USBKey登录桌面云

USBKey登录桌面云

【适用版本】根据登陆方案而定

一、智能卡在桌面云上使用的场景描述

目前在桌面云中，常见的使用智能卡的场景包括两种：一种是使用智能卡登录桌面云；另一种是仅在用户虚拟机中使用智能卡登录客户自己的业务系统。当然，有的客户的桌面云应用中可能会包括这两种智能卡使用场景。

1、使用智能卡登录桌面云

对于这种使用场景，FusionAccess解决方案的桌面云可提供两种使用智能卡登录桌面云的方式：

1）智能卡单点登录桌面云

对于智能卡单点登录功能，桌面云用户仅需在登录Windows瘦终端时输入一次智能卡PIN 码，后续即可单点登录WI看到虚拟机列表，然后点击虚拟机图标后，即可登录虚拟机操作系统（要求此时智能卡必须插在TC上并映射到虚拟机中），无需在登录WI和虚拟机时，再次输入智能卡的PIN码。

这种登录方式下，用户登录TC、WI和VM仅需输入一次PIN码，用户登录体验好。但这种登录方式下，要求必须是Windows终端，且终端需加入AD域管理。

图1 智能卡单点登录桌面云登录体验

2）智能卡非单点登录桌面云

对于智能卡非单点登录功能，桌面云用户打开TC后直接访问WI时，输入一次智能卡PIN 码，可登录WI看到虚拟机列表，然后点击虚拟机图标后，登录虚拟机操作系统时再次输入一次智能卡的PIN码（要求此时智能卡必须插在TC上并映射到虚拟机中），即可以登录到虚拟机操作系统。

这种登录方式下，用户登录WI和VM需要输入两次PIN码。但这种登录方式下，对终端操作系统无要求，TC无需加入域，所以可以支持Linux TC（前提是Linux TC上已经安装了可用的智能卡的驱动，在Linux TC上可以识别到智能卡）。

图2 智能卡非单点登录桌面云登录体验

2、使用智能卡做虚拟机中应用的登录

有些客户并不使用智能卡做WI、VM的登录，而是仅在虚拟机中使用智能卡登录客户自己的业务系统（如ERP系统Portal、财务系统Portal等）。在这种场景下，智能卡如果能正常从TC上映射到虚拟机中，就可以在虚拟机中使用该智能卡了。

二、USB Key在虚拟机上使用的功能原理描述

对于在前一节中提到的智能卡在桌面云的两种使用场景中的任何一种场景而言，在华为FusionAccess解决方案版本的桌面云中，默认都是使用PC/SC方式将智能卡映射到虚拟机中使用的。但是在智能卡的驱动无法正常在虚拟机中使用的场景下（即PC/SC方式不能实现智能卡映射），则可以考虑采用USB重定向方式在虚拟机中使用智能卡。

三、推荐智能卡/USBKey厂商

四、智能卡开局测试中遇到的问题及解决方法

对于客户新采购智能卡的局点，推荐客户采用经过兼容性测试的四款智能卡，这四款智能卡可以通过PC/SC方式映射到虚拟机中使用，开局时兼容性问题少，用户使用体验最好。

对于客户前期已经购买了智能卡，想利旧使用智能卡的局点，或者客户有采购其他智能卡厂商设备的意愿时，需要客户首先在华为桌面云上做智能卡的兼容性测试。因为PC/SC映射是R3版本桌面云默认采用的智能卡映射方式，且在PC/SC映射方式下，TC和VM两侧都可以同时使用该智能卡，因此首先在桌面云中使用这种智能卡映射方式来测试利旧使用的智能卡是否能使用PC/SC方式将智能卡信号映射到虚拟机中使用。

具体的PC/SC方式是否能生效的测试方法为：不管WI配置为何种认证方式（可以在WI配置为Explicit（显式，即域账号密码）的登录方式下），在TC和虚拟机中安装上智能卡的驱动（对于Linux TC，如果没有Linux TC上使用的智能卡驱动，也可以先不用在Linux TC上安装智能卡驱动的情况下测试。但如果用智能卡做桌面云登录，那么TC上必须安装智能卡驱动，否则无法用智能卡登录WI），将智能卡插到TC上，然后在用户虚拟机中查看是否可以

在智能卡管理工具或IE浏览器中看到智能卡中的证书（要求智能卡中已经被颁发了数字证书）。如果可以在用户虚拟机智能卡管理工具或IE浏览器中查看到智能卡中的证书，则说明该款智能卡可以使用PC/SC方式映射到虚拟机中正常使用。如果不能查看到证书，则说明这款智能卡不能通过PC/SC方式正常映射到虚拟机中，无法在虚拟机中使用。（备注：在用户虚拟机中IE浏览器中查看证书的方法为，打开IE浏览器，找到“工具”--“Internet选项”--“内容”--“证书”--“个人”下，看是否可以看到智能卡中的证书）

因为在PC/SC映射方式下，在用户虚拟机中对智能卡信号做了特殊处理，所以导致很多智能卡无法在虚拟机中被识别而无法使用。因此这种方式下只能尝试使用USB重定向方式使用智能卡。具体USB重定向配置智能卡映射的方法，请参考附录中的“DDC外设策略配置指导”和前一节中“USB重定向方式”中的详细指导。

对于某些款智能卡，即便是使用USB重定向方式也无法让智能卡在虚拟机中使用。例如旧版本的飞天诚信的ePass3000，PC/SC方式导致该款USB Key的驱动无法在虚拟机中正常使用，但是配置USB重定向方式后，发现USB Key在重定向到虚拟机时，会提示该款Key已经被占用。导致这个问题的原因是，该款Key已经在TC上被占用，导致无法重定向到虚拟机中，必须在TC上手动杀掉该USB Key的进程，才能释放到虚拟机中使用，从而导致旧版本的ePass3000无论用PC/SC还是USB重定向方式，都无法在虚拟机中使用。因此后期推动针对ePass300做了定制版驱动，可以在华为桌面云中使用PC/SC方式映射使用。

因此对于一款智能卡，即便对于USB重定向方式，也要在环境中实际测试才能判断是否能用USB重定向方式在虚拟机中使用。

如果两种方式都无法使用智能卡，那么只能推动智能卡厂商修改智能卡驱动或者客户更换华为推荐的经过兼容性测试的智能卡，来解决驱动无法识别的问题。