Applicare Microsoft Entra autenticazione a più fattori per Azure Desktop virtuale usando l'accesso condizionale

Gli utenti possono accedere Azure Desktop virtuale da qualsiasi posizione usando dispositivi e client diversi. Tuttavia, è necessario adottare alcune misure per proteggere l'ambiente e gli utenti. L'uso di Microsoft Entra autenticazione a più fattori (MFA) con desktop virtuale Azure richiede agli utenti durante il processo di accesso un'altra forma di identificazione oltre al nome utente e alla password. È possibile applicare MFA per Azure Desktop virtuale usando l'accesso condizionale e configurare anche se si applica al client Web, alle app per dispositivi mobili, ai client desktop o a tutti i client.

Quando un utente si connette a una sessione remota, deve eseguire l'autenticazione al servizio Desktop virtuale Azure e all'host della sessione. Se l'autenticazione a più fattori è abilitata, viene usata per la connessione al servizio Desktop virtuale Azure e all'utente vengono richiesti l'account utente e una seconda forma di autenticazione, allo stesso modo dell'accesso ad altri servizi. Quando un utente avvia una sessione remota, sono necessari un nome utente e una password per l'host della sessione, ma questo è facile per l'utente se l'accesso Single Sign-On (SSO) è abilitato. Per altre informazioni, vedere Metodi di autenticazione.

La frequenza con cui viene richiesto a un utente di autenticarsi di nuovo dipende da Microsoft Entra criteri di durata della sessione adattiva per l'accesso condizionale. Anche se ricordare le credenziali è utile, può anche rendere le distribuzioni usando i dispositivi personali meno sicure. Per proteggere gli utenti, è possibile assicurarsi che il client richieda più frequentemente Microsoft Entra credenziali di autenticazione a più fattori. Per configurare questo comportamento, è possibile usare la frequenza di accesso condizionale.

Informazioni su come applicare l'autenticazione a più fattori per Azure Desktop virtuale e, facoltativamente, configurare la frequenza di accesso nelle sezioni seguenti.

Prerequisiti

Ecco cosa serve per iniziare:

• Assegnare agli utenti una licenza che include Microsoft Entra ID P1 o P2.
• Un gruppo Microsoft Entra con gli utenti di Desktop virtuale Azure assegnati come membri del gruppo.
• Abilitare Microsoft Entra autenticazione a più fattori.

Creare un criterio di accesso condizionale

Ecco come creare un criterio di accesso condizionale che richiede l'autenticazione a più fattori durante la connessione a desktop virtuale Azure:

1. Accedere al Interfaccia di amministrazione di Microsoft Entra almeno come amministratore dell'accesso condizionale.

2. Passare a Criteri diaccesso> condizionale di protezione>.

3. Selezionare Nuovo criterio.

4. Assegnare un nome ai criteri. È consigliabile che le organizzazioni creino uno standard significativo per i nomi dei criteri.

5. In Utenti assegnazioni> selezionare 0 utenti e gruppi selezionati.

6. Nella scheda Includi selezionare Seleziona utenti e gruppi e selezionare Utenti e gruppi, quindi in Seleziona selezionare 0 utenti e gruppi selezionati.

7. Nel nuovo riquadro visualizzato cercare e scegliere il gruppo che contiene gli utenti di Desktop virtuale Azure come membri del gruppo, quindi selezionare Seleziona.

8. In Assegnazioni>Risorse di destinazione selezionare Nessuna risorsa di destinazione selezionata.

9. Per l'elenco a discesa Selezionare a cosa si applica questo criterio, lasciare il valore predefinito Risorse (in precedenza app cloud). Nella scheda Includi selezionare Seleziona risorse, quindi in Seleziona selezionare Nessuno.

10. Nel nuovo riquadro visualizzato cercare e selezionare le app necessarie in base alle risorse che si sta tentando di proteggere. Selezionare la scheda pertinente per lo scenario. Quando si cerca un nome di applicazione in Azure, usare termini di ricerca che iniziano con il nome dell'applicazione in ordine anziché parole chiave che il nome dell'applicazione contiene in ordine non corretto. Ad esempio, quando si vuole usare Azure Desktop virtuale, è necessario immettere "Azure Virtual", in questo ordine. Se si immette "virtual" da solo, la ricerca non restituisce l'applicazione desiderata.

    • Desktop virtuale di Azure
    • desktop virtuale Azure (versione classica)

    Per Azure Desktop virtuale (basato su Azure Resource Manager), è possibile configurare L'autenticazione a più fattori in queste diverse app:

    • Azure Desktop virtuale (ID 9cdead84-a844-4324-93f2-b2e6bb768d07app), che si applica quando l'utente sottoscrive Azure Desktop virtuale, esegue l'autenticazione al gateway desktop virtuale Azure durante una connessione e quando le informazioni di diagnostica vengono inviate al servizio dal dispositivo locale dell'utente.

      Consiglio

      Il nome dell'app era in precedenza Desktop virtuale Windows. Se il provider di risorse Microsoft.DesktopVirtualization è stato registrato prima della modifica del nome visualizzato, l'applicazione verrà denominata Desktop virtuale Windows con lo stesso ID app di Azure Desktop virtuale.

    • Windows Cloud Login (ID 270efc09-cd0d-444b-a71f-39af4910ec45app), che si applica quando l'utente esegue l'autenticazione all'host della sessione quando è abilitato l'accesso Single Sign-On . È consigliabile associare i criteri di accesso condizionale tra queste app e l'app Desktop virtuale Azure, ad eccezione della frequenza di accesso.

      Importante

      • Se si esegue la connessione a Azure Desktop virtuale con thin client, contattare il provider del client per verificare che sia necessario usare i criteri di accesso cloud di Windows per l'accesso condizionale per le connessioni Single Sign-On.

      • Non selezionare l'app denominata Desktop virtuale Azure Azure Resource Manager Provider (ID 50e95039-b200-4007-bc97-8d5790743a63app). Questa app viene usata solo per il recupero del feed utente e non deve avere l'autenticazione a più fattori.

11. Dopo aver selezionato le app, selezionare Seleziona.

    

12. In Condizioni assegnazioni> selezionare 0 condizioni.

13. In App client selezionare Non configurato.

14. Nel nuovo riquadro visualizzato selezionare Sì per Configura.

15. Selezionare le app client a cui si applicano i criteri:

    • Selezionare Browser se si desidera che i criteri vengano applicati al client Web.
    • Selezionare App per dispositivi mobili e client desktop se si desidera applicare i criteri ad altri client.
    • Selezionare entrambe le caselle di controllo se si desidera applicare i criteri a tutti i client.
    • Deselezionare i valori per i client di autenticazione legacy.

    

16. Dopo aver selezionato le app client a cui si applica questo criterio, selezionare Fine.

17. In Concedi controlli> di accesso selezionare 0 controlli selezionati.

18. Nel nuovo riquadro visualizzato selezionare Concedi accesso.

19. Selezionare Richiedi autenticazione a più fattori e quindi selezionare Seleziona.

20. Nella parte inferiore della pagina impostare Abilita criteriosu Sì e selezionare Crea.

Configurare la frequenza di accesso

I criteri di frequenza di accesso consentono di configurare la frequenza con cui gli utenti devono accedere quando accedono alle risorse basate su Microsoft Entra. Ciò consente di proteggere l'ambiente ed è particolarmente importante per i dispositivi personali, in cui il sistema operativo locale potrebbe non richiedere l'autenticazione a più fattori o non essere bloccato automaticamente dopo l'inattività. Agli utenti viene richiesto di eseguire l'autenticazione solo quando viene richiesto un nuovo token di accesso da Microsoft Entra ID quando si accede a una risorsa.

I criteri di frequenza di accesso comportano un comportamento diverso in base all'app Microsoft Entra selezionata:

Per configurare il periodo di tempo dopo il quale a un utente viene chiesto di eseguire di nuovo l'accesso:

1. Aprire i criteri creati in precedenza.
2. In Sessione controlli> di accesso selezionare 0 controlli selezionati.
3. Nel riquadro Sessione selezionare Frequenza di accesso.
4. Selezionare Riautenticazione periodica o Ogni volta.
   • Se si seleziona Riautenticazione periodica, impostare il valore per il periodo di tempo dopo il quale a un utente viene chiesto di eseguire di nuovo l'accesso quando si esegue un'azione che richiede un nuovo token di accesso e quindi selezionare Seleziona. Ad esempio, se si imposta il valore su 1 e l'unità su Ore, è necessaria l'autenticazione a più fattori se una connessione viene avviata più di un'ora dopo l'ultima autenticazione utente.
   • L'opzione Ogni volta è supportata solo se applicata all'app Windows Cloud Login quando l'accesso Single Sign-On è abilitato per il pool di host. Se si seleziona Ogni volta, agli utenti viene richiesto di autenticarsi di nuovo all'avvio di una nuova connessione dopo un periodo compreso tra 5 e 10 minuti dall'ultima autenticazione.
5. Nella parte inferiore della pagina selezionare Salva.

Struttura dei criteri di accesso condizionale consigliata

Quando l'accesso Single Sign-On è abilitato per Azure Desktop virtuale, nella connessione sono coinvolte due applicazioni Microsoft Entra: l'app desktop virtuale Azure gestisce la sottoscrizione del feed e l'autenticazione del gateway e l'app Account di accesso cloud di Windows gestisce l'accesso all'host sessione. Entrambe le app richiedono criteri di accesso condizionale allineati tra loro oppure gli utenti visualizzano richieste di autenticazione a più fattori in momenti imprevisti.

Elenco di controllo per la pre-configurazione

Completare questi controlli prima di abilitare l'accesso SSO nel pool di host.

Verificare le registrazioni delle app:

• Verificare che l'app Desktop virtuale Azure (ID: 9cdead84-a844-4324-93f2-b2e6bb768d07) esista nel tenant.
• Verificare che l'app Windows Cloud Login (ID: 270efc09-cd0d-444b-a71f-39af4910ec45) esista nel tenant.
• Non aggiungere il provider di Azure Resource Manager desktop virtuale Azure (ID: 50e95039-b200-4007-bc97-8d5790743a63) ai criteri di accesso condizionale. Questa app è solo per il recupero dei feed e non deve avere l'autenticazione a più fattori applicata.

Verificare la presenza di conflitti:

• Elencare tutti i criteri di accesso condizionale destinati a Tutte le app cloud. Questi criteri si applicano alle sessioni SSO di Desktop virtuale Azure e possono bloccare l'accesso in modo imprevisto.
• Verificare se i criteri richiedono la conformità del dispositivo. Entra aggiunti Azure host di sessione di Desktop virtuale potrebbero non soddisfare i criteri di conformità progettati per gli endpoint utente.
• Controllare se i criteri applicano restrizioni basate sulla posizione. Per l'app Desktop virtuale Azure, i criteri basati sulla posizione vengono valutati in base all'IP client dell'utente. Per l'app Windows Cloud Login (da SSO all'host sessione), l'indirizzo IP visualizzato dall'accesso condizionale può essere diverso dall'INDIRIZZO IP client dell'utente a seconda del routing di rete. Testare i criteri basati sulla posizione su entrambe le app prima di applicarli.
• Verificare che nessun criterio blocchi l'app Windows Cloud Login .
• Verificare che nessun criterio blocchi l'app Windows 365 (0af06dc6-e4b5-4f28-818e-e78e62d137a5). Il app di Windows esegue l'autenticazione in entrambe le app desktop virtuale Azure e Windows 365, anche se l'utente dispone solo di risorse desktop virtuale Azure. Un criterio di accesso condizionale che blocca il App Windows 365 causa errori di accesso per gli utenti di Desktop virtuale Azure.

Disabilitare l'autenticazione a più fattori legacy per utente:

Nel Interfaccia di amministrazione di Microsoft Entra passare aUtenti>di identità>Tutti gli utenti e quindi selezionare MFA per utente dalla barra degli strumenti. Verificare che l'autenticazione a più fattori per utente sia disabilitata per tutti gli utenti di Desktop virtuale Azure. Per altre informazioni, vedere Microsoft Entra macchine virtuali dell'host sessione aggiunto.

Struttura a due criteri

Creare due criteri separati anziché un criterio combinato.

Criterio 1 : autenticazione del servizio Desktop virtuale Azure:

Criteri 2 - Autenticazione SSO dell'host sessione:

Flusso di autenticazione

Quando un utente si connette, le due app vengono valutate in punti diversi:

1. L'app di Windows dell'utente esegue l'autenticazione nell'app Desktop virtuale Azure. Viene valutato il criterio 1 . Viene emesso un token.
2. Il app di Windows contatta il gateway desktop virtuale Azure usando il token.
3. Il gateway avvia l'accesso SSO dell'host di sessione tramite l'app Windows Cloud Login . Il criterio 2 viene valutato.
4. L'app Windows Cloud Login rilascia un token di Microsoft Entra per l'host sessione.
5. L'host di sessione accetta il token e la sessione è pronta.

Criteri 1 controlla il passaggio 1. Criteri 2 controlla il passaggio 3. Quando entrambi sono configurati correttamente, gli utenti visualizzano un singolo prompt di autenticazione a più fattori (se necessario) e immettono facilmente la sessione.

Errori di configurazione comuni

Verifica post-configurazione

Dopo aver abilitato l'accesso SSO e aver configurato i criteri di accesso condizionale:

1. Connettersi a Azure Desktop virtuale usando il app di Windows.
2. Verificare di eseguire l'autenticazione una sola volta (con l'autenticazione a più fattori, se necessario) e immettere la sessione senza un secondo prompt delle credenziali.
3. Nel Interfaccia di amministrazione di Microsoft Entra passare a Monitoraggio identità> &log di accesso all'integrità> e filtrare in base all'utente di test. Verificare:
   • Azure Desktop virtuale: Stato: Operazione riuscita, criteri di accesso condizionale corretti applicati.
   • Accesso cloud windows: stato: operazione riuscita, criteri di accesso condizionale corretti applicati.
4. Se viene visualizzato Errore, selezionare la voce e selezionare la scheda Accesso condizionale per identificare i criteri che hanno bloccato l'accesso.

Se gli utenti visualizzano ancora richieste di accesso ripetute, vedere Risolvere i problemi relativi all'accesso Single Sign-On e all'accesso condizionale per Azure Desktop virtuale.

Microsoft Entra VM dell'host sessione aggiunto

Affinché le connessioni abbiano esito positivo, è necessario disabilitare il metodo di accesso a più fattori legacy per utente. Se non si vuole limitare l'accesso a metodi di autenticazione avanzata come Windows Hello for Business, è necessario escludere l'app Azure macchina virtuale Windows Sign-In dai criteri di accesso condizionale.

Passaggi successivi

• Altre informazioni sui criteri di accesso condizionale
• Altre informazioni sulla frequenza di accesso dell'utente