NLA RDP avec Entra ID (problème PKU2U)

Lorsqu'ils se connectent à des systèmes avec RDP et Entra ID, les utilisateurs rencontrent souvent l'erreur « Vos identifiants n'ont pas fonctionné ». Ce problème provient du protocole PKU2U, qui n'est pas activé par défaut dans Windows.

Solution 1 : Désactiver RDP NLA

Désactiver RDP NLA peut résoudre le problème, mais ce n'est pas recommandé pour des raisons de sécurité.

Solution 2 : Faire fonctionner RDP NLA avec Entra ID (recommandé)

Certaines exigences doivent être respectées pour que RDP NLA fonctionne avec Entra ID. C'est la solution recommandée même si le processus est plus complexe.

PKU2U sur le client et le serveur RDP

PKU2U doit être activé à la fois sur le client et sur le serveur RDP. Utilisez l'une des méthodes ci-dessous.

Méthode par stratégie de groupe

1. Ouvrez l'Éditeur de stratégie de groupe (gpedit.msc).
2. Naviguez vers Configuration ordinateur – Paramètres Windows – Paramètres de sécurité – Stratégies locales – Options de sécurité.
3. Activez Sécurité réseau : autoriser les demandes d'authentification PKU2U à cet ordinateur pour utiliser des identités en ligne.
4. Redémarrez le serveur.

Méthode PowerShell

1. Dans PowerShell, exécutez la commande suivante :

   $Pku2uRegPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Pku2u'
   New-Item -Path $Pku2uRegPath -Force | Out-Null
   Set-ItemProperty -Path $Pku2uRegPath -Name 'AllowOnlineID' -Value '1' -Type DWORD

2. Redémarrez le serveur.

Connexion Windows

Vous devez soit être connecté à Windows avec le même compte Entra ID, soit être joint au lieu de travail avec le même utilisateur Entra ID. Notez que vous pouvez être joint au lieu de travail avec un maximum de trois utilisateurs en même temps.

1. Sur votre machine Windows, naviguez vers Paramètres – Comptes – Courriel et comptes.
2. Cliquez sur Ajouter un compte professionnel ou scolaire.
3. Entrez vos identifiants Entra ID, puis cliquez sur Se connecter.
4. Attendez que la jonction au lieu de travail Entra ID soit terminée.

Format de nom d'utilisateur correct

• Dans MSTSC : utilisez le format « EntraID\[e-mail] ».
• Dans un fichier RDP : utilisez le format « .\EntraID\[e-mail] » et laissez le domaine vide.
• Dans Remote Desktop Manager : activez l'option Hôte Entra ID dans les propriétés générales de l'entrée RDP.

Consultez l'article complet pour plus d'information : RDP NLA with Entra ID: The PKU2U Nightmare.

Voir aussi

• RDP NLA with Azure AD: The PKU2U Nightmare