Configurer le service de chiffrement Devolutions Cloud à l'aide d'un modèle Azure

L'utilisation d'un modèle Azure pour configurer le service de chiffrement est la méthode recommandée, mais certains cas d'utilisation particuliers peuvent nécessiter la méthode Devolutions Cloud Services à la place.

Exigences

Les prérequis suivants sont nécessaires pour activer et configurer le service de chiffrement :

• Une configuration de l'authentification unique (SSO) configurée et active.
• Une identité d'application dans Devolutions Cloud (voir la section ci-dessous).
• Un certificat SSL de confiance.
• Un port réseau accessible dans le réseau local et, le cas échéant, depuis Internet.
• Un abonnement actif aux services Azure (voir la section ci-dessous).

Permissions de l'identité d'application

Créez une identité d'application et attribuez-lui les permissions système suivantes :

• Gérer les utilisateurs et les groupes d'utilisateurs.
• Gérer la configuration système (comprend les permissions système, les paramètres système et les listes d'autorisation d'adresses IP).

Si vous utilisez une liste d'autorisation d'adresses IP, l'adresse IP du service de chiffrement doit être ajoutée comme adresse IP autorisée. Sinon, le service ne pourra pas communiquer avec Devolutions Cloud, ce qui le rendra non fonctionnel.

Abonnement aux services Azure

Vous devez avoir un abonnement aux services Azure pour configurer le service de chiffrement avec un modèle Azure. Si vous n'en avez pas, suivez d'abord ces instructions :

1. Connectez-vous à votre compte Microsoft Azure Portal.
2. Sélectionnez Abonnements dans les Services Azure. Si vous ne le voyez pas, recherchez-le dans la barre de recherche en haut de la page ou cliquez sur Plus de services pour afficher les autres services. Ce service se trouve dans la catégorie de services Gestion et gouvernance.
3. Cliquez sur Ajouter, puis sélectionnez l'offre d'abonnement Paiement à l'utilisation.
4. Saisissez les informations requises et inscrivez-vous au service.

Configuration du service de chiffrement

Assurez-vous que les exigences sont satisfaites avant de continuer, et planifiez chaque modification à l'avance afin d'éviter les problèmes de configuration, auquel cas il est préférable de désactiver complètement la fonctionnalité pendant que vous travaillez à une solution.

1. Dans Devolutions Cloud, allez dans Administration – Authentification – Service de chiffrement et cliquez sur Générer un modèle Azure.
2. Copiez le modèle généré.
3. Sur la page d'accueil du Microsoft Azure Portal, sélectionnez Déployer un modèle personnalisé dans les Services Azure. Si vous ne le voyez pas, recherchez-le dans la barre de recherche en haut de la page ou cliquez sur Plus de services pour afficher les autres services. Ce service se trouve dans la catégorie de services Général.
4. Cliquez sur Créer votre propre modèle dans l'éditeur.
5. Collez le modèle Azure généré que vous avez obtenu de Devolutions Cloud dans l'éditeur de modèle Azure, en remplaçant tout contenu préexistant dans l'éditeur.
6. Cliquez sur Enregistrer.
7. Sur la page Déploiement personnalisé, configurez vos informations comme indiqué ci-dessous :

   • Abonnement : Sélectionnez un abonnement si aucun n'est sélectionné.
   • Groupe de ressources : Sélectionnez ou créez un groupe de ressources si aucun n'est sélectionné.
   • Nom de l'application et Nom du plan App Service : Laissez les noms par défaut ou modifiez-les selon vos préférences.
   • URL Devolutions Cloud : Assurez-vous qu'elle est définie sur l'URL de votre Devolutions Cloud.
   • Clé de l'identité d'application et Secret de l'identité d'application : Saisissez la clé et le secret de votre identité d'application dans les champs correspondants. Votre identité d'application doit avoir les permissions Gérer la configuration système et Gérer les utilisateurs et les groupes d'utilisateurs, comme indiqué dans la section Permissions de l'identité d'application.
8. Cliquez sur Vérifier + créer.
9. Cliquez sur Créer.
10. Une fois le déploiement terminé, ce qui peut prendre quelques secondes, cliquez sur Accéder au groupe de ressources.
11. Sélectionnez votre nouveau App Service dans la liste.
12. Copiez le Domaine par défaut fourni (https://your-app-name.azurewebsites.net) ou le Domaine personnalisé (https://yourdomain.com) si vous avez décidé d'en créer un.
13. Ajoutez ce domaine à la liste des URI de redirection dans votre application d'entreprise. Suivez les instructions ci-dessous pour vous guider dans ce processus :

    1. Retournez à la page d'accueil du Microsoft Azure Portal et sélectionnez Applications d'entreprise dans les Services Azure. Si vous ne le voyez pas, cliquez sur Plus de services pour afficher les autres services.
    2. Sélectionnez votre application dans la liste.
    3. Dans le menu de gauche, cliquez sur Propriétés.
    4. Dans le texte en haut de la page, cliquez sur inscription d'application.
    5. Dans le menu de gauche, cliquez sur Authentification.
    6. Cliquez sur Ajouter un URI et collez le domaine dans le champ URI de redirection. Ajoutez /auth/callback à la fin de l'URL et assurez-vous qu'elle commence par https://. Le résultat final devrait ressembler à ceci : https://your-app-name.azurewebsites.net/auth/callback.
    7. Cliquez sur Enregistrer.
14. Dans Devolutions Cloud, retournez dans Administration – Authentification – Service de chiffrement et activez le service de chiffrement si ce n'est pas déjà fait.
15. Collez votre domaine par défaut ou personnalisé dans le champ URL du Service de chiffrement, en vous assurant qu'il commence par https://. Le résultat final devrait ressembler à ceci : https://your-app-name.azurewebsites.net. C'est là que le service de chiffrement écoutera les requêtes entrantes. Cette URL ou adresse IP doit uniquement être accessible par les clients qui se connectent à l'aide du service de chiffrement.
16. Testez la connexion. Si la connexion échoue, vérifiez la validité des informations que vous avez saisies et essayez de nouveau. Si vous éprouvez toujours des problèmes de connexion, veuillez contacter nos techniciens du service d'assistance à [e-mail].

Tous les utilisateurs de votre fournisseur SSO peuvent maintenant se connecter et accéder automatiquement à votre instance Devolutions Cloud, sans avoir besoin d'invitations. Il n'est pas non plus nécessaire que les utilisateurs disposent d'une clé privée configurée pour utiliser Devolutions Cloud. Le serveur fonctionne sur une base auto-hébergée; il joue donc un rôle essentiel dans l'infrastructure. Si le serveur subit une interruption ou ne fonctionne pas, les utilisateurs qui n'ont pas de clé privée éprouveront des problèmes de connexion à Devolutions Cloud.

Surveillance et vérification de l'état

Le service de chiffrement expose un point de terminaison d'état qui permet de le surveiller :

• Path: GET /healthz (par exemple, https://your-app-name.azurewebsites.net/healthz).
• Response : un code d'état de réussite (204 No Content) lorsque le service est en fonction.

Il s'agit du même point de terminaison que Devolutions Cloud et Remote Desktop Manager appellent pour vérifier que le service de chiffrement est disponible : lorsque vous cliquez sur Test the connection, et à chaque connexion d'un utilisateur. Si le point de terminaison ne peut pas être joint au moment de la connexion, la connexion se poursuit sans le service de chiffrement.

Port du conteneur

Le modèle Azure déploie l'image Docker devolutions/hub-encryption-service:stable. À l'intérieur du conteneur, le service écoute en HTTP sur le port 5133. Le modèle Azure définit déjà le paramètre d'application WEBSITES_PORT à 5133, aucune action n'est donc requise dans Azure. Si vous exécutez la même image ailleurs (Docker Compose, Kubernetes ou un autre hôte de conteneurs), mappez ou exposez le port 5133 du conteneur.

Activer la vérification de l'état Azure

Pour permettre à Azure de surveiller le service de chiffrement et de remplacer les instances défectueuses, activez la vérification de l'état d'App Service :

1. Dans le portail Microsoft Azure, ouvrez l'App Service du service de chiffrement.
2. Dans le menu de gauche, allez à Monitoring – Health check.
3. Enable la vérification de l'état et saisissez /healthz comme Path.
4. Cliquez sur Save.

Si vous restreignez le trafic entrant vers l'App Service (restrictions d'accès, points de terminaison privés, pare-feu), assurez-vous que le chemin /healthz demeure accessible :

• par la sonde de vérification de l'état Azure, si vous l'avez activée;
• depuis les navigateurs des administrateurs, puisque Test the connection dans Devolutions Cloud s'exécute depuis le navigateur, et non depuis le serveur Devolutions Cloud;
• depuis les appareils des utilisateurs qui se connectent avec le service de chiffrement, puisque l'interface Web et Remote Desktop Manager vérifient aussi ce point de terminaison à la connexion.

Voir aussi

• Service de chiffrement – Foire aux questions
• Service de chiffrement – Dépannage