Authentification multi facteurs avec Azure Multi-Factor Authentication – partie 3 : Windows Server 2012 R2 – Remote Desktop Gateway

Continuons notre série d’articles décrivant la mise en place de la solution Azure Multi-Factor Authentication pour déployer une authentification d’entreprise multi facteur. 

Pour rappel, cet article fait partie d’une série :

  1. Introduction à Windows Azure Multi-Factor Authentication
  2. Installation et paramétrage du serveur Windows Azure Multi Factor Authentication
  3. Installation et paramétrage de Remote Desktop Gateway (vous êtes ici)
  4. Installation et paramétrage du portail utilisateur
  5. Installation et paramétrage pour l’application mobile
  6. Installation et paramétrage pour ADFS

Nous avons précédemment déployé un serveur d’authentification WAMFA (acronyme pas forcément officiel). Intéressons nous maintenant à la protection d’une connexion à un serveur Remote Desktop Session Host via la passerelle Remote Desktop Gateway.

Mise en œuvre de l’authentification multi facteur pour Remote Desktop Gateway

L’environnement d’évaluation que nous allons mettre en place est le suivant :

  • DUB-SRV1 : serveur Remote Desktop Session Host qui héberge la session Remote Desktop que nous souhaitons protéger
  • DUB-SRV2 : serveur Remote Desktop Gateway : permet d’accéder à un serveur Remote Desktop Session Host ou d’administration à distance, en encapsulant le protocole RDP dans HTTPS. Ce composant effectue également le contrôle d’accès et l’authentification des utilisateurs (en contactant l’AD)
  • DUB-SRV4 : serveur Azure Multi Factor Authentification : autorise l’accès à l’application. Celui-ci a été configuré de manière basique dans l’article 2 de cette série.

topolab_thumb4_thumb

Notons quelques points importants de cette topologie :  

  • Le service RDG (situé sur DUB-SRV2) redirige ses demandes d’authentification au serveur MFA (DUB-SRV4).
  • Une fois son travail effectué le serveur MFA renvoi les paquets au serveur NPS (installé par défaut) sur DUB-SRV2
  • le serveur MFA doit être configuré en tant que proxy pour l’authentification. Cela veut dire que pour les déploiements d’entreprise il faudra prévoir une ferme de serveurs MFA en frontal de la ferme RADIUS (NPS) d’entreprise.
  • le protocole utilisé pour échanger des messages entre le serveur NPS et le serveur MFA est RADIUS.

Le fonctionnement de la boucle d’authentification est le suivant :

  1. Le composant Remote Desktop Gateway (RDG) reçoit une demande d’authentification d’un utilisateur.
  2. Le composant RDG transmet la requête d’authentification au serveur MFA (via son composant NPS, et une règle de forwarding de la demande d’authentification).
  3. Le serveur MFA procède à l’authentification (accès autorisé ou pas selon la réponse à la demande d’authentification téléphonique)
  4. Le serveur MFA envoi la réponse (oui/non) au serveur NPS (ici situé également sur la machine RDG)
  5. Le serveur NPS évalue les critère de la demande envoyé par le serveur MFA et envoi une autorisation de connexion selon les règles configurées localement.
  6. L’utilisateur est connecté à sa session Remote Desktop Connection Session Host sur DUB-SRV1.            

1. Paramétrage de Remote Desktop Gateway pour l’authentification multi-facteur

L’intégration avec Remote Desktop Gateway s’effectue en utilisant le serveur RADIUS embarqué par le serveur MFA en mode proxy, il nous faut pour cela, nous connecter sur DUB-SRV2 et spécifier dans l’interface de gestion Remote Desktop Gateway que nous utiliserons un serveur centralisé :

rdg1

Nous spécifions alors l’adresses IP du serveur MFA, ici l’adresse IP de DUB-SRV4, soit 10.0.1.4 et spécifions également une clé partagée, notons la car nous devrons spécifier la même à l’étape suivante : configuration du serveur MFA pour RADIUS.

rdg2

2. Configuration du serveur RADIUS de MFA

Pour cette étape, connectons nous sur DUB-SRV4 et configurons le rôle serveur RADIUS, cochons le cache “Enable RADIUS Authentication”

radius1

Ajoutons notre serveur DUB-SRV2 en tant que client RADIUS en spécifiant son adresse IP ainsi que la clé partagée que nous avons définis à l’étape précédente :

radius2

radius2b

Cliquons ensuite sur l’onglet Target et spécifions également DUB-SRV2 en tant que serveur RADIUS vers lequel nous renverrons les paquets une fois l’authentification MFA effectuée.

radius3

Cela peut sembler bizarre de spécifier le serveur DUB-SRV2 à la fois comme client ET serveur RADIUS, mais cela n’est nécessaire dans notre environnement que parce que nous utilisons le serveur DUB-SRV2 pour effectuer l’authentification NPS une fois le travail fait par MFA. 

Dans un déploiement d’entreprise, on spécifiera dans la partie serveur RADIUS (target) une ferme de serveurs RADIUS centralisés, qui fera l’authentification sur le domaine.

3. Configuration du serveur NPS

La configuration du serveur NPS sur le serveur DUB-SRV1 est un peu spéciale :

A l’étape 1 de cet article, nous avons spécifié un transfert automatique des demandes d’authentification vers le serveur MFA (DUB-SRV4) dans la console Remote Desktop Gateway. Cela a eu pour conséquence de modifier la règle par défaut sur le composant NPS installé localement.

Nous allons ajouter ensuite rajouter une règle qui permettra de traiter les authentifications une fois que le serveur MFA a effectué son travail.

3.1 Extension du délai d’authentification

Dans un premier temps vérifions et modifions les règles d’authentification initiale (lorsque la demande d’authentification passe du serveur RDG au serveur MFA):

Observons la règle par défaut :

rdg3 

On a bien comme serveur distant le serveur 10.0.1.6 soit le serveur MFA.

rdg4

Comme l’authentification par téléphone peut prendre un peu de temps, nous devons étendre le délais de réponse du serveur MFA, pour cela prenons l’onglet ”Load Balancing” et modifions la valeur à 60 secondes pour cet environnement de test.

rdg6

Une fois cette opération effectué nous continuons en spécifiant le serveur MFA comme client RADIUS et une règle de traitement spécifique.

3.2 Ajout du client RADIUS

Dans la console principale de NPS, on sélectionne la partie RADIUS client et on fait un click droit pour ajouter un nouveau client RADIUS :

rdg7

On spécifie ici le serveur MFA ainsi que la clé partagée que nous avons défini dans la partie Target du serveur MFA, ceci afin que le serveur NPS local accepte les requêtes renvoyées par le serveur MFA.

Donnons un friendly-name à ce client RADIUS et notons le quelque part. C’est très important car nous utiliserons cet attribut dans une règle NPS pour filtrer les requêtes et appliquer un traitement spécifique.

3.3 Création d’une règle d’authentification locale

On ouvre la console NPS et on se dirige dans la section Policies. On édite alors la Connection Request Policy. Cette section est utilisée pour faire un filtrage des requêtes basé sur divers critères et déterminer si l’on procède à l'authentification en local ou si on la renvoi à un autre serveur.

On va créer une règle d’authentification basée sur la règle par défaut (TS Gateway Authorization Policy) en ajoutant comme critère que cette règle s’appliquera aux demandes qui proviennent du serveur MFA (basé sur le friendly-name).

rdg9

On double click sur la règle, modifie son nom pour être un peu plus explicite et on l’active (Policy Enabled).

rdg10

Dans l’onglet Conditions, on click sur Add pour ajouter le Client Friendly Name qui correspond à celui entré à l’étape 3.2 (ici le nom “mfa”);

rdg11

On défini que cette règle sera évaluée localement : dans l’onglet Settings, on prend la partie Authentication et sélectionne “Authenticate requests on the server”.

rdg12

Enfin, comme il s’agit d’une règle spécifique, on la positionne avant la règle générale dans le processing order des règles NPS (click droit sur la règle, Move up) :

processingNPS

Cela devrait bien se passer… testons cela !

4. Vérification du bon fonctionnement de la solution

Il nous reste alors a configurer une session Remote Desktop utilisant notre passerelle.

testcon

Après saisie du mot de passe du domaine et à l’établissement de la connexion, on reçoit un coup de fil, on valide selon les paramètres que l’on a spécifié pour le compte utilisateur (code PIN ou touche #) et la magie devrait opérer ; et ceci à plus forte raison sur un superbe Nokia 1020 comme celui-ci :

testconnect2

Dans un prochain article nous étudierons le provisionning avec le portail WAMFA. Bons tests !

Quelques lectures  :

Remote Desktop Gateway and Windows Multi-Factor Authentication Server using RADIUS – http://technet.microsoft.com/en-us/library/dn394287.aspx 

Technical Scenarios for Windows Azure Multi-Factor Authentication – http://technet.microsoft.com/en-us/library/dn394279.aspx 

Windows Azure Multi-Factor Authentication Release Notes – http://technet.microsoft.com/en-us/library/dn465794.aspx 

Quelques exemples de mise en œuvre de la technologie chez Fredrikson & Byron, http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=710000003252

Pour tester Windows Azure Multi-Factor Authentication, vous pouvez évaluer Azure par ici : https://aka.ms/Azure0Euro

Nos amis Azuréens vous en parleront avec plus de détails dans l’Azure Camp à venir : https://msevents.microsoft.com/CUI/EventDetail.aspx?EventID=1032570149&Culture=fr-FR&community=0 

Pour tester Windows Server 2012 R2, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :

Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :

https://aka.ms/itCampFr

Arnaud – les bons tuyaux

Authentification multi facteurs avec Windows Azure Multi-Factor Authentication – partie 2

Dans un article précédent, nous discutions de la solution Windows Azure Multi-Factor Authentication pour mettre en place une authentification d’entreprise multi facteur. Commençons à mettre en œuvre la solution en déployant notre premier serveur MFA et testant les fonctionnalités de base.

Pour rappel, cet article fait partie d’une série :

  1. Introduction à Windows Azure Multi-Factor Authentication
  2. Installation et paramétrage du serveur Windows Azure Multi Factor Authentication (vous êtes ici)
  3. Installation et paramétrage de Remote Desktop Gateway
  4. Installation et paramétrage du portail utilisateur
  5. Installation et paramétrage pour l’application mobile
  6. Installation et paramétrage pour ADFS

1. Activation du service et téléchargement du serveur MFA

Pour démarrer avec la solution, il faut aller dans le portal Windows Azure (http://manage.windowsazure.com), pour activer l’option Multi Factor Auth Providers. Au passage si vous n’en avez pas, vous pouvez avoir un abonnement gratuit valable un mois ici : https://aka.ms/Azure0Euro

Cela se déroule dans l’ajout de nouvelles fonctionnalités :

activatemfa1_thumb1

On choisi ensuite d’activer le service en le synchronisant avec un annuaire WAAD ou pas (dans notre cas, ce n’est pas nécessaire), mais surtout on choisi le modèle de facturation : par utilisateur activés ou par authentification effectuée. Pour déterminer l’option qui correspond à votre besoin, les tarifs sont disponibles ici : http://www.windowsazure.com/fr-fr/pricing/details/multi-factor-authentication/

activatemfa2_thumb1

Un fois le service activé, on va alors sélectionner l’option Manage en bas à droite, qui nous redirigera vers le portail d’administration. Allons directement à la section téléchargement et récupérons la version 6.1 qui supporte Windows Server 2012 R2.

dl2_thumb2

Une fois le téléchargement effectué, on doit activer le serveur en cliquant sur “Generate Activation Credentials”. On utilisera ces informations dans l’étape suivante.

activatemfa3_thumb1

2. Installation du serveur d’authentification

On procède ensuite à l’installation du serveur d’authentification sur note machine dédiée, DUB-SRV4.

Dans un premier temps on doit passer par l’installation des prérequis : les composants .NET 2.0 sur le serveur, ce qui nécessite un accès au média d’installation et de spécifier le chemin alternatif (sources\SXS).

On peut ensuite procéder à l’installation des binaires téléchargées à l’étape précédente.

mfasplash_thumb1

On passe l’assistant, parce qu’on est des durs.

setup1_thumb

On active le serveur avec les identifiants fournis par le portail à l’étape précédente :

setup2_thumb

On crée un groupe de serveurs :

setup3_thumb

Et activons le mode multi-serveur pour la gestion d’entreprise :

setup4_thumb

Sélection des modes d’authentification de la réplication :

3. Paramétrage du serveur d’authentification MFA

3.1 Ajout des utilisateurs

Nous allons importer des utilisateurs de l’Active Directory de notre environnement dans le serveur MFA. Ceci pourra être synchronisé automatiquement, nous verrons cela plus tard.

Choisissons Import from Active Directory :

Dans la partie Search, ajoutons un utilisateur :

Une fois ajouté, nous allons pouvoir éditer le numéro de téléphone de cet utilisateur si le champ correspondant dans l’AD n’avait pas déjà été renseigné.

On remarquera que c’est dans cet écran que l’on sélectionne également la méthode d’authentification retenue pour l’utilisateur : appel téléphonique (avec ou sans code PIN), SMS (avec ou sans code PIN), ou application (avec ou sans code PIN) mobile.

La partie Advanced permet de spécifier les paramètres de type langage (vos utilisateurs n’apprécieront pas forcément les appels ou SMS en anglais !).

config5

Une fois ces paramètres validés, testons la méthode retenue depuis la console principale en sélectionnant le bouton Test :

adduser4_thumb

On est alors appelé au numéro spécifié et confirmons la demande avec la touche #

adduser5_thumb

testauth

Une fois l’authentification confirmée, on peut passer à la suite de la configuration pour différentes applications… nous le ferons pour les accès Remote Desktop Gateway dans le prochain article !

En attendant, quelques lectures  :

Technical Scenarios for Windows Azure Multi-Factor Authentication – http://technet.microsoft.com/en-us/library/dn394279.aspx 

Windows Azure Multi-Factor Authentication Release Notes – http://technet.microsoft.com/en-us/library/dn465794.aspx 

Quelques exemples de mise en œuvre de la technologie chez Fredrikson & Byron, http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=710000003252

Pour tester Windows Azure Multi-Factor Authentication, vous pouvez évaluer Windows Azure par ici : https://aka.ms/Azure0Euro

Pour tester Windows Server 2012 R2, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :

Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :

https://aka.ms/itCampFr

Arnaud – les bons tuyaux

Authentification multi facteurs avec Windows Azure Multi-Factor Authentication – partie 1

Microsoft a racheté il y a quelques mois la société PhoneFactor, et son service d’authentification a été intégré au sein de nos solutions en tant que Windows Azure Multi-Factor Authentication (pour les plus assidus, il s’est aussi appelé Windows Azure Active Authentication durant quelques semaines).

Restons simples : Il s’agit ici d’offrir à nos clients un service d’authentification multi facteur utilisant un système dont nous disposons normalement tous : le téléphone. Lorsqu’un utilisateur va s’authentifier sur des ressources de l’entreprise hébergées sur site ou même dans un cloud, en plus des credentials du domaine, l’utilisateur sera authentifié avec son téléphone.

L’objectif de cette série d’articles est de vous montrer comment mettre en œuvre pas à pas la solution pour protéger l’accès à différents types de ressources.

Nous aurons plusieurs articles dans cette série :

  1. Introduction à Windows Azure Multi-Factor Authentication (vous êtes ici)
  2. Installation et paramétrage du serveur Windows Azure Multi Factor Authentication
  3. Installation et paramétrage de Remote Desktop Gateway
  4. Installation et paramétrage du portail utilisateur
  5. Installation et paramétrage pour l’application mobile
  6. Installation et paramétrage pour ADFS

Méthodes d’authentification utilisables

A l’heure actuelle, les méthodes supportées pour s’authentifier sont :

  • Appel téléphonique automatisé : l’utilisateur doit répondre à l’appel et presser une touche ou un code PIN.
  • Echange de SMS : l’utilisateur reçoit un SMS avec code OTP (one-time password) avec ou sans envoi de code PIN préalable
  • Application sur téléphone ou tablette : une fois le périphérique associé à l’utilisateur, il génèrera un code d’authentification toujours avec la possibilité de saisie d’un code PIN préalable. L’application est présente sur les platerformes principales du marché :

WindowsStore_badge_black_en_small_40x125 google_pla_store_android itunes_en

Lien

Lien

Lien

Applications supportées

MFA permet de sécuriser l’accès à des applications directement dans un service de cloud comme Windows Azure, Office 365 et Dynamics CRM Online ou tout autre service qui s’intègre avec Windows Azure Active Directory.

Pour sécuriser des services dans vos datacenter, c’est aussi un composant serveur qui s’installe dans votre sur Windows Server et permet d’authentifier :

  • connexion Terminal Server
  • accès VPN
  • accès à la messagerie OWA
  • accès à ADFS
  • accès à une application IIS

Enfin c’est également un Software Development Kit pour intégrer la solution à un projet plus personnalisé.

En attendant la suite pour mettre en œuvre la technologie dans un environnement de test, quelques lectures :

Technical Scenarios for Windows Azure Multi-Factor Authentication – http://technet.microsoft.com/en-us/library/dn394279.aspx 

Windows Azure Multi-Factor Authentication Release Notes – http://technet.microsoft.com/en-us/library/dn465794.aspx 

Quelques exemples de mise en œuvre de la technologie chez Fredrikson & Byron, http://www.microsoft.com/casestudies/Case_Study_Detail.aspx?casestudyid=710000003252

Pour tester Windows Azure Multi-Factor Authentication, vous pouvez évaluer Azure par ici : https://aka.ms/Azure0Euro

Pour tester Windows Server 2012 R2, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :

Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :

https://aka.ms/itCampFr

Arnaud – les bons tuyaux

Operations Manager 2012 R2 – Management Packs pour Windows Server 2012 R2

Suite au lancement de Windows Server 2012 R2 et System Center 2012 R2, voici une petite liste des derniers management packs (avec la documentation qui va bien, pour effectuer le tuning correct) et quelques autres régalades liées à Operations Manager 2012 R2 et Windows Server 2012 R2.

A noter, les binaires des MP vont arriver sur le catalogue en ligne d’Operations Manager d’ici très peu, vous pourrez donc les récupérer directement depuis la console Operations Manager si c’est comme cela que vous procédez de manière habituelle.

Management Packs Windows Server

Tous ces MP sont à jour pour Windows Server 2012 R2:

MP URL
Windows Server Core OS http://www.microsoft.com/en-us/download/details.aspx?id=9296
Active Directory Domain Services http://www.microsoft.com/en-us/download/details.aspx?id=21357 
Hyper-V http://www.microsoft.com/en-us/download/details.aspx?id=40798 
Remote Access http://www.microsoft.com/en-us/download/details.aspx?id=40802
Multi-Tenant RemoteAccess http://www.microsoft.com/en-us/download/details.aspx?id=40807
Network Load Balancing http://www.microsoft.com/en-us/download/details.aspx?id=13302
Web Application Proxy http://www.microsoft.com/en-us/download/details.aspx?id=40806
Internet Information Service 8.x http://www.microsoft.com/en-us/download/details.aspx?id=34767
WSUS http://www.microsoft.com/en-us/download/details.aspx?id=40801
Active Directory Certificate Services http://www.microsoft.com/en-us/download/details.aspx?id=34765
Print Server http://www.microsoft.com/en-us/download/details.aspx?id=40804
Windows Deployment Services http://www.microsoft.com/en-us/download/details.aspx?id=40800
Windows Server 2012 R2 Essentials http://www.microsoft.com/en-us/download/details.aspx?id=40809 
Active Directory Lightweight Directory Services (ADLDS) http://www.microsoft.com/en-us/download/details.aspx?id=1451
Windows Server Cluster http://www.microsoft.com/en-us/download/details.aspx?id=2268
Active Directory Rights Management Services http://www.microsoft.com/en-us/download/details.aspx?id=40797
Message Queuing 6.3 http://www.microsoft.com/en-us/download/details.aspx?id=41539
Distributed Transaction Coordinator http://www.microsoft.com/en-us/download/details.aspx?id=41560 

Management Packs System Center 2012 R2

Orchestrator – Service Management Automation http://www.microsoft.com/en-us/download/details.aspx?id=40858
Orchestrator http://www.microsoft.com/en-us/download/details.aspx?id=29269 
Service Manager http://www.microsoft.com/en-us/download/details.aspx?id=41136
Virtual Machine Manager Inclus dans les binaires R2 de VMM
Service Reporting http://www.microsoft.com/en-us/download/details.aspx?id=41135

    

Management Packs Service Provider Foundation (SPF)

Service Provider Foundation (SPF) http://www.microsoft.com/en-us/download/details.aspx?id=40867

Management Packs Windows Azure

Windows Azure http://www.microsoft.com/en-us/download/details.aspx?id=38414 
Windows Azure Pack http://www.microsoft.com/en-us/download/details.aspx?id=40805
Windows Azure Pack: Web Sites http://www.microsoft.com/en-us/download/details.aspx?id=40808 

Autres

Microsoft Dynamics NAV 2013 R2 http://www.microsoft.com/en-us/download/details.aspx?id=36388
Java Application Performance Monitoring http://www.microsoft.com/en-us/download/details.aspx?id=39709

 

Management Pack Authoring Extensions for Visual Studio

http://www.microsoft.com/en-us/download/details.aspx?id=30169 

Technical Documentation Operations Manager 2012 R2

http://www.microsoft.com/en-us/download/details.aspx?id=29256 

Pour débuter en douceur avec System Center

Technical Documentation for Getting Started with System Center 2012 R2- http://www.microsoft.com/en-us/download/details.aspx?id=40814 

Pour tester System Center 2012 R2 :

http://technet.microsoft.com/fr-fr/evalcenter/dn205295

Pour tester Windows Server 2012 R2, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :

Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :

https://aka.ms/itCampFr

*derniers ajouts le 08/01/2014

Arnaud – les bons tuyaux

Nouveautés de System Center Operations Manager 2012 R2

Operations Manager, l’outil de supervision de System Center évolue avec la sortie de la version R2. En 10 minutes, faisons on un tour rapide des nouvelles fonctionnalités avec Stanislas.

En référence :

What’s New in System Center 2012 R2 Operations Manager – http://technet.microsoft.com/en-us/library/dn249700.aspx

Pour tester Windows Server 2012 R2, vous pouvez télécharger gratuitement la version d’évaluation disponible sous la forme :

Et pour System Center 2012 R2 :

Si vous souhaitez découvrir en 4 heures nos technologies telles que Windows Server 2012 R2, Windows 8.1 en entreprise, le Cloud Privé ou Hybride, vous pouvez vous inscrire gratuitement à un de nos IT Camps :

https://aka.ms/itCampFr

Arnaud – les bons tuyaux