Integrace · Vzdálená plocha Windows
Vzdálená plocha Windows s 2FA přes Notakey Windows Credential Provider
Pro IT týmy, jejichž servery a pracovní stanice jsou přes vzdálenou plochu dostupné jen s heslem do Windows. Notakey Windows Credential Provider přidá na přihlašovací obrazovku schválení na telefonu a může z něj udělat jedinou cestu dovnitř.
Jak se připojuje
Credential provider na počítači, aplikace na zařízení
Notakey Windows Credential Provider (WCP) se instaluje na počítač s Windows a na zamykací obrazovce se objeví jako jedna z možností přihlášení. S vaším zařízením Notakey komunikuje přes jeho API pomocí Service ID a přihlašovacích údajů API klienta uložených v registru. Když uživatel zvolí poskytovatele Notakey, zařízení mu na telefon pošle žádost o schválení s uživatelským jménem a názvem počítače a po schválení je přihlášení dokončeno.
Při prvním přihlášení zadá uživatel uživatelské jméno a heslo a Notakey požádá o svolení heslo zašifrovat. Od té chvíle se přihlašuje uživatelským jménem a schválením na telefonu. Uživatelé, jejich účty ve Windows i samotné nastavení vzdálené plochy zůstávají beze změny; zdrojem uživatelů může zůstat Active Directory a telefony se registrují přes Notakey Authenticator.
Má-li být Notakey jedinou cestou dovnitř, lze výchozí credential provider vypnout na jednotlivých počítačích v registru, nebo v celé flotile přes Group Policy. Pak k přihlášení stačí jen uživatelské jméno a druhý faktor.
Co vědět, než začnete
- Na každém počítači s Windows musí být nainstalován credential provider a naimportovány hodnoty registru. Pro přepnutí na přihlašování výhradně bez hesla nabízí Group Policy správu v měřítku celé flotily.
- Pokud má každé přihlášení vyžadovat i ověření otiskem prstu nebo obličejem na telefonu, zapněte u aplikace volbu „force biometric check“.
- Uživatelům synchronizovaným z Active Directory lze později nastavit eskalační pravidla nebo pravidla schvalování více uživateli; ta nejsou součástí základního nastavení popsaného v návodu.
- Vypnutím výchozího credential provideru zmizí možnost přihlásit se jen heslem. Než změnu uplatníte v celé flotile, vyzkoušejte ji na jednom počítači.
- Soubor registru obsahuje secret API klienta. Při distribuci s ním zacházejte jako s přihlašovacím údajem.
Od nuly k prvnímu schválení
- 01
Připravte aplikaci na zařízení
Vytvořte aplikaci s názvem Windows Remote Desktop, zapněte podporu biometrického ověření, definujte uživatele přímo nebo připojte Active Directory a nastavte požadavky na registraci, aby se aplikace zobrazila v Notakey Authenticator. Vytvořte API klienta s prázdným polem scopes a získáte Client ID a secret.
- 02
Naimportujte soubor registru a nainstalujte poskytovatele
Připravte soubor registru s URL API vašeho zařízení, Service ID a přihlašovacími údaji API, naimportujte ho, nainstalujte nejnovější Windows Credential Provider ze stránky ke stažení a restartujte. TTL zprávy a timeouty pro vytvoření a čekání mají rozumné výchozí hodnoty 30, 20 a 60 sekund.
- 03
Jednou se přihlaste, pak už schvalujte telefonem
Jednou se přihlaste běžným způsobem, zamkněte počítač, zvolte Notakey Credential Provider a zadejte uživatelské jméno a heslo. Povolte Notakey heslo zašifrovat; každé další přihlášení už znamená uživatelské jméno a klepnutí na telefonu.
Časté dotazy
- Funguje 2FA pro vzdálenou plochu s účty z Active Directory?
- Ano. Zdrojem uživatelů může zůstat Active Directory; telefony se registrují přes Notakey Authenticator a přihlášení se změní na uživatelské jméno a schválení na telefonu.
- Může být schválení na telefonu jediným způsobem přihlášení?
- Ano. Vypněte výchozí credential provider na jednotlivých počítačích v registru, nebo v celé flotile přes Group Policy. Pak k přihlášení stačí jen uživatelské jméno a druhý faktor.
- Co je potřeba nainstalovat na každý počítač?
- Notakey Windows Credential Provider ze stránky ke stažení a soubor registru s URL API zařízení, Service ID a přihlašovacími údaji API klienta. Soubor obsahuje secret API klienta, proto s ním při distribuci zacházejte jako s přihlašovacím údajem.