Habilite la autenticación de inicio de sesión único (SSO) en RDS Windows Server

El inicio de sesión único(SSO) permite que un usuario autenticado (iniciado sesión) acceda a otros servicios de dominio sin tener que volver a autenticarse (volver a ingresar una contraseña) y sin usar credenciales guardadas (incluido RDP). El SSO se puede utilizar al conectarse a servidores (terminales) de Servicios de escritorio remoto. Esto evita que un usuario que inició sesión en una computadora de dominio ingrese su nombre de cuenta y contraseña varias veces en la ventana del cliente RDP cuando se conecta a diferentes hosts RDS o ejecuta RemoteApps publicados.

Este artículo muestra cómo configurar SSO transparente (Inicio de sesión único) para usuarios de servidores RDS que ejecutan Windows Server 2022/2019/2016.

Requisitos del sistema:

• El servidor del agente de conexión y todos los hosts RDS deben ejecutar Windows Server 2012 o posterior;

• Puede usar Windows 11, 10, 8.1 con las ediciones Pro/Enterprise como estaciones de trabajo cliente.

• SSO funciona solo en el entorno del dominio: se deben usar cuentas de usuario de Active Directory, los servidores RDS y las estaciones de trabajo de los usuarios deben unirse al mismo dominio de AD;

• El RDP 8.0 o posterior debe usarse en los clientes RDP;

• SSO funciona solo con autenticación de contraseña (las tarjetas inteligentes no son compatibles);

• La capa de seguridad de RDP en la configuración de conexión debe establecerse en Negociar o SSL (TLS 1.0), y el modo de cifrado en Alto o Cumple con FIPS.

El proceso de configuración del inicio de sesión único consta de los siguientes pasos:

• Debe emitir y asignar un certificado SSL en los servidores RD Gateway, RD Web y RD Connection Broker;

• El SSO web debe estar habilitado en el servidor RDWeb;

• Configurar la política de grupo de delegación de credenciales;

• Agregue la huella digital del certificado RDS a los editores .rdp de confianza mediante GPO.

Habilite la autenticación SSO en el host RDS con Windows Server 2022/2019/2016

Primero, debe emitir y asignar un certificado SSL a su implementación de RDS. El uso mejorado de clave (EKU) del certificado debe contener el identificador de autenticación del servidor. El procedimiento para obtener un certificado SSL para la implementación de RDS no está cubierto. Esto está fuera del alcance de este artículo (usted mismo puede generar un certificado SSL autofirmado, pero tendrá que implementarlo en el certificado de confianza en todos los clientes que usan la política de grupo).

El certificado se asigna en la sección Certificados de las propiedades de Despliegue de RDS.

Luego, en todos los servidores con el rol de acceso web de escritorio remoto, habilite la autenticación de Windows para el directorio IIS RDWeb y deshabilite la autenticación anónima.

Después de haber guardado los cambios, reinicie el IIS:

iisreset /noforce

Si se usa Remote Desktop Gateway, asegúrese de que no se use para conectar clientes internos (la opción Omitir el servidor de puerta de enlace de RD para la dirección local debe estar marcada).

Ahora debe obtener la huella digital del certificado SSL del agente de conexión a Escritorio remoto y agregarlo a la lista de editores de RDP de confianza. Para ello, ejecute el siguiente comando de PowerShell en el host del agente de conexión de RDS:

Get-Childitem CERT:\LocalMachine\My

Copie el valor de la huella digital del certificado y agréguelo a la directiva Especificar huellas digitales SHA1 de certificados que representen a los editores de RDP (Configuración del equipo -> Plantillas administrativas -> Servicios de escritorio de Windows -> Cliente de conexión a Escritorio remoto).

Configurar inicio de sesión único de escritorio remoto en clientes de Windows

El siguiente paso es configurar la política de delegación de credenciales para las computadoras de los usuarios.

1. Abra la Consola de administración de directivas de grupo del dominio (

   gpmc.msc

   );

2. Cree un nuevo GPO de dominio y vincúlelo a una OU con usuarios (computadoras) a los que se les debe permitir usar SSO para acceder al servidor RDS;

3. Habilite la política Permitir credenciales predeterminadas de delegación en Configuración del equipo -> Plantillas administrativas -> Sistema -> Delegación de credenciales

4. Agregue los nombres de los hosts RDS a los que el cliente puede enviar automáticamente las credenciales de usuario para realizar la autenticación SSO. Use el siguiente formato para hosts RDS: TERMSRV/rd.contoso.com (todos los caracteres TERMSRV deben estar en mayúsculas). Si necesita permitir que se envíen credenciales a todos los terminales del dominio (menos seguro), puede usar esta construcción:

   TERMSRV/*.contoso.com

   

Luego, para evitar que una ventana advierta que el editor de la aplicación remota no es de confianza, agregue la dirección del servidor que ejecuta el rol de Agente de conexión de Escritorio remoto a la zona de confianza en las computadoras cliente mediante la política "Lista de asignación de sitio a zona" (similar al artículo Cómo deshabilitar la advertencia de seguridad de Open File en Windows 10):

1. Vaya a la sección GPO Configuración de usuario/equipo -> Herramientas administrativas -> Componentes de Windows -> Internet Explorer -> Panel de control de Internet -> Página de seguridad.

2. Habilite la política Lista de asignación de sitio a zona

3. Especifique el FQDN del nombre de host del Agente de conexión a Escritorio remoto y configure la Zona 2 (Sitios de confianza).

A continuación, debe habilitar la política Opciones de inicio de sesión en Configuración de usuario/equipo -> Herramientas administrativas -> Componentes de Windows -> Internet Explorer -> Panel de control de Internet -> Seguridad -> Zona de sitios de confianza. Seleccione 'Inicio de sesión automático con nombre de usuario y contraseña actuales' en la lista desplegable.

A continuación, vaya a Configuración del equipo -> Políticas -> Plantillas administrativas ->Componentes de Windows ->Servicios de escritorio remoto ->Cliente de conexión de escritorio remoto y deshabilite la política Solicitar credenciales en el equipo cliente.

Después de actualizar la configuración de la directiva de grupo en el cliente, abra el cliente mstsc.exe (Conexión de escritorio remoto) y especifique el FQDN del host RDS. El campo UserName muestra automáticamente su nombre en el formato

user@domain.com

Your Windows logon credentials will be used to connect.

Ahora, cuando inicie una aplicación remota o se conecte directamente a un host de servicios de escritorio remoto, no se le pedirá su contraseña.

Para usar RD Gateway con SSO, habilite la directiva Establecer método de autenticación de RD Gateway Configuración de usuario -> Políticas -> Plantillas administrativas -> Componentes de Windows -> Servicios de escritorio remoto -> RD Gateway) y establezca su valor en Usar credenciales de inicio de sesión local.

Para usar Web SSO en RD Web Access, tenga en cuenta que se recomienda usar Internet Explorer con el componente Active X habilitado denominado Microsoft Remote Desktop Services Web Access Control (MsRdpClientShell, MsRdpWebAccess.dll).

En las versiones modernas de Windows, Internet Explorer está deshabilitado de manera predeterminada y deberá usar Microsoft Edge en su lugar. Debe abrir esta URL en Microsoft Edge en modo de compatibilidad para usar RD Web con SSO (Edge no ejecutará componentes Active-X sin modo de compatibilidad).

Para que todas las computadoras cliente puedan abrir RDWeb en modo de compatibilidad, deberá instalar el GPO de plantillas administrativas de MS Edge y configurar los ajustes de política en Configuración de la computadora -> Plantillas administrativas -> Microsoft:

• Configurar integraciones de Internet Explorer=Modo Internet Explorer;

• Configurar la lista de sitios del modo de empresa: especifique la ruta UNC al archivo SiteList.xml que contiene la lista de sitios de confianza.

  Descubra cómo configurar el modo de compatibilidad de Internet Explorer (IE) en Microsoft Edge.

Posibles errores:

• En nuestro caso, RDP SSO dejó de funcionar en una granja RDS con perfiles de discos de perfil de usuario después de instalar las actualizaciones de seguridad KB5018410 (Windows 10) o KB5018418 (Windows 11) en otoño de 2022. Para resolver el problema, edite el archivo de conexión *.rdp y cambie la siguiente línea:

  use redirection server name:i:1

  

• Si no ha agregado la huella digital SSL del certificado RDCB a los editores RDP de confianza, aparecerá una advertencia al intentar conectarse:

  Do you trust the publisher of this RemoteApp program?

  

• An authentication error has occured (Code: 0x607)

  Compruebe que ha asignado el certificado correcto a los roles de RDS.