Authentification préalable Azure pour une source de données Devolutions Server dans Remote Desktop Manager

L'authentification préalable Azure nécessite une configuration unique. Pour utiliser cette fonctionnalité avec Remote Desktop Manager, les administrateurs doivent activer l'authentification sur le Devolutions Server souhaité, configurer plusieurs paramètres dans le centre d'administration Microsoft Entra et mettre en place un proxy d'application Azure.

Dans ce sujet :

• Installer et configurer un connecteur privé
• Configurer un proxy d'application Azure
• Configurer Remote Desktop Manager
• S'assurer que TLS 1.2 est activé

Installer et configurer un connecteur privé

1. Dans l'interface du navigateur du centre d'administration Microsoft Entra, naviguer vers Global Secure Access – Connect – Connectors, puis activer Global Secure Access dans votre locataire.

   

2. Aller à Private Network connectors – Traffic forwarding et basculer l'option Private access profile.

   

3. Ensuite, se rendre à Private Network connectors une fois de plus, et cliquer sur Download connecter service.

   

4. Une fois le service de connecteur téléchargé, exécuter le programme d'installation, se connecter avec l'invite Azure, et attendre la fin de l'installation (le service peut être affiché comme indisponible pendant ce temps).

Configurer un proxy d'application Azure

Voici les prérequis pour les prochaines étapes de configuration de l'authentification préalable Azure pour la source de données Devolutions Server dans Remote Desktop Manager :

• Devolutions Server est v.2024.2.4.x ou supérieur.
• Remote Desktop Manager est v.2024.2.4.x ou supérieur.
• Une licence P1 pour la fonctionnalité de réseau privé.
• L'URL de Devolutions Server ne doit pas être la racine, c'est-à-dire https://myserver.com/dvls et non https://myserver.com

1. Dans le portail Azure, naviguer vers Microsoft Entra ID – App registrations, et cliquer sur New registration.

   

2. Entrer le nom de l'inscription de l'application et laisser toutes les autres valeurs par défaut.

   

3. Ensuite, se diriger vers Microsoft Entra ID – Enterprise applications. Cliquer sur l'inscription d'application nouvellement créée, aller à Application Proxy, et remplir les champs requis suivants :

• URL interne : C'est la racine du serveur IIS hébergeant le DVLS (généralement http://localhost/dvls ou similaire).
• URL externe : Par défaut au nom de l'inscription de l'application.
• Pré-authentification : Définir sur Microsoft Entra ID.
• Groupe de connecteurs : Le groupe de connecteurs à cibler.

  

4. Ensuite, naviguer vers l'onglet Avancé. S'assurer que toutes les options sont décochées ou définies par défaut, sauf Valider le certificat SSL du backend qui peut être laissé activé si nécessaire.

   

5. Revenir à Microsoft Entra ID – App registrations, et cliquer sur l'application à configurer. Si l'application n'est pas listée, il peut être nécessaire de cliquer sur Toutes les applications pour y accéder car la vue est définie sur Applications possédées par défaut.
6. Dans l'écran Authentification, cliquer sur le bouton Ajouter une plateforme. Trois nouvelles plateformes doivent être créées : Web, Application à page unique, et Applications mobiles et de bureau. Commencer par créer une plateforme Web.

   

7. Entrer l'URL de redirection, qui doit être la même que l'URL externe racine. Sur cette page, cocher les options pour Jetons d'accès et Jetons ID dans la section des flux implicites et hybrides. Cliquer sur Configurer pour continuer.

   

8. Avec la première plateforme ajoutée, cliquer une fois de plus sur le bouton Ajouter une plateforme et choisir Application à page unique. Entrer l'URI de redirection, qui doit être la même que l'URL externe, avec ce qui suit ajouté à la fin : /dvls/api/external-provider-response (remplacer /dvls/ par l'URL de l'instance Devolutions Server souhaitée). Enfin, cliquer sur Configurer pour continuer.

   

9. Avec la deuxième plateforme ajoutée, cliquer une fois de plus sur le bouton Ajouter une plateforme et choisir Applications mobiles et de bureau. Entrer http://localhost exactement dans le champ URI de redirection personnalisés. Laisser toutes les autres valeurs décochées (s'il y en a) et cliquer sur le bouton Configurer.

   

10. Avec les trois plateformes créées, faire défiler jusqu'en bas de la page Authentification et basculer Autoriser les flux de clients publics avant de cliquer sur Enregistrer.

    

11. Maintenant, aller à Permissions d'API et cliquer sur le bouton Ajouter une permission.

    

12. Choisir Permissions déléguées, et basculer la permission User.Read sous Utilisateur. Cliquer sur Ajouter des permissions.

    

13. Cliquer sur le bouton Accorder le consentement d'administrateur pour le locataire et confirmer en cliquant sur Oui.

    

14. Ensuite, naviguer vers Exposer une API et cliquer sur Ajouter à côté de URI d'ID d'application. Ensuite, entrer la même URI que l'URL externe de votre Proxy d'application, et ajouter l'URI de base.

    

    

15. Cliquer sur Ajouter une étendue et entrer ce qui suit :

• Nom de l'étendue : user_impersonation
• Qui peut consentir : Administrateurs et utilisateurs
• Nom d'affichage du consentement d'administrateur : Accéder à DVLS
• Description du consentement d'administrateur : Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.
• Nom d'affichage du consentement de l'utilisateur : Accéder à DVLS
• Description du consentement de l'utilisateur : Permettre à l'application d'accéder à DVLS au nom de l'utilisateur connecté.

  

  

16. Ensuite, aller à Rôles d'application et cliquer sur le bouton Créer un rôle d'application. Deux rôles doivent être créés : Utilisateur et msiam_access.

    

17. Sur l'écran Créer un rôle d'application, remplir les champs ci-dessous, et cocher le cas sous Voulez-vous activer ce rôle d'application ?.

• Nom d'affichage : Utilisateur
• Types de membres autorisés : Utilisateurs/Groupes
• Valeur : Utilisateur
• Description : Utilisateur

  

18. Avec le premier rôle créé, cliquer à nouveau sur Créer un rôle d'application, remplir les champs ci-dessous, et cocher le cas sous Voulez-vous activer ce rôle d'application ? comme précédemment.

• Nom d'affichage : msiam_access
• Types de membres autorisés : Utilisateurs/Groupes
• Valeur : msiam_access
• Description : msiam_access

  

19. Aller à Manifeste et modifier la valeur de “accessTokenAcceptedVersion” à 2. Cliquer sur le bouton Enregistrer.

    

20. Revenir à Microsoft Entra ID – Applications d'entreprise. Cliquer sur l'inscription d'application nouvellement créée et naviguer vers Utilisateurs et groupes. Cliquer sur Ajouter utilisateur/groupe.

    

21. Sélectionner l'utilisateur ou le groupe et le rôle devrait se remplir automatiquement en Utilisateur. Cliquer sur le bouton Assigner pour terminer l'attribution des permissions.

    

Configurer Remote Desktop Manager

Avec Azure configuré, et après avoir attendu au moins 5 minutes depuis le dernier changement de configuration, ouvrir Remote Desktop Manager.

1. Aller à Fichier – Sources de données.

   

2. Localiser la source de données Devolutions Server à modifier et cliquer sur le bouton Modifier. Entrer ce qui suit :

• Hôte : La même valeur que l'URI externe avec le suffixe du serveur DLVS.
• Nom d'utilisateur : Le même que le nom d'utilisateur DVLS, pas nécessairement le même que l'utilisateur Azure (sauf si l'option « Utiliser l'utilisateur de pré-authentification pour la connexion DVLS » est cochée). Ensuite, cocher Utiliser le proxy de pré-authentification et, optionnellement, Utiliser le proxy de pré-authentification pour la connexion DVLS (si Authentification Microsoft est déjà cochée).

3. La configuration est alors terminée, et la connexion Microsoft Azure devrait s'ouvrir dans une fenêtre intégrée ou un navigateur système (cela peut se produire deux fois si une fenêtre intégrée apparaît et une fois de plus dans un navigateur système avant l'authentification DVLS). Une fois cela fait, une invite pour l'authentification DVLS devrait apparaître.

Notes supplémentaires

HTTP2 peut devoir être désactivé sur Windows Server 2019 ou ultérieur dans le composant WinHTTP pour que la Délégation Contrainte Kerberos fonctionne correctement. Exécuter la commande PowerShell suivante et redémarrer le serveur pour que le changement prenne effet :

Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

S'assurer que TLS 1.2 est activé

De plus, le service de connecteur Windows doit avoir TLS 1.2 activé avant l'installation. Ajouter ce qui suit à un fichier notepad avec l'extension .reg et double-cliquer importera les valeurs nécessaires dans le registre. Un redémarrage du serveur est ensuite nécessaire avant d'exécuter l'installation du connecteur.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]
"DisabledByDefault"=dword:00000000
"Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319]
"SchUseStrongCrypto"=dword:00000001