Настройка двухфакторной аутентификации RdWeb

Общая информация

В статье описывается настройка RdWeb для включения двухфакторной аутентификации при подключении удаленного рабочего стола.

Возможные способы аутентификации:

• Мобильное приложение Multifactor
• Telegram
• Биометрия
• Аппаратные OTP токены
• Приложения OTP: Google Authenticator или Яндекс.Ключ
• СМС

 

Схема работы

1. Пользователь открывает RdWeb;
2. RdWeb запрашивает первый фактор аутентификации: логин и пароль, проверяет корректность указанных данных и создает пользовательскую сессию;
3. Компонент Multifactor.IIS.Adapter проверяет, что сессия авторизована и переадресовывает пользователя на второй фактор аутентификации;
4. После успешного прохождения второго фактора, пользователь возвращается на RdWeb и продолжает работу.

Для настройки второго фактора аутентификации вам потребуется установить и настроить на сервере Exchange компонент Multifactor.IIS.Adapter. Компонент разработан и поддерживается компанией MULTIFACTOR, распространяется бесплатно вместе с исходным кодом. Актуальная версия находится на GitHub: код и сборка (архив Multifactor.IIS.Adapter.zip).

Лицензия

Обратите внимание на лицензию. Она не дает вам право вносить изменения в исходный код Компонента и создавать производные продукты на его основе. Исходный код предоставляется в ознакомительных целях.

Требования для установки

1. Компоненту необходим доступ к хосту api.multifactor.ru по TCP порту 443 (TLS) напрямую или через HTTP прокси;
2. На сервере должно быть установлено правильное время.

Важно

html5 закрыть нет возможности.

Настройка MULTIFACTOR

В системе управления MULTIFACTOR добавьте новый ресурс Веб-сайт, после чего Вам будут доступны ключи API Key и API Secret. Используйте формат токена доступа JwtHS256.

Настройка RdWeb

1. Скопируйте файл Bin\MultiFactor.IIS.Adapter.dll в директорию:
   C:\Windows\Web\RDWeb\Pages\Bin
   
2. Скопируйте файл mfa.aspx в директорию:
   C:\Windows\Web\RDWeb\Pages\
3. Сделав, резервную копию, отредактируйте файл C:\Windows\Web\RDWeb\Pages\web.config:

В раздел <modules> первой строкой добавьте компонент:

<add type="MultiFactor.IIS.Adapter.Owa.Module, MultiFactor.IIS.Adapter" name="MFA" />

В раздел <appSettings> добавьте параметры компонента:

<add key="multifactor:api-url" value="https://api.multifactor.ru" />
<add key="multifactor:api-key" value="API Key из настроек Мультифактора" />
<add key="multifactor:api-secret" value="API Secret из настроек Мультифактора" />

Сохраните и закройте.

Для избирательного запроса второго фактора на основе принадлежности к группе Active Directory, добавьте в конфигурацию параметры:

<add key="multifactor:active-directory-2fa-group" value="RDweb-2fa" />
<add key="multifactor:active-directory-2fa-group-membership-cache-timeout" value="15"/>

Где:

• active-directory-2fa-group — название группы в AD, у которой требуется запрашивать второй фактор. Группа может быть вложенной, то есть содержать в себе другие группы;
• directory-2fa-group-membership-cache-timeout — промежуток времени (в минутах), через который обновляется информация о вхождении пользователя в группу. Для оптимизации производительности, значение по-умолчанию составляет 15 минут (но можно поставить 0)

Для работы с API MULTIFACTOR через HTTP Proxy, добавьте в конфигурацию параметр:

<add key="multifactor:api-proxy" value="http://proxy:3128" />

Разрешить ввод логина пользователем в любом формате, но необходимо включить преобразование логина в UserPrincipalName (UPN) при отправке запроса доступа в MULTIFACTOR с помощью следующей настройки:

<add key="multifactor:use-attribute-as-identity" value="userprincipalname" />

Мультидоменность

С версии 1.0.74 адаптер поддерживает работу с несколькими доменами. Их можно перечислить через ;:

<add key="multifactor:active-directory-domain" value="domain1.local;domain2.local" /> 

Защита от сбоев

В случае недоступности (по любой причине) API MULTIFACTOR, адаптер может работать в одном из двух вариантов:

1. Пропускать без второго фактора (по умолчанию)
2. Отказывать в доступе

Для настройки используются следующие параметры:

<!-- true: пропускать, false: запрещать -->
<add key="multifactor:bypass-second-factor-when-api-unreachable" value="true" />
<!--Адаптер запоминает bypass сессию на 15 минут для одного пользователя. Значения 0 или меньше нуля считаются значением по умолчанию -->
<add key="multifactor:api-life-check-interval" value="15" />

Дополнительная информация

• Компонент необходимо установить на все сервера кластера.
• Компонент одинаково хорошо работает с прямым доступом к серверу IIS и через прокси, например, nginx.
• Компонент не влияет на первый фактор аутентификации, а именно проверку логина и пароля пользователя.
• Компонент повторно запрашивает второй фактор через настраиваемый промежуток времени и закрывает оставленные пользователями сессии. Интервал времени настраивается в групповой политике системы управления MULTIFACTOR.
• Для передачи атрибута из Active Directory в качестве логина пользователя используйте данный параметр:

<!-- Использовать указанный атрибут в качестве логина пользователя при проверке второго фактора -->
<add key="multifactor:use-attribute-as-identity" value="mail"/>

Вопросы и ответы

В: Как в качестве логина пользователя передавать UPN в MULTIFACTOR?

О: По умолчанию, логин пользователя передается в MULTIFACTOR в формате samaccountname.

Можно разрешить ввод логина пользователем в любом формате, но включить преобразование логина в UserPrincipalName (UPN) при отправке запроса доступа в MULTIFACTOR с помощью следующей настройки:

<add key="multifactor:use-attribute-as-identity" value="userprincipalname" />

Смотрите также:

• Настройка двухфакторной аутентификации Windows VPN с Routing and Remote Access Service (RRAS)
• Настройка двухфакторной аутентификации Windows Remote Desktop
• Настройка двухфакторной аутентификации Outlook Web Access (OWA)