Smartcard-Logon in RDP mit zwei Benutzerkonten auf einem YubiKey
Für Benutzer wie Administratoren ist es manchmal hilfreich auf dem selben YubiKey zwei Smartcard Zertifikate unterschiedlicher Benutzerkonten zu verwenden. Hierbei gibt es jedoch einige Herausforderungen, welche mit Appterix gelöst werden können.
Nachfolgend finden Sie die detaillierten Informationen zur Konfiguration über Appterix, den passenden Slots sowie den Besonderheiten bei RDP-Anmeldungen mit mehreren Zertifikaten.
Da ein physischer YubiKey standardmäßig für die Windows-Anmeldung primär auf einen festen Authentifizierungs-Slot ausgelegt ist, erfordert die Nutzung von zwei verschiedenen Windows-Konten auf demselben Token eine gezielte Slot-Trennung. Appterix bietet beim Zertifikats-Enrollment die Möglichkeit, den Ziel-Slot (z. B. Slot 9a oder alternative Slots) explizit zu definieren. Das erste Konto verwendet den Standard-Slot 9a. Für das zweite Konto sollte in Appterix ein alternativer, von Windows und dem YubiKey-Minidriver unterstützter Slot (wie die Retired Key Management Slots 82 bis 95) gewählt werden, da Appterix hierbei flexibel die Zuweisung steuert. Es empfiehlt sich ein zweites Enrollment anzulegen, welches nur die Kacheln der PIV-Einhgabe und Smartcardbasierte Authentifizierung besitzt. Ein Video hierzu finden Sie hier: https://appterix.eu/help/enrollment-fuer-weitere-fido2-benutzer-und-piv-zertifikate/
Slot 9a (PIV Authentication) ist der korrekte und von Windows primär unterstützte Standard-Slot für das erste Smartcard-Logon-Konto. Für weitere Benutzer nutzen Sie einen der Retired Key Management Slots (Slots 82 bis 95) auf dem YubiKey. Der YubiKey Smart Card Minidriver kann diese zusätzlichen Slots ebenfalls für die Windows-Anmeldung interpretieren, sofern das Zertifikat dort korrekt provisioniert wurde.
Wenn Sie mehrere Zertifikate auf einem YubiKey für RDP-Sitzungen verwenden möchten, müssen folgende Voraussetzungen erfüllt sein:
Der YubiKey Smart Card Minidriver muss zwingend nicht nur lokal, sondern auch auf dem Zielsystem (dem RDP-Host / Terminalserver) installiert sein. Fehlt dieser, schlägt die Anmeldung fehl (typischer Fehler: „The requested key container is not available on the smart card“).
In den RDP-Verbindungseinstellungen (Remotedesktopverbindung -> Lokale Geräte und Ressourcen -> Weitere) muss die Option Smartcards aktiviert sein, damit der Client den YubiKey an die Remotesitzung durchreicht.
Beide Zertifikate müssen über die EKU-Erweiterung (Extended Key Usage) für Smart Card Logon verfügen, damit Windows sie überhaupt als gültige Anmeldeoptionen im RDP-Anmeldefenster auflistet.
Um zu prüfen, ob der YubiKey und die Zertifikate korrekt erkannt werden, öffnen Sie in einer RDP-Sitzung die Eingabeaufforderung und führen Sie folgenden Befehl aus: certutil -scinfo
Die Ausgabe muss die Smartcard als kompatibles PIV-Gerät anzeigen und alle hinterlegten Zertifikate (inklusive des zweiten Kontos auf dem gewählten Alternativ-Slot) auflisten, ohne dass Fehler bezüglich fehlender Container oder falscher Slot-Richtlinien ausgegeben werden.