Engedélyezze az egyszeri bejelentkezési (SSO) hitelesítést az RDS Windows Server rendszeren

Az Egyszeri bejelentkezés (SSO) lehetővé teszi a hitelesített (bejelentkezett) felhasználók számára, hogy újbóli hitelesítés (jelszó újbóli megadása) nélkül hozzáférjenek más tartományi szolgáltatásokhoz. mentett hitelesítő adatok használatával (beleértve az RDP-t is). Az egyszeri bejelentkezés használható a Távoli asztali szolgáltatások (terminál) szerverekhez való csatlakozáskor. Ez megakadályozza, hogy a tartományi számítógépre bejelentkezett felhasználó többször adja meg fióknevét és jelszavát az RDP-ügyfélablakban, amikor különböző RDS-állomásokhoz csatlakozik vagy közzétett RemoteApps-okat futtat.

Ez a cikk bemutatja, hogyan konfigurálhat átlátszó SSO-t (Single Sign-On) a Windows Server 2022/2019/2016 rendszert futtató RDS-kiszolgálók felhasználói számára.

Rendszerkövetelmények:

• A Connection Broker kiszolgálónak és az összes RDS gazdagépnek Windows Server 2012 vagy újabb rendszert kell futtatnia;

• A Windows 11, 10, 8.1 Pro/Enterprise kiadásokkal kliens munkaállomásként használható.

• Az SSO csak tartományi környezetben működik: Active Directory felhasználói fiókokat kell használni, az RDS-kiszolgálókat és a felhasználói munkaállomásokat ugyanahhoz az AD-tartományhoz kell csatlakoztatni;

• Az RDP 8.0 vagy újabb verzióját kell használni az RDP klienseken;

• Az SSO csak jelszavas hitelesítéssel működik (az intelligens kártyák nem támogatottak);

• A kapcsolatbeállítások RDP biztonsági rétegét Tárgyalás vagy SSL (TLS 1.0) értékre kell állítani, a titkosítási módot pedig Magas vagy >FIPS-kompatibilis.

Az egyszeri bejelentkezés beállítási folyamata a következő lépésekből áll:

• SSL-tanúsítványt kell kiállítania és hozzá kell rendelnie az RD Gateway, RD Web és RD Connection Broker szervereken;

• A webes egyszeri bejelentkezést engedélyezni kell az RDWeb szerveren;

• A hitelesítő adatok delegálási csoportházirendjének konfigurálása;

• Adja hozzá az RDS-tanúsítvány ujjlenyomatát a megbízható .rdp-megjelenítőkhöz a csoportházirend-objektum használatával.

SSO-hitelesítés engedélyezése az RDS-gazdagépen a Windows Server 2022/2019/2016 rendszeren

Először is ki kell adnia és hozzá kell rendelnie egy SSL-tanúsítványt az RDS-telepítéshez. A tanúsítvány továbbfejlesztett kulcshasználatának (EKU) tartalmaznia kell a Szerver hitelesítés azonosítót. Az RDS-telepítéshez szükséges SSL-tanúsítvány megszerzésére vonatkozó eljárás nem terjed ki. Ez kívül esik ennek a cikknek a hatókörén (egy önaláírt SSL-tanúsítványt saját maga is létrehozhat, de a csoportházirendet használó összes ügyfélen telepítenie kell azt a megbízható tanúsítványra).

A tanúsítvány az RDS-telepítési tulajdonságok Tanúsítványok szakaszában van hozzárendelve.

Ezután minden RD Web Access szerepkörrel rendelkező kiszolgálón engedélyezze a Windows-hitelesítést az IIS RDWeb könyvtárában, és tiltsa le az Anonymous Authentication funkciót.

A módosítások mentése után indítsa újra az IIS-t:

iisreset /noforce

Ha a Távoli asztali átjárót használja, győződjön meg arról, hogy nem belső kliensek csatlakoztatására használja (a A RD Gateway szerver megkerülése a helyi címhez lehetőséget be kell jelölni).

Most be kell szereznie az RD Connection Broker SSL-tanúsítvány ujjlenyomatát, és hozzá kell adnia a megbízható RDP-kiadók listájához. Ehhez futtassa a következő PowerShell-parancsot az RDS Connection Broker gazdagépen:

Get-Childitem CERT:\LocalMachine\My

Másolja ki a tanúsítvány ujjlenyomatának értékét, és adja hozzá az Az RDP-kiadókat képviselő tanúsítványok SHA1 ujjlenyomatainak megadása házirendhez (Számítógép konfigurációja -> Felügyeleti sablonok -> Windows asztali szolgáltatások -> Távoli asztali kapcsolat ügyfél).

A távoli asztali egyszeri bejelentkezés konfigurálása Windows-klienseken

A következő lépés a hitelesítő adatok delegálási házirendjének konfigurálása a felhasználói számítógépekhez.

1. Nyissa meg a tartományi csoportházirend-kezelő konzolt (

   gpmc.msc

   );

2. Hozzon létre egy új tartományi csoportházirend-objektumot, és kapcsolja össze egy szervezeti egységhez olyan felhasználókkal (számítógépekkel), amelyeknek engedélyezniük kell az SSO használatát az RDS-kiszolgáló eléréséhez;

3. Engedélyezze a Delegálás alapértelmezett hitelesítő adatainak engedélyezése házirendet a Számítógép konfigurációja -> Felügyeleti sablonok -> Rendszer -> Hitelesítési adatok delegálása alatt.

4. Adja hozzá azon RDS-állomások nevét, amelyeknek az ügyfél automatikusan felhasználói hitelesítési adatokat küldhet az egyszeri bejelentkezési hitelesítés végrehajtásához. Használja a következő formátumot az RDS-állomásokhoz: TERMSRV/rd.contoso.com (az összes TERMSRV karaktert nagybetűvel kell írni). Ha engedélyeznie kell a hitelesítő adatok elküldését a tartomány összes termináljára (kevésbé biztonságos), használhatja ezt a konstrukciót:

   TERMSRV/*.contoso.com

   

Ezután a távoli alkalmazás-közzétevő megbízhatatlanságára vonatkozó ablak figyelmeztetésének elkerülése érdekében adja hozzá az RD Connection Broker szerepkört futtató kiszolgáló címét az ügyfélszámítógépek megbízható zónájához a „Site to Zone Assignment List” h (hasonlóan az Open File biztonsági figyelmeztetés letiltása a Windows 10 rendszeren című cikkhez):

1. Lépjen a csoportházirend-objektumok részhez Felhasználói/számítógép-konfiguráció -> Felügyeleti eszközök -> Windows-összetevők -> Internet Explorer -> Internetes vezérlőpult -> Biztonsági oldal.

2. Engedélyezze a Helyek zónához hozzárendelési listája házirendet

3. Adja meg az RD Connection Broker gazdagépnevének FQDN-jét, és állítsa be a 2 zónát (megbízható helyek).

Ezután engedélyeznie kell a Bejelentkezési beállítások házirendet a Felhasználói/számítógép-konfiguráció -> Felügyeleti eszközök -> Windows-összetevők -> Internet Explorer -> Internetes vezérlőpult -> Biztonság -> Megbízható webhelyek zóna alatt. Válassza az "Automatikus bejelentkezés jelenlegi felhasználónévvel és jelszóval" lehetőséget a legördülő listából.

Ezután lépjen a Számítógép konfigurációja -> Irányelvek -> Felügyeleti sablonok ->Windows-összetevők -> elemre. Remote Desktop Services ->Remote Desktop Connection Client, és tiltsa le a házirendetHitelesítési adatok kérése az ügyfélszámítógépen.

Az ügyfél csoportházirend-beállításainak frissítése után nyissa meg az mstsc.exe (Remote Desktop Connection) ügyfelet, és adja meg az RDS gazdagép FQDN-jét. A Felhasználónév mező automatikusan megjeleníti az Ön nevét formátumban

user@domain.com

Your Windows logon credentials will be used to connect.

Mostantól, amikor elindít egy RemoteApp alkalmazást, vagy közvetlenül csatlakozik egy Remote Desktop Services gazdagéphez, a rendszer nem kéri a jelszó megadását.

A Távoli asztali átjáró SSO-val történő használatához engedélyezze a RD-átjáró hitelesítési módszerének beállítása Felhasználói konfiguráció -> Házirendek -> Felügyeleti sablonok -> Windows-összetevők -> Távoli asztali szolgáltatások -> Távoli asztali szolgáltatások -> Távoli asztali átjáró) házirendet, és állítsa be a Helyileg bejelentkezett hitelesítő adatok használata beállítást.

A webes egyszeri bejelentkezés használatához az RD Web Accessben, vegye figyelembe, hogy ajánlott az Internet Explorer használata engedélyezett Active X összetevővel, a Microsoft Remote Desktop Services Web Access Control (MsRdpClientShell, MsRdpWebAccess.dll) nevű összetevővel.

A Windows modern verzióiban az Internet Explorer alapértelmezés szerint le van tiltva, és helyette a Microsoft Edge programot kell használnia. Ezt az URL-t meg kell nyitnia a Microsoft Edge alkalmazásban kompatibilitási módban, hogy az RD Webet SSO-val használja (az Edge nem futtatja az Active-X összetevőket kompatibilitási mód nélkül).

Ahhoz, hogy az összes ügyfélszámítógép képes legyen megnyitni az RDWeb-et kompatibilitási módban, telepítenie kell az MS Edge Administrative Templates GPO-t, és konfigurálnia kell a házirend-beállításokat a Computer Configuration -> Administrative Templates -> Microsoft alatt:

• Internet Explorer integrációk konfigurálása=Internet Explorer mód;

• A Vállalati mód webhelylistájának konfigurálása - Adja meg a megbízható helyek listáját tartalmazó SiteList.xml fájl UNC-útvonalát.

  Ismerje meg, hogyan konfigurálhatja az Internet Explorer (IE) kompatibilitási módját a Microsoft Edge alkalmazásban.

Lehetséges hibák:

• Esetünkben az RDP SSO leállt a felhasználói profillemez-profilokkal rendelkező RDS-farmon, miután 2022 őszén telepítette a KB5018410 (Windows 10) vagy a KB5018418 (Windows 11) biztonsági frissítést. A probléma megoldásához szerkessze az *.rdp kapcsolatfájlt, és módosítsa a következő sort:

  use redirection server name:i:1

  

• Ha nem adta hozzá az RDCB-tanúsítvány SSL ujjlenyomatát a Trusted RDP Publishers listához, a csatlakozási kísérlet során figyelmeztetés jelenik meg:

  Do you trust the publisher of this RemoteApp program?

  

• An authentication error has occured (Code: 0x607)

  Ellenőrizze, hogy a megfelelő tanúsítványt rendelte-e hozzá az RDS-szerepekhez.