Remote Desktop Manager macOS — Activer l'authentification intégrée avec Kerberos

Pour utiliser l'authentification intégrée (authentification Windows) sur macOS, vous devez configurer un ticket Kerberos reliant votre utilisateur actuel à un compte de domaine Windows. Un résumé des étapes clés est présenté ci-dessous.

Cette fonctionnalité expérimentale a fonctionné lors de nos tests internes et constitue une solution de contournement pour la fonctionnalité de sécurité intégrée qui ne fonctionne pas sur macOS avec SQL Server.

Cela dit, l'implémentation initiale de Kerberos visait à aider notre communauté à utiliser cette méthode d'authentification. Cependant, plusieurs modifications ont été apportées du côté de Kerberos depuis cette implémentation, il est donc possible que cette méthode soit désormais obsolète.

Prérequis : obtenir la configuration du contrôleur de domaine Kerberos (KDC)

Nous proposons deux méthodes : la découverte manuelle ou un script PowerShell.

Exécuter sur : un PC Windows joint à votre domaine Active Directory. Notez que tout domaine de niveau production dispose de plus d'un contrôleur de domaine. L'une ou l'autre des méthodes suivantes peut retourner un serveur différent selon une multitude de facteurs. Soyez prêt à relancer cette découverte si le serveur désigné devient indisponible.

Découverte manuelle

nltest.exe est un utilitaire en ligne de commande que vous pouvez exécuter via l'interpréteur de commandes de base ou PowerShell.

Exécutez nltest dans l'interpréteur de commandes de votre choix.

nltest /dsgetdc:%USERDNSDOMAIN%

DC: \\dc-33.domain.company.com
Address: \\2111:4444:2111:33:1111:ecff:ffff:3333

The command completed successfully

Copiez le nom du DC, qui est la valeur de configuration KDC requise, dans ce cas dc-33.domain.company.com.

Script PowerShell

Exécutez ce qui suit dans une fenêtre PowerShell (rappel : le PC doit être joint au domaine cible).

$dcinfo = Get-ADDomainController -Discover
Write-Output "Domain name $($dcinfo.Domain)"
Write-Output "Domain Controller $($dcinfo.HostName)"
Write-Output "`nSuggested krb5.conf content`n-----------------------------------------"
Write-Output "[libdefaults]"
Write-Output "default_realm = $($dcinfo.Domain.ToUpper())"
Write-Output "
Write-Output "[realms]`n$($dcinfo.Domain.ToUpper()) = {"
Write-Output "kds = $($dcinfo.HostName)"
Write-Output "}"

Configurer Kerberos sur macOS

Étape 1 : configurer le KDC dans krb5.conf

Modifiez le fichier /etc/krb5.conf dans l'éditeur de votre choix ; notez que vous devez élever vos privilèges (sudo ou autre). Si vous avez obtenu le résultat du script PowerShell, copiez simplement les lignes appropriées. Suivez les étapes ci-dessous si vous avez utilisé la découverte manuelle.

Le domaine doit être en MAJUSCULES.

Configurez les paramètres suivants :

[libdefaults]
 default_realm = DOMAIN.COMPANY.COM

[realms]
DOMAIN.COMPANY.COM = {
 kdc = dc-33.domain.company.com
}

Enregistrez ensuite le fichier krb5.conf et quittez.

Étape 2 : tester la récupération du ticket d'attribution de tickets

Utilisez la commande kinit [e-mail] pour obtenir un TGT auprès du KDC. Vous serez invité à saisir votre mot de passe de domaine.

kinit username<area>@DOMAIN.COMPANY.COM

Utilisez klist pour afficher les tickets disponibles. Si la commande kinit a réussi, vous devriez voir un ticket.

klist

krbtgt/DOMAIN.COMPANY.COM@ DOMAIN.COMPANY.COM.

Étape 3 : se connecter dans Remote Desktop Manager

1. Créez un nouvel espace de travail SQL Server.
2. Renseignez les informations de l'espace de travail (Nom et hôte).
3. Sélectionnez le mode « Integrated Security (Active Directory) – Experimental ».
4. Sélectionnez la base de données.
5. Enregistrez l'espace de travail.

Si vous avez suivi toutes les étapes ci-dessus, vous devriez pouvoir vous connecter avec succès à l'espace de travail.