Integrációk · Windows Remote Desktop
Kétfaktoros Windows távoli asztal a Notakey Windows Credential Providerrel
Azoknak az IT-csapatoknak, amelyek szervereit és munkaállomásait távoli asztalon keresztül csupán egy Windows-jelszó védi. A Notakey Windows Credential Provider telefonos jóváhagyást ad a bejelentkezési képernyőhöz, és akár ez lehet az egyetlen belépési mód.
Hogyan csatlakozik
Credential provider a gépen, alkalmazás a készüléken
A Notakey Windows Credential Provider (WCP) a Windows-gépre települ, és bejelentkezési lehetőségként jelenik meg a zárolási képernyőn. Az API-n keresztül kommunikál a Notakey készülékkel, a registryben tárolt Service ID és API-kliens hozzáférési adatok segítségével. Amikor a felhasználó a Notakey credential providert választja, a készülék jóváhagyási kérést küld a telefonjára a felhasználónévvel és a gép nevével, és a jóváhagyással a bejelentkezés befejeződik.
Első alkalommal a felhasználó megadja a felhasználónevét és a jelszavát, a Notakey pedig engedélyt kér a jelszó titkosítására. Ettől kezdve a bejelentkezés felhasználónévből és telefonos jóváhagyásból áll. A felhasználók, a Windows-fiókjaik és maga a távoli asztali környezet változatlan marad; a felhasználói forrás továbbra is lehet az Active Directory, a telefonokat pedig a Notakey Authenticatorban regisztrálják.
Ha azt szeretné, hogy a Notakey legyen az egyetlen belépési mód, az alapértelmezett credential provider gépenként a registryben, a teljes géppark szintjén pedig csoportházirenddel (Group Policy) kapcsolható ki. Ezután a bejelentkezéshez csak a felhasználónév és a második faktor kell.
Amit érdemes tudni, mielőtt belekezd
- Minden Windows-gépre telepíteni kell a credential providert, és importálni kell a registry-értékeket. A kizárólag jelszó nélküli bejelentkezésre való átállást csoportházirenddel az egész gépparkon egyszerre kezelheti.
- Kapcsolja be az alkalmazáson a „force biometric check” opciót, ha minden bejelentkezéshez ujjlenyomat- vagy arcellenőrzést is meg kell követelni a telefonon.
- Az Active Directoryból szinkronizált felhasználókhoz később eszkalációs vagy többfelhasználós jóváhagyási szabályok is rendelhetők; ezek nem részei az útmutatóban leírt alapbeállításnak.
- Az alapértelmezett credential provider kikapcsolása megszünteti a pusztán jelszavas bejelentkezést. Mielőtt az egész gépparkra kiterjesztené, próbálja ki egy gépen.
- A registry-fájl tartalmazza az API-kliens titkos kulcsát. Terjesztéskor kezelje hozzáférési adatként.
A nulláról az első jóváhagyásig
- 01
Készítse elő az alkalmazást a készüléken
Hozzon létre egy Windows Remote Desktop nevű alkalmazást, engedélyezze a biometrikus ellenőrzés támogatását, adja meg a felhasználókat közvetlenül, vagy csatlakoztassa az Active Directoryt, és állítson be regisztrációs követelményeket, hogy az alkalmazás megjelenjen a Notakey Authenticatorban. Hozzon létre egy API-klienst üres scopes mezővel, így megkapja a Client ID-t és a titkos kulcsot.
- 02
Importálja a registry-fájlt, és telepítse a credential providert
Írjon egy registry-fájlt a készülék API-címével, a Service ID-val és az API-hozzáférési adatokkal, importálja, telepítse a Letöltések oldalról a Windows Credential Provider legújabb verzióját, és indítsa újra a gépet. Az üzenet TTL-je, valamint a létrehozási és a várakozási időkorlát észszerű alapértékekkel rendelkezik: 30, 20 és 60 másodperc.
- 03
Jelentkezzen be egyszer, utána a telefonon hagyja jóvá
Jelentkezzen be egyszer a szokásos módon, zárolja a gépet, válassza a Notakey Credential Providert, és adja meg a felhasználónevét és jelszavát. Engedélyezze, hogy a Notakey titkosítsa a jelszót; ezután minden bejelentkezés felhasználónévből és egy érintésből áll a telefonon.
Gyakran ismételt kérdések
- Működik a távoli asztali 2FA Active Directory-fiókokkal?
- Igen. A felhasználói forrás továbbra is lehet az Active Directory; a telefonokat a Notakey Authenticatorban regisztrálják, a bejelentkezés pedig felhasználónévből és telefonos jóváhagyásból áll.
- Lehet a telefonos jóváhagyás az egyetlen belépési mód?
- Igen. Kapcsolja ki az alapértelmezett credential providert gépenként a registryben, vagy a teljes gépparkon csoportházirenddel (Group Policy). Ezután a bejelentkezéshez csak a felhasználónév és a második faktor kell.
- Mit kell telepíteni az egyes gépekre?
- A Notakey Windows Credential Providert a Letöltések oldalról, valamint egy registry-fájlt a készülék API-címével, a Service ID-val és az API-kliens hozzáférési adataival. A fájl tartalmazza az API-kliens titkos kulcsát, ezért terjesztéskor kezelje hozzáférési adatként.