3.3.3.1.1.用户名/密码策略设置
操作场景
需要对本地用户的密码进行格式、修改周期等安全性要求的时候设置。
前提条件
无。
注意事项
无。
操作步骤
• 密码安全策略：用于设置用户的一些密码策略，详细可参见上图。
• 用户名策略：用户登录时，设置是否区分输入用户名的大小写。
：
上述策略只对本地密码认证的用户有效。
3.3.3.1.2.防止暴力破解设置
操作场景
出于安全性需求要防止用户账号被非法爆破时设置。
前提条件
无。
注意事项
无。
操作步骤
• 说明：
图形验证码选项设置中，输入0表示强制启用，即默认启用图形验证码；输 入小于3时，非Windows客户端仍然以3次为标准。
操作场景
VDI支持aDesk使用KEY进行认证，包括飞天KEY和第三方KEY。
其中飞天KEY分两种，一种是ePass1001ND型号，由于该型号KEY驱动不支持android平台，因此aDesk使用KEY认证映射登录方式；另一种是ePass3003型号，该型号KEY驱动支持android平台，aDesk已经安装该型号KEY驱动，因此ePass3003型号KEY使用非映射KEY登录。第三方KEY都使用映射方式认证。
| KEY型号 |
KEY映射方式 |
登录时间 |
| 飞天诚信 ePass1001ND型号 |
USB-KEY映射 |
获取到KEY认证服务器后，10S以内 |
| 飞天诚信 ePass3003型号 |
非映射 |
秒登录 |
| 其他第三方KEY |
USB-KEY映射 |
获取到KEY认证服务器后，10S以内 |
| KEY型号 |
KEY外观 |
| 飞天诚信 ePass1001ND型号 |
|
| 飞天诚信 ePass3003型号 |
|
| 其他第三方KEY |
...... |
前提条件
无。
注意事项
• 如果不配置，Windows可以登录，但不支持拔KEY注销。aDesk不可以登录。
• 如果配置但状态为禁用，Windows和aDesk都可以登录，但不支持拔KEY注销。
• 如果配置且状态为启用，Windows和aDesk都可以登录，并支持拔KEY注销。
XP系统作为KEY认证服务器，如果模板Agent不是最新版本，派生虚拟机后需要手动登录更新Agent。
更改USB-KEY设置，需要重启VDI Client客户端才生效。例如增加新的第三方KEY，需要关闭VDI Client重新运行才生效。
四核aDesk有一个名为OTG的USB口无法使用KEY认证登录。
aDesk修改USB-KEY的PIN码只支持飞天ePass3003型号的USB-KEY。
飞天ePass3003型号KEY暂不支持从VDC控制台导入用户证书，只能从控制台把证书下载到本地，再使用飞天提供的管理工具导入证书。
操作步骤
一．ePass1001ND型号和第三方KEY认证
：
ePass3003ND型号的KEY相关内容请参考“ ePass3003ND型号 KEY 认证”章节。
aDesk：无须安装KEY驱动，KEY认证代理服务器需安装KEY驱动。
PC：PC客户端使用本地安装驱动方式认证，无须KEY认证代理服务器。
• 支持拔KEY注销功能。在控制台可配置是否启用拔KEY注销。
• 支持映射KEY认证并发登录。aDesk使用映射KEY认证登录，认证时用户随机分配其中一台KEY认证代理服务器进行认证。
推荐配置：KEY认证代理服务器数 = KEY认证并发数×20%
即100个并发用户，推荐20台KEY认证代理服务器。如果有200个用户，但KEY认证并发数有20个，则只需配置4台服务器。（注：飞天ePass30003型号KEY登录无须申请KEY认证代理服务器，该型号KEY并发登录不受KEY认证代理服务器个数影响，建议使用飞天ePass30003型号。）
• KEY认证代理服务器支持win XP、win7 x86、win7 x64系统。
推荐配置：KEY认证代理服务器推荐使用Win7 x86系统（双核+15G硬盘+1G内存）
• 支持KEY认证代理服务器定时开关机。
• KEY认证代理服务器Agent与VDI连接后，会自动登录服务器系统。
• aDesk支持修改飞天ePass30003型号KEY的PIN码（Personal Identification Number）。
• 瘦客户机 EC使用USB-KEY映射认证，输入PIN；
• aDesk向VDC请求空闲代理服务器；
• VDC从空闲认证服务器中分配一个服务器给aDesk，并将该服务器置为非空闲状态；
• aDesk获取到代理认证服务器资源后，与该服务器建立基于spice的会话，并将DKey映射到对应的认证服务器；
• 代理认证服务器向VDC发起USB-Key认证请求；
• VDC处理代理认证服务器的USB-Key认证请求，并将认证结果返回给代理服务器；
• 代理服务器将认证结果转发给aDesk；
• aDesk接收并解释代理服务器的认证结果，然后把认证结果反馈给用户。aDesk向VDC释放认证服务器资源；
• VDC收到释放认证服务器消息，把该服务器状态置为空闲。
• 瘦客户机VDI Client使用USB-KEY映射认证，输入PIN；
• aDesk向VDC请求空闲代理服务器；
• VDC从空闲认证服务器中分配一个服务器给aDeck，并将该服务器置为非空闲状态；
• 如果认证服务器忙，则告知aDeck无空闲服务器；
• aDesk认证流程等待3秒，然后重复尝试向VDC请求认证服务器；
• 过程略（同第一部分流程说明）；
• 如果第二次请求也是返回无空闲认证服务器，则再次尝试，累计30次失败后认证流程结束，返回超时提示。
推荐使用Win7 x86系统双核+15G硬盘+1G内存。
• 在VMP控制台新建“KEY认证代理服务器”虚拟机，选择操作系统、处理器、内存、磁盘等之后，加载系统ISO文件。
• 点击<确定>，将此虚拟机开机，安装系统，安装Agent，安装KEY驱动。
安装Agent
方法一：在虚拟机里，登录VDC控制台，[桌面云设置/虚拟机管理]，下载安装Agent程序。
方法二： 在虚拟机里，登录VDC控制台，[桌面云设置/认证设置/证书与USB-KEY认证/第三方USB-KEY设置/代理认证服务器设置]，下载Agent程序并安装。
• 安装USB-KEY驱动。在虚拟机中登录VDC控制台，依次找到[桌面云设置/认证设置/证书与USB-KEY认证/第三方USB-KEY设置]，下载安装USB-KEY驱动。
• 成功安装Agent程序与USB-KEY驱动之后，将虚拟机关机并转化为模版。
• 登录VDC控制台，依次找到[桌面云设置/认证设置/证书与USB-KEY认证]。
• 认证服务器名称默认AuthServer，认证服务器模版、运行位置、存储位置、桥接到虚拟交换机以及认证服务器数量可以手动选择。
开机计划：指定关闭或挂起状态的认证服务器自动开机的时间。
关机计划：指定开机状态下的认证服务器自动关机的时间。
• 创建成功的虚拟机属于“USB-KEY认证代理服务器”组，在[桌面云设置/虚拟机管理]里可以查看状态。KEY认证代理服务器开启后状态为空闲。
• 登录VDC控制台，依次找到[桌面云设置/认证设置/证书与USB-KEY认证/第三方USB-KEY设置]，点击<添加>。
• 编辑名称、型号（Vid_xxx&Pid_xxx格式）以及设置是否启用拔KEY注销。
• 说明：
获取USB-KEY的Vid&Pid方法：
Windows系统PC插入USB-KEY，打开工具ChipGenius_v4_00_0027_pre2.exe（或其他工具）选中USB-KEY，从详细信息栏可以获取Vid&Pid。再把该ID以Vid_xxx&Pid_xxx格式配置到控制台。
• 登录VDC控制台，依次找到[桌面云设置/用户管理]，新建用户，选择数字证书/Dkey认证，并点击<创建USB-KEY创建数字证书>。
• 配置好PIN码，插入USB-KEY之后点击<创建>。成功后点击<保存>，立即生效。
• 将USB-KEY插入aDesk中，输入PIN码，登录VDI。
二．ePass3003ND型号KEY认证
：
飞天ePass3003型号KEY登录无须KEY认证代理服务器。
• 说明：
烧KEY的电脑需要安装USB-KEY驱动。
烧KEY压缩包文件说明（社区下载）
压缩包：epass3003SDK.zip
中间件安装程序(中文)：PKI\Redist\cn\ePass3003-SimpChinese.exe
中间件安装程序(英文)：PKI\Redist\en\ePass3003-English.exe
管理员管理工具：PKI\Utilities\ePassManagerAdm_3003.exe
安装KEY驱动：
• 安装好驱动的PC插入ePass3003型号的KEY。
• 运行KEY管理工具。
• 登录。出厂USER PIN：1234。
• 导入用户证书。
• 选择用户证书，并输入证书密码（控制台创建证书时配置的密码）。
• 导入成功。
• 完成并登出。
同样，安装好驱动的PC插入ePass3003型号的KEY，运行KEY管理工具并登录。
• 选择证书节点
• 确认删除
• 删除成功
删除证书之后，重新导入新的证书即可。
操作场景
前提条件
内网已有LDAP服务器提供服务且VDC可访问。
注意事项
无。
操作步骤
配置认证状态及认证服务器的设置，如下如所示。
| 参数 |
作用 |
| 服务器名称 |
标识LDAP服务器的名称，可填写便于记忆的文字，必填项。 |
| 服务器描述 |
用于描述LDAP服务器用途，可填写便于记忆的文字，选填项。 |
| 认证协议： |
LDAP：轻量级目录访问协议。 LDAPS：通过使用SSL/TLS加密的LDAP，增强认证安全、提高数据传输过程的数据保密性和数据完整性。 |
| 服务器地址 |
用于设置 LDAP 服务器的 IP 地址和所使用的端口，此处可设置多个服务器地址和端口，他们之间是主备关系，第一个服务器为主服务器，其余都为备服务器，当第一个服务器连不上，才尝试连接第二个服务器认证，以此类推。 |
| 管理员全路径（DN） |
填写 LDAP 服务器内一个有效的账号，用于读取 LDAP 结构。所填写的帐号一般要以域中 DN 的形式填写，且该账号在 LDAP 服务器必须有读取用户路径的权限。 |
| 管理员密码 |
之前填写账号的密码。 |
| 搜索入口 |
用于选择需要用于认证的 LDAP 用户账号所在路径。 |
| 搜索子树 |
若勾选[搜索子树]，该路径下的所有子路径的用户账号都包含进来； 若不勾选[搜索子树]，则只包含该路径下的本级用户账号。 |
配置用户设置的相关信息。
| 参数 |
作用 |
| 服务器类型 |
设置LDAP服务器使用协议类型，系统支持普通的 LDAP 协议和支持微软的 MS ActiveDirectory 协议、MS ActiveDirectory VPN协议。 |
| 用户过滤 |
筛选符合条件用户。例如：对于MS-AD，以“objectCategory=person”作为过滤用户账号的条件，对于普通 LDAP 协议，以“objectclass=person”作为过滤用户账号的条件。 |
| 用户名 |
用户登录的账户名称，必填项。 |
| 手机号码 |
指过滤LDAP服务器上用户手机号信息的条件。 |
| 过期时间字段 |
从AD域导入用户时，引入过期字段。 |
| 用户描述字段 |
从AD域导入用户时，可将AD域用户相应的属性也导入到用户描述中。 |
配置认证选项，设置密码的加密方式、超时时间等。
| 参数 |
作用 |
| 认证密码加密方式 |
选择对AD域认证时密码加密的选项，包括不加密、MD5加密和SHA1加密。 |
| 认证超时时间 |
可设置经过多久没有认证成功就返回认证失败。默认15秒。 |
| 允许空密码的LDAP用户登录 |
勾选后，用户可以使用空密码登录LDAP。 |
| 只有导入到本地的用户，才能进行LDAP认证 |
勾选后，只有导入到本地的用户，才能进行LDAP认证。 |
| 允许用户在客户端修改LDAP账号密码 |
可设置允许用户在客户端修改域用户密码，且可设置提示信息。 |
| 需要输入“用户名@域名”进行认证 |
勾选后，用户登录需要输入“用户名@域名”。 |
| 当LDAP服务器故障时允许使用VDC本地缓存认证 |
此配置仅对已导入VDC的用户生效。启用后，VDC会缓存LDAP凭证信息，有效期为30天。 |
配置其他属性，如组映射、角色映射及LDAP扩展参数。
针对没有导入到本地的LDAP服务器的用户，用于设置将LDAP服务器中的OU和VDC本地的用户组绑定起来，那么该OU中的用户登录VDI之后就会拥有本地被绑定用户组的权限。
• 外部OU：填写需要映射的OU在域中的DN。
• 所属组：选择该OU所要映射的本地用户组。
• 包含子OU：用于设置是否包含所选OU的子OU。若勾选[包含子OU]，则该OU下的所有子OU的用户账号都包含进来；若不勾选[包含子OU]，则只包含该OU下的本级用户账号。
• 为每个选择的独立的OU生成组映射：用于设置将我们所勾选的所有OU都在本地生成一个用户组并自动映射到该组。并且导入之后组织结构不会变化。
• 仅对选择的最顶层的OU生成组映射：用于设置只将我们勾选的最上级OU在本地生成一个用户组，该OU及其下级OU都映射到该组。
• 选择自动映射到本地的起始位置：设置最上级OU映射到的本地用户组。
用于将LDAP服务器中的安全组映射到VDC网关本地的角色，那么当域中隶属于该安全组的用户通过VDI认证之后自动匹配到该角色，获得该角色中绑定资源的访问权限。配置页面如下图。
配置页面如下。
• 点击“+”号，弹出[添加关联资源属性]，设置需要关联的属性名，点击<确定>，将属性名添加至属性列表中配置页面如下。
• 点击“-”减号，用于删除选中的属性名。
• 点击“修改”，用于编辑选中的属性名。
• 说明：
以上[关联资源的属性列表]只对用户列表上不存在的LDAP账号生效， 若用户列表存在相应的用户账号，该功能无效。
操作场景
SANGFOR VDC网关支持使用“RADIUS协议”的第三方的服务器作为认证服务器。需要使用RADIUS服务器作为认证服务器时，可在[RADIUS认证]设置RADIUS外部认证服务器相应参数。
前提条件
无。
注意事项
无。
操作步骤
• 点击“+”，出现服务器IP地址和端口的设置页面如下，配置完成后点击<确定>。
• 点击“—”，可以删除所选的服务器地址。
• 点击“编辑”，可以编辑所选的服务器地址。
• 点击“上移”或“下移”按钮，可以调整服务器地址的顺序。
• 勾选[绑定手机号码ID]，在右边第一个方框内填写RADIUS服务器上作为用户账号手机号码的属性ID，第二方框填写子属性ID。该RADIUS服务器上用户登录后，RADIUS服务器返回该属性值到VDC设备，用于短信认证。
：
该功能可与短信认证结合使用。
• 勾选[绑定虚拟IP地址ID]，在右边第一个方框内填写RADIUS服务器上作为用户账号IP地址的属性ID，第二方框填写子属性ID。该RADIUS服务器上用户登录后，RADIUS服务器返回该属性值到VDC设备，用于该RADIUS账号使用L3VPN时下发的虚拟IP。
• 点击<添加>，配置页面如下，[字段]用于设置Radius中的Class属性值，[所属组]用于设置将用户分配到的本地组，点击<确定>，将设置的映射规则添加到映射规则列表。
• 点击<删除>，删除选中的映射规则。
• 点击<编辑>，编辑选中的映射规则。
操作场景
[短信验证码]即VDI用户登录时，输入用户名/密码后，VDC 网关会使用发送短信的方式向该用户的手机号码发送一个动态生成的随机密码，即短信验证码，登录用户必须输入该验证码，才能成功登录VDI，访问内网资源。
前提条件
无。
注意事项
无。
操作步骤
• 说明：
要配置短信验证码，需要先开通短信认证序列号，否则会有如下提示：
“短信序列号错误，不能使用短信功能，请点击这里输入序列号以激活服务”
必须填写用户的手机号码；[账户类型]必须勾为[私有用户]；[辅助认证]必须勾选短信认证。
• 说明：
以短信猫为例说明[外置短信模块]的使用方法。构建短信服务器只需要一台主板上带有com口的电脑，并且安装上深信服科技公司提供的短信服务软件即可。
支持系统：Windows XP、Windows 2000、Windows 2003，不支持vista系统。
外置短信模块结构图。
第一步：将一手机sim卡放入短信Modem内；
第二步：短信Modem通过发货时自带的串口线（一端为公头，另一端为母头）连接到短信服务器（电脑）的com口上，注意把接口上的旋钮扭紧，确保串口线和短信Modem以及串口线和短信服务器接触良好；
第三步：在短信服务器上安装深信服科技科技提供的软件安装包；
第四步：软件安装完成后，短信服务会以系统服务的形式自动运行，短信服务进程为“SMSSP.exe”；
如下图所示。
在服务列表中能够看到短信服务“SMSSERVICE”；
如下图所示。
在系统的“开始”菜单打开短信服务软件的控制台，进行配置。
在系统桌面右下角的控制台能够看到当前短信服务的状态，左图为服务正常，右图为服务异常。
如果软件安装好后，服务仍然显示停止，一般情况下是由于软件没有安装在系统盘下造成的，请把软件重新安装在默认路径下。
第五步：鼠标右键点击控制台，选择“Config”。
在软件服务的监听端口设置对话框里，设置好监听端口（TCP端口），如果服务器还提供其他服务，可以使用“netstat –na”查看服务器上已监听的端口，要保证设置的端口和这些服务的端口不冲突。
如果短信服务器装有防火墙软件，必须保证防火墙有放通此处设置的短信服务监听端口。
至此“外置短信服务器”设置完毕。
第六步：登录VDC设备的控制台，打开[桌面云设置\认证设置\短信验证码]，配置短信认证信息。
配置如下图所示。
• [短信中心地址]填上短信服务器的IP，必须保证VDC设备能够和短信服务器正常通信（VDC设备能够连通短信服务的监听端口）。
• [短信中心端口]填上短信服务软件的监听端口。
• [短信网关类型]下拉框，选择[GSM短信猫]。
• [短信中心]填写短信Modem上所放入的sim卡的短信中心号码，根据sim卡的实际情况填写（可咨询sim卡的服务提供商）。
• [短信猫使用的串口]根据实际情况填写，目前一般电脑只有一个com口，选则“0”就可以了，若接到第二个com口上，则选择“1”。
• [串口波频率]下拉框选择[9600]。
如果网络中已经有中国移动短信网关或者中国联通短信网关，可以和VDI结合使用。配置方法如下。
[短信网关类型]中选择[中国移动V2]/[中国移动V3]/[中国联通]/[中国电信V3]。
如果启用[外置短信模块]，[短信模块设置]中[短信中心地址]填写短信模块软件服务器的IP，[短信中心端口]填写短信模块软件实际监听的端口。
[短信发送参数]中的剩余的[短信网关服务器地址]、[短信网关服务器端口]、[企业代码]、[业务代码]、[SP接入号]、[网关编号]、[登录帐号]、[登录口令]、[确认口令]信息请按照短信服务提供商提供的相关参数填写。
VDC设备可以与基于webservice的短信平台联动，支持以webservice方式发送短信校验码，保障加强短信发送的稳定性。配置界面如下。
[短信网关类型]中选择HTTP协议，设置webservice短信网关平台的地址，页面编码方式以及SOAP版本和请求类型。
点击<配置短信模板>用于设置短信模板的接口名称等信息。
操作场景
硬件特征码是根据计算机的硬件特性按一定的算法生成的一个序号，由于硬件特性的唯一性，使得该硬件特征码也是唯一的、不可伪造的，所以对于不同的计算机，此序号必然不同。通过将用户与硬件特征码绑定，可限制用户只能在特定设备上登录。
每个用户拥有的硬件特征码个数可按照实际需要在策略组中进行设置，默认为5个。
前提条件
支持Windows客户端、Linux客户端、深信服瘦终端。
注意事项
无。
操作步骤
硬件特征码个数设置
操作步骤
在VDC控制依次打开[VDI 设置/策略组管理]，选择[用户关联的策略组/账号控制]，在账号控制选项中按照实际需要设置每个用户可拥有的硬件特征码个数，保存生效。
操作场景
用于生成、配置、管理CA的数字证书，以满足客户利用内网已有第三方CA进行认证的需求和内网没有CA但需要证书认证的需求。
前提条件
注意事项
操作步骤
内置CA场景
外置CA场景
• 序列号：证书过期后，CA会重新签发证书，因为新证书的序列号已改变，必须在本地用户管理中，重新导入新证书；
• DN：相比证书序列号，可以避免用户证书更新时需要重新导入证书。选择此选项时，必须保证不同证书的DN名是唯一的；
• OID：与DN类似，通常需要填写存放用户名等唯一标识用户的OID属性。
• 点击<配置映射规则>，设置将特定某证书DN映射到VDI本地用户组，使这些证书用户登录VDI之后自动分配到该用户组，并拥有该用户组的权限。设置页面如下。
• 点击<添加>，可以增加证书DN映射到VDI本地用户组的映射规则，规则配置界面如下。
“证书DN”可以通过证书主题查看。
“映射到本地组”用于设置拥有该字段证书登录后映射到的用户组。
操作场景
[动态令牌认证]是 Radius 服务器的一种扩展使用，通过与 Radius 服务器结合并为用户配发动态令牌，通过动态令牌上的动态密码进行登录，由此增加登录的安全性。
前提条件
无。
注意事项
无。
操作步骤
操作场景
对于用户系统没有认证接口的场景，VDC提供Sangfor 认证协议标准，由管理员自行开发对应的接口；对于用户系统有认证接口的场景，如果是CAS认证，则直接在CAS认证配置好接口即可，如果是其他类型认证，则需在自定义认证配置相应接口信息。
前提条件
用户系统有供第三方对接的认证接口。
注意事项
无。
操作步骤
• 说明：
认证超时：超过此时间服务端无反馈则认为认证超时，支持配置认证超时时间为5至60秒。
请求地址：认证系统返回用户标准信息的接口。
请求方式：VDC支持以POST和GET请求方式，发送请求到对接的服务端。
• 说明：
CASVersion：CAS认证支持cas2.0和cas3.0两个版本，根据客户提供的CAS系统来决定。
CASLoginURL：CAS认证系统的统一登录地址。
CASValidateURL：CAS认证系统中ticket的校验地址。假设CAS登录URL为IP/cas，则CAS2.0校验地址默认为IP/cas/serviceValidate，CAS3.0为IP/cas/p3/serviceValidate。
接收字段配置：不需要配置认证成功值及其字段，若需要接收CAS用户组、手机号等信息，需要在CAS服务器后台找到对应模板文件修改/添加信息，后台模板文件内记录信息示例如下图。
其他说明
• form 表单格式(GET/POST)
username=$$USERNAME$$&password=$$PASSWORD$$
• json 格式(POST)
{ “name”: “$$USERNAME$$”, “password”: “$$PASSWORD$$” }
• xml 格式(POST)
<uname>$$USERNAME$$</uname><psw>$$PASSWORD$$</psw>
• 认证成功值：表示认证返回结果中具体哪个值代表用户认证通过，必填。
• 认证结果：表示认证返回结果中具体哪个字段对应认证结果，必填。
• 接收字段配置：用户认证成功后，需要进一步用到的信息，可选。
操作场景
适用于无需专门创建桌面云用户账号，通过客户机认证功能实现客户机开机后自动进入云桌面，模拟物理PC开机进入系统过程的场景。
前提条件
该功能仅支持安卓系统客户机，非安卓系统客户机本功能置灰。
注意事项
操作步骤
步骤1.客户机认证功能启用
• 打开VDC控制台；
• 在[桌面云设置/客户机管理]，勾选单台客户机，并点击界面<编辑>，在[基本属性]一栏，勾选[允许客户机认证]，并点击<确定>。
• 打开VDC控制台；
• 在[桌面云设置]\[客户机管理]，点击对应客户机组，点击界面<编辑>，在[认证设置]一栏，勾选[启用客户机认证]，并点击<确定>；
• 启用成功后，会在[桌面云设置]\[用户管理]下自动创建对应的客户机认证用户分组。（如需关闭客户机认证功能，需瘦客户机处于离线状态）。
步骤2.资源关联关系配置
如需使用客户机认证功能，则需将自动创建的客户机认证用户分组与对应云桌面资源进行关联，具体步骤如下：
建议使用Chrome浏览器访问！
