Konfigurer en Mac til godkendelse udelukkende med Smart Card

macOS understøtter godkendelse udelukkende med Smart Card til obligatorisk brug af Smart Card, hvorved al godkendelse baseret på adgangskoder bliver slået fra. Denne politik etableres på alle Mac-computere og kan ændres pr. bruger via en undtagelsesgruppe, hvis en bruger ikke har et Smart Card, der kan bruges.

Godkendelse udelukkende med Smart Card vha. maskinbaseret håndhævelse

macOS 10.13.2 og nyere versioner understøtter kun godkendelse af smart cards med obligatorisk brug af et smart card, hvorved al adgangskodebaseret godkendelse bliver slået fra. Dette kaldes ofte maskinbaseret håndhævelse (MBE). Før denne funktion kan bruges, skal der oprettes obligatorisk Smart Card-håndhævelse ved brug af en MDM-løsning eller ved brug af følgende kommando:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Du kan finde yderligere vejledning i, hvordan macOS konfigureres til godkendelse udelukkende med Smart Card, i Apple-supportartiklen Konfiguration af macOS til godkendelse udelukkende med Smart Card.

Godkendelse udelukkende med Smart Card med håndhævelse pr. bruger

Håndhævelse pr. bruger opnås ved at angive en brugergruppe, der skal undtages fra log ind med Smart Card. NotEnforcedGroup indeholder en strengværdi, der definerer navnet på en lokal gruppe eller en Directory-gruppe, der ikke bliver omfattet af obligatorisk Smart Card-håndhævelse. Dette kaldes også user based enforcement (brugerbaseret håndhævelse) og giver Smart Card-tjenester granularitet pr. bruger. Før denne funktion kan bruges, skal der først oprettes maskinbaseret håndhævelse ved brug af en MDM-løsning eller ved brug af følgende kommando:

sudo defaults write /Library/Preferences/com.apple.security.smartcard enforceSmartCard -bool true

Systemet skal desuden konfigureres, så brugere, der ikke har dannet par med et Smart Card, kan logge ind med deres adgangskode:

sudo defaults write /Library/Preferences/com.apple.security.smartcard allowUnmappedUsers -int 1

Brug eksempelarkivet /private/etc/SmartcardLogin.plist nedenfor som vejledning. Brug EXEMPT_GROUP som navn på den gruppe, der bruges til undtagelser. Alle brugere, du føjer til denne gruppe, er undtaget fra Smart Card-login, så længe de er angivet som medlem af gruppen, og selve gruppen er angivet til undtagelse. Kontroller, at ejerskab er “root”, og at tilladelser er indstillet til “world readable” efter redigering.

<?xml version="1.0" encoding="UTF-8"?><!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd"><plist version="1.0"><dict>     <key>AttributeMapping</key>     <dict>          <key>dsAttributeString</key>          <string>dsAttrTypeStandard:AltSecurityIdentities</string>          <key>fields</key>          <array>                <string>NT Principal Name</string>          </array>          <key>formatString</key>          <string>Kerberos:$1</string>     </dict>     <key>NotEnforcedGroup</key>     <string>EXEMPT_GROUP</string></dict></plist>

Se ogsåhjælpeside til SmartCardServices hjælpeside til security hjælpeside til sc_auth hjælpeside til pam_smartcard

Nyttig?

Implementering af Apples platforme

Konfigurer en Mac til godkendelse udelukkende med Smart Card

Godkendelse udelukkende med Smart Card vha. maskinbaseret håndhævelse

Godkendelse udelukkende med Smart Card med håndhævelse pr. bruger