L'authentification préalable d'Azure nécessite une configuration unique. Pour utiliser cette fonctionnalité avec Remote Desktop Manager, les administrateurs doivent activer l'authentification sur le Devolutions Server désiré, configurer plusieurs paramètres dans le centre d'administration Microsoft Entra, et configurer un mandataire d'application Azure.
Dans cette rubrique :
Dans l'interface du navigateur du centre d'administration Microsoft Entra, naviguer vers Accès sécurisé global – Connecter – Connecteurs, puis activer l'accès sécurisé global dans votre locataire.
Aller à Connecteurs de réseau privé – Réacheminement du trafic et basculer l'option Profil d'accès privé.
Puis se rendre à Connecteurs de réseau privé encore une fois, et cliquer sur Télécharger le service de connecteur.
Une fois le service de connecteur téléchargé, exécuter le programme d'installation, se connecter avec l'invite Azure, et attendre la fin de l'installation (le service peut être affiché comme indisponible durant cette période).
Lors de l'exécution sur un Windows Server, s'assurer de désactiver la Configuration améliorée d'IE ou de faire de Microsoft Edge le navigateur par défaut (sans configuration améliorée). Sinon, l'invite de connexion Azure échouera très probablement sans autoriser toutes les URL requises.
De plus, le service du connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ci-dessous dans un fichier bloc-notes avec l'extension .reg et double-cliquer pour importer les valeurs nécessaires dans le registre. Ensuite, un redémarrage du serveur est nécessaire avant d'exécuter l'installation du connecteur.
Voici les prérequis pour les prochaines étapes de configuration de l'authentification préalable d'Azure à la source de données Devolutions Server dans Remote Desktop Manager:
Devolutions Server est en version 2024.2.4.x ou supérieure.
Remote Desktop Manager est v.2024.2.4.x ou ultérieure.
Une licence P1 pour la fonctionnalité Réseau Privé.
L'URL de Devolutions Server ne doit pas être la racine, c'est-à-dire https://myserver.com/dvls et non https://myserver.com
Les modifications apportées peuvent prendre 3 à 5 minutes pour prendre effet. En être conscient lors du test des modifications.
Dans le portail Azure, naviguer vers Microsoft Entra ID – App registrations, et cliquer sur Nouvel enregistrement.
Entrer le nom de l'enregistrement de l'application et laisser toutes les autres valeurs par défaut.
Ensuite, se diriger vers Microsoft Entra ID – Applications d'entreprise. Cliquer sur l'enregistrement d'application nouvellement créé, aller à Mandataire d'application, et remplir les champs requis suivants :
URL interne : C'est la racine du serveur IIS hébergeant le DVLS (généralement http://localhost/dvls ou similaire).
URL externe : Par défaut, le nom de l'enregistrement d'application.
Préauthentification: Définir sur Microsoft Entra ID.
Groupe de connecteurs: Le groupe de connecteurs à cibler.
Ensuite, se diriger vers l'onglet Avancé. S'assurer que toutes les options sont décochées ou réglées par défaut, à l'exception de Valider le certificat SSL dorsale qui peut être laissé activé si nécessaire.
Revenir à Microsoft Entra ID – Enregistrements d'application, et cliquer sur l'application à configurer. Si l'application n'est pas listée, il peut être nécessaire de cliquer sur Toutes les applications pour y accéder car la vue est automatiquement réglée sur Applications possédées par défaut.
Dans l'écran d'Authentification, cliquer sur le bouton Ajouter une plateforme. Trois nouvelles plateformes doivent être créées : Web, Application monopage, et Applications mobiles et de bureau. Commencer par créer une plateforme Web.
Entrer l'URL de redirection, qui doit être la même que l'URL externe racine. Pendant que vous êtes sur cette page, vérifier les options pour les Jetons d'accès et les Jetons d'ID dans la section d'octroi implicite et de flux hybrides. Cliquer sur Configurer pour continuer.
Avec la première plateforme ajoutée, cliquer de nouveau sur le bouton Ajouter une plateforme et choisir Application monopage. Entrer l'URI de redirection, qui devrait être le même que l'URL externe, avec ce qui suit ajouté à la fin :
/dvls/api/external-provider-response(remplacer le /dvls/ par l'URL de l'instance de Devolutions Server souhaitée). Enfin, cliquer sur Configurer pour continuer.
Avec la deuxième plateforme ajoutée, cliquer de nouveau sur le bouton Ajouter une plateforme et choisir Applications mobiles et de bureau. Entrer http://localhost exactement dans le champ URIs de redirection personnalisés. Laisser toutes les autres valeurs décochées (s'il y en a) et cliquer sur le bouton Configurer.
Avec les trois plateformes créées, faire défiler jusqu'en bas de la page d'Authentification et basculer Autoriser les flux des clients publics avant de cliquer sur Enregistrer.
Maintenant, aller dans Permissions d'API et cliquer sur le bouton Ajouter une permission.
Choisir Permissions déléguées, et basculer la permission User.Read sous Utilisateur. Cliquer sur Ajouter des permissions.
Cliquer sur le bouton Octroyer le consentement administrateur pour le locataire et confirmer en cliquant sur Oui.
Ensuite, naviguer vers Exposer une API et cliquer sur Ajouter à côté de URI d'ID d'application. Puis entrer le même URI que l'URL externe de votre Mandataire d'application, et ajouter l'URI de base.
Cliquer sur Ajouter une portée et entrer ce qui suit :
Nom de l'étendue : usurpation_d'utilisateur
Qui peut consentir : Administrateurs et utilisateurs
Nom à afficher du consentement d'administration : Accès DVLS
Description du consentement administrateur : Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.
Nom d'affichage du consentement de l'utilisateur: Accès à DVLS
Description du consentement de l'utilisateur: Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.
Ensuite, aller dans Rôles d'application et cliquer sur le bouton Créer un rôle d'application. Deux rôles doivent être créés : Utilisateur et msiam_access.
Sur l'écran Créer un rôle d'application, remplir les champs ci-dessous et cocher la case sous Voulez-vous activer ce rôle d'application?.
Nom d'affichage: Utilisateur
Types de membres autorisés : Utilisateurs/Groupes
Valeur : Utilisateur
Description: Utilisateur
Avec le premier rôle créé, cliquer à nouveau sur Créer un rôle d'application, remplir les champs ci-dessous, et cocher la case sous Voulez-vous activer ce rôle d'application? comme précédemment.
Nom d'affichage: msiam_access
Types de membres autorisés : Utilisateurs/Groupes
Valeur: msiam_access
Description: msiam_access
Aller à Manifeste et modifier la valeur pour « accessTokenAcceptedVersion » à 2. Cliquer sur le bouton Enregistrer.
Retourner à Microsoft Entra ID – Applications d'entreprise. Cliquer sur l'enregistrement de l'application nouvellement créé et naviguer vers Utilisateurs et groupes. Cliquer sur Ajouter un utilisateur/groupe.
Sélectionner l'utilisateur ou le groupe et le rôle devrait se remplir automatiquement en Utilisateur. Cliquer sur le bouton Attribuer pour terminer l'attribution des permissions.
Avec Azure configuré, et après avoir attendu au moins 5 minutes depuis le dernier changement de configuration, ouvrir Remote Desktop Manager.
Aller à Fichier – Sources de données.
Localiser la source de données Devolutions Server à modifier et cliquer sur le bouton Modifier. Entrer ce qui suit:
Hôte : La même valeur que l'URI externe avec le suffixe du serveur DLVS.
Nom d'utilisateur: Le même que le nom d'utilisateur DVLS, pas nécessairement le même que celui de l'utilisateur Azure (sauf si vous utilisez "Utiliser l'utilisateur de pré-authentification pour la connexion DVLS"). Ensuite cocher Utiliser le proxy de pré-authentification et, optionnellement,*** Utiliser le proxy de pré-authentification pour la connexion DVLS*** (si Microsoft Authentication est déjà coché).
La configuration est alors terminée, et l'ouverture de session Microsoft Azure devrait s'ouvrir dans une fenêtre intégrée ou un navigateur système (peut se produire deux fois si une fenêtre intégrée apparaît et une fois de plus dans un navigateur système avant l'authentification DVLS). Une fois cela fait, une invite pour l'authentification DVLS devrait apparaître.
HTTP2 peut nécessiter d'être désactivé sur Windows Server 2019 ou une version ultérieure dans le composant WinHTTP pour que la délégation Kerberos Contrainte fonctionne correctement. Exécuter la commande PowerShell suivante et redémarrer le serveur pour que le changement prenne effet :
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0
De plus, le service de connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ce qui suit à un fichier bloc-notes avec l'extension .reg et double-cliquer importera les valeurs nécessaires dans le registre. Un redémarrage du serveur est alors nécessaire avant de lancer l'installation du connecteur.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001
Un secret est configuré automatiquement lors de la création de l'Application Proxy App. Sa suppression brisera la pré-authentification et pourra nécessiter la recréation complète de l'application proxy.
Donnez-nous vos commentaires