Integracijos · Windows Remote Desktop
Windows Remote Desktop 2FA su Notakey Windows Credential Provider
IT komandoms, kurių serveriai ir darbo stotys pasiekiami per Remote Desktop vien su Windows slaptažodžiu. Notakey Windows Credential Provider prisijungimo ekrane prideda patvirtinimą telefone ir gali jį padaryti vieninteliu keliu vidun.
Kaip jungiama
Credential provider kompiuteryje, programa įrenginyje
Notakey Windows Credential Provider (WCP) įdiegiamas Windows kompiuteryje ir užrakinimo ekrane rodomas kaip prisijungimo parinktis. Jis bendrauja su jūsų Notakey įrenginiu per API, naudodamas registre saugomus Service ID ir API kliento prisijungimo duomenis. Kai naudotojas pasirenka Notakey teikėją, įrenginys į jo telefoną išsiunčia patvirtinimo užklausą su naudotojo vardu ir kompiuterio pavadinimu, o prisijungimas baigiamas jam patvirtinus.
Pirmą kartą naudotojas įveda naudotojo vardą ir slaptažodį, o Notakey paprašo leidimo slaptažodį užšifruoti. Nuo tada prisijungimas yra naudotojo vardas ir patvirtinimas telefone. Naudotojai, jų Windows paskyros ir pati Remote Desktop sąranka lieka tokie patys; naudotojų šaltiniu gali likti Active Directory, o telefonai užregistruojami per Notakey Authenticator.
Jei Notakey turi būti vienintelis kelias vidun, numatytąjį credential provider galima išjungti kiekviename kompiuteryje per registrą arba visame parke per Group Policy. Po to prisijungti pakanka naudotojo vardo ir antrojo veiksnio.
Ką žinoti prieš pradedant
- Kiekviename Windows kompiuteryje reikia įdiegti credential provider ir importuoti registro reikšmes. Perėjimą prie prisijungimo vien be slaptažodžio visame parke galima valdyti per Group Policy.
- Jei kiekvienam prisijungimui telefone turi būti privaloma ir piršto atspaudo ar veido patikra, programoje įjunkite „force biometric check“.
- Iš Active Directory sinchronizuotiems naudotojams vėliau galima taikyti eskalavimo ar kelių asmenų patvirtinimo politikas; jos nėra vadove aprašytos bazinės sąrankos dalis.
- Išjungus numatytąjį credential provider, prisijungimas vien su slaptažodžiu nebegalimas. Prieš taikydami visame parke, išbandykite viename kompiuteryje.
- Registro faile yra API kliento paslaptis. Platindami jį elkitės su juo kaip su prisijungimo duomenimis.
Nuo nulio iki pirmojo patvirtinimo
- 01
Paruoškite programą įrenginyje
Sukurkite programą pavadinimu Windows Remote Desktop, įjunkite biometrinės patikros palaikymą, apibrėžkite naudotojus tiesiogiai arba prijunkite Active Directory ir nustatykite registracijos reikalavimus, kad programa būtų matoma Notakey Authenticator programėlėje. Sukurkite API klientą su tuščiu scopes lauku ir gausite Client ID bei paslaptį.
- 02
Importuokite registro failą ir įdiekite teikėją
Parašykite registro failą su savo įrenginio API URL, Service ID ir API prisijungimo duomenimis, importuokite jį, iš atsisiuntimų puslapio įdiekite naujausią Windows Credential Provider ir paleiskite kompiuterį iš naujo. Pranešimo TTL bei sukūrimo ir laukimo skirtieji laikai turi protingas numatytąsias reikšmes: 30, 20 ir 60 sekundžių.
- 03
Vieną kartą prisijunkite, tada tvirtinkite telefonu
Vieną kartą prisijunkite įprastai, užrakinkite kompiuterį, pasirinkite Notakey Credential Provider ir įveskite naudotojo vardą bei slaptažodį. Leiskite Notakey užšifruoti slaptažodį; nuo tada kiekvienam prisijungimui reikės naudotojo vardo ir vieno palietimo telefone.
Dažniausiai užduodami klausimai
- Ar Remote Desktop 2FA veikia su Active Directory paskyromis?
- Taip. Naudotojų šaltiniu gali likti Active Directory; telefonai užregistruojami per Notakey Authenticator, o prisijungimą sudaro naudotojo vardas ir patvirtinimas telefone.
- Ar patvirtinimas telefone gali būti vienintelis būdas prisijungti?
- Taip. Išjunkite numatytąjį credential provider kiekviename kompiuteryje per registrą arba visame parke per Group Policy. Po to prisijungti pakanka naudotojo vardo ir antrojo veiksnio.
- Ką reikia įdiegti kiekviename kompiuteryje?
- Notakey Windows Credential Provider iš atsisiuntimų puslapio ir registro failą su įrenginio API URL, Service ID ir API kliento prisijungimo duomenimis. Faile yra API kliento paslaptis, todėl platindami jį elkitės su juo kaip su prisijungimo duomenimis.