通过

Skype for Business Server 的用户和客户端身份验证

  • 项目

受信任的用户是其凭据由 Skype for Business Server 中受信任的服务器进行身份验证的用户。 此服务器通常是 Standard Edition 服务器、Enterprise Edition 前端服务器或控制器。 Skype for Business Server 依赖于 Active Directory 域服务作为用户凭据的单个受信任后端存储库。

身份验证是向受信任的服务器提供用户凭据的过程。 Skype for Business Server 使用以下身份验证协议，具体取决于用户的状态和位置。

  • 适用于具有 Active Directory 凭据的内部用户的 MIT Kerberos 版本 5 安全协议。 Kerberos 要求客户端连接到 Active Directory 域服务，这就是为什么它不能用于对企业防火墙外部的客户端进行身份验证的原因。

  • NTLM 协议 适用于从企业防火墙外部的终结点连接的具有 Active Directory 凭据的用户。 访问边缘服务将登录请求传递到控制器（如果存在）或前端服务器进行身份验证。 Access Edge 服务本身不执行身份验证。

    注意

    与 Kerberos 相比，NTLM 协议提供的攻击保护较弱，所以有些组织最大程度地减少了对 NTLM 的使用。 因此，对 Skype for Business Server 的访问可能仅限于内部或通过 VPN 或 DirectAccess 连接连接的客户端。

  • 摘要式协议 - 用于所谓的匿名用户。 匿名用户是未识别 Active Directory 凭据但已受邀参加本地会议并拥有有效会议密钥的外部用户。 摘要式身份验证不用于其他客户端交互。

Skype for Business Server 身份验证包括两个阶段：

  1. 在客户端和服务器之间建立安全关联。

  2. 客户端和服务器使用现有的安全关联签署它们发送的消息，以及验证所收到的消息。 在服务器上启用身份验证时，不接受来自客户端的未经身份验证的消息。

用户信任会附加到用户发出的每条消息，而不会附加到用户标识本身。 服务器将检查每条消息是否具有有效的用户凭据。 如果用户凭据有效，则接收消息的第一台服务器以及受信任的服务器云中的所有其他服务器都不会对消息进行质询。

具有联合合作伙伴颁发的有效凭据的用户是信任的，但其他约束会选择性地阻止其享受授予内部用户的全部特权。

ICE 和 TURN 协议也使用摘要式质询，如 IETF TURN RFC 中所述。

客户端证书提供了一种替代方法，供 Skype for Business Server 对用户进行身份验证。 用户无需提供用户名和密码，因为他们具有证书以及解析加密质询所需的与证书对应的私钥。 (此证书必须具有使用者名称或使用者可选名称，该名称必须标识用户，并由运行 Skype for Business Server 的服务器信任的根 CA 颁发，该证书在证书有效期内且尚未吊销。) 若要进行身份验证，用户只需键入个人标识号 (PIN) 。 证书适用于电话、移动电话和其他难以输入用户名和密码的设备。

ASP .NET 4.5 导致的加密要求

从 Skype for Business Server 2015 CU5 开始，ASP.NET 4.6 不支持 AES，这可能会导致 Skype 会议应用无法启动。 如果客户端使用 AES 作为计算机密钥验证值，则需要将计算机密钥值重置为 SHA-1 或 IIS 上的 Skype 会议应用站点级别上其他受支持的算法。 如有必要，请参阅 IIS 8.0 ASP.NET 配置管理 获取说明。

其他支持的值包括：