이미 배포된 포드의 게이트웨이 설정에서 2단계 인증을 사용하도록 설정하려면 포드의 [세부 정보] 페이지에서 편집 작업을 사용하십시오. 포드의 게이트웨이 구성은 Unified Access Gateway VM을 사용하고 최종 사용자에게 데스크톱 및 애플리케이션에 대한 액세스 권한을 제공하도록 구성됩니다. 이러한 2단계 인증 설정을 포드의 기존 게이트웨이 구성에 추가하거나 새 게이트웨이 구성을 추가할 때 동시에 추가할 수 있습니다. 포드 편집 워크플로를 사용하여 포드의 게이트웨이 구성에 2단계 인증 설정을 추가할 수 있습니다.
사전 요구 사항
2단계 인증을 추가하는 게이트웨이의 경우 마법사에서 해당 게이트웨이 구성에 대한 필드를 완료했는지 확인합니다. 온 프레미스 인증 서버에 대해 2단계 인증을 구성하는 경우 해당 게이트웨이에 대한 Unified Access Gateway 인스턴스가 해당 온 프레미스 서버로의 라우팅을 확인할 수 있도록 다음 필드의 정보도 제공합니다.
| 옵션 | 설명 |
|---|---|
| DNS 주소 | 온 프레미스 인증 서버 이름을 확인할 수 있는 DNS 서버 주소를 하나 이상 지정합니다. |
| 경로 | 포드의 Unified Access Gateway 인스턴스가 온-프레미스 인증 서버에 대한 네트워크 라우팅을 확인할 수 있도록 하는 여러 사용자 지정 경로 중 하나를 지정합니다. 예를 들어, 10.10.60.20을 IP 주소로 사용하는 온 프레미스 RADIUS 서버가 있는 경우 10.10.60.0/24 및 기본 경로 게이트웨이 주소를 사용자 지정 경로로 사용합니다. 이 환경에 사용하려는 Express Route 또는 VPN 구성에서 기본 경로 게이트웨이 주소를 가져옵니다.
|
포드 배포 마법사에서 해당 필드에 제공할 수 있도록 인증 서버 구성에서 사용되는 다음과 같은 정보가 있는지 확인합니다. RADIUS 인증 서버를 사용하고 있으며 기본 및 보조 서버가 둘 다 있으면 각각에 대한 정보를 가져옵니다.
- RADIUS
-
기본 및 보조 RADIUS 서버 둘 다에 대한 설정을 구성하는 경우 각각에 대한 정보를 가져옵니다.
- 인증 서버의 IP 주소 또는 DNS 이름
- 인증 서버의 프로토콜 메시지에서 암호화 및 암호 해독에 사용되는 공유 암호
- 인증 포트 번호(일반적으로 RADIUS의 경우 1812/UDP)
- 인증 프로토콜 유형. 인증 유형에는 PAP(Password Authentication Protocol), CHAP(Challenge Handshake Authentication Protocol), MSCHAP1, MSCHAP2(Microsoft Challenge Handshake Authentication Protocol, 버전 1 및 2)가 포함됩니다.
참고: RADIUS 벤더에서 권장하는 인증 프로토콜을 RADIUS 벤더의 설명서에서 확인하고 지시된 프로토콜 유형을 따르십시오. RADIUS와 함께 2단계 인증을 지원하는 포드의 기능이 Unified Access Gateway 인스턴스에서 제공되며, Unified Access Gateway는 PAP, CHAP, MSCHAP1 및 MSCHAP2를 지원합니다. PAP는 일반적으로 MSCHAP2보다 덜 안전합니다. 또한 PAP는 MSCHAP2보다 더 간단한 프로토콜입니다. 결과적으로, 대부분의 RADIUS 벤더는 좀 더 간단한 PAP 프로토콜과 호환되지만, 일부 RADIUS 벤더의 경우 좀 더 안전한 MSCHAP2와 호환되지 않게 됩니다.
- RSA SecurID
-
참고: RSA SecurID 유형은 매니페스트 3139.x 이상을 실행하는 Horizon Cloud on Microsoft Azure 배포에서 지원됩니다. [포드 추가] 및 [포드 편집] 마법사에서 RSA SecurID 유형을 지정하는 UI 옵션은 2022년 3월 중순부터 마법사에서 선택할 수 있도록 표시됩니다.
- RSA SecurID Authentication Manager 서버의 액세스 키.
- RSA SecurID 통신 포트 번호입니다. 일반적으로 RSA SecurID 인증 API에 대한 RSA Authentication Manager 시스템 설정에 설정된 5555입니다.
- RSA SecurID 인증 관리자 서버의 호스트 이름입니다.
- 해당 RSA SecurID Authentication Manager 서버의 IP 주소.
- RSA SecurID Authentication Manager 서버 또는 해당 로드 밸런서 서버에 자체 서명된 인증서가 있는 경우 [포드 추가] 마법사에서 제공할 CA 인증서가 필요합니다. 인증서는 PEM 형식이어야 합니다(파일 유형
.cer또는.cert또는.pem).
프로시저
- 2단계 인증 사용 토글을 켭니다.
이 토글을 사용하도록 설정하면 마법사에 추가 구성 필드가 표시됩니다. 스크롤 막대를 사용하여 모든 필드에 액세스합니다.
다음 스크린샷은 외부 UAG 섹션에서 토글을 켠 후에 표시되는 내용의 예입니다.
결과
시스템에서 새 구성을 포드에 배포할 때까지, 2단계 인증을 추가한 게이트웨이에 대한 포드 요약 페이지의 섹션에는 보류 중 상태가 표시됩니다.
워크플로가 완료되면 상태가 준비로 표시되고 게이트웨이의 2단계 인증 설정이 페이지에 표시됩니다.
다음에 수행할 작업
- 포드의 외부 게이트웨이에 2단계 인증이 구성되어 있고 게이트웨이의 Unified Access Gateway 인스턴스가 배포된 동일한 VNet 토폴로지 내에서 2단계 인증 서버에 연결할 수 없는 경우, 2단계 인증 서버가 외부 게이트웨이 로드 밸런서의 IP 주소를 통한 통신을 허용하도록 구성합니다.
게이트웨이 배포와 동일한 VNet 토폴로지 내에서 2단계 인증 서버에 연결할 수 없는 이 시나리오에서는 Unified Access Gateway 인스턴스가 해당 로드 밸런서 주소를 사용하여 해당 서버와 연결하려고 시도합니다. 이러한 통신 트래픽을 허용하려면 해당 외부 게이트웨이의 리소스 그룹에 있는 로드 밸런서 리소스의 IP 주소가 2단계 인증 서버의 구성에 클라이언트 또는 등록된 에이전트로 지정되어 있는지 확인합니다. 해당 통신을 허용하는 방법에 대한 자세한 내용은 2단계 인증 서버에 대한 설명서를 참조하십시오.
- 동일한 VNet 토폴로지 내에서 2단계 인증 서버에 연결할 수 있는 경우 Microsoft Azure에서 배포의 Unified Access Gateway 인스턴스에 대해 생성된 적절한 NIC의 통신을 허용하도록 2단계 인증 서버를 구성합니다.
네트워크 관리자는 배포에 사용되는 Azure VNet 토폴로지 및 해당 서브넷에 대한 2단계 인증 서버의 네트워크 가시성을 결정합니다. 2단계 인증 서버는 네트워크 관리자가 2단계 인증 서버에 대한 네트워크 가시성을 부여한 서브넷에 해당하는 Unified Access Gateway 인스턴스 NIC의 IP 주소를 통한 통신을 허용해야 합니다.
Microsoft Azure에 있는 게이트웨이의 리소스 그룹에는 해당 서브넷에 해당하는 4개의 NIC가 있습니다. 이 중 2개의 두 Unified Access Gateway 인스턴스에 대해 현재 활성 상태이고, 나머지 2개는 유휴 상태였다가 포드 및 해당 게이트웨이가 업데이트를 거친 후에 활성화됩니다.
포드 작업이 진행 중인 동안과 각 포드를 업데이트한 후에 게이트웨이와 2단계 인증 서버 간 통신 트래픽을 지원하려면 해당 NIC 4개의 IP 주소가 해당 서버 구성에서 클라이언트 또는 등록된 에이전트로 지정되어 있는지 확인합니다. 해당 통신을 허용하는 방법에 대한 자세한 내용은 2단계 인증 서버에 대한 설명서를 참조하십시오.
이러한 IP 주소를 가져오는 방법에 대한 내용은 필요한 Horizon Cloud 포드 게이트웨이 정보로 2단계 인증 시스템 업데이트를 참조하십시오.
