Com as configurações de logon e segurança do Elastic Desktop Service (EDS) Enterprise, é possível controlar os métodos de logon disponíveis para os usuários finais e aumentar a segurança em todas as etapas de uso do cloud computer. Por exemplo, recursos como single sign-on (SSO), autenticação multifator de dispositivo e verificação de logon do cliente garantem que os usuários finais passem por uma rigorosa verificação de identidade antes de fazer logon. O recurso de logout automático por tempo limite ajuda a controlar de forma eficaz o risco de vazamento acidental de dados. Este tópico descreve esses recursos de segurança de logon e como usá-los.
Logon por ID da organização
Informações básicas
-
Organization ID
O ID da organização inicial é um identificador único e aleatório de 8 dígitos, gerado automaticamente pelo sistema. Ele contém apenas letras maiúsculas do alfabeto inglês (exceto letras como I e O, que podem ser confundidas com números) e dígitos. Use o ID da organização para fazer logon em um Alibaba Cloud Workspace terminal e acesse todos os cloud computers na office network.
-
Organization ID Network Access Mode
Após configurar essa opção, os clientes se conectam aos cloud computers por redes privadas usando o service PrivateLink. Ao selecionar a opção VPC, o service PrivateLink é ativado automaticamente sem custo adicional.
-
Internet
O gateway do cloud computer aceita conexões de cliente pela internet, o que oferece simplicidade e conveniência. O cloud computer fica protegido pelo gateway e isolado da internet.
-
VPC
Os cloud computers aceitam conexões de cliente apenas de dentro de uma rede privada (VPC), e não da internet.
-
Internet and VPC
O cliente determina o método de conexão, e o gateway fica aberto tanto para a internet quanto para redes privadas (VPC).
-
Informações de logon
Métodos de logon
Nesta aba, ative ou desative a Enterprise Identity Source e ajuste a ordem de exibição.
Métodos de conexão: o Elastic Desktop Service suporta conexões por meio dos seguintes clientes: cliente de desktop Windows, cliente de desktop macOS, cliente móvel Android, cliente móvel iOS, cliente web e terminais de hardware. Não há suporte para conexões a cloud computers por meio de protocolos de área de trabalho remota de terceiros, como VNC ou RDP, nem para obter um endereço de acesso à interface gráfica remota pela API.
Segurança de logon
Autenticação multifator (MFA)
Ao ativar a autenticação multifator (MFA), os usuários finais precisam inserir não apenas o nome de usuário e a senha ao fazer logon em um Alibaba Cloud Workspace terminal, mas também uma senha dinâmica ou código de verificação para MFA, adicionando uma camada extra de segurança. Para mais informações, consulte Set up multi-factor authentication (MFA) for logon.
Verificação de logon do cliente
Esse recurso vem desativado por padrão. Quando ativado, os usuários que fazem logon em um Alibaba Cloud Workspace terminal a partir de um novo dispositivo precisam verificar a identidade com um código enviado por e-mail.
Isso se aplica apenas a contas de conveniência que usam conexão de rede pública.
Para um ID da organização
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, selecione o botão de opção Security e ative a chave Client Logon Verification.
Na caixa de diálogo, confirme as informações e clique em OK.
Para uma office network
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Networks & Storage > Office Network.
Na barra de navegação superior, selecione uma região.
Na página Office Network, localize a office network de destino e clique no office network ID.
-
Na seção More Information, na parte inferior da página de detalhes da office network, ative a chave Client Logon Verification.
NotaAs configurações de SSO, a autenticação multifator e a verificação de logon do cliente são mutuamente exclusivas. Ative apenas um desses métodos de verificação de logon para uma office network por vez. No entanto, para um ID da organização, esses recursos não são mutuamente exclusivos e podem ser ativados simultaneamente.
Na caixa de diálogo, confirme as informações e clique em OK.
Autenticação de dispositivo confiável
Esse recurso vem desativado por padrão. Quando ativado, os usuários podem fazer logon apenas a partir dos terminais de logon limitados que você adicionou.
Esse recurso se aplica apenas a contas de conveniência.
Pré-requisitos
verifique se você adicionou um terminal do Alibaba Cloud Workspace no console e de ter vinculado um usuário a ele. Para mais informações, consulte Manage software clients.
Procedimento
Para um ID da organização
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, selecione o botão de opção Security e ative a chave Trusted Device Authentication.
Na caixa de diálogo, confirme as informações e clique em OK.
Para uma office network
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Networks & Storage > Office Network.
Na barra de navegação superior, selecione uma região.
Na página Office Network, localize a office network de destino e clique no office network ID.
Na seção More Information, na parte inferior da página de detalhes da office network, ative a chave Trusted Device Authentication.
Na caixa de diálogo, confirme as informações e clique em OK.
Bloquear logons de terminais não confiáveis
Essa configuração vem desativada por padrão. Quando ativada, apenas terminais confiáveis (como terminais de hardware gerenciados, clientes de desktop gerenciados e terminais de logon limitados adicionados para usuários) podem fazer logon. Todos os outros terminais são considerados não confiáveis e bloqueados.
Esta é uma medida de controle rigorosa que pode afetar o acesso do usuário. Ative-a com cautela.
Procedimento
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, selecione o botão de opção Security e ative a chave Block Logons of Untrusted Terminals.
-
Na caixa de diálogo, selecione um Interception Scope (é necessário selecionar pelo menos um).
Escopo
Efeito
Organization ID
Os terminais não confiáveis não poderão usar este ID da organização para fazer logon.
Office Network ID
Os terminais não confiáveis não poderão usar este ID da office network para fazer logon.
Clique em OK.
Single sign-on (SSO)
O single sign-on (SSO) é uma tecnologia de comunicação segura que permite acessar vários sistemas de aplicativos confiáveis de forma eficiente com um único logon. O SSO implementa o logon com base na federação de identidade.
Os termos a seguir são frequentemente usados em cenários de SSO:
-
Provedor de identidade (IdP): entidade que contém os metadados de um provedor de identidade externo. Um IdP fornece serviços de gerenciamento de identidade, coleta e armazena informações de identidade do usuário, como nomes de usuário e senhas, e verifica as identidades dos usuários no logon.
IdPs comuns:
IdPs locais: usam arquitetura local, como Microsoft Active Directory Federation Service (AD FS) e Shibboleth.
IdP em cloud: Azure AD, Google Workspace, Okta e OneLogin.
Provedor de serviço (SP): aplicativo que usa o recurso de gerenciamento de identidade de um IdP para fornecer aos usuários serviços específicos com base em relações de confiança com IdPs. Em sistemas de identidade específicos que não estão em conformidade com o protocolo Security Assertion Markup Language (SAML), como o OpenID Connect (OIDC), o SP é a parte confiável de um IdP.
SAML 2.0: protocolo padrão para autenticação de identidade de usuário para empresas. É uma das implementações técnicas para comunicação entre SPs e IdPs. O SAML é um padrão de fato usado por empresas para implementar o SSO.
Após ativar e configurar as definições de SSO, os usuários finais fazem logon nos Alibaba Cloud Workspace terminal s usando o SSO. Para office network s, as configurações de SSO vêm desativadas por padrão. Para IDs da organização, as configurações de SSO vêm ativadas por padrão. Não é necessário ativar nenhuma chave, e não há suporte para desativar as configurações de SSO.
Procedimento
Siga estas etapas para ativar o SSO para uma office network.
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Networks & Storage > Office Network.
Na barra de navegação superior, selecione uma região.
Na página Office Network, localize a office network de destino e clique no office network ID.
-
Na seção More Information, na parte inferior da página de detalhes da office network, ative a chave SSO.
NotaAs configurações de SSO, a autenticação multifator e a verificação de logon do cliente são mutuamente exclusivas. Ative apenas um desses métodos de verificação de logon para uma office network por vez. No entanto, para um ID da organização, esses recursos não são mutuamente exclusivos e podem ser ativados simultaneamente.
Política de senha
Ative Configure Password Rule para definir as configurações de senha.
Password Length: defina o comprimento da senha.
-
Password Validity: ative esta configuração para definir a política de expiração de senha.
NotaO período de validade da senha pode ser definido de 7 a 365 dias. Se um período de validade de senha separado for definido para um usuário específico, a data de expiração da senha desse usuário terá precedência.
Password Rule: configure a complexidade da senha selecionando opções como Uppercase letters, Lowercase Letters e Digits.
Tópicos relacionados
Para obter informações sobre como configurar o SSO com base no SAML, consulte Configure SAML-based SSO.
Para práticas recomendadas sobre a integração de cloud computers com IdPs corporativos, consulte Single sign-on (SSO).
Logon por office network
Nesta aba, ative o Office Network ID-based Logon. Quando ativado, tanto o Organization ID-based Logon quanto o Office Network ID-based Logon ficam disponíveis. Quando desativado, apenas o Organization ID-based Logon fica disponível, e o Office Network ID-based Logon não.
FAQ
Diferenças entre um ID da organização e um office network ID
Ao fazer logon em um Alibaba Cloud Workspace terminal, os usuários finais podem usar um office network ID ou um ID da organização. Fazer logon com um ID da organização fornece acesso a cloud computers em todas as office networks. A lista a seguir descreve quais terminais do Alibaba Cloud Workspace suportam logon com um ID da organização:
Para contas de conveniência, todos os Alibaba Cloud Workspace terminals suportam logon com um ID da organização.
Para contas do AD corporativo, os seguintes terminais do Alibaba Cloud Workspace suportam logon com um ID da organização: Windows client e macOS client (V6.4 ou posterior).
É possível ativar vários métodos de logon e verificação de segurança tanto para IDs da organização quanto para office network IDs. No entanto, os recursos suportados são diferentes. A tabela a seguir descreve essas diferenças, usando uma office network de conveniência como exemplo.
Os métodos de verificação de segurança suportados para uma office network do AD são a autenticação multifator (MFA) e o single sign-on (SSO).
|
Item |
ID da organização |
Office network ID |
|
Conceito |
Um ID da organização é um identificador exclusivo para a sua empresa. O sistema cria automaticamente um ID da organização ao ativar o Elastic Desktop Service (EDS). Se a conta principal do Alibaba Cloud tiver concluído a verificação corporativa, será possível personalizar o ID da organização gerado automaticamente. |
Um office network ID é o identificador exclusivo para uma office network. Ele é gerado automaticamente pelo sistema e não pode ser modificado. |
|
Escopo de efetividade |
As configurações de logon e de segurança no nível do ID da organização entram em vigor para todos os cloud computers. |
As configurações de logon e de segurança no nível da office network entram em vigor apenas para os cloud computers dentro dessa office network. |
|
Logon de conta de conveniência |
Suportado |
Suportado |
|
Logon de conta do AD corporativo |
Suportado |
Suportado |
|
Logon automático |
Suportado |
Não suportado |
|
Logout automático por tempo limite |
Suportado |
Não suportado |
|
Limite de terminais simultâneos |
Suportado |
Não suportado |
|
Logon por SMS |
Suportado |
Não suportado |
|
MFA |
Suportado |
Suportado |
|
Verificação de logon do cliente |
Suportado |
Suportado |
|
Autenticação de dispositivo confiável |
Suportado |
Suportado |
|
SSO |
Suportado |
Suportado |
configure métodos de verificação de logon
Defina os métodos de verificação de logon para um ID da organização e uma office network separadamente. As configurações de cada um são independentes e não se afetam.
Ao fazer logon em um Alibaba Cloud Workspace terminal com um ID da organização, os métodos de verificação configurados para o ID da organização serão aplicados.
Ao fazer logon em um Alibaba Cloud Workspace terminal com um office network ID, os métodos de verificação configurados para o office network ID serão aplicados.
gerencie métodos de logon para um ID da organização
Se vários métodos de logon estiverem configurados para um ID da organização, siga estas etapas para definir a visibilidade e a ordem de exibição na interface do Alibaba Cloud Workspace terminal.
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, na aba Organization ID logon Configure, ative ou desative os métodos de logon na seção Authentication Method conforme necessário.
modifique um ID da organização
modifique seu ID da organização apenas após a sua conta do Alibaba Cloud concluir a verificação corporativa. A modificação deve ser baseada nas suas informações de verificação corporativa. Para mais informações sobre a verificação corporativa, consulte Account verification FAQ.
Faça logon no EDS enterprise console.
-
Escolha um ponto de entrada:
Modificar na página Overview
No painel de navegação à esquerda, clique em Overview.
Na seção My Cloud Computer da página Overview, clique em Modify à direita do ID da organização atual.
Modificar na página Logon Settings
No painel de navegação à esquerda, escolha Users > Logon.
Na aba General da página Logon, clique em Settings à direita de Organization ID.
-
Na caixa de diálogo Organization ID, insira um ID da organização que atenda aos requisitos e clique em OK.
NotaO ID deve ter de 5 a 15 caracteres. Pode conter letras (sem distinção entre maiúsculas e minúsculas), dígitos e os seguintes caracteres especiais:
~#$%&:'_-+=|(){}[]<>. O ID não pode começar com um caractere especial.O ID pode ser modificado apenas uma vez a cada 6 meses.
Políticas de logon
O Elastic Desktop Service (EDS) Enterprise oferece uma variedade de políticas de logon e configurações de segurança para ajudar a criar um sistema de acesso seguro e confiável para os seus cloud computers.
crie uma política
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, clique na aba Logon Policy e clique em Create Policy.
Modo imersivo
Ao ativar o modo imersivo para o Windows client, o dispositivo local que executa o Windows client mostra apenas a interface do cliente. Isso proporciona uma experiência imersiva de cloud computer para os usuários finais e remove distrações do dispositivo local.
Notas de uso
-
Clientes suportados
Há suporte para esse recurso apenas no Windows client.
-
Como funciona
-
Após ativar ou desativar o modo imersivo, o usuário final recebe um aviso para reiniciar o dispositivo local no próximo logon bem-sucedido no terminal. O usuário final precisa clicar em Reiniciar para que o dispositivo reinicie e entre no modo imersivo.
NotaO usuário final deve clicar em Restart na janela pop-up do cliente para que a alteração entre em vigor. Reiniciar o dispositivo usando a função de reinicialização do dispositivo local não funcionará.
Esse recurso modifica as informações do registro do Windows no dispositivo local do usuário final. Se o recurso não entrar em vigor, ele pode estar bloqueado por um software de segurança no dispositivo local.
-
-
Impacto e escopo
Após a ativação do modo imersivo, o usuário final não pode retornar ao sistema operacional local a partir da interface do cliente. Ele também não pode usar os recursos do sistema operacional local, como abrir o Painel de Controle, o Gerenciador de Tarefas, o navegador ou as configurações de rede.
Essa configuração afeta todos os usuários da sua organização.
Procedimento
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, clique na aba General. À direita de Logon Settings, clique em Modify Logon Configurations.
No painel Modify Logon Configurations, acesse a seção Immersive Mode e ative a chave Use Immersive Mode After Client Logon.
Logon automático
Essa configuração controla se os usuários finais podem ativar o logon automático na tela de logon do Alibaba Cloud Workspace terminal. Se ativada, também controla por quanto tempo os usuários finais podem ficar sem inserir novamente suas credenciais de logon após um logon bem-sucedido. Defina isso como Configure by End User. Você também pode seguir as etapas abaixo para definir como Configure by Administrator e especifique o período de validade do logon automático.
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, clique na aba General. À direita de Logon Settings, clique em Modify Logon Configurations.
-
No painel Modify Logon Configurations, conclua as seguintes configurações e clique em OK.
Parâmetro
Descrição
Logon automático
As opções incluem:
Customized by End User: os usuários finais podem ativar ou desativar o logon automático no Alibaba Cloud Workspace terminal e definir a duração do logon automático.
Managed by Administrator: o administrador configura o recurso de logon automático no console do EDS. Os usuários finais não podem modificar essa configuração no Alibaba Cloud Workspace terminal.
Configurações de logon automático
Esta opção fica visível quando o Automatic Logon é definido como Managed by Administrator. Ative ou desative esta opção.
Período de validade do logon automático
Quando o Automatic Logon é definido como Managed by Administrator e o Automatic Logon está ativado, defina a duração do logon automático.
ImportanteSe um período de validade de senha limitado (30 a 365 dias) for definido para uma conta de conveniência em vez de permanente, e o período de validade do logon automático definido aqui for maior que o período de validade restante da senha para essa conta, a conta de conveniência poderá falhar ao fazer logon automaticamente. Para mais informações sobre como definir o período de validade da senha para uma conta de conveniência, consulte Create a convenience account.
Logout automático por tempo limite
Esse recurso vem desativado por padrão. Se ativado, quando um usuário final fizer logon em um tipo específico de Alibaba Cloud Workspace terminal, mas não se conectar a nenhum recurso em cloud (como EDS, App Streaming, Cloud Phone, OSS ou unidades corporativas), o terminal fará logout automaticamente após o período de tempo limite definido. Isso ajuda a proteger a segurança dos dados dos seus recursos em cloud.
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, clique na aba General. À direita de Logon Settings, clique em Modify Logon Configurations.
-
No painel Modify Logon Configurations, conclua as seguintes configurações e clique em OK.
Parâmetro
Descrição
Logout automático por tempo limite
Ative ou desative esta opção.
Período de tempo limite
A duração durante a qual um usuário final não está conectado a nenhum recurso em cloud no Alibaba Cloud Workspace terminal. Esta opção fica visível quando o Timeout-triggered Automatic Logout está ativado.
Terminais aplicáveis
Os terminais do Alibaba Cloud Workspace aos quais esse recurso se aplica.
NotaSe selecionar Alibaba Cloud Workspace Hardware Terminal, observe que esse recurso só entra em vigor em terminais de hardware V7.5 e posteriores. Se o terminal de hardware estiver configurado para logon sem senha, o logout automático por tempo limite não entrará em vigor.
NotaApós configurar o logout automático por tempo limite para o cliente, a configuração entra em vigor na próxima vez que o usuário final fizer logon.
Antes que o período de tempo limite seja atingido, o usuário final recebe um lembrete. O usuário pode optar por interromper o processo. Se nenhuma ação for tomada, o cliente fará logout automaticamente.
Limite de terminais simultâneos
Por padrão, um usuário final pode fazer logon em qualquer número de terminais do Alibaba Cloud Workspace simultaneamente. Configure um limite para o número de logons simultâneos em terminais. Se esse limite for excedido, a sessão de logon mais antiga do usuário em um Alibaba Cloud Workspace terminal será encerrada automaticamente.
Faça logon no EDS enterprise console.
No painel de navegação à esquerda, escolha Users > Logon.
Na página Logon, clique na aba General. À direita de Logon Settings, clique em Modify Logon Configurations.
-
No painel Modify Logon Configurations, conclua as seguintes configurações e clique em OK.
Parâmetro
Descrição
Limite de terminais simultâneos
Ative ou desative esta opção.
Número de terminais/clientes nos quais um usuário pode fazer logon
O número máximo de terminais do Alibaba Cloud Workspace (1 a 10) nos quais um usuário final pode fazer logon simultaneamente. Esta opção fica visível quando o Max. Terminals está ativado.