Настройка аутентификации с единственной регистрацией SSO на Windows Server RDS

Аутентификация с единственной регистрацией (SSO) является чрезвычайно удобной функцией, которая позволяет пользователям получать доступ к нескольким сайтам или службам, используя одни учетные данные. Это особенно полезно в случае работы с различными веб-приложениями, которые требуют ввода учетных данных. Благодаря SSO пользователи могут войти на одном сайте и автоматически получить доступ ко всем остальным без необходимости вводить свои данные снова и снова.

Windows Server Remote Desktop Services (RDS) предоставляет возможность настройки прозрачной SSO для пользователей, работающих с удаленными рабочими столами или RemoteApp. Прозрачная SSO позволяет пользователям автоматически входить на виртуальные рабочие столы и приложения, используя их сетевые учетные данные Active Directory. Это значительно упрощает процесс входа в систему для клиентов и снижает риск утечки учетных данных.

Для настройки прозрачной SSO на Windows Server RDS необходимо выполнить несколько шагов. Во-первых, рекомендуется использовать сертификаты SSL для безопасной передачи учетных данных. На сервере RDS необходимо настроить авторизацию по сертификату и выбрать сертификат с помощью указания его отпечатка. Учтите, что для использования прозрачной SSO необходимо, чтобы на компьютере пользователя был установлен сертификат, идентичный сертификату сервера RDS.

Настройка аутентификации с единственной регистрацией SSO на Windows Server RDS

SSO в Windows Server RDS может быть реализован с помощью прозрачной аутентификации и аутентификации с использованием сертификатов.

Для настройки прозрачной аутентификации необходимо:

1. Убедитесь, что на серверах Windows Server RDS включена функция прозрачной аутентификации.
2. На доменных контроллерах настройте групповые политики, чтобы разрешить прозрачную аутентификацию.
3. Настройте сертификаты SSL на серверах Windows Server RDS и клиентских компьютерах.
4. Настройте аутентификацию в RDS для использования прозрачной аутентификации.
5. Настройте политику безопасности с помощью CredSSP для разрешения двусторонней аутентификации.

SSO с использованием сертификатов позволяет автоматически выполнять аутентификацию без предоставления учетных данных. Для настройки с SSO с использованием сертификатов выполните следующие действия:

1. Установите сертификат SSL на сервера RDS.
2. Настройте на серверах RDS аутентификацию, чтобы использовать сертификаты для привязки подключений.
3. Настройте настройки клиента RDS, чтобы использовать сертификаты для аутентификации.

SSO на Windows Server RDS обеспечивает удобство для пользователей, устраняя необходимость вводить учетные данные при каждом входе. Это также повышает безопасность, предотвращая утечку учетных данных.

Преимущества и возможности

Аутентификация с единственной регистрацией (SSO) на сервере Windows RDS (Remote Desktop Services) обеспечивает контроль и делегирование учетных данных пользователей. Это позволяет клиентам использовать активную настройку подписей безопасности и сертификатов, а также предотвращает авторизацию пользователей на удаленных серверах без учетных данных.

Основные преимущества и возможности такой настройки SSO:

• Прозрачная и автоматическая авторизация на удаленных серверах RDS без необходимости ввода пароля или учетных данных.
• Использование криптографических сертификатов для обеспечения безопасности и защиты данных.
• Возможность делегирования контроля учетных данных пользователей администраторам системных служб и управления доступом.
• Настройка политик безопасности для предотвращения авторизации пользователей без корректных учетных данных.
• Интеграция с сервисами Active Directory для централизованной управляемости учетными данными пользователей.
• Установка конфигурации аутентификации для работы с удаленными приложениями (RemoteApp) и рабочими столами (desktop).
• Использование функции Single Sign-On для автоматической авторизации на терминальных серверах без повторного ввода учетных данных.
• Настройка безопасных соединений с использованием SSL-сертификатов и защита данных с помощью алгоритмов шифрования.

Настройка аутентификации SSO на серверах RDS позволяет использовать преимущества прозрачной авторизации, предоставлять услуги удаленного рабочего стола и удаленных приложений с помощью единственной регистрации и обеспечивать безопасность и управление доступом.

Шаги установки и конфигурации

Для настройки аутентификации с единственной регистрацией SSO на Windows Server RDS следуйте следующим шагам:

1. Установка и настройка Active Directory

Установите и настройте службу Active Directory на сервере, который будет использоваться для аутентификации пользователей. Создайте домен и добавьте компьютеры и пользователей в домен.

2. Установка и настройка сервера Remote Desktop Services

Установите и настройте службу Remote Desktop Services (RDS) на сервере, чтобы предоставить удаленный доступ к рабочим столам и приложениям. Настройте сервер RDS в соответствии с требованиями вашей организации.

3. Установка и настройка службы Single Sign-On (SSO)

Установите и настройте службу Single Sign-On (SSO) на сервере RDS для реализации прозрачной авторизации пользователей при доступе к удаленным рабочим столам и приложениям.

4. Выпуск и настройка сертификатов

Выпустите и настройте сертификаты для серверов RDS и клиентских компьютеров. Это необходимо для обеспечения безопасности и безопасной передачи учетных данных пользователей.

5. Настройка Group Policies

Настройте Group Policies в Active Directory для задания требуемых параметров аутентификации и авторизации пользователей при доступе к удаленным рабочим столам и приложениям.

6. Включение функции управления одночасовыми учетными записями

Включите функцию управления одночасовыми учетными записями (Credential Delegation) на серверах RDS для предоставления возможности передачи учетных данных безопасным образом.

После прохождения всех шагов настройки и конфигурации, SSO будет включена на серверах Remote Desktop Services, и пользователи смогут получить доступ к удаленным рабочим столам и приложениям с помощью авторизации только однажды. Прозрачная авторизация происходит без необходимости повторного ввода учетных данных пользователем.

Прозрачная авторизация на терминальных серверах SSO

Для настройки прозрачной авторизации на терминальных серверах SSO необходимо выполнить следующие шаги:

Шаг 1: Настройка Active Directory

1. Настройте серверы доменной службы доверия (Domain Controller), так, чтобы можно было выполнять делегацию сетевых учетных данных.
2. Включите службу одноразового входа в системе (Single Sign-On) на контроллерах доменной службы доверия.
3. Создайте группу пользователей или компьютеров для сопоставления с удаленными терминальными серверами.
4. Укажите настройки групповой политики для разрешения или запрещения авторизации через SSO на удаленных терминальных серверах.

Шаг 2: Настройка терминального сервера

1. Установите службу удаленных рабочих столов (Remote Desktop Service) на сервере.
2. Настройте сервер для принятия удаленных подключений.
3. Настройте сертификаты для обеспечения безопасности соединений.
4. Включите прозрачную авторизацию для удаленных пользователей и клиентов.
5. Настройте правила групповой политики, чтобы предотвратить использование SSO через несекурные каналы связи, такие как Интернет.

После завершения настройки прозрачной авторизации на терминальных серверах SSO, пользователи смогут автоматически входить на удаленные терминальные сервера без необходимости вводить учетные данные.

Заметки:

• Для выполнения прозрачной авторизации необходимо наличие действующего сертификата на сервере.
• Предварительно должна быть настроена система учетных данных (Credential Delegation).
• Клиенты, пытающиеся подключиться к серверам с активной прозрачной авторизацией, должны быть настроены соответствующим образом.
• Для использования SSO на серверах RemoteApp также необходимо настройка и активация SSO на сервере.

Как работает прозрачная авторизация

В Windows Server RDS для настройки прозрачной авторизации необходимо выполнить ряд шагов. Основная задача — включить функцию Single Sign-On (SSO) для всех клиентов и серверов в домене.

1. Конфигурирование клиентских компьютеров

На клиентских компьютерах необходимо сконфигурировать параметры аутентификации. Для этого можно использовать групповые политики или редактор реестра. Клиентские компьютеры должны быть настроены на использование прозрачной авторизации и делегирование учетных данных доменного контроллера.

2. Конфигурирование серверов RDS

На серверах RDS также необходимо выполнить настройку прозрачной авторизации. Для этого нужно настроить автоматическое вход в систему без запроса логина и пароля. Это делается с помощью сертификатов и параметров аутентификации.

Для активации прозрачной авторизации на серверах RDS необходимо выполнить следующие шаги:

1. Установить и настроить службу Remote Desktop Services на сервере.
2. Создать сертификат безопасности для сервера. Сертификат должен быть установлен в хранилище сертификатов данного сервера.
3. Настроить параметры аутентификации на сервере с использованием сертификата. Для этого нужно определить и настроить параметры аутентификации SSL/TLS и Negotiate.
4. Включить прозрачную авторизацию для удаленных сервисов и терминального сервера.

3. Настройка клиентов

На клиентах необходимо настроить подключение с помощью прозрачной авторизации. Для этого нужно проверить настройки клиентского компьютера и включить функцию SSO. Также необходимо убедиться, что клиентские компьютеры настроены на использование тех же сертификатов, что и сервера RDS.

После настройки прозрачной авторизации пользователи смогут автоматически входить в систему без запроса логина и пароля. Прозрачная авторизация работает на основе предоставленных учетных данных, и пользователи не должны вводить их повторно для подключения к удаленным ресурсам.

Важно отметить, что прозрачная авторизация может быть использована только в сетевой доменной среде Active Directory. Она также может быть применена к Windows Server RDS, а не к серверам, не являющимся членами домена.

Параметр	Описание
Name	Имя учетной записи компьютера/пользователя
Thumbprint	Отпечаток сертификата
Value	Значение параметра
Warning	Примечание или предупреждение

Настройка и использование

Настройка и использование аутентификации с единственной регистрацией (SSO) на Windows Server RDS предоставляет возможность автоматической прозрачной аутентификации пользователей на терминальных серверах.

Для настройки прозрачной авторизации с помощью SSO на терминальных серверах необходимо выполнить следующие шаги:

Шаг 1: Настройте Active Directory (AD) для разрешения SSO. В системном каталоге добавьте на сервер, на котором будет настроена аутентификация SSO:

certutil -f -addstore root sso1.crt
certutil -f -addstore root sso2.crt

Шаг 2: Включите аутентификацию SSO на серверах Remote Desktop Services (RDS). Для этого откройте групповые политики (Group Policies) и перейдите в «Удостоверения удаленных компьютеров». Включите настройку «Сетевая аутентификация».

Шаг 3: Настройте клиентов для использования SSO. Для этого выполните следующие действия:

1. Откройте реестр (regedit) с правами администратора.

2. Перейдите к разделу «HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters».

3. Создайте новый параметр с именем «AllowEncryptionOracle» и типом DWORD со значением 2.

Шаг 4: Настройте сертификаты безопасности. Для этого используйте следующие команды в командной строке (cmd) с правами администратора:

wmic /namespace:
oot\CIMv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="thumbprint"

Шаг 5: Включите делегирование полномочий для клиентов. Добавьте учетные записи пользователей или группы в раздел «Делегирование» на сервере.

После настройки SSO пользователи смогут автоматически проходить аутентификацию на терминальных серверах без необходимости ввода учетных данных.

Примечание: Если на серверах используется интеграция с интернет-сайтами или RemoteApp, необходимо настроить аутентификацию SSO на доменных контроллерах.

Важно: При использовании аутентификации SSO могут возникать проблемы с безопасностью. Настоятельно рекомендуется использовать эту функцию только в контролируемых сетевых средах.

Таким образом, настройка и использование аутентификации SSO позволяет автоматически аутентифицировать пользователей на терминальных серверах и предоставляет прозрачный доступ к ресурсам без необходимости повторного ввода учетных данных.

Remote Desktop ServicesTerminal Services — Настройка прозрачной доменной авторизации Single Sign-On

Данный раздел предоставляет руководство по настройке прозрачной доменной авторизации Single Sign-On (SSO) на серверах Remote Desktop Services (RDS, ранее известных как Terminal Services) в Windows Server.

Что такое прозрачная доменная авторизация Single Sign-On?

Прозрачная доменная авторизация Single Sign-On (SSO) позволяет пользователям автоматически входить в систему без необходимости повторного ввода учетных данных при подключении к удаленным рабочим столам или RemoteApp на серверах RDS.

Каждый раз при входе в систему пользователи обычно должны вводить свои учетные данные (имя пользователя и пароль). SSO позволяет автоматически передавать учетные данные пользователя от их рабочей станции к серверам RDS, обеспечивая ощущение единой авторизации для различных служб и приложений.

Настройка прозрачной доменной авторизации Single Sign-On

1. Убедитесь, что серверы RDS и клиенты находятся в доменной сети Active Directory.
2. Убедитесь, что у пользователя есть достаточные права администратора для настройки SSO на серверах RDS.
3. Откройте «Active Directory Users and Computers» и найдите группу «Domain Computers».
4. Свяжите группу «Domain Computers» с сервисом серверов RDS, для которых требуется включить прозрачную доменную авторизацию SSO.
5. На серверах RDS, настройте «Remote Desktop Services» для использования SSO.
6. Настройте «Credential Security Support Provider» (CredSSP) на серверах RDS для включения прозрачной доменной авторизации SSO.
7. Настройте параметры клиента для использования SSO при подключении к серверам RDS.

Подробная информация о настройке прозрачной доменной авторизации Single Sign-On, включая шаги по настройке и возможные проблемы, может быть найдена в официальной документации Microsoft.

Заметки и рекомендации

Некоторые заметки и рекомендации, которые следует учесть при настройке прозрачной доменной авторизации Single Sign-On на серверах RDS:

• Необходимо настроить прозрачную доменную авторизацию SSO на всех серверах RDS в домене.
• Проверьте, что сертификат используемый для прозрачной доменной авторизации SSO, находится на серверах RDS в локальной системной хранилище сертификатов с указанным отпечатком (thumbprint).
• Проверьте настройки политик безопасности, чтобы предотвратить проблемы, связанные с использованием SSO.
• Настройте клиентские компьютеры для автоматической передачи учетных данных при подключении к серверам RDS.
• Убедитесь, что клиентские компьютеры поддерживают требования SSO и рекомендуемые настройки безопасности.

С прозрачной доменной авторизацией Single Sign-On, пользователи смогут эффективно работать на серверах RDS, подключаться к удаленным рабочим столам и использовать RemoteApp без необходимости заново вводить данные для авторизации.

Видео:

21 — Windows Server 2016 — RDS Remote Desktop Services Installation and Configuration Step By Step

21 — Windows Server 2016 — RDS Remote Desktop Services Installation and Configuration Step By Step by Labs Hands On 105,773 views 5 years ago 19 minutes