NLA de RDP con Entra ID (problema de PKU2U)

Al conectarse a sistemas mediante RDP con Entra ID, los usuarios suelen encontrarse con el error "Sus credenciales no funcionaron". Este problema se debe al protocolo PKU2U, que no está habilitado por defecto en Windows.

Solución 1: deshabilitar RDP NLA

Deshabilitar RDP NLA puede resolver el problema, pero no se recomienda por motivos de seguridad.

Solución 2: hacer que RDP NLA funcione con Entra ID (recomendado)

Deben cumplirse algunos requisitos para que RDP NLA funcione con Entra ID. Es la solución recomendada, aunque el proceso sea más complejo.

PKU2U en el cliente y el servidor RDP

PKU2U debe estar habilitado tanto en el cliente como en el servidor RDP. Utilice uno de los métodos siguientes.

Método de directiva de grupo

1. Abra el Editor de directivas de grupo (gpedit.msc).
2. Vaya a Configuración del equipo – Configuración de Windows – Configuración de seguridad – Directivas locales – Opciones de seguridad.
3. Habilite Seguridad de red: permitir que las solicitudes de autenticación PKU2U a este equipo usen identidades en línea.
4. Reinicie el servidor.

Método de PowerShell

1. En PowerShell, ejecute el siguiente comando:

   $Pku2uRegPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Pku2u'
   New-Item -Path $Pku2uRegPath -Force | Out-Null
   Set-ItemProperty -Path $Pku2uRegPath -Name 'AllowOnlineID' -Value '1' -Type DWORD

2. Reinicie el servidor.

Inicio de sesión de Windows

Debe haber iniciado sesión en Windows con la misma cuenta de Entra ID o estar unido al lugar de trabajo con el mismo usuario de Entra ID. Tenga en cuenta que solo puede estar unido al lugar de trabajo con un máximo de tres usuarios al mismo tiempo.

1. En su máquina Windows, vaya a Configuración – Cuentas – Correo electrónico y cuentas.
2. Haga clic en Agregar una cuenta profesional o educativa.
3. Introduzca sus credenciales de Entra ID y, a continuación, haga clic en Iniciar sesión.
4. Espere a que se complete la unión al lugar de trabajo de Entra ID.

Formato de nombre de usuario correcto

• En MSTSC: utilice el formato "EntraID\[e-mail]".
• En un fichero RDP: utilice el formato ".\EntraID\[e-mail]" y deje el dominio vacío.
• En Remote Desktop Manager: habilite la opción Host de Entra ID en las propiedades generales de la entrada RDP.

Consulte el artículo completo para obtener más información: RDP NLA with Entra ID: The PKU2U Nightmare.

Véase también

• RDP NLA with Azure AD: The PKU2U Nightmare