सिंगल साइन-ऑन (SSO) क्या है?
सिंगल साइन-ऑन (SSO) वह तकनीक है जो एक प्रमाणित (साइन-ऑन) उपयोगकर्ता को पुनः प्रमाणीकरण के बिना अन्य डोमेन सेवाओं तक पहुंचने की अनुमति देती है। रिमोट डेस्कटॉप सर्विस पर लागू करने पर, SSO एक डोमेन कंप्यूटर पर लॉग ऑन उपयोगकर्ता को RDS सर्वर से कनेक्ट करते समय या पब्लिश्ड RemoteApps लॉन्च करते समय खाता क्रेडेंशियल्स (उपयोगकर्ता नाम और पासवर्ड) फिर से दर्ज नहीं करने देता।
इस लेख में, हम विंडोज सर्वर 2016 और 2012 R2 चलाने वाले RDS सर्वर पर ट्रांसपेरेंट SSO (सिंगल साइन-ऑन) ऑथेंटिकेशन कॉन्फ़िगर करने की विशेषताओं का वर्णन करेंगे।
सिस्टम आवश्यकताएं:
- कनेक्शन ब्रोकर सर्वर और सभी RDS सर्वर विंडोज सर्वर 2012 या बाद के संस्करण चल रहे होने चाहिए;
- SSO केवल डोमेन वातावरण में काम करता है: एक्टिव डायरेक्टरी उपयोगकर्ता खातों का उपयोग किया जाना चाहिए, RDS सर्वर और उपयोगकर्ता के वर्कस्टेशन AD डोमेन में शामिल होने चाहिए;
- RDP क्लाइंट पर RDP 8.0 या बाद का संस्करण उपयोग किया जाना चाहिए (इस संस्करण के RDP क्लाइंट को विंडोज XP में इंस्टॉल करना संभव नहीं होगा);
- RDP-क्लाइंट साइड पर निम्न OS संस्करण समर्थित हैं: विंडोज 10, 8.1 या 7;
- SSO केवल पासवर्ड ऑथेंटिकेशन के साथ काम करता है (स्मार्ट कार्ड समर्थित नहीं हैं);
- कनेक्शन सेटिंग्स में RDP सिक्योरिटी लेयर को नेगोशिएट या SSL (TLS 1.0) पर सेट किया जाना चाहिए, और एन्क्रिप्शन मोड हाई या FIPS कंप्लायंट होना चाहिए।
सिंगल साइन-ऑन कॉन्फ़िगरेशन की प्रक्रिया में निम्नलिखित चरण शामिल हैं:
- RD गेटवे, RD वेब, और RD कनेक्शन ब्रोकर सर्वर पर SSL सर्टिफिकेट जारी और असाइन करना;
- RDWeb सर्वर पर वेब SSO सक्षम करना;
- क्रेडेंशियल डेलिगेशन के लिए ग्रुप पॉलिसी कॉन्फ़िगर करना;
- GPO का उपयोग करके विश्वसनीय .rdp पब्लिशर में सर्टिफिकेट थंबप्रिंट जोड़ना।
SSL सर्टिफिकेट जारी करना और असाइन करना
सबसे पहले, आपको SSL सर्टिफिकेट जारी और असाइन करना होगा। सर्टिफिकेट के EKU (एनहांस्ड की यूसेज) प्रॉपर्टी में सर्वर ऑथेंटिकेशन पहचानकर्ता मौजूद होना चाहिए। हम SSL सर्टिफिकेट प्राप्त करने की प्रक्रिया का वर्णन नहीं करेंगे क्योंकि यह इस लेख के दायरे से बाहर है (आप स्वयं एक सेल्फ-साइन SSL सर्टिफिकेट जनरेट कर सकते हैं, लेकिन आपको इसे ग्रुप पॉलिसी का उपयोग करके सभी क्लाइंट पर विश्वसनीय सर्टिफिकेट के रूप में डिप्लॉय करना होगा)।
सर्टिफिकेट RDS डिप्लॉयमेंट प्रॉपर्टीज के सर्टिफिकेट सेक्शन में असाइन किया जाता है।
फिर आपको IIS RDWeb डायरेक्टरी के लिए सभी वेब एक्सेस भूमिका वाले सर्वर पर "विंडोज ऑथेंटिकेशन" सक्षम करना होगा और "एनोनिमस ऑथेंटिकेशन" अक्षम करना होगा।
परिवर्तन सहेजने के बाद, IIS को पुनः आरंभ करें:
iisreset /noforce
यदि आप RD गेटवे का उपयोग कर रहे हैं, तो सुनिश्चित करें कि इसका उपयोग आंतरिक क्लाइंट के कनेक्शन के लिए नहीं किया जाता है (लोकल एड्रेस के लिए RD गेटवे सर्वर को बायपास करें विकल्प चेक होना चाहिए)।
क्रेडेंशियल डेलिगेशन पॉलिसी कॉन्फ़िगर करना
अगला चरण क्रेडेंशियल डेलिगेशन पॉलिसी को कॉन्फ़िगर करना है। एक नया डोमेन GPO बनाएं और इसे उन उपयोगकर्ताओं (कंप्यूटर) वाले OU से लिंक करें जिन्हें RDS सर्वर पर SSO एक्सेस की अनुमति देनी है। यदि आप सभी डोमेन उपयोगकर्ताओं के लिए SSO अनुमति देना चाहते हैं, तो डिफ़ॉल्ट डोमेन पॉलिसी को एडिट करना स्वीकार्य है।
यह पॉलिसी निम्नलिखित GPO सेक्शन में स्थित है: कंप्यूटर कॉन्फ़िगरेशन -> पॉलिसीज -> एडमिनिस्ट्रेटिव टेम्पलेट्स -> सिस्टम -> क्रेडेंशियल डेलिगेशन -> डेलिगेशन डिफॉल्ट क्रेडेंशियल की अनुमति दें. यह पॉलिसी कुछ सर्वरों को विंडोज उपयोगकर्ताओं के क्रेडेंशियल्स तक पहुंचने की अनुमति देती है ताकि SSO ऑथेंटिकेशन किया जा सके:
- पॉलिसी को सक्षम किया जाना चाहिए (इनेबल्ड);
- आपको उन RDS सर्वरों के नामों को सर्वर की सूची में जोड़ना होगा जिन पर क्लाइंट SSO ऑथेंटिकेशन करने के लिए उपयोगकर्ता क्रेडेंशियल्स को स्वचालित रूप से भेज सकता है। सर्वर जोड़ने का प्रारूप इस प्रकार है: TERMSRV/rd.contoso.com (ध्यान दें कि सभी TERMSRV कैरेक्टर बड़े अक्षरों में होने चाहिए)। यदि आपको डोमेन में सभी टर्मिनल सर्वर को यह अनुमति देनी है (कम सुरक्षित), तो आप इस निर्माण का उपयोग कर सकते हैं: TERMSRV/*.contoso.com।
फिर, रिमोट एप्लिकेशन पब्लिशर के अविश्वसनीय होने की चेतावनी विंडो को प्रकट होने से रोकने के लिए, कनेक्शन ब्रोकर भूमिका वाले सर्वर के एड्रेस को क्लाइंट कंप्यूटर पर विश्वसनीय जोन में "साइट टू जोन असाइनमेंट लिस्ट" पॉलिसी का उपयोग करके जोड़ें (विंडोज 10 पर ओपन फाइल सिक्योरिटी वार्निंग को अक्षम करने के लेख के समान): यूजर/कंप्यूटर कॉन्फ़िगरेशन -> एडमिनिस्ट्रेटिव टूल्स -> विंडोज कंपोनेंट्स -> इंटरनेट एक्सप्लोरर -> इंटरनेट कंट्रोल पैनल -> सिक्योरिटी पेज।
FQDN सर्वर नाम RDCB और जोन 2 (विश्वसनीय साइट्स) निर्दिष्ट करें।
फिर लॉगऑन ऑप्शन पॉलिसी को यूजर/कंप्यूटर कॉन्फ़िगरेशन -> एडमिनिस्ट्रेटिव टूल्स -> विंडोज कंपोनेंट्स -> इंटरनेट एक्सप्लोरर -> इंटरनेट कंट्रोल पैनल -> सिक्योरिटी -> विश्वसनीय साइट्स जोन में सक्षम करें और ड्रॉपडाउन सूची में "वर्तमान उपयोगकर्ता नाम और पासवर्ड के साथ स्वचालित लॉगऑन" चुनें।
क्लाइंट पर ग्रुप पॉलिसी अपडेट करने के बाद, यदि आप RemoteApp शुरू करने का प्रयास करते हैं, तो पासवर्ड प्रॉम्प्ट प्रकट नहीं होगा, लेकिन एक चेतावनी विंडो दिखाई देगी:
Do you trust the publisher of this RemoteApp program?
इस संदेश को हर बार उपयोगकर्ता लॉगऑन पर प्रदर्शित होने से रोकने के लिए, आपको RD कनेक्शन ब्रोकर पर SSL सर्टिफिकेट थंबप्रिंट प्राप्त करना होगा और इसे विश्वसनीय rdp पब्लिशर की सूची में जोड़ना होगा। ऐसा करने के लिए, RDS कनेक्शन ब्रोकर सर्वर पर पावरशेल कमांड चलाएं:
Get-Childitem CERT:\LocalMachine\My
सर्टिफिकेट थंबप्रिंट का मान कॉपी करें और इसे RDP पब्लिशर का प्रतिनिधित्व करने वाले सर्टिफिकेट के SHA1 थंबप्रिंट निर्दिष्ट करें पॉलिसी (कंप्यूटर कॉन्फ़िगरेशन -> एडमिनिस्ट्रेटिव टेम्पलेट्स -> विंडोज डेस्कटॉप सर्विसेज -> रिमोट डेस्कटॉप कनेक्शन क्लाइंट) में थंबप्रिंट की सूची में जोड़ें।
अब SSO कॉन्फ़िगरेशन समाप्त हो गया है, और पॉलिसी लागू होने के बाद, उपयोगकर्ता पासवर्ड फिर से दर्ज किए बिना RDP का उपयोग करके विंडोज सर्वर RDS फार्म से कनेक्ट कर सकता है।
अब, जब आप mstsc.exe (रिमोट डेस्कटॉप कनेक्शन क्लाइंट) शुरू करते हैं और RDS सर्वर का नाम निर्दिष्ट करते हैं, तो UserName फील्ड स्वचालित रूप से प्रारूप में उपयोगकर्ता नाम प्रदर्शित करेगा (user@domain.com) कैप्शन के साथ:
Your Windows logon credentials will be used to connect.
SSO के साथ RD गेटवे का उपयोग करने के लिए, आपको पॉलिसी "RD गेटवे ऑथेंटिकेशन मेथड सेट करें" सक्षम करनी होगी (यूजर कॉन्फ़िगरेशन -> पॉलिसीज -> एडमिनिस्ट्रेटिव टेम्पलेट्स -> विंडोज कंपोनेंट्स -> रिमोट डेस्कटॉप सर्विसेज -> RD गेटवे) और इसका मान "लोकली लॉग्ड-ऑन क्रेडेंशियल्स का उपयोग करें" सेट करना होगा।
RD वेब एक्सेस पर वेब SSO का उपयोग करने के लिए, कृपया ध्यान दें कि इंटरनेट एक्सप्लोरर का उपयोग करना उचित है जिसमें एक्टिव X कंपोनेंट Microsoft Remote Desktop Services Web Access Control (MsRdpClientShell) सक्षम हो।
