U2F（YubiKey 等）和 Active Directory

Question

我正在搜索有关如何将 U2F（使用 YubiKey 或类似设备）集成到 Active Directory Windows 域（将是 Windows 2016 服务器）的信息。特别是我对保护 Windows 登录到工作站/服务器以需要 U2F 令牌作为第二个因素感兴趣（仅密码根本不起作用）。

简而言之，目标是每个身份验证都是通过密码+U2F 令牌或使用 kerberos 令牌完成的。

任何有关在哪里可以找到有关此特定场景或经验教训的更多信息的提示都会很棒。

Answer 1

简洁版本

我开始考虑将 FreeRADIUS 与 Windows 网络策略访问服务 (NPS) 结合使用，因为我们有一个混合的 Windows/Linux 环境（并且不再支持 YubiRADIUS）。FreeRADUIS 将用于将 YubiKey 与 AD Auth 绑定在一起。

在我的搜索中，我发现了一些非免费资源，例如 WiKID Systems 和 AuthLite，用于使用 Yubikeys 进行 2-factor 操作（链接如下）。似乎有一种方法可以真正接近使用内置 Windows 服务（使用网络策略和访问服务 (NPS)），我将其用作 FreeRADIUS 工作的基础。

这是让 NPS 与 WiKD 一起使用的教程

http://www.techworld.com/tutorial/security/configuring-nps-2012-for-two-factor-authentication-3223170/

此 URL 描述了如何使其与 AuthLite 一起使用

https://www.tachyondynamics.com/yubikey-and-windows-domain-2-factor-authentication/

这两种实现似乎都希望某种形式的 RADIUS 服务器来传递第二因素身份验证。至少这是我的理解。

另外：如果您搜索“Windows Server 2016 2-factor yubikey”或类似内容，您可能会找到更多内容。

希望这可以帮助！