Meervoudige verificatie Microsoft Entra afdwingen voor Azure Virtual Desktop met behulp van voorwaardelijke toegang

Gebruikers kunnen zich vanaf elke locatie met verschillende apparaten en clients aanmelden bij Azure Virtual Desktop. Er zijn echter bepaalde maatregelen die u moet nemen om uw omgeving en uw gebruikers veilig te houden. Met Microsoft Entra meervoudige verificatie (MFA) met Azure Virtual Desktop worden gebruikers tijdens het aanmeldingsproces gevraagd om een andere vorm van identificatie naast hun gebruikersnaam en wachtwoord. U kunt MFA afdwingen voor Azure Virtual Desktop met behulp van voorwaardelijke toegang, en u kunt ook configureren of dit van toepassing is op de webclient, mobiele apps, desktopclients of alle clients.

Wanneer een gebruiker verbinding maakt met een externe sessie, moet deze zich verifiëren bij de Azure Virtual Desktop-service en de sessiehost. Als MFA is ingeschakeld, wordt dit gebruikt bij het maken van verbinding met de Azure Virtual Desktop-service en wordt de gebruiker gevraagd om zijn gebruikersaccount en een tweede vorm van verificatie, op dezelfde manier als bij het openen van andere services. Wanneer een gebruiker een externe sessie start, zijn een gebruikersnaam en wachtwoord vereist voor de sessiehost, maar dit is naadloos voor de gebruiker als eenmalige aanmelding (SSO) is ingeschakeld. Zie Verificatiemethoden voor meer informatie.

Hoe vaak een gebruiker wordt gevraagd om zich opnieuw te verifiëren, is afhankelijk van Microsoft Entra beleid voor de levensduur van adaptieve sessies voor voorwaardelijke toegang. Hoewel het onthouden van referenties handig is, kan het implementaties met persoonlijke apparaten ook minder veilig maken. Om uw gebruikers te beschermen, kunt u ervoor zorgen dat de client vaker om Microsoft Entra referenties voor meervoudige verificatie vraagt. U kunt de aanmeldingsfrequentie voor voorwaardelijke toegang gebruiken om dit gedrag te configureren.

Meer informatie over het afdwingen van MFA voor Azure Virtual Desktop en optioneel de aanmeldingsfrequentie configureren in de volgende secties.

Vereisten

U hebt het volgende nodig om aan de slag te gaan:

• Wijs gebruikers een licentie toe die Microsoft Entra ID P1 of P2 bevat.
• Een Microsoft Entra groep met uw Azure Virtual Desktop-gebruikers toegewezen als groepsleden.
• Schakel Microsoft Entra meervoudige verificatie in.

Een beleid voor voorwaardelijke toegang maken

U maakt als volgt een beleid voor voorwaardelijke toegang waarvoor meervoudige verificatie is vereist wanneer u verbinding maakt met Azure Virtual Desktop:

1. Meld u aan bij de Microsoft Entra-beheercentrum als ten minste een beheerder voor voorwaardelijke toegang.

2. Blader naarBeleid voorvoorwaardelijke toegang>beveiligen>.

3. Selecteer Nieuw beleid.

4. Geef uw beleid een naam. We raden organisaties aan een zinvolle standaard te maken voor de namen van hun beleid.

5. Selecteer onder Toewijzingen>gebruikers0 gebruikers en groepen geselecteerd.

6. Selecteer op het tabblad Opnemende optie Gebruikers en groepen selecteren en schakel Gebruikers en groepen in en selecteer vervolgens onder Selecterende optie 0 geselecteerde gebruikers en groepen.

7. Zoek en kies in het nieuwe deelvenster dat wordt geopend de groep die uw Azure Virtual Desktop-gebruikers als groepsleden bevat en selecteer vervolgens Selecteren.

8. Selecteer onder ToewijzingenDoelresourcesde optie Geen doelresources> geselecteerd.

9. Voor de vervolgkeuzelijst Selecteer waarop dit beleid van toepassing is, laat u de standaardinstelling Resources (voorheen cloud-apps) staan. Selecteer op het tabblad Opnemende optie Resources selecteren en selecteer vervolgens onder Selecterende optie Geen.

10. Zoek en selecteer in het nieuwe deelvenster dat wordt geopend de benodigde apps op basis van de resources die u probeert te beveiligen. Selecteer het relevante tabblad voor uw scenario. Wanneer u zoekt naar een toepassingsnaam op Azure, gebruikt u zoektermen die beginnen met de naam van de toepassing in de volgorde in plaats van trefwoorden die de naam van de toepassing bevat. Als u bijvoorbeeld Azure Virtual Desktop wilt gebruiken, moet u 'Azure Virtual' in die volgorde invoeren. Als u zelf 'virtueel' invoert, retourneert de zoekopdracht niet de gewenste toepassing.

    • Azure Virtual Desktop
    • Azure Virtual Desktop (klassiek)

    Voor Azure Virtual Desktop (op basis van Azure Resource Manager) kunt u MFA configureren voor deze verschillende apps:

    • Azure Virtual Desktop (app-id9cdead84-a844-4324-93f2-b2e6bb768d07), die van toepassing is wanneer de gebruiker zich abonneert op Azure Virtual Desktop, wordt geverifieerd bij de Azure Virtual Desktop Gateway tijdens een verbinding en wanneer diagnostische gegevens vanaf het lokale apparaat van de gebruiker naar de service worden verzonden.

      Tip

      De naam van de app was voorheen Windows Virtual Desktop. Als u de resourceprovider Microsoft.DesktopVirtualization hebt geregistreerd voordat de weergavenaam is gewijzigd, krijgt de toepassing de naam Windows Virtual Desktop met dezelfde app-id als Azure Virtual Desktop.

    • Windows Cloud-aanmelding (app-id270efc09-cd0d-444b-a71f-39af4910ec45), die van toepassing is wanneer de gebruiker zich verifieert bij de sessiehost wanneer eenmalige aanmelding is ingeschakeld. We raden u aan het beleid voor voorwaardelijke toegang te koppelen tussen deze apps en de Azure Virtual Desktop-app, met uitzondering van de aanmeldingsfrequentie.

      Belangrijk

      • Als u verbinding maakt met Azure Virtual Desktop met thin clients, neemt u contact op met de provider van uw client om te bevestigen dat u het windows-cloudaanmeldingsbeleid voor voorwaardelijke toegang moet gebruiken voor verbindingen met eenmalige aanmelding.

      • Selecteer niet de app met de naam Azure Virtual Desktop Azure Resource Manager Provider (app-id 50e95039-b200-4007-bc97-8d5790743a63). Deze app wordt alleen gebruikt voor het ophalen van de gebruikersfeed en mag geen meervoudige verificatie hebben.

11. Nadat u uw apps hebt geselecteerd, selecteert u Selecteren.

    

12. Selecteer onder Voorwaarden voor toewijzingen>de optie 0 voorwaarden selecteren.

13. Selecteer onder Client-appsde optie Niet geconfigureerd.

14. Selecteer In het nieuwe deelvenster dat wordt geopend de optie Ja voor Configureren.

15. Selecteer de client-apps waarop dit beleid van toepassing is:

    • Selecteer Browser als u het beleid wilt toepassen op de webclient.
    • Selecteer Mobiele apps en desktopclients als u het beleid wilt toepassen op andere clients.
    • Schakel beide selectievakjes in als u het beleid wilt toepassen op alle clients.
    • De selectie van waarden voor verouderde verificatieclients opheffen.

    

16. Nadat u de client-apps hebt geselecteerd waarop dit beleid van toepassing is, selecteert u Gereed.

17. Selecteer onder Toegangsbeheer>verlenende optie 0 geselecteerde besturingselementen.

18. Selecteer toegang verlenen in het nieuwe deelvenster dat wordt geopend.

19. Schakel Meervoudige verificatie vereisen in en selecteer vervolgens Selecteren.

20. Stel onder aan de pagina Beleid inschakelen in op Aan en selecteer Maken.

Aanmeldingsfrequentie configureren

Met beleid voor aanmeldingsfrequentie kunt u configureren hoe vaak gebruikers zich moeten aanmelden bij het openen van resources op basis van Microsoft Entra. Dit kan uw omgeving helpen beveiligen en is vooral belangrijk voor persoonlijke apparaten, waarbij het lokale besturingssysteem mogelijk geen MFA vereist of niet automatisch wordt vergrendeld na inactiviteit. Gebruikers wordt alleen gevraagd zich te verifiëren wanneer een nieuw toegangstoken wordt aangevraagd bij Microsoft Entra ID bij het openen van een resource.

Beleid voor aanmeldingsfrequentie resulteert in ander gedrag op basis van de geselecteerde Microsoft Entra app:

De periode configureren waarna een gebruiker wordt gevraagd zich opnieuw aan te melden:

1. Open het beleid dat u eerder hebt gemaakt.
2. Selecteer onder Toegangsbeheersessie>de optie 0 besturingselementen geselecteerd.
3. Selecteer in het deelvenster Sessiede optie Aanmeldingsfrequentie.
4. Selecteer Periodieke herverificatie of Elke keer.
   • Als u Periodieke herverificatie selecteert, stelt u de waarde in voor de periode waarna een gebruiker wordt gevraagd zich opnieuw aan te melden bij het uitvoeren van een actie waarvoor een nieuw toegangstoken is vereist. Selecteer vervolgens Selecteren. Als u bijvoorbeeld de waarde instelt op 1 en de eenheid op Uren, is meervoudige verificatie vereist als een verbinding meer dan een uur na de laatste gebruikersverificatie wordt gestart.
   • De optie Elke keer wordt alleen ondersteund wanneer deze wordt toegepast op de Windows Cloud Login-app wanneer eenmalige aanmelding is ingeschakeld voor uw hostgroep. Als u Elke keer selecteert, wordt gebruikers gevraagd om zich opnieuw te verifiëren bij het starten van een nieuwe verbinding na een periode van 5 tot 10 minuten sinds hun laatste verificatie.
5. Selecteer onder aan de pagina De optie Opslaan.

Aanbevolen beleidsstructuur voor voorwaardelijke toegang

Wanneer eenmalige aanmelding is ingeschakeld voor Azure Virtual Desktop, zijn er twee Microsoft Entra toepassingen betrokken bij de verbinding: de Azure Virtual Desktop-app verwerkt het feedabonnement en de gatewayverificatie en de aanmelding van de sessiehost met de Windows Cloud-app. Beide apps hebben beleid voor voorwaardelijke toegang nodig dat op elkaar is afgestemd, of gebruikers zien prompts voor meervoudige verificatie op onverwachte momenten.

Controlelijst voor preconfiguratie

Voer deze controles uit voordat u eenmalige aanmelding inschakelt voor uw hostgroep.

App-registraties verifiëren:

• Controleer of de Azure Virtual Desktop-app (id: 9cdead84-a844-4324-93f2-b2e6bb768d07) bestaat in uw tenant.
• Controleer of de Windows Cloud Login-app (ID: 270efc09-cd0d-444b-a71f-39af4910ec45) bestaat in uw tenant.
• Voeg de Azure Virtual Desktop Azure Resource Manager Provider (ID: 50e95039-b200-4007-bc97-8d5790743a63) niet toe aan beleid voor voorwaardelijke toegang. Deze app is alleen bedoeld voor het ophalen van feeds en mag geen meervoudige verificatie afdwingen.

Controleren op conflicten:

• Geef alle beleidsregels voor voorwaardelijke toegang weer die zijn gericht op Alle cloud-apps. Deze beleidsregels zijn van toepassing op Azure Virtual Desktop SSO-sessies en kunnen de toegang onverwacht blokkeren.
• Controleer of een beleid naleving van het apparaat vereist. Entra-gekoppelde Azure Virtual Desktop-sessiehosts voldoen mogelijk niet aan het nalevingsbeleid dat is ontworpen voor gebruikerseindpunten.
• Controleer of er beleidsregels zijn die beperkingen op basis van locatie toepassen. Voor de Azure Virtual Desktop-app worden op locatie gebaseerde beleidsregels geëvalueerd op basis van het client-IP-adres van de gebruiker. Voor de Windows Cloud Login App (SSO to session host) kan het IP-adres dat door voorwaardelijke toegang wordt gezien, verschillen van het client-IP-adres van de gebruiker, afhankelijk van de netwerkroutering. Test op locatie gebaseerd beleid voor beide apps voordat u dit afdwingt.
• Controleer of er geen beleid is dat de aanmeldings-app voor Windows Cloud blokkeert.
• Controleer of er geen beleid is dat de Windows 365-app (0af06dc6-e4b5-4f28-818e-e78e62d137a5) blokkeert. De Windows-app wordt geverifieerd voor zowel de Azure Virtual Desktop- als Windows 365-apps, zelfs als de gebruiker alleen Azure Virtual Desktop-resources heeft. Een beleid voor voorwaardelijke toegang dat de Windows 365-app blokkeert, veroorzaakt aanmeldingsfouten voor Azure Virtual Desktop-gebruikers.

Verouderde meervoudige verificatie per gebruiker uitschakelen:

Ga in de Microsoft Entra-beheercentrum naar Identiteit>gebruikers>Alle gebruikers en selecteer vervolgens Per gebruiker MFA op de werkbalk. Controleer of meervoudige verificatie per gebruiker is uitgeschakeld voor alle Azure Virtual Desktop-gebruikers. Zie Microsoft Entra gekoppelde sessiehost-VM's voor meer informatie.

Structuur met twee beleidsregels

Maak twee afzonderlijke beleidsregels in plaats van één gecombineerd beleid.

Beleid 1: verificatie van Azure Virtual Desktop-service:

Beleid 2 - Verificatie van eenmalige aanmelding van sessiehost:

Verificatiestroom

Wanneer een gebruiker verbinding maakt, worden de twee apps op verschillende punten geëvalueerd:

1. De Windows-app van de gebruiker wordt geverifieerd bij de Azure Virtual Desktop-app. Beleid 1 wordt geëvalueerd. Er wordt een token uitgegeven.
2. De Windows-app neemt contact op met de Azure Virtual Desktop Gateway met behulp van het token.
3. De gateway initieert eenmalige aanmelding van sessiehost via de Aanmeldings-app voor Windows Cloud . Beleid 2 wordt geëvalueerd.
4. De Windows Cloud Login-app geeft een Microsoft Entra-token uit voor de sessiehost.
5. De sessiehost accepteert het token en de sessie is gereed.

Beleid 1 bepaalt stap 1. Beleid 2 bepaalt stap 3. Wanneer beide correct zijn geconfigureerd, zien gebruikers één meervoudige verificatieprompt (indien nodig) en gaan ze naadloos naar de sessie.

Veelvoorkomende onjuiste configuraties

Verificatie na configuratie

Na het inschakelen van eenmalige aanmelding en het configureren van beleid voor voorwaardelijke toegang:

1. Maak verbinding met Azure Virtual Desktop met behulp van de Windows-app.
2. Controleer of u zich eenmaal verifieert (indien nodig met meervoudige verificatie) en voer de sessie in zonder een tweede referentieprompt.
3. Ga in de Microsoft Entra-beheercentrum naar Identiteitsbewaking>&aanmeldingslogboeken voor status > en filter op uw testgebruiker. Controleren:
   • Azure Virtual Desktop: Status: Geslaagd, correct beleid voor voorwaardelijke toegang toegepast.
   • Aanmelding bij Windows Cloud: Status: Geslaagd, correct beleid voor voorwaardelijke toegang toegepast.
4. Als in een van deze opties Mislukt wordt weergegeven, selecteert u de vermelding en controleert u het tabblad Voorwaardelijke toegang om te bepalen welk beleid de aanmelding heeft geblokkeerd.

Als gebruikers nog steeds herhaalde aanmeldingsprompts zien, raadpleegt u Problemen met eenmalige aanmelding en voorwaardelijke toegang voor Azure Virtual Desktop oplossen.

Microsoft Entra gekoppelde sessiehost-VM's

Voor een geslaagde verbinding moet u de verouderde aanmeldingsmethode voor meervoudige verificatie per gebruiker uitschakelen. Als u het aanmelden niet wilt beperken tot sterke verificatiemethoden zoals Windows Hello voor Bedrijven, moet u de Azure Windows-VM-Sign-In-app uitsluiten van uw beleid voor voorwaardelijke toegang.

Volgende stappen

• Meer informatie over beleid voor voorwaardelijke toegang
• Meer informatie over de aanmeldingsfrequentie van gebruikers