Website-Suche

Aktivieren Sie die Single Sign-On (SSO)-Authentifizierung auf RDS Windows Server

Single Sign-On (SSO) ermöglicht einem authentifizierten (angemeldeten) Benutzer den Zugriff auf andere Domänendienste, ohne dass er sich erneut authentifizieren muss (ein Passwort erneut eingeben muss). Verwendung gespeicherter Anmeldeinformationen (einschließlich RDP). SSO kann beim Herstellen einer Verbindung mit Remote Desktop Services (Terminal-)Servern verwendet werden. Dadurch wird verhindert, dass ein an einem Domänencomputer angemeldeter Benutzer seinen Kontonamen und sein Kennwort mehrmals im RDP-Clientfenster eingibt, wenn er eine Verbindung zu verschiedenen RDS-Hosts herstellt oder veröffentlichte RemoteApps ausführt.

In diesem Artikel wird gezeigt, wie Sie transparentes SSO (Single Sign-On) für Benutzer von RDS-Servern konfigurieren, auf denen Windows Server 2022/2019/2016 ausgeführt wird.

Systemanforderungen:

  • Auf dem Connection Broker-Server und auf allen RDS-Hosts muss Windows Server 2012 oder neuer ausgeführt werden.

  • Sie können Windows 11, 10, 8.1 mit Pro/Enterprise-Editionen als Client-Workstations verwenden.

  • SSO funktioniert nur in der Domänenumgebung: Es müssen Active Directory-Benutzerkonten verwendet werden, die RDS-Server und die Benutzerarbeitsstationen müssen derselben AD-Domäne beigetreten sein;

  • Auf den RDP-Clients muss RDP 8.0 oder höher verwendet werden;

  • SSO funktioniert nur mit Passwortauthentifizierung (Smartcards werden nicht unterstützt);

  • Die RDP-Sicherheitsschicht in den Verbindungseinstellungen sollte auf Negotiate oder SSL (TLS 1.0) und der Verschlüsselungsmodus auf Hoch oder FIPS-konform eingestellt sein.

Der Single-Sign-On-Einrichtungsprozess besteht aus den folgenden Schritten:

  • Sie müssen ein SSL-Zertifikat auf RD-Gateway-, RD-Web- und RD-Verbindungsbrokerservern ausstellen und zuweisen;

  • Web SSO muss auf dem RDWeb-Server aktiviert sein;

  • Konfigurieren Sie die Gruppenrichtlinie für die Delegierung von Anmeldeinformationen.

  • Fügen Sie den Fingerabdruck des RDS-Zertifikats mithilfe von GPO den vertrauenswürdigen RDP-Herausgebern hinzu.

Aktivieren Sie die SSO-Authentifizierung auf dem RDS-Host mit Windows Server 2022/2019/2016

Zunächst müssen Sie ein SSL-Zertifikat ausstellen und Ihrer RDS-Bereitstellung zuweisen. Die Enhanced Key Usage (EKU) des Zertifikats muss die Server Authentication-ID enthalten. Das Verfahren zum Erhalten eines SSL-Zertifikats für die RDS-Bereitstellung wird nicht behandelt. Dies liegt außerhalb des Rahmens dieses Artikels (Sie können selbst ein selbstsigniertes SSL-Zertifikat erstellen, müssen es jedoch auf allen Clients, die die Gruppenrichtlinie verwenden, auf dem vertrauenswürdigen Zertifikat bereitstellen).

Erfahren Sie mehr über die Verwendung von SST/TLS-Zertifikaten zum Sichern von RDP-Verbindungen.

Das Zertifikat wird im Abschnitt Zertifikate der Eigenschaften der RDS-Bereitstellung zugewiesen.

Aktivieren Sie dann auf allen Servern mit der RD-Webzugriffsrolle die Windows-Authentifizierung für das IIS-RDWeb-Verzeichnis und deaktivieren Sie die Anonyme Authentifizierung.

Nachdem Sie die Änderungen gespeichert haben, starten Sie den IIS neu:

iisreset /noforce

Wenn Remotedesktop-Gateway verwendet wird, stellen Sie sicher, dass es nicht zum Verbinden interner Clients verwendet wird (die Option RD-Gateway-Server für lokale Adresse umgehen sollte aktiviert sein).

Jetzt müssen Sie den Fingerabdruck des SSL-Zertifikats des RD-Verbindungsbrokers abrufen und ihn zur Liste der vertrauenswürdigen RDP-Herausgeber hinzufügen. Führen Sie dazu den folgenden PowerShell-Befehl auf dem RDS Connection Broker-Host aus:

Get-Childitem CERT:\LocalMachine\My

Kopieren Sie den Wert des Fingerabdrucks des Zertifikats und fügen Sie ihn der Richtlinie SHA1-Fingerabdrücke von Zertifikaten angeben, die RDP-Herausgeber darstellen hinzu (Computerkonfiguration -> Administrative Vorlagen -> Windows-Desktopdienste -> Remotedesktopverbindungsclient).

Konfigurieren Sie Remotedesktop-Single-Sign-On auf Windows-Clients

Der nächste Schritt besteht darin, die Richtlinie zur Delegierung von Anmeldeinformationen für Benutzercomputer zu konfigurieren.

  1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole der Domäne (

    gpmc.msc

    );

  2. Erstellen Sie ein neues Domänen-Gruppenrichtlinienobjekt und verknüpfen Sie es mit einer Organisationseinheit mit Benutzern (Computern), denen die Verwendung von SSO für den Zugriff auf den RDS-Server gestattet werden muss.

  3. Aktivieren Sie die Richtlinie Standardmäßige Delegierung von Anmeldeinformationen zulassen unter Computerkonfiguration -> Administrative Vorlagen -> System -> Delegierung von Anmeldeinformationen

  4. Fügen Sie die Namen der RDS-Hosts hinzu, an die der Client automatisch Benutzeranmeldeinformationen senden kann, um die SSO-Authentifizierung durchzuführen. Verwenden Sie das folgende Format für RDS-Hosts: TERMSRV/rd.contoso.com (alle TERMSRV-Zeichen müssen in Großbuchstaben geschrieben sein). Wenn Sie zulassen müssen, dass Anmeldeinformationen an alle Terminals in der Domäne gesendet werden (weniger sicher), können Sie diese Konstruktion verwenden:

    TERMSRV/*.contoso.com

Die obige Richtlinie funktioniert, wenn Sie die Kerberos-Authentifizierung verwenden. Wenn das NTLM-Authentifizierungsprotokoll in der Domäne nicht deaktiviert ist, müssen Sie die Richtlinie Delegierungs-Standardanmeldeinformationen mit reiner NTLM-Serverauthentifizierung zulassen auf die gleiche Weise konfigurieren.

Um dann eine Fensterwarnung zu verhindern, dass der Remote-Anwendungsherausgeber nicht vertrauenswürdig ist, fügen Sie die Adresse des Servers, auf dem die RD-Verbindungsbroker-Rolle ausgeführt wird, zur vertrauenswürdigen Zone auf den Clientcomputern hinzu, indem Sie die Richtlinie „Site-to-Zone-Zuweisungsliste“ verwenden. (ähnlich dem Artikel So deaktivieren Sie die Sicherheitswarnung „Offene Dateien“ unter Windows 10):

  1. Gehen Sie zum GPO-Abschnitt Benutzer-/Computerkonfiguration -> Verwaltung -> Windows-Komponenten -> Internet Explorer -> Internet-Systemsteuerung -> Sicherheitsseite.

  2. Aktivieren Sie die Richtlinie Site-to-Zone-Zuweisungsliste

  3. Geben Sie den FQDN des RD-Verbindungsbroker-Hostnamens an und legen Sie Zone 2 (Vertrauenswürdige Sites) fest.

Als nächstes müssen Sie die Richtlinie Anmeldeoptionen unter Benutzer-/Computerkonfiguration -> Verwaltung -> Windows-Komponenten -> Internet Explorer -> Internet-Systemsteuerung -> Sicherheit -> Zone vertrauenswürdiger Sites“ aktivieren . Wählen Sie „Automatische Anmeldung mit aktuellem Benutzernamen und Passwort“ aus der Dropdown-Liste.

Navigieren Sie dann zu Computerkonfiguration -> Richtlinien -> Administrative Vorlagen ->Windows-Komponenten -> Remotedesktopdienste - Remotedesktopverbindungsclient und deaktivieren Sie die Richtlinie Nach Anmeldeinformationen auf dem Clientcomputer fragen.

Nachdem Sie die Gruppenrichtlinieneinstellungen auf dem Client aktualisiert haben, öffnen Sie den mstsc.exe-Client (Remotedesktopverbindung) und geben Sie den FQDN des RDS-Hosts an. Das Feld „Benutzername“ zeigt automatisch Ihren Namen im Format an

user@domain.com
Your Windows logon credentials will be used to connect.

Wenn Sie jetzt eine RemoteApp starten oder eine direkte Verbindung zu einem Remotedesktopdienste-Host herstellen, werden Sie nicht mehr zur Eingabe Ihres Kennworts aufgefordert.

Um das RD-Gateway mit SSO zu verwenden, aktivieren Sie die Richtlinie RD-Gateway-Authentifizierungsmethode festlegen (Benutzerkonfiguration -> Richtlinien -> Administrative Vorlagen -> Windows-Komponenten -> Remotedesktopdienste -> RD-Gateway) und legen Sie ihren Wert fest um Lokal angemeldete Anmeldeinformationen zu verwenden.

Um Web SSO auf RD Web Access zu verwenden, beachten Sie bitte, dass die Verwendung von Internet Explorer mit aktivierter Active

In modernen Windows-Versionen ist Internet Explorer standardmäßig deaktiviert und Sie müssen stattdessen Microsoft Edge verwenden. Sie müssen diese URL in Microsoft Edge im Kompatibilitätsmodus öffnen, um RD Web mit SSO zu verwenden (Edge führt keine Active-X-Komponenten ohne Kompatibilitätsmodus aus).

Damit alle Clientcomputer RDWeb im Kompatibilitätsmodus öffnen können, müssen Sie das Gruppenrichtlinienobjekt „MS Edge Administrative Templates“ installieren und die Richtlinieneinstellungen unter „Computerkonfiguration“ -> „Administrative Vorlagen“ -> „Microsoft“ konfigurieren:

  • Internet Explorer-Integrationen konfigurieren=Internet Explorer-Modus;

  • Konfigurieren Sie die Site-Liste im Unternehmensmodus - Geben Sie den UNC-Pfad zur Datei SiteList.xml an, die die Liste der vertrauenswürdigen Sites enthält.

    Erfahren Sie, wie Sie den Internet Explorer (IE)-Kompatibilitätsmodus in Microsoft Edge konfigurieren.

Mögliche Fehler:

  • In unserem Fall funktionierte RDP SSO nicht mehr auf einer RDS-Farm mit User Profile Disks-Profilen, nachdem im Herbst 2022 die Sicherheitsupdates KB5018410 (Windows 10) oder KB5018418 (Windows 11) installiert wurden. Um das Problem zu lösen, bearbeiten Sie die *.rdp-Verbindungsdatei und ändern Sie sie die folgende Zeile:

    use redirection server name:i:1

  • Wenn Sie den SSL-Fingerabdruck des RDCB-Zertifikats nicht zu den vertrauenswürdigen RDP-Herausgebern hinzugefügt haben, wird beim Versuch, eine Verbindung herzustellen, eine Warnung angezeigt:

    Do you trust the publisher of this RemoteApp program?

  • An authentication error has occured (Code: 0x607)

    Überprüfen Sie, ob Sie den RDS-Rollen das richtige Zertifikat zugewiesen haben.

Verwandte Artikel