## 5. Настройка клиента и вход по смарт-карте
### На компьютере CLIENT-AD
1. Зайдите в компьютер под учётной записью локального администратора компьютера (`user` без пароля).
2. Установите драйвер **Рутокен** из дистрибутива `rtDrivers.exe`.
3. Выйдите из системы.
4. Осуществите вход в домен под пользователем `user-req` (был создан в лабораторной работе №1.2) — это вход по паролю для сравнения.
5. Выйдите из системы.
6. Подключите **Рутокен** к виртуальной машине.
7. Осуществите вход в домен под пользователем `user-tkn` (вход со смарт-картой), предъявив криптографический токен Рутокен и введя пароль к нему.
> [!attention] Внимание
> Предупреждение о невозможности входа по смарт-карте может быть связано с тем, что данному пользователю не были выставлены соответствующие ограничения в шаблоне сертификата или он не был добавлен в групповую политику пользователей со входом по смарт-карте. Ещё одной возможной причиной может стать отсутствие сертификата проверки подлинности контроллера домена на `SERVER-AD` — возможно, понадобится выпустить или перевыпустить этот сертификат.
> [!attention] Внимание
> Ошибка проверки статуса отзыва сертификата пользователя смарт-карты или контроллера домена может быть связана с отсутствием актуальных списков отзыва в хранилищах. Установите соответствующие списки как от корневого ЦС (в **Доверенные корневые ЦС**), так и от подчинённого ЦС (в **Доверенные промежуточные ЦС**) для компьютера `CLIENT-AD` и `SERVER-AD`. Установку соответствующих списков для `CLIENT-AD` необходимо осуществлять администратором этого локального компьютера и после этого осуществить выход из системы (!). Повторите шаг 7.
### На компьютере SERVER-AD
8. Остановите перехват трафика средством **Wireshark**.
> [!task] Задание
> В средстве **Wireshark** в поле фильтрации трафика введите `Kerberos`, нажмите **Enter**. Изучите трафик протокола Kerberos. Сравните содержимое данных `padata` сообщений протокола Kerberos в случае входа по логин/паролю и с использованием смарт-карты (токена).
### На компьютере CLIENT-AD
9. Запустите **MMC-консоль**, в оснастке **Редактор объектов групповой политики** выберите **Конфигурация компьютера** → **Конфигурация Windows** → **Параметры безопасности** → **Локальные политики** → **Параметры безопасности** → **Интерактивный вход в систему: поведение при извлечении смарт-карты** — выберите **Блокировать**.
10. Обновите политику: `gpupdate /force`.
11. Безопасно отключите криптотокен из виртуальной машины, убедитесь, что виртуальная машина заблокировалась.
> [!summary] Итог
> Теперь при отключении (извлечении) устройства Рутокен в процессе открытого пользовательского сеанса клиентская ОС будет автоматически заблокирована. Это защищает сессию от несанкционированного доступа, если пользователь отошёл от компьютера, забыв извлечь токен.