L'authentification préalable d'Azure nécessite une configuration unique. Pour utiliser cette fonctionnalité avec Remote Desktop Manager, les administrateurs doivent activer l'authentification sur le Devolutions Server désiré, configurer plusieurs paramètres dans le centre d'administration Microsoft Entra, et configurer un mandataire d'application Azure.
Dans cette rubrique :
Dans l'interface du navigateur du centre d'administration Microsoft Entra, naviguer vers Accès Global Sécurisé – Connecter – Connecteurs, puis activer l'Accès Global Sécurisé dans votre locataire.
Aller à Connecteurs de réseau privé – Réacheminement et activer l'option Profil d'accès privé.
Ensuite, aller à Connecteurs de Réseau Privé une fois de plus, et cliquer sur Télécharger le service connecteur.
Une fois le service de connecteur téléchargé, exécuter le programme d'installation, se connecter avec l'invite Azure, et attendre la fin de l'installation (le service peut être affiché comme indisponible durant cette période).
Lors de l'exécution sur un Windows Server, s'assurer de désactiver la Configuration améliorée d'IE ou de faire de Microsoft Edge le navigateur par défaut (sans configuration améliorée). Sinon, l'invite de connexion Azure échouera très probablement sans autoriser toutes les URL requises.
De plus, le service du connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ci-dessous dans un fichier bloc-notes avec l'extension .reg et double-cliquer pour importer les valeurs nécessaires dans le registre. Ensuite, un redémarrage du serveur est nécessaire avant d'exécuter l'installation du connecteur.
Voici les prérequis pour les prochaines étapes de configuration de l'authentification préalable d'Azure à la source de données Devolutions Server dans Remote Desktop Manager:
-
Devolutions Server est en version 2024.2.4.x ou supérieure.
-
Remote Desktop Manager est v.2024.2.4.x ou ultérieure.
-
Une licence P1 pour la fonctionnalité Réseau Privé.
-
L'URL de Devolutions Server ne doit pas être la racine, c.-à-d.
https://myserver.com/dvls
et non pas
https://myserver.com
Les modifications apportées peuvent prendre 3 à 5 minutes pour prendre effet. En être conscient lors du test des modifications.
Dans le portail Azure, naviguer vers Microsoft Entra ID – Enregistrements d'application, et cliquer sur Nouvel enregistrement.
Entrer le nom d'enregistrement de l'application et laisser tous les autres paramètres par défaut.
Ensuite, se diriger vers Microsoft Entra ID – Applications d'entreprise. Cliquer sur l'enregistrement d'application nouvellement créé, aller à Mandataire d'application, et remplir les champs requis suivants :
URL interne : C'est la racine du serveur IIS hébergeant le DVLS (généralement http://localhost/dvls ou similaire).
URL externe : Par défaut, le nom de l'enregistrement d'application.
Préauthentification: Définir sur Microsoft Entra ID.
Groupe de connecteurs: Le groupe de connecteurs à cibler.
-
Ensuite, naviguer vers l'onglet Avancé. S'assurer que toutes les options sont décochées ou définies par défaut, sauf Valider le certificat SSL de la dorsale qui peut être laissé activé si nécessaire.
-
Revenir à Microsoft Entra ID – Enregistrements d'application, et cliquer sur l'application à configurer. Si l'application n'est pas listée, il peut être nécessaire de cliquer sur Toutes les applications pour y accéder car la vue est automatiquement réglée sur Applications possédées par défaut.
-
Dans l'écran Authentification, cliquer sur le bouton Ajouter une plateforme. Trois nouvelles plateformes doivent être créées : Web, Application à page unique, et Applications mobiles et de bureau. Commencer par créer une plateforme Web.
-
Entrer l'URL de redirection, qui doit être la même que l'URL externe racine. Tandis que vous êtes sur cette page, cocher les options pour Jetons d'accès et ID tokens dans la section Implicit grant and hybrid flows. Cliquer sur Configurer pour continuer.
-
Avec la première plateforme ajoutée, cliquer à nouveau sur le bouton Ajouter une plateforme et choisir Application à page unique. Entrer l'URI de redirection, qui doit être identique à l'URL externe, en y ajoutant à la fin :
/dvls/api/external-provider-response(remplacer le /dvls/ par l'URL de l'instance de Devolutions Server souhaitée). Enfin, cliquer Configurer pour continuer.
-
Avec la deuxième plateforme ajoutée, cliquer à nouveau sur le bouton Ajouter une plateforme et choisir Applications mobiles et de bureau. Entrer
http://localhost
exactement dans le champ URI de redirection personnalisé. Laisser toutes les autres valeurs non cochées (s'il y en a) et cliquer sur le bouton Configurer.
-
Avec les trois plateformes créées, faire défiler vers le bas de la page Authentification et activer Autoriser les flux de clients publics avant de cliquer sur Enregistrer.
-
Aller maintenant à Permissions d'API et cliquer sur le bouton Ajouter une permission.
-
Choisir Permissions déléguées, et basculer la permission User.Read sous Utilisateur. Cliquer Ajouter des permissions.
-
Cliquer sur le bouton Octroyer le consentement administrateur pour le locataire et confirmer en cliquant sur Oui.
-
Ensuite, naviguer vers Exposer une API et cliquer sur Ajouter à côté de Application ID URI. Ensuite, entrer le même URI que l'URL externe de votre Mandataire d'application, et ajouter l'URI de base.
-
Cliquer sur Ajouter une portée et entrer ce qui suit :
Nom de la portée: user_impersonation
Qui peut consentir : Administrateurs et utilisateurs
Nom à afficher du consentement d'administration : Accès DVLS
Description du consentement administrateur : Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.
Nom d'affichage du consentement de l'utilisateur: Accès à DVLS
Description du consentement de l'utilisateur: Autoriser l'application à accéder à DVLS au nom de l'utilisateur connecté.
Ensuite, aller à Rôles d'application et cliquer sur le bouton Créer un rôle d'application. Deux rôles doivent être créés: Utilisateur et msiam_access.
Sur l'écran Créer un rôle d'application, remplir les champs ci-dessous et cocher la case sous Voulez-vous activer ce rôle d'application?.
Nom d'affichage: Utilisateur
Types de membres autorisés : Utilisateurs/Groupes
Valeur : Utilisateur
Description: Utilisateur
Avec le premier rôle créé, cliquer à nouveau sur Créer un rôle d'application, remplir les champs ci-dessous, et cocher la case sous Voulez-vous activer ce rôle d'application? comme précédemment.
Nom d'affichage: msiam_access
Types de membres autorisés : Utilisateurs/Groupes
Valeur: msiam_access
Description: msiam_access
Aller à Manifeste et modifier la valeur pour “accessTokenAcceptedVersion” à 2. Cliquer sur le bouton Enregistrer.
Retourner à Microsoft Entra ID – Applications d'entreprise. Cliquer sur le nouvel enregistrement d'application créé et naviguer vers Utilisateurs et groupes. Cliquer sur Ajouter utilisateur/groupe.
Sélectionner l'utilisateur ou le groupe et le rôle doit se remplir automatiquement à Utilisateur. Cliquer sur le bouton Attribuer pour terminer l'attribution des permissions.
Avec Azure configuré, et après avoir attendu au moins 5 minutes depuis le dernier changement de configuration, ouvrir Remote Desktop Manager.
Aller à Fichier – Sources de données.
Localiser la source de données Devolutions Server à modifier et cliquer sur le bouton Modifier. Entrer ce qui suit:
Hôte : La même valeur que l'URI externe avec le suffixe du serveur DLVS.
Nom d'utilisateur: Le même que le nom d'utilisateur DVLS, pas nécessairement le même que l'utilisateur Azure (à moins d'utiliser "Utiliser l'utilisateur de pré-authentification pour la connexion DVLS"). Puis cocher Utiliser le proxy de pré-authentification et, si désiré,*** Utiliser le proxy de pré-authentification pour la connexion DVLS*** (si Microsoft Authentication est déjà coché).
La configuration est alors terminée, et l'ouverture de session Microsoft Azure devrait s'ouvrir dans une fenêtre intégrée ou un navigateur système (peut se produire deux fois si une fenêtre intégrée apparaît et une fois de plus dans un navigateur système avant l'authentification DVLS). Une fois cela fait, une invite pour l'authentification DVLS devrait apparaître.
HTTP2 peut nécessiter d'être désactivé sur Windows Server 2019 ou une version ultérieure dans le composant WinHTTP pour que la délégation Kerberos Contrainte fonctionne correctement. Exécuter la commande PowerShell suivante et redémarrer le serveur pour que le changement prenne effet :
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0
De plus, le service de connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ce qui suit à un fichier bloc-notes avec l'extension .reg et double-cliquer importera les valeurs nécessaires dans le registre. Un redémarrage du serveur est alors nécessaire avant de lancer l'installation du connecteur.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001
Un secret est configuré automatiquement lors de la création de l'Application Proxy App. Sa suppression brisera la pré-authentification et pourra nécessiter la recréation complète de l'application proxy.
Donnez-nous vos commentaires