Ten przewodnik przedstawia konfigurację Notakey Windows Credential Provider (WCP) do uwierzytelniania przez pulpit zdalny z drugim składnikiem opartym na telefonie.
Konfiguracja appliance
Utworzenie aplikacji. W Notakey Authentication Appliance należy utworzyć nową aplikację o nazwie Windows Remote Desktop. Pasująca grafika wczyta się automatycznie. Należy włączyć obsługę weryfikacji biometrycznej, a opcję force biometric check włączyć, jeśli logowanie ma zawsze wymagać odcisku palca lub rozpoznania twarzy.
Definiowanie użytkowników. Użytkowników można utworzyć bezpośrednio lub podłączyć zewnętrzne źródło użytkowników, najczęściej wybiera się Active Directory, którego konfigurację opisano w dokumentacji appliance. Użytkownikom zsynchronizowanym z AD można później przypisać zasady eskalacji lub zatwierdzania wieloosobowego.
Należy skonfigurować wymagania rejestracji, aby aplikacja pojawiła się w Notakey Authenticator. Jeśli w AD zapisane są numery telefonów, dostępna jest rejestracja przez SMS lub WhatsApp. Przy prostych danych logowania weryfikowanych względem AD należy otworzyć wymaganie i zaznaczyć opcję Authenticate against remote AUTH user sources.
Generowanie danych logowania API. Należy utworzyć nowego klienta API z pustym polem zakresów (scopes), system wygeneruje Client ID oraz sekret dla dostawcy poświadczeń.
Konfiguracja komputera z systemem Windows
Należy utworzyć plik rejestru z danymi logowania do appliance, zapisać go jako
wcp_notakey.reg i zaimportować podwójnym kliknięciem:
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Notakey]
[HKEY_LOCAL_MACHINE\SOFTWARE\Notakey\WindowsCP]
"ServiceURL"="https://your-appliance.example.com/api/"
"ServiceID"="29afa6c0-907d-40f4-898f-8a96fcdf7230"
"ClientID"="c6df76db-10a7-4349-8e05-8b3656a4d404"
"ClientSecret"="pZ5lSo1Rz_ftCDg4h302794ZlmjMO64sVtiAvHop6dI"
"MessageTtlSeconds"=dword:0000001e
"MessageActionTitle"="Winlogin"
"MessageDescription"="Proceed as {0} on server {1}?"
"AuthCreateTimeoutSecs"=dword:00000014
"AuthWaitTimeoutSecs"=dword:0000003cPierwsze cztery wartości należy zastąpić własnymi: ServiceURL to punkt
końcowy API Państwa appliance, ServiceID to identyfikator aplikacji, a
ClientID/ClientSecret to dane logowania API wygenerowane powyżej.
Pozostałe wartości to rozsądne ustawienia domyślne, podane szesnastkowo:
MessageTtlSeconds (0x1e = 30 s) określa, jak długo powiadomienie push można
zatwierdzić, AuthCreateTimeoutSecs (0x14 = 20 s) określa, jak długo WCP
czeka na utworzenie żądania, a AuthWaitTimeoutSecs (0x3c = 60 s) określa,
jak długo czeka na odpowiedź użytkownika. W polu MessageDescription {0} to
nazwa użytkownika, a {1} to nazwa komputera.
Należy zainstalować najnowszą wersję Windows Credential Provider ze
strony pobierania, ponownie uruchomić system Windows i raz
zalogować się w zwykły sposób. Następnie należy sprawdzić wartość LastLoggedOnProvider w
kluczu HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI.
Następnie należy zablokować komputer, wybrać Notakey Credential Provider i wprowadzić nazwę użytkownika i hasło. Notakey poprosi o zgodę na zaszyfrowanie hasła, a od tej pory logowanie polega na podaniu nazwy użytkownika i zatwierdzeniu na telefonie.
Przejście wyłącznie na logowanie bez hasła
Aby Notakey stał się jedyną drogą logowania, należy wyłączyć domyślnego
dostawcę poświadczeń: znaleźć jego identyfikator CLSID w kluczu
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers
i dodać wartość DWORD o nazwie Disabled równą 1. Zasady grupy (Group Policy)
zapewniają tę samą kontrolę w skali całej floty urządzeń.
Po tej zmianie aktywny pozostaje wyłącznie Notakey Credential Provider: do zalogowania wystarczą nazwa użytkownika i drugi składnik.