Integracje · Pulpit zdalny Windows
Uwierzytelnianie dwuskładnikowe dla pulpitu zdalnego Windows z Notakey Windows Credential Provider
Dla działów IT, których serwery i stacje robocze są dostępne przez pulpit zdalny wyłącznie za pomocą hasła do Windows. Notakey Windows Credential Provider dodaje do ekranu logowania zatwierdzenie na telefonie i może uczynić je jedyną drogą do środka.
Jak przebiega połączenie
Dostawca poświadczeń na maszynie, aplikacja na appliance
Notakey Windows Credential Provider (WCP) instaluje się na maszynie z Windows i pojawia się jako opcja logowania na ekranie blokady. Komunikuje się z appliance Notakey przez jego API, korzystając z Service ID i poświadczeń klienta API zapisanych w rejestrze. Gdy użytkownik wybierze dostawcę Notakey, appliance wysyła na jego telefon prośbę o zatwierdzenie z nazwą użytkownika i nazwą maszyny, a logowanie kończy się po zatwierdzeniu.
Za pierwszym razem użytkownik podaje nazwę użytkownika i hasło, a Notakey prosi o zgodę na zaszyfrowanie hasła. Od tej chwili logowanie to nazwa użytkownika i zatwierdzenie na telefonie. Użytkownicy, ich konta Windows i sama konfiguracja pulpitu zdalnego pozostają bez zmian; Active Directory może nadal być źródłem użytkowników, a telefony rejestruje się w Notakey Authenticator.
Jeśli Notakey ma być jedyną drogą do środka, domyślnego dostawcę poświadczeń można wyłączyć na pojedynczej maszynie przez rejestr albo w całej flocie przez zasady grupy. Od tego momentu logowanie wymaga jedynie nazwy użytkownika i drugiego składnika.
Co warto wiedzieć przed rozpoczęciem
- Na każdej maszynie z Windows trzeba zainstalować dostawcę poświadczeń i zaimportować wartości rejestru. Zasady grupy pozwalają włączyć tryb wyłącznie bezhasłowy w skali całej floty.
- Jeśli każde logowanie ma dodatkowo wymagać weryfikacji odciskiem palca lub skanem twarzy na telefonie, należy włączyć w aplikacji opcję „force biometric check”.
- Użytkownicy synchronizowani z Active Directory mogą później otrzymać polityki eskalacji lub zatwierdzeń wieloosobowych; nie są one częścią podstawowej konfiguracji opisanej w przewodniku.
- Wyłączenie domyślnego dostawcy poświadczeń usuwa możliwość logowania samym hasłem. Przed wdrożeniem w całej flocie należy to przetestować na jednej maszynie.
- Plik rejestru zawiera sekret klienta API. Przy jego dystrybucji należy traktować go jak dane uwierzytelniające.
Od zera do pierwszego zatwierdzenia
- 01
Przygotowanie aplikacji na appliance
Należy utworzyć aplikację o nazwie Windows Remote Desktop, włączyć obsługę weryfikacji biometrycznej, zdefiniować użytkowników bezpośrednio lub podłączyć Active Directory i ustawić wymagania rejestracji, aby aplikacja pojawiła się w Notakey Authenticator. Następnie należy utworzyć klienta API z pustym polem scopes, aby otrzymać Client ID i sekret.
- 02
Import pliku rejestru i instalacja dostawcy
Należy przygotować plik rejestru z adresem URL API appliance, Service ID i poświadczeniami API, zaimportować go, zainstalować najnowszy Windows Credential Provider ze strony pobierania i ponownie uruchomić maszynę. Czas życia wiadomości oraz limity czasu tworzenia i oczekiwania mają rozsądne wartości domyślne: 30, 20 i 60 sekund.
- 03
Jedno zwykłe logowanie, potem zatwierdzanie z telefonu
Należy raz zalogować się w zwykły sposób, zablokować maszynę, wybrać Notakey Credential Provider i podać nazwę użytkownika oraz hasło. Po zezwoleniu Notakey na zaszyfrowanie hasła każde kolejne logowanie to nazwa użytkownika i jedno dotknięcie telefonu.
Najczęściej zadawane pytania
- Czy 2FA dla pulpitu zdalnego działa z kontami Active Directory?
- Tak. Active Directory może nadal być źródłem użytkowników; telefony rejestruje się w Notakey Authenticator, a logowanie to od tej pory nazwa użytkownika i zatwierdzenie na telefonie.
- Czy zatwierdzenie na telefonie może być jedynym sposobem logowania?
- Tak. Domyślnego dostawcę poświadczeń można wyłączyć na pojedynczej maszynie przez rejestr albo w całej flocie przez zasady grupy (Group Policy). Od tego momentu logowanie wymaga jedynie nazwy użytkownika i drugiego składnika.
- Co trzeba zainstalować na każdej maszynie?
- Notakey Windows Credential Provider ze strony pobierania oraz plik rejestru z adresem URL API appliance, Service ID i poświadczeniami klienta API. Plik zawiera sekret klienta API, dlatego przy dystrybucji należy traktować go jak dane uwierzytelniające.