Erzwingen Microsoft Entra mehrstufiger Authentifizierung für Azure Virtual Desktop mithilfe des bedingten Zugriffs

Benutzer können sich über verschiedene Geräte und Clients von überall aus bei Azure Virtual Desktop anmelden. Es gibt jedoch bestimmte Maßnahmen, die Sie ergreifen sollten, um Ihre Umgebung und Ihre Benutzer zu schützen. Die Verwendung Microsoft Entra mehrstufigen Authentifizierung (Multi-Factor Authentication, MFA) mit Azure Virtual Desktop fordert Benutzer während des Anmeldevorgangs auf, zusätzlich zu ihrem Benutzernamen und Kennwort eine andere Form der Identifizierung anzugeben. Sie können MFA für Azure Virtual Desktop mithilfe des bedingten Zugriffs erzwingen und auch konfigurieren, ob sie für den Webclient, mobile Apps, Desktopclients oder alle Clients gilt.

Wenn ein Benutzer eine Verbindung mit einer Remotesitzung herstellt, muss er sich beim Azure Virtual Desktop-Dienst und dem Sitzungshost authentifizieren. Wenn MFA aktiviert ist, wird sie beim Herstellen einer Verbindung mit dem Azure Virtual Desktop-Dienst verwendet, und der Benutzer wird zur Eingabe seines Benutzerkontos und einer zweiten Authentifizierungsform aufgefordert, genauso wie beim Zugriff auf andere Dienste. Wenn ein Benutzer eine Remotesitzung startet, sind ein Benutzername und ein Kennwort für den Sitzungshost erforderlich. Dies ist jedoch nahtlos für den Benutzer, wenn einmaliges Anmelden (Single Sign-On, SSO) aktiviert ist. Weitere Informationen finden Sie unter Authentifizierungsmethoden.

Wie oft ein Benutzer zur erneuten Authentifizierung aufgefordert wird, hängt von Microsoft Entra adaptiven Sitzungsdauerrichtlinien für bedingten Zugriff ab. Das Speichern von Anmeldeinformationen ist zwar praktisch, kann aber auch dazu führen, dass Bereitstellungen mit persönlichen Geräten weniger sicher sind. Zum Schutz Ihrer Benutzer können Sie sicherstellen, dass der Client häufiger nach Microsoft Entra Anmeldeinformationen für die mehrstufige Authentifizierung fragt. Sie können die Anmeldehäufigkeit für bedingten Zugriff verwenden, um dieses Verhalten zu konfigurieren.

In den folgenden Abschnitten erfahren Sie, wie Sie MFA für Azure Virtual Desktop erzwingen und optional die Anmeldehäufigkeit konfigurieren.

Voraussetzungen

Für die ersten Schritte benötigen Sie Folgendes:

• Weisen Sie Benutzern eine Lizenz zu, die Microsoft Entra ID P1 oder P2 enthält.
• Eine Microsoft Entra Gruppe mit Ihren Azure Virtual Desktop-Benutzern, die als Gruppenmitglieder zugewiesen sind.
• Aktivieren Sie Microsoft Entra mehrstufige Authentifizierung.

Erstellen einer Richtlinie für bedingten Zugriff

Hier erfahren Sie, wie Sie eine Richtlinie für bedingten Zugriff erstellen, die beim Herstellen einer Verbindung mit Azure Virtual Desktop eine mehrstufige Authentifizierung erfordert:

1. Melden Sie sich beim Microsoft Entra Admin Center mindestens als Administrator für bedingten Zugriff an.

2. Navigieren Sie zu Schutz>von Richtlinien für bedingten Zugriff>.

3. Wählen Sie Neue Richtlinie aus.

4. Benennen Sie Ihre Richtlinie. Es wird empfohlen, dass Organisationen einen aussagekräftigen Standard für die Namen ihrer Richtlinien erstellen.

5. Wählen Sie unter Zuweisungen>Benutzer die Option 0 Benutzer und Gruppen ausgewählt aus.

6. Wählen Sie auf der Registerkarte Einschließen die Option Benutzer und Gruppen auswählen aus, aktivieren Sie Benutzer und Gruppen, und wählen Sie dann unter Auswählendie Option 0 Benutzer und Gruppen ausgewählt aus.

7. Suchen Sie im neuen Bereich, der geöffnet wird, nach der Gruppe, die Ihre Azure Virtual Desktop-Benutzer als Gruppenmitglieder enthält, und wählen Sie sie aus, und wählen Sie dann Auswählen aus.

8. Wählen Sie unter Zuweisungen>Zielressourcendie Option Keine Zielressourcen ausgewählt aus.

9. Behalten Sie für die Dropdownliste Wählen Sie aus, wofür diese Richtlinie gilt die Standardeinstellung Ressourcen (früher Cloud-Apps) bei. Wählen Sie auf der Registerkarte Einschließen die Option Ressourcen auswählen und dann unter Auswählen die Option Keine aus.

10. Suchen Sie im neuen Bereich, der geöffnet wird, nach den erforderlichen Apps, und wählen Sie sie basierend auf den Ressourcen aus, die Sie schützen möchten. Wählen Sie die relevante Registerkarte für Ihr Szenario aus. Wenn Sie auf Azure nach einem Anwendungsnamen suchen, verwenden Sie Suchbegriffe, die mit dem Anwendungsnamen beginnen, anstelle von Schlüsselwörtern, die in der Reihenfolge des Anwendungsnamens enthalten sind. Wenn Sie beispielsweise Azure Virtual Desktop verwenden möchten, müssen Sie "Azure Virtual" in dieser Reihenfolge eingeben. Wenn Sie selbst "virtual" eingeben, gibt die Suche nicht die gewünschte Anwendung zurück.

    • Azure Virtual Desktop
    • Azure Virtual Desktop (klassisch)

    Für Azure Virtual Desktop (basierend auf Azure Resource Manager) können Sie MFA für die folgenden verschiedenen Apps konfigurieren:

    • Azure Virtual Desktop (App-ID9cdead84-a844-4324-93f2-b2e6bb768d07), die gilt, wenn der Benutzer Azure Virtual Desktop abonniert, sich während einer Verbindung beim Azure Virtual Desktop Gateway authentifiziert und Diagnose Informationen vom lokalen Gerät des Benutzers an den Dienst gesendet wird.

      Tipp

      Der App-Name lautete zuvor Windows Virtual Desktop. Wenn Sie den Ressourcenanbieter Microsoft.DesktopVirtualization registriert haben, bevor der Anzeigename geändert wurde, erhält die Anwendung den Namen Windows Virtual Desktop mit der gleichen App-ID wie Azure Virtual Desktop.

    • Windows-Cloudanmeldung (App-ID 270efc09-cd0d-444b-a71f-39af4910ec45), die gilt, wenn sich der Benutzer beim Sitzungshost authentifiziert, wenn einmaliges Anmelden aktiviert ist. Es wird empfohlen, dass Sie richtlinien für bedingten Zugriff zwischen diesen Apps und der Azure Virtual Desktop-App abgleichen, mit Ausnahme der Anmeldehäufigkeit.

      Wichtig

      • Wenn Sie über Thin Clients eine Verbindung mit Azure Virtual Desktop herstellen, wenden Sie sich an den Anbieter Ihres Clients, um zu bestätigen, dass Sie die Windows Cloud-Anmelderichtlinien für bedingten Zugriff für Verbindungen mit einmaligem Anmelden verwenden sollten.

      • Wählen Sie nicht die App namens Azure Virtual Desktop Azure Resource Manager Provider (App-ID50e95039-b200-4007-bc97-8d5790743a63) aus. Diese App wird nur zum Abrufen des Benutzerfeeds verwendet und sollte keine mehrstufige Authentifizierung aufweisen.

11. Nachdem Sie Ihre Apps ausgewählt haben, wählen Sie Auswählen aus.

    

12. Wählen Sie unter Aufgabenbedingungen> die Option 0 Bedingungen auswählen aus.

13. Wählen Sie unter Client-Appsdie Option Nicht konfiguriert aus.

14. Wählen Sie im neuen Bereich, der geöffnet wird, für Konfigurieren die Option Ja aus.

15. Wählen Sie die Client-Apps aus, für die diese Richtlinie gilt:

    • Wählen Sie Browser aus, wenn die Richtlinie auf den Webclient angewendet werden soll.
    • Wählen Sie Mobile Apps und Desktopclients aus, wenn Sie die Richtlinie auf andere Clients anwenden möchten.
    • Aktivieren Sie beide Kontrollkästchen, wenn Sie die Richtlinie auf alle Clients anwenden möchten.
    • Heben Sie die Auswahl von Werten für Legacyauthentifizierungsclients auf.

    

16. Nachdem Sie die Client-Apps ausgewählt haben, für die diese Richtlinie gilt, wählen Sie Fertig aus.

17. Wählen Sie unterZugriffssteuerungserteilung>die Option 0 Steuerelemente ausgewählt aus.

18. Wählen Sie im neuen Bereich, der geöffnet wird, die Option Zugriff gewähren aus.

19. Aktivieren Sie Mehrstufige Authentifizierung erforderlich, und wählen Sie dann Auswählen aus.

20. Legen Sie unten auf der Seite Richtlinie aktivieren auf Ein fest, und wählen Sie Erstellen aus.

Konfigurieren der Anmeldehäufigkeit

Mithilfe von Richtlinien für die Anmeldehäufigkeit können Sie konfigurieren, wie oft sich Benutzer beim Zugriff auf Microsoft Entra-basierte Ressourcen anmelden müssen. Dies kann zum Schutz Ihrer Umgebung beitragen und ist besonders wichtig für persönliche Geräte, bei denen das lokale Betriebssystem möglicherweise keine MFA erfordert oder nach Inaktivität nicht automatisch gesperrt wird. Benutzer werden nur dann zur Authentifizierung aufgefordert, wenn beim Zugriff auf eine Ressource von Microsoft Entra ID ein neues Zugriffstoken angefordert wird.

Richtlinien für die Anmeldehäufigkeit führen je nach ausgewählter Microsoft Entra App zu unterschiedlichen Verhaltensweisen:

So konfigurieren Sie den Zeitraum, nach dem ein Benutzer aufgefordert wird, sich erneut anzumelden:

1. Öffnen Sie die Richtlinie, die Sie zuvor erstellt haben.
2. Wählen Sie unter Zugriffssteuerungen>Sitzungdie Option 0 Steuerelemente ausgewählt aus.
3. Wählen Sie im Bereich Sitzung die Option Anmeldehäufigkeit aus.
4. Wählen Sie Regelmäßige erneute Authentifizierung oder Jedes Mal aus.
   • Wenn Sie Regelmäßige erneute Authentifizierung auswählen, legen Sie den Wert für den Zeitraum fest, nach dem ein Benutzer aufgefordert wird, sich erneut anzumelden, wenn er eine Aktion ausführt, die ein neues Zugriffstoken erfordert, und wählen Sie dann Auswählen aus. Wenn Sie beispielsweise den Wert auf 1 und die Einheit auf Stunden festlegen, ist eine mehrstufige Authentifizierung erforderlich, wenn eine Verbindung mehr als eine Stunde nach der letzten Benutzerauthentifizierung gestartet wird.
   • Die Option Jedes Mal wird nur unterstützt, wenn sie auf die Windows Cloud-Anmelde-App angewendet wird, wenn einmaliges Anmelden für Ihren Hostpool aktiviert ist. Wenn Sie Jedes Mal auswählen, werden Benutzer beim Starten einer neuen Verbindung nach einem Zeitraum von 5 bis 10 Minuten nach ihrer letzten Authentifizierung aufgefordert, sich erneut zu authentifizieren.
5. Wählen Sie unten auf der Seite Speichern aus.

Empfohlene Richtlinienstruktur für bedingten Zugriff

Wenn einmaliges Anmelden für Azure Virtual Desktop aktiviert ist, sind zwei Microsoft Entra Anwendungen an der Verbindung beteiligt: die Azure Virtual Desktop-App verarbeitet die Feedabonnement- und Gatewayauthentifizierung, und die Windows-Cloudanmeldungs-App verarbeitet die Anmeldung des Sitzungshosts. Beide Apps benötigen Richtlinien für bedingten Zugriff, die aufeinander abgestimmt sind, oder Benutzern werden zu unerwarteten Zeiten Aufforderungen zur mehrstufigen Authentifizierung angezeigt.

Prüfliste vor der Konfiguration

Führen Sie diese Überprüfungen aus, bevor Sie einmaliges Anmelden für Ihren Hostpool aktivieren.

Überprüfen von App-Registrierungen:

• Vergewissern Sie sich, dass die Azure Virtual Desktop-App (ID: 9cdead84-a844-4324-93f2-b2e6bb768d07) in Ihrem Mandanten vorhanden ist.
• Vergewissern Sie sich, dass die Windows Cloud-Anmelde-App (ID: 270efc09-cd0d-444b-a71f-39af4910ec45) in Ihrem Mandanten vorhanden ist.
• Fügen Sie den Azure Virtual Desktop Azure Resource Manager Provider (ID: 50e95039-b200-4007-bc97-8d5790743a63) keiner Richtlinie für bedingten Zugriff hinzu. Diese App dient nur zum Abrufen von Feeds und darf keine mehrstufige Authentifizierung erzwungen haben.

Überprüfen auf Konflikte:

• Listet alle Richtlinien für bedingten Zugriff auf, die auf Alle Cloud-Apps ausgerichtet sind. Diese Richtlinien gelten für Azure Virtual Desktop-SSO-Sitzungen und können den Zugriff unerwartet blockieren.
• Überprüfen Sie, ob eine Richtlinie Gerätekonformität erfordert. Entra eingebundene Azure Virtual Desktop-Sitzungshosts erfüllen möglicherweise nicht die Konformitätsrichtlinien, die für Benutzerendpunkte entwickelt wurden.
• Überprüfen Sie, ob eine Richtlinie standortbasierte Einschränkungen anwendet. Für die Azure Virtual Desktop-App werden standortbasierte Richtlinien anhand der Client-IP-Adresse des Benutzers ausgewertet. Für die Windows Cloud-Anmeldungs-App (SSO für Sitzungshost) kann sich die IP-Adresse, die vom bedingten Zugriff erkannt wird, je nach Netzwerkrouting von der Client-IP-Adresse des Benutzers unterscheiden. Testen Sie standortbasierte Richtlinien für beide Apps, bevor Sie sie erzwingen.
• Vergewissern Sie sich, dass keine Richtlinie die Windows-Cloudanmeldungs-App blockiert.
• Vergewissern Sie sich, dass keine Richtlinie die Windows 365-App blockiert (0af06dc6-e4b5-4f28-818e-e78e62d137a5). Die Windows-App authentifiziert sich sowohl bei den Azure Virtual Desktop- als auch bei Windows 365-Apps, auch wenn der Benutzer nur über Azure Virtual Desktop-Ressourcen verfügt. Eine Richtlinie für bedingten Zugriff, die die Windows 365-App blockiert, verursacht Anmeldefehler für Azure Virtual Desktop-Benutzer.

Deaktivieren Sie die mehrstufige Legacy-Authentifizierung pro Benutzer:

Wechseln Sie im Microsoft Entra Admin Center zuIdentitätsbenutzer>>Alle Benutzer, und wählen Sie dann auf der Symbolleiste MFA pro Benutzer aus. Vergewissern Sie sich, dass die mehrstufige Authentifizierung pro Benutzer für alle Azure Virtual Desktop-Benutzer deaktiviert ist. Weitere Informationen finden Sie unter Microsoft Entra verknüpfte Sitzungshost-VMs.

Struktur mit zwei Richtlinien

Erstellen Sie zwei separate Richtlinien anstelle einer kombinierten Richtlinie.

Richtlinie 1 – Azure Authentifizierung des Virtual Desktop-Diensts:

Richtlinie 2 – SSO-Authentifizierung des Sitzungshosts:

Authentifizierungsfluss

Wenn ein Benutzer eine Verbindung herstellt, werden die beiden Apps an verschiedenen Punkten ausgewertet:

1. Die Windows-App des Benutzers authentifiziert sich bei der Azure Virtual Desktop-App. Richtlinie 1 wird ausgewertet. Ein Token wird ausgestellt.
2. Die Windows-App kontaktiert das Azure Virtual Desktop Gateway mithilfe des Tokens.
3. Das Gateway initiiert das einmalige Anmelden des Sitzungshosts über die Windows Cloud-Anmeldungs-App . Richtlinie 2 wird ausgewertet.
4. Die Windows Cloud-Anmelde-App gibt ein Microsoft Entra-Token für den Sitzungshost aus.
5. Der Sitzungshost akzeptiert das Token, und die Sitzung ist bereit.

Richtlinie 1 steuert Schritt 1. Richtlinie 2 steuert Schritt 3. Wenn beide ordnungsgemäß konfiguriert sind, wird benutzern eine einzelne Eingabeaufforderung für die mehrstufige Authentifizierung angezeigt (falls erforderlich), und sie können nahtlos in die Sitzung eintreten.

Häufige Fehlkonfigurationen

Überprüfung nach der Konfiguration

Nach dem Aktivieren von SSO und Konfigurieren von Richtlinien für bedingten Zugriff:

1. Stellen Sie mithilfe des Windows-App eine Verbindung mit Azure Virtual Desktop her.
2. Vergewissern Sie sich, dass Sie sich einmal authentifizieren (bei Bedarf mit mehrstufiger Authentifizierung), und geben Sie die Sitzung ohne eine zweite Anmeldeinformationsaufforderung ein.
3. Wechseln Sie im Microsoft Entra Admin Center zu Identitätsüberwachung>&Integritätsprotokolle>, und filtern Sie nach Ihrem Testbenutzer. Überprüfen:
   • Azure Virtual Desktop: Status: Erfolg, richtige Richtlinie für bedingten Zugriff angewendet.
   • Windows-Cloudanmeldung: Status: Erfolgreich, richtige Richtlinie für bedingten Zugriff angewendet.
4. Wenn einer der Beiden Fehler anzeigt, wählen Sie den Eintrag aus, und überprüfen Sie die Registerkarte Bedingter Zugriff , um zu ermitteln, welche Richtlinie die Anmeldung blockiert hat.

Wenn Benutzern weiterhin wiederholte Anmeldeaufforderungen angezeigt werden, finden Sie weitere Informationen unter Problembehandlung für einmaliges Anmelden und bedingten Zugriff für Azure Virtual Desktop.

Microsoft Entra verknüpfte Sitzungshost-VMs

Damit Verbindungen erfolgreich hergestellt werden können, müssen Sie die Legacyanmeldungsmethode für die mehrstufige Authentifizierung pro Benutzer deaktivieren. Wenn Sie die Anmeldung nicht auf sichere Authentifizierungsmethoden wie Windows Hello for Business beschränken möchten, müssen Sie die Azure Windows-VM Sign-In-App aus Ihrer Richtlinie für bedingten Zugriff ausschließen.

Nächste Schritte

• Weitere Informationen zu Richtlinien für bedingten Zugriff
• Weitere Informationen zur Häufigkeit der Benutzeranmeldung