智能卡登录要求解决什么
把账号设置为“交互式登录需要智能卡”，本质是把口令因素从这个账号上彻底移除：登录必须持有证书与私钥，口令泄露不再足以登录。它依赖证书服务与 Kerberos 证书登录链路的正确配置，启用后该账号在没有卡的环境（包含部分远程接入路径）完全无法登录，因此发卡流程与应急通道必须先准备好。
基本信息
| 加固项 | 强认证（双因素） |
|---|---|
| 适用平台 | AD 域账号，需要证书服务 |
| 关键属性 | SmartcardLogonRequired |
| 设置方式 | Set-ADAccountControl 或账户属性界面 |
| 前置条件 | PKI 与证书登录链路可用，有发卡与补卡流程 |
| 风险等级 | 中 |
典型使用场景
- 特权账号：域管理员等强制持卡登录
- 高价值业务账号：财务、核心系统运维人员
- 合规要求：关键岗位需要双因素认证
- 事件复盘：确认口令泄露后攻击者是否还能直接登录
- 新员工开通：把发卡纳入入职流程
配置与核查
配置与核查
# 对指定账号启用智能卡登录要求
Set-ADAccountControl -Identity 'admin1' -SmartcardLogonRequired $true
# 核查账号属性
Get-ADUser 'admin1' -Properties SmartcardLogonRequired | Select-Object Name, SmartcardLogonRequired
# 账户属性界面中的等价选项：'交互式登录需要智能卡'相关配置与影响
| 配置项 | 含义 | 影响 |
|---|---|---|
| SmartcardLogonRequired | 交互式登录必须使用智能卡 | 无卡环境完全无法登录 |
| 证书模板 | 发卡依赖的注册设置 | 未配置时无法签发可用证书 |
| 证书登录链路 | Kerberos 证书认证相关设置 | 配置错误会直接导致登录失败 |
| 备用通道 | 应急登录方式 | 必须在启用前验证可用 |
启用前用测试账号走通整条链路：证书注册、读卡器驱动、登录流程与远程接入方式。
部分第三方系统不支持基于证书的认证方式，集成测试不能省，否则会出现“卡能用但系统登不上”的情况。
开启后该账号在无卡环境下完全无法登录，先配好备用通道与发卡流程再推广。