Integrazioni · Windows Remote Desktop
2FA per il Desktop remoto di Windows con il Notakey Windows Credential Provider
Per i team IT i cui server e postazioni di lavoro sono raggiungibili via Desktop remoto con la sola password di Windows. Il Notakey Windows Credential Provider aggiunge un’approvazione sul telefono alla schermata di accesso, e può renderla l’unica via d’ingresso.
Come si collega
Un provider di credenziali sulla macchina, un’applicazione sull’appliance
Il Notakey Windows Credential Provider (WCP) si installa sulla macchina Windows e compare come opzione di accesso nella schermata di blocco. Comunica con la vostra appliance Notakey tramite la sua API, usando un Service ID e le credenziali di un client API memorizzati nel registro di sistema. Quando l’utente sceglie il provider Notakey, l’appliance invia al suo telefono una richiesta di approvazione con il nome utente e il nome della macchina, e l’accesso si completa non appena l’utente approva.
La prima volta l’utente inserisce nome utente e password, e Notakey chiede il permesso di cifrare la password. Da quel momento l’accesso richiede il nome utente più l’approvazione sul telefono. Gli utenti, i loro account Windows e la configurazione del Desktop remoto restano invariati; Active Directory può rimanere la sorgente utenti, con i telefoni registrati tramite Notakey Authenticator.
Se Notakey deve essere l’unica via d’ingresso, il provider di credenziali predefinito può essere disattivato macchina per macchina tramite il registro di sistema, oppure sull’intero parco tramite criterio di gruppo. Da quel momento gli accessi richiedono solo il nome utente e il secondo fattore.
Cosa sapere prima di iniziare
- Su ogni macchina Windows va installato il provider di credenziali e vanno importati i valori del registro. Il criterio di gruppo consente di gestire su larga scala il passaggio al solo accesso senza password.
- Attivate «force biometric check» sull’applicazione se ogni accesso deve richiedere anche la verifica dell’impronta o del volto sul telefono.
- Agli utenti sincronizzati da Active Directory si possono in seguito applicare politiche di escalation o di approvazione multiutente; tali politiche non fanno parte della configurazione di base descritta nella guida.
- Disattivare il provider di credenziali predefinito elimina l’accesso con la sola password. Provate su una macchina prima di applicarlo all’intero parco.
- Il file di registro contiene il secret del client API. Trattatelo come una credenziale quando lo distribuite.
Da zero alla prima approvazione
- 01
Preparate l’applicazione sull’appliance
Create un’applicazione denominata Windows Remote Desktop, attivate il supporto al controllo biometrico, definite gli utenti direttamente o collegate Active Directory e impostate i requisiti di registrazione, così che l’applicazione compaia in Notakey Authenticator. Create un client API con il campo degli scope vuoto per ottenere Client ID e secret.
- 02
Importate il file di registro e installate il provider
Preparate un file di registro con l’URL dell’API della vostra appliance, il Service ID e le credenziali API, importatelo, installate la versione più recente del Windows Credential Provider dalla pagina dei download e riavviate. Il TTL del messaggio e i timeout di creazione e di attesa hanno valori predefiniti ragionevoli: 30, 20 e 60 secondi.
- 03
Accedete una volta, poi approvate dal telefono
Accedete normalmente una volta, bloccate la macchina, selezionate il Notakey Credential Provider e inserite nome utente e password. Consentite a Notakey di cifrare la password: da quel momento ogni accesso richiede il nome utente più un tocco sul telefono.
Domande frequenti
- La 2FA per il Desktop remoto funziona con gli account Active Directory?
- Sì. Active Directory può rimanere la sorgente utenti: i telefoni vengono registrati tramite Notakey Authenticator e l’accesso diventa nome utente più approvazione sul telefono.
- L’approvazione sul telefono può essere l’unico modo per accedere?
- Sì. Disattivate il provider di credenziali predefinito macchina per macchina tramite il registro di sistema, oppure sull’intero parco tramite criterio di gruppo (Group Policy). Da quel momento gli accessi richiedono solo il nome utente e il secondo fattore.
- Cosa va installato su ogni macchina?
- Il Notakey Windows Credential Provider, dalla pagina dei download, più un file di registro con l’URL dell’API dell’appliance, il Service ID e le credenziali del client API. Il file contiene il client secret dell’API: quando lo distribuite, trattatelo come una credenziale.