Pré-authentification Azure à une source de données Devolutions Server dans Remote Desktop Manager

L'authentification préalable d'Azure nécessite une configuration unique. Pour utiliser cette fonctionnalité avec Remote Desktop Manager, les administrateurs doivent activer l'authentification sur le Devolutions Server désiré, configurer plusieurs paramètres dans le centre d'administration Microsoft Entra, et configurer un mandataire d'application Azure.

Dans cette rubrique :

• Installer et configurer un connecteur privé
• Configurer un proxy d'application Azure
• Configurer Remote Desktop Manager
• S'assurer que TLS 1.2 est activé

Installer et configurer un connecteur privé

1. Dans l'interface du navigateur du centre d'administration Microsoft Entra, naviguer vers Accès Sécurisé Global – Connecter – Connecteurs, puis activer l'Accès Sécurisé Global dans votre locataire.

   

2. Aller à Connecteurs de Réseau Privé – Réacheminement du trafic et basculer sur l'option Profil d'accès privé.

   

3. Ensuite, se rendre à Connecteurs de Réseau Privé une fois de plus, et cliquer sur Télécharger le service de connecteur.

   

4. Une fois le service de connecteur téléchargé, exécuter le programme d'installation, se connecter avec l'invite Azure, et attendre la fin de l'installation (le service peut être affiché comme indisponible durant cette période).

Configurer un mandataire d'application Azure

Voici les prérequis pour les prochaines étapes de configuration de l'authentification préalable d'Azure à la source de données Devolutions Server dans Remote Desktop Manager:

• Devolutions Server est en version 2024.2.4.x ou supérieure.
• Remote Desktop Manager est v.2024.2.4.x ou ultérieure.
• Une licence P1 pour la fonctionnalité Réseau Privé.
• L'URL de Devolutions Server ne doit pas être la racine, c'est-à-dire https://myserver.com/dvls et non https://myserver.com

1. Dans le portail Azure, naviguer vers Microsoft Entra ID – Enregistrements d'applications, et cliquer sur Nouvel enregistrement.

   

2. Entrer le nom de l'enregistrement de l'application et laisser toutes les autres valeurs par défaut.

   

3. Ensuite, se diriger vers Microsoft Entra ID – Applications d'entreprise. Cliquer sur l'enregistrement d'application nouvellement créé, aller à Mandataire d'application, et remplir les champs requis suivants :

• URL interne : C'est la racine du serveur IIS hébergeant le DVLS (généralement http://localhost/dvls ou similaire).
• URL externe : Par défaut, le nom de l'enregistrement d'application.
• Préauthentification: Définir sur Microsoft Entra ID.
• Groupe de connecteurs: Le groupe de connecteurs à cibler.

  

4. Ensuite, naviguer vers l'onglet Avancé. S'assurer que toutes les options sont décochées ou définies par défaut, sauf Valider le certificat SSL de la dorsale qui peut être laissé activé si nécessaire.

   

5. Revenir à Microsoft Entra ID – Enregistrements d'application, et cliquer sur l'application à configurer. Si l'application n'est pas listée, il peut être nécessaire de cliquer sur Toutes les applications pour y accéder car la vue est automatiquement réglée sur Applications possédées par défaut.
6. Dans l'écran Authentification, cliquer sur le bouton Ajouter une plateforme. Trois nouvelles plateformes doivent être créées : Web, Application monopage, et Applications mobiles et de bureau. Commencer par créer une plateforme Web.

   

7. Entrer l'URL de redirection, qui doit être la même que l'URL externe de la racine. Sur cette page, cocher les options pour Jetons d'accès et Jetons ID dans la section des flux implicites et hybrides. Cliquer sur Configurer pour continuer.

   

8. Avec la première plateforme ajoutée, cliquer de nouveau sur le bouton Ajouter une plateforme et choisir Application monopage. Entrer l'URI de redirection, qui doit être le même que l'URL externe, avec le texte suivant ajouté à la fin : /dvls/api/external-provider-response (remplacer le /dvls/ par l'URL de l'instance Devolutions Server souhaitée). Enfin, cliquer sur Configurer pour continuer.

   

9. Avec la deuxième plateforme ajoutée, cliquer de nouveau sur le bouton Ajouter une plateforme et choisir Applications mobiles et de bureau. Entrer http://localhost exactement dans le champ URI de redirection personnalisé. Laisser toutes les autres valeurs décochées (s'il y en a) et cliquer sur le bouton Configurer.

   

10. Avec les trois plateformes créées, faire défiler jusqu'en bas de la page Authentification et basculer sur Autoriser les flux des clients publics avant de cliquer sur Enregistrer.

    

11. Maintenant aller à Permissions API et cliquer sur le bouton Ajouter une permission.

    

12. Choisir Permissions déléguées, et basculer l'autorisation User.Read sous Utilisateur. Cliquer sur Ajouter des permissions.

    

13. Cliquer sur le bouton Octroyer le consentement administrateur pour le locataire et confirmer en cliquant sur Oui.

    

14. Ensuite, naviguer vers Exposer une API et cliquer sur Ajouter à côté de URI d'ID d'application. Ensuite entrer le même URI que l'URL externe de votre Proxy d'application, et ajouter l'URI de base.

    

    

15. Cliquer sur Ajouter une portée et entrer ce qui suit :

• Nom de l'étendue : usurpation_d'utilisateur
• Qui peut consentir : Administrateurs et utilisateurs
• Nom à afficher du consentement d'administration : Accès DVLS
• Description du consentement administrateur : Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.
• Nom d'affichage du consentement de l'utilisateur: Accès à DVLS
• Description du consentement de l'utilisateur: Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.

  

  

16. Ensuite, aller à Rôles d'application et cliquer sur le bouton Créer un rôle d'application. Deux rôles doivent être créés : Utilisateur et msiam_access.

    

17. Sur l'écran Créer un rôle d'application, remplir les champs ci-dessous et cocher la case sous Voulez-vous activer ce rôle d'application?.

• Nom d'affichage: Utilisateur
• Types de membres autorisés : Utilisateurs/Groupes
• Valeur : Utilisateur
• Description: Utilisateur

  

18. Avec le premier rôle créé, cliquer à nouveau sur Créer un rôle d'application, remplir les champs ci-dessous, et cocher la case sous Voulez-vous activer ce rôle d'application? comme précédemment.

• Nom d'affichage: msiam_access
• Types de membres autorisés : Utilisateurs/Groupes
• Valeur: msiam_access
• Description: msiam_access

  

19. Aller à Manifest et modifier la valeur de "accessTokenAcceptedVersion" à 2. Cliquer sur le bouton Enregistrer.

    

20. Retourner à Microsoft Entra ID – Applications d'entreprise. Cliquer sur le nouvel enregistrement d'application créé et naviguer vers Utilisateurs et groupes. Cliquer sur Ajouter un utilisateur/groupe.

    

21. Sélectionner l'utilisateur ou le groupe et le rôle doit être automatiquement défini sur Utilisateur. Cliquer sur le bouton Attribuer pour terminer l'attribution des permissions.

    

Configurer Remote Desktop Manager

Avec Azure configuré, et après avoir attendu au moins 5 minutes depuis le dernier changement de configuration, ouvrir Remote Desktop Manager.

1. Aller à Fichier – Sources de données.

   

2. Localiser la source de données Devolutions Server à modifier et cliquer sur le bouton Modifier. Entrer ce qui suit:

• Hôte : La même valeur que l'URI externe avec le suffixe du serveur DLVS.
• Nom d'utilisateur: Le même que le nom d'utilisateur DVLS, pas nécessairement le même que celui de l'utilisateur Azure (sauf si vous utilisez "Utiliser l'utilisateur de pré-authentification pour la connexion DVLS"). Ensuite cocher Utiliser le proxy de pré-authentification et, optionnellement,*** Utiliser le proxy de pré-authentification pour la connexion DVLS*** (si Microsoft Authentication est déjà coché).

3. La configuration est alors terminée, et l'ouverture de session Microsoft Azure devrait s'ouvrir dans une fenêtre intégrée ou un navigateur système (peut se produire deux fois si une fenêtre intégrée apparaît et une fois de plus dans un navigateur système avant l'authentification DVLS). Une fois cela fait, une invite pour l'authentification DVLS devrait apparaître.

Notes supplémentaires

HTTP2 peut nécessiter d'être désactivé sur Windows Server 2019 ou une version ultérieure dans le composant WinHTTP pour que la délégation Kerberos Contrainte fonctionne correctement. Exécuter la commande PowerShell suivante et redémarrer le serveur pour que le changement prenne effet :

Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

Assurer que TLS 1.2 est activé

De plus, le service de connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ce qui suit à un fichier bloc-notes avec l'extension .reg et double-cliquer importera les valeurs nécessaires dans le registre. Un redémarrage du serveur est alors nécessaire avant de lancer l'installation du connecteur.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001