schlüsseln funktioniert. Aktivieren und testen Sie dann optionale Einstellungen wie die LDAP-Integrationseinstellungen.
• Bei aktiv-aktiv-Verteilungen muss der Wert CACTrustedAddresses mit Einträgen für jeden Tanium Server und den Tanium-Modulserver konfiguriert werden, um Tanium Downloader-Fehler während der Paketsynchronisierung zu vermeiden.
• Legen Sie die Protokollierungsstufe auf 41 oder höher fest, um die folgenden Ereignisse zu protokollieren:

  • Wenn ClientCertificateMatchField eingestellt ist und nicht übereinstimmt:

    • Keine Regex-Übereinstimmung:

      Client Certificate auth logon denied, match failed

    • Feld für Regex wurde nicht im CA-Zertifikat gefunden:

      Client Certificate auth logon denied, match property not present

  • Wenn ClientCertificateMatchField übergeben wird oder leer ist, wird der Benutzer mit ClientCertificateAuthField und ClientCertificateAuthRegex extrahiert:

    • Wenn ClientCertificateAuthRegex nicht abgeglichen wird:

      Client Certificate auth logon denied, regex not matched

    • Wenn ClientCertificateAuthField nicht gefunden wird:

      Client Certificate auth logon denied, field not found

    • Wenn der Regex übereinstimmt und das Feld gefunden wird, aber der Name nicht gültig ist:

      Client Certificate auth logon denied, unknown user

  • Jede andere Fehlermeldung oder Informationsnachricht beginnt auch mit:

    Client Certificate auth