RDP NLA con Entra ID (problema PKU2U)

Durante la connessione ai sistemi tramite RDP con Entra ID, gli utenti riscontrano spesso l'errore "Le credenziali non hanno funzionato". Questo problema deriva dal protocollo PKU2U, che non è abilitato per impostazione predefinita in Windows.

Soluzione 1: disabilitare RDP NLA

Disabilitare RDP NLA può risolvere il problema, ma non è consigliato per motivi di sicurezza.

Soluzione 2: far funzionare RDP NLA con Entra ID (consigliata)

Per far funzionare RDP NLA con Entra ID è necessario soddisfare alcuni requisiti. È la soluzione consigliata anche se il processo è più complesso.

PKU2U sul client e sul server RDP

PKU2U deve essere abilitato sia sul client sia sul server RDP. Utilizzi uno dei metodi seguenti.

Metodo tramite criteri di gruppo

1. Apra l'Editor Criteri di gruppo (gpedit.msc).
2. Vada in Configurazione computer – Impostazioni di Windows – Impostazioni sicurezza – Criteri locali – Opzioni di sicurezza.
3. Abiliti Protezione di rete: consentire alle richieste di autenticazione PKU2U a questo computer di usare identità online.
4. Riavvii il server.

Metodo tramite PowerShell

1. In PowerShell, esegua il comando seguente:

   $Pku2uRegPath = 'HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Pku2u'
   New-Item -Path $Pku2uRegPath -Force | Out-Null
   Set-ItemProperty -Path $Pku2uRegPath -Name 'AllowOnlineID' -Value '1' -Type DWORD

2. Riavvii il server.

Accesso a Windows

È necessario aver effettuato l'accesso a Windows con lo stesso account Entra ID oppure essere workplace joined con lo stesso utente Entra ID. Tenga presente che è possibile essere workplace joined con un massimo di tre utenti contemporaneamente.

1. Sulla sua macchina Windows, vada in Impostazioni – Account – Email e account.
2. Clicchi su Aggiungi un account aziendale o dell'istituto di istruzione.
3. Inserisca le sue credenziali Entra ID, quindi clicchi su Accedi.
4. Attenda il completamento del workplace join di Entra ID.

Formato corretto del nome utente

• In MSTSC: utilizzi il formato "EntraID\[e-mail]".
• In un file RDP: utilizzi il formato ".\EntraID\[e-mail]" e lasci vuoto il dominio.
• In Remote Desktop Manager: abiliti l'opzione Host Entra ID nelle proprietà generali della voce RDP.

Consulti l'articolo completo per maggiori informazioni: RDP NLA with Entra ID: The PKU2U Nightmare.

Vedere anche

• RDP NLA with Azure AD: The PKU2U Nightmare