Intégrations · Bureau à distance Windows
Bureau à distance Windows : 2FA avec le Notakey Windows Credential Provider
Pour les équipes informatiques dont les serveurs et postes de travail sont accessibles en Bureau à distance avec un simple mot de passe Windows. Le Notakey Windows Credential Provider ajoute une approbation sur le téléphone à l’écran de connexion, et peut en faire le seul moyen d’entrer.
Comment s’établit la connexion
Un credential provider sur la machine, une application sur l’appliance
Le Notakey Windows Credential Provider (WCP) s’installe sur la machine Windows et apparaît comme option de connexion sur l’écran de verrouillage. Il communique avec votre appliance Notakey via son API, à l’aide d’un Service ID et d’identifiants de client API stockés dans le registre. Lorsque l’utilisateur choisit le fournisseur Notakey, l’appliance envoie sur son téléphone une demande d’approbation mentionnant le nom d’utilisateur et le nom de la machine, et la connexion aboutit dès qu’il approuve.
La première fois, l’utilisateur saisit son nom d’utilisateur et son mot de passe, et Notakey lui demande l’autorisation de chiffrer ce mot de passe. Ensuite, la connexion se résume au nom d’utilisateur et à une approbation sur le téléphone. Les utilisateurs, leurs comptes Windows et la configuration du Bureau à distance restent en l’état ; Active Directory peut demeurer la source d’utilisateurs, les téléphones étant enrôlés via Notakey Authenticator.
Si Notakey doit être le seul moyen d’entrer, le credential provider par défaut peut être désactivé machine par machine dans le registre, ou sur tout le parc par stratégie de groupe. Dès lors, la connexion ne requiert plus que le nom d’utilisateur et le second facteur.
À savoir avant de commencer
- Sur chaque machine Windows, il faut installer le credential provider et importer les valeurs de registre. La stratégie de groupe permet d’activer le mode sans mot de passe exclusif à l’échelle du parc.
- Activez « force biometric check » sur l’application si chaque connexion doit aussi exiger une vérification par empreinte digitale ou reconnaissance faciale sur le téléphone.
- Les utilisateurs synchronisés depuis Active Directory peuvent ensuite se voir appliquer des politiques d’escalade ou d’approbation à plusieurs ; ces politiques ne font pas partie de la configuration de base décrite dans le guide.
- Désactiver le credential provider par défaut supprime la connexion par mot de passe seul. Testez sur une machine avant de l’appliquer à tout le parc.
- Le fichier de registre contient le secret du client API. Traitez-le comme un identifiant sensible lorsque vous le distribuez.
De zéro à la première approbation
- 01
Préparer l’application sur l’appliance
Créez une application nommée Windows Remote Desktop, activez la prise en charge de la vérification biométrique, définissez les utilisateurs directement ou connectez Active Directory, et configurez des prérequis d’enrôlement pour que l’application apparaisse dans Notakey Authenticator. Créez un client API avec un champ de scopes vide pour obtenir le Client ID et le secret.
- 02
Importer le fichier de registre et installer le fournisseur
Rédigez un fichier de registre contenant l’URL de l’API de votre appliance, le Service ID et les identifiants API, importez-le, installez la dernière version du Windows Credential Provider depuis la page des téléchargements, puis redémarrez. La durée de vie du message et les délais de création et d’attente ont des valeurs par défaut raisonnables de 30, 20 et 60 secondes.
- 03
Se connecter une fois, puis approuver depuis le téléphone
Connectez-vous normalement une première fois, verrouillez la machine, sélectionnez le Notakey Credential Provider et saisissez votre nom d’utilisateur et votre mot de passe. Autorisez Notakey à chiffrer le mot de passe : chaque connexion suivante se fera avec le nom d’utilisateur et un geste sur le téléphone.
Questions fréquentes
- La 2FA du Bureau à distance fonctionne-t-elle avec les comptes Active Directory ?
- Oui. Active Directory peut rester la source d’utilisateurs ; les téléphones sont enrôlés via Notakey Authenticator, et la connexion se résume au nom d’utilisateur et à une approbation sur le téléphone.
- L’approbation sur le téléphone peut-elle devenir le seul moyen de se connecter ?
- Oui. Désactivez le credential provider par défaut machine par machine dans le registre, ou sur tout le parc par stratégie de groupe (Group Policy). La connexion ne requiert alors plus que le nom d’utilisateur et le second facteur.
- Que faut-il installer sur chaque machine ?
- Le Notakey Windows Credential Provider, disponible sur la page des téléchargements, ainsi qu’un fichier de registre contenant l’URL de l’API de l’appliance, le Service ID et les identifiants du client API. Ce fichier contient le secret du client API : traitez-le comme un identifiant sensible lorsque vous le distribuez.