Integrationen · Windows Remote Desktop
Windows Remote Desktop 2FA mit dem Notakey Windows Credential Provider
Für IT-Teams, deren Server und Arbeitsplätze per Remote Desktop mit nichts als einem Windows-Passwort erreichbar sind. Der Notakey Windows Credential Provider ergänzt den Anmeldebildschirm um eine Bestätigung am Telefon – und kann sie zum einzigen Weg hinein machen.
So wird es angebunden
Ein Credential Provider auf dem Rechner, eine Anwendung auf der Appliance
Der Notakey Windows Credential Provider (WCP) wird auf dem Windows-Rechner installiert und erscheint auf dem Sperrbildschirm als Anmeldeoption. Er kommuniziert über die API mit Ihrer Notakey-Appliance und nutzt dazu eine Service ID und API-Client-Zugangsdaten, die in der Registry hinterlegt sind. Wählt der Benutzer den Notakey-Provider, sendet die Appliance eine Bestätigungsanfrage mit Benutzernamen und Rechnernamen an sein Telefon, und die Anmeldung wird abgeschlossen, sobald er bestätigt.
Beim ersten Mal gibt der Benutzer Benutzernamen und Passwort ein, und Notakey bittet um die Erlaubnis, das Passwort zu verschlüsseln. Von da an besteht die Anmeldung aus Benutzername plus Bestätigung am Telefon. Die Benutzer, ihre Windows-Konten und das Remote-Desktop-Setup selbst bleiben, wie sie sind; Active Directory kann die Benutzerquelle bleiben, die Telefone werden über den Notakey Authenticator registriert.
Soll Notakey der einzige Weg hinein sein, lässt sich der Standard-Credential-Provider pro Rechner über die Registry oder für die gesamte Flotte per Gruppenrichtlinie deaktivieren. Danach brauchen Anmeldungen nur noch den Benutzernamen und den zweiten Faktor.
Was Sie vorab wissen sollten
- Auf jedem Windows-Rechner müssen der Credential Provider installiert und die Registry-Werte importiert sein. Die Umstellung auf die rein passwortlose Anmeldung lässt sich per Gruppenrichtlinie für die gesamte Flotte steuern.
- Aktivieren Sie „force biometric check“ in der Anwendung, wenn jede Anmeldung zusätzlich einen Fingerabdruck oder eine Gesichtserkennung auf dem Telefon erfordern soll.
- Für aus Active Directory synchronisierte Benutzer lassen sich später Richtlinien für Eskalation oder Bestätigung durch mehrere Benutzer einrichten; sie gehören nicht zur Grundkonfiguration, die die Anleitung beschreibt.
- Wer den Standard-Credential-Provider deaktiviert, entfernt die reine Passwortanmeldung. Testen Sie das an einem Rechner, bevor Sie es auf die gesamte Flotte anwenden.
- Die Registry-Datei enthält das Secret des API-Clients. Behandeln Sie sie bei der Verteilung wie Zugangsdaten.
Von null zur ersten Bestätigung
- 01
Anwendung auf der Appliance vorbereiten
Legen Sie eine Anwendung namens Windows Remote Desktop an, aktivieren Sie die Unterstützung für die biometrische Prüfung, definieren Sie Benutzer direkt oder binden Sie Active Directory an, und legen Sie Onboarding-Anforderungen fest, damit die Anwendung im Notakey Authenticator erscheint. Erstellen Sie einen API-Client mit leerem Scopes-Feld, um Client ID und Secret zu erhalten.
- 02
Registry-Datei importieren und Provider installieren
Erstellen Sie eine Registry-Datei mit der API-URL Ihrer Appliance, der Service ID und den API-Zugangsdaten, importieren Sie sie, installieren Sie den neuesten Windows Credential Provider von der Download-Seite und starten Sie neu. Nachrichten-TTL sowie Erstellungs- und Warte-Timeout haben sinnvolle Standardwerte von 30, 20 und 60 Sekunden.
- 03
Einmal anmelden, danach am Telefon bestätigen
Melden Sie sich einmal normal an, sperren Sie den Rechner, wählen Sie den Notakey Credential Provider und geben Sie Benutzernamen und Passwort ein. Erlauben Sie Notakey, das Passwort zu verschlüsseln; jede weitere Anmeldung besteht dann aus Benutzername plus einem Fingertipp auf dem Telefon.
Häufig gestellte Fragen
- Funktioniert die 2FA für Remote Desktop mit Active-Directory-Konten?
- Ja. Active Directory kann die Benutzerquelle bleiben; die Telefone werden über den Notakey Authenticator registriert, und die Anmeldung besteht dann aus Benutzername plus Bestätigung am Telefon.
- Kann die Bestätigung am Telefon der einzige Weg zur Anmeldung sein?
- Ja. Deaktivieren Sie den Standard-Credential-Provider pro Rechner über die Registry oder für die gesamte Flotte per Gruppenrichtlinie. Danach brauchen Anmeldungen nur noch den Benutzernamen und den zweiten Faktor.
- Was muss auf jedem Rechner installiert werden?
- Der Notakey Windows Credential Provider von der Download-Seite sowie eine Registry-Datei mit der API-URL der Appliance, der Service ID und den Zugangsdaten des API-Clients. Die Datei enthält das Secret des API-Clients; behandeln Sie sie bei der Verteilung daher wie Zugangsdaten.
Anleitungen und Dokumentation
- Windows Remote Desktop 2FA: Bestätigung am Telefon für RDP-Anmeldungen
- Downloads: Windows Credential Provider und Appliance
Verwandte Produkte