Integraciones · Windows Remote Desktop
2FA para el escritorio remoto de Windows con Notakey Windows Credential Provider
Para equipos de TI a cuyos servidores y estaciones de trabajo se accede por escritorio remoto con una simple contraseña de Windows. Notakey Windows Credential Provider añade una aprobación en el teléfono a la pantalla de inicio de sesión y puede convertirla en la única vía de acceso.
Cómo se conecta
Un proveedor de credenciales en el equipo, una aplicación en el appliance
Notakey Windows Credential Provider (WCP) se instala en el equipo Windows y aparece como opción de inicio de sesión en la pantalla de bloqueo. Se comunica con su appliance de Notakey a través de su API, con un Service ID y unas credenciales de cliente API guardados en el registro. Cuando el usuario elige el proveedor de Notakey, el appliance envía una solicitud de aprobación a su teléfono con el nombre de usuario y el nombre del equipo, y el inicio de sesión se completa al aprobarla.
La primera vez, el usuario introduce su nombre de usuario y su contraseña, y Notakey pide permiso para cifrar la contraseña. A partir de entonces, el inicio de sesión consiste en el nombre de usuario más la aprobación en el teléfono. Los usuarios, sus cuentas de Windows y la propia configuración del escritorio remoto siguen igual; Active Directory puede seguir siendo el origen de usuarios, con los teléfonos registrados mediante Notakey Authenticator.
Si Notakey debe ser la única vía de acceso, el proveedor de credenciales predeterminado puede desactivarse equipo por equipo mediante el registro, o en todo el parque mediante directiva de grupo (Group Policy). A partir de ahí, basta con el nombre de usuario y el segundo factor para iniciar sesión.
Qué debe saber antes de empezar
- Cada equipo Windows necesita el proveedor de credenciales instalado y los valores del registro importados. La directiva de grupo permite activar en todo el parque el acceso exclusivamente sin contraseña.
- Active «force biometric check» en la aplicación si cada inicio de sesión debe exigir además una verificación de huella o de rostro en el teléfono.
- A los usuarios sincronizados desde Active Directory se les pueden asignar más adelante políticas de escalado o de aprobación por varios usuarios; esas políticas no forman parte de la configuración básica que describe la guía.
- Desactivar el proveedor de credenciales predeterminado elimina el inicio de sesión solo con contraseña. Pruébelo en un equipo antes de aplicarlo a todo el parque.
- El archivo de registro contiene el secreto del cliente API. Trátelo como una credencial al distribuirlo.
De cero a la primera aprobación
- 01
Prepare la aplicación en el appliance
Cree una aplicación llamada Windows Remote Desktop, active la compatibilidad con la verificación biométrica, defina los usuarios directamente o conecte Active Directory, y configure requisitos de registro para que la aplicación aparezca en Notakey Authenticator. Cree un cliente API con el campo de ámbitos vacío para obtener el Client ID y el secreto.
- 02
Importe el archivo de registro e instale el proveedor
Prepare un archivo de registro con la URL de la API de su appliance, el Service ID y las credenciales de la API, impórtelo, instale la versión más reciente de Windows Credential Provider desde la página de descargas y reinicie. El TTL del mensaje y los tiempos máximos de creación y de espera tienen valores por defecto razonables: 30, 20 y 60 segundos.
- 03
Inicie sesión una vez y apruebe desde el teléfono
Inicie sesión una vez de la forma habitual, bloquee el equipo, seleccione Notakey Credential Provider e introduzca su nombre de usuario y su contraseña. Permita que Notakey cifre la contraseña; a partir de entonces, cada inicio de sesión será el nombre de usuario más un toque en el teléfono.
Preguntas frecuentes
- ¿Funciona el 2FA del escritorio remoto con cuentas de Active Directory?
- Sí. Active Directory puede seguir siendo el origen de los usuarios; los teléfonos se registran mediante Notakey Authenticator y el inicio de sesión pasa a ser el nombre de usuario más la aprobación en el teléfono.
- ¿Puede la aprobación en el teléfono ser la única forma de iniciar sesión?
- Sí. Desactive el proveedor de credenciales predeterminado equipo por equipo mediante el registro, o en todo el parque mediante directiva de grupo (Group Policy). A partir de ahí, para iniciar sesión basta con el nombre de usuario y el segundo factor.
- ¿Qué hay que instalar en cada equipo?
- Notakey Windows Credential Provider, disponible en la página de descargas, y un archivo de registro con la URL de la API del appliance, el Service ID y las credenciales del cliente API. El archivo contiene el secreto del cliente API, así que trátelo como una credencial al distribuirlo.