Windows Domäne (ohne Azure AD) und 2 FA mit YubiKey

Das klingt gut. Danke. Ich versuche es gleich mal und melde mich wieder

Bisher hatte ich noch kein Erfolg, muss aber nachher nochmals suchen. Ggf hat aber schonmal jemand einen Anhaltspunkt.

Gehe ich auf Windows Anmeldeoptionen kann in einen PIN Vergeben und WIndows fragt mich nach dem PIN beim Login. Wenn ich den YubiKey einfüge und auf Smartcard gehe wird dieser erkannt, und ich könnte den Pin der Smartcard ändern. Aber beim Login steht mir diese nicht zur Verfügung.
Im Gerätemanager wird mir die SmartCard auch angezeigt als "Identifizierungsgerät (NIST SP-..... PIV)"

Guten Abend

Vielen Dank an alle.

Mit dem Deployment Guide hat es bei mir auf anhieb geklappt.

Ich habe die YubiKey PIV Daten zurückgesetzt, ein Pin und PUK gesetzt und habe die Anleitung weiter befolgt. Also User und Computer GPO, Minidriver drauf sowie zertifikatsvorlage erstellt. Nach dem zweiten Neustart kam die Windows meldung für die Einrichtung für das Zertifikat

Gruss

Koda

Guten Abend

Gerne würde ich das Thema nochmals hoch holen. Ich habe dies nun ein paar Tage im Testeinsatz und dies scheint auch alles ganz gut zu klappen. Mir sind jedoch noch Fragen aufgetaucht die mir ja ggf jemand beantworten kann. Ich suche da schon eine weile nach "guten" Lösungen oder Antworten. Sollte ich diese in der Zwischenzeit finden, werde ich den Beitrag entsprechend editieren und die Antwort einfügen.
Bitte entschuldigt die sehr vielen Fragen. Ich habe schon lange gesucht und konnte mir auch schon viele selber beantworten. Die sind aktuell aber noch offen und da habe ich bisher zumindest noch nichts konkretes gefunden.

• (GELÖST) Da trotz SmartCard Login der normale Loginnach wie vor möglich ist, wäre es ja eigentlich nicht nötig eine "Backup Karte" auf Vorrat zu erstellen. Gäbe es aber theoretisch eine Möglichkeit ohne das Zertifikat von Hand über den yubicon Manager zu kopieren?
• (GELÖST) Gibt es unter Umständen sinn oder auch Möglichkeiten das der normale Login nicht sichtbar oder sogar deaktiviert ist, und nur ein Admin Account kann ihn ggf wieder aktivieren?
• Windows 10 zeigt zwei SmartCard Logins an. Kann man die eine irgendwie "verstecken"? Denke das verwirrt den User wenn nur eine verwendet werden kann. Denke die eine ist vom SmartCard Slot des Laptops
• Kann man einen PIN Wechsel erzwingen? Wenn ich einen neuen YubiKey einstecke und der User sich anmeldet bekommt er die Meldung um das Zertifikat auf die SmartCard zu legen. Dort muss er den PIN eingeben. Jedoch den vordefinierten. Gerne würde ich da einen wechsel erzwingen wollen damit der User den PIN gleich ändern muss.
• Wenn der User seine SmartCard verliert, wie sperre ich das Zertifikat? Ich dachte ich gehe auf den CA Server, und sperre unter Zertifizierungsstelle (Lokal), Mein Root CA, Ausgestellte Zertifikate einfach das SmarcCard Zertifikat von Benutzer X. Leider war danach der Login mittels seiner SmartCard nach wie vor möglich
• Ich habe mal Testweise ein YubiKey PIN 3 mal falsch eingegeben und auch den PUK. Anschliessend musste ich diesen zurücksetzen. Damit der User wieder einen hat, habe ich bisher nur die Variante gefunden mmc zu öffnen, die Userzertifikate zu öffnen und das Zertifikat zu erneuern. Danach kam wieder der Assistent um das Zertifikat auf die SmartCard zu legen. Gibt es da einen einfacheren Weg für den User?

Allgemein ist mir noch nicht ganz klar weshalb es drei verschiedene Zertifikatsvorlagen für den YubiKey benötigt. Vorallem das letzte ist mir nicht ganz klar
1. Creating a Smart Card Login Template for User Self-Enrollment: Mit diesem wird der User selber aufgefordert das Zertifikat mit dem Assistenten zu erstellen
2. To create an enrollment agent enabled smart card certificate template: Dies wird benötigt wenn ich für den User das Zertifikat generieren möchte um dies auf den YubiKey zu legen (Habe hier aber noch nicht raus gefunden wie)
3. To create a private key exportable smart card certificate template: Eigentlich klingt für mich dies nach dem richtigen um als Admin die SmartCard für den User zu erstellen. Aber dann bin ich mir nicht so sicher was das obere bringt.

Zu diesen Vorlagen noch eine Frage: Wenn der User nun das Zertifikat mittels des templates (1.) generiert, seine SmartCard kaputt geht und ich für den User eine neue Ausstelle, sehe ich das richtig das ich dies nicht mehr machen kann und ein neues Zertifikat mittels der Vorlage (2./3.) erstellen muss?

Gruss und Danke

Koda

Vielen Dank für deine Antworten. Ich habe mal die Fragen markiert die nun gelöst sind.

Zu deinen Fragen/Antworten:
Das habe ich gemacht. Ich meinte mehr ob man es erzwingen kann das der User sich anmeldet, die Meldung bekommt Zertifikat generieren und wenn alles gemacht ist er die PIN selber ändern MUSS.
Wobei sich mir die Frage stellt ob es nicht "einfacher" wäre wenn ich die Zertifikate ausstelle und auf den YubiKey kopiere, und der User bei mir seinen "Initial" PIN setzen muss. Dann ist er sicher schon mal individualisiert.

Das könnte es sein. Es ist nur die Infrastruktur erstellt, aber es wurde nicht explizit eine Rückrufliste erstellt (Nur Testumgebung ;))

Die PUK soll er eh nicht bekommen. Ging mir mehr drum wie der User wieder eine SmartCard bekommt wenn er eine neue benötigt (Kann ja auch kaputt gehen)

Guten Abend

Ich habe nun die Zertifizierungsstelle geprüft. Eine Sperrliste scheint vorhanden zu sein. Wenn ich das Zertifikat sperre, ex exportiere und abfrage kommt auch die Meldung das es gesperrt ist.

Ich habe nun herausgefunden, dass man auf den Domänencontrollern sowie der Zertifizierungsstelle den CMD Befehl
certutil -setreg chain\ChainCacheResyncFiletime @ now (ohne Abstand nach dem @)
certutil -urlcache crl delete
ausführen soll und danach den certsvc Service (Auf der CA) neu starten soll.

Dies klappt zwar ohne Fehler, das Zertifikat bleibt aber weiterhin für den Client gültig.

Gruss

Koda