Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
De identiteit van een Cloud PC-gebruiker bepaalt welke toegangsbeheerservices die gebruiker en Cloud PC beheren. Deze identiteit definieert:
- De typen cloud-pc's waartoe de gebruiker toegang heeft.
- De typen niet-cloud-pc-resources waartoe de gebruiker toegang heeft.
Een apparaat kan ook een identiteit hebben die wordt bepaald door het type join met Microsoft Entra ID. Voor een apparaat definieert het jointype het volgende:
- Als het apparaat een zichtlijn naar een domeincontroller vereist.
- Hoe het apparaat wordt beheerd.
- Hoe gebruikers zich verifiëren bij het apparaat.
Identiteitstypen
Er zijn vier identiteitstypen:
- Hybride identiteit: gebruikers of apparaten die worden gemaakt in on-premises Active Directory Domeinservices en vervolgens worden gesynchroniseerd met Microsoft Entra ID.
- Alleen cloudidentiteit: gebruikers of apparaten die zijn gemaakt en alleen bestaan in Microsoft Entra ID.
- Federatieve identiteit: gebruikers die zijn gemaakt in een externe identiteitsprovider, anders dan Microsoft Entra ID of Active Directory Domain Services, en vervolgens zijn gefedereerd met Microsoft Entra ID.
- Externe identiteit: gebruikers die zijn gemaakt en worden beheerd buiten uw Microsoft Entra-tenant, maar die zijn uitgenodigd in uw Microsoft Entra-tenant om toegang te krijgen tot de resources van uw organisatie.
Opmerking
- Windows 365 biedt ondersteuning voor federatieve identiteiten als eenmalige aanmelding is ingeschakeld.
- Windows 365 ondersteunt externe identiteiten wanneer eenmalige aanmelding is ingeschakeld. Zie Externe identiteit voor alle vereisten en beperkingen.
Externe identiteit
Met ondersteuning voor externe identiteit kun je gebruikers uitnodigen voor je Entra ID-tenant en ze voorzien van cloud-pc's. Er zijn verschillende vereisten en beperkingen bij het verstrekken van cloud-pc's aan externe identiteiten:
- Vereisten
- Cloud-pc-besturingssysteem: op de cloud-pc moet Windows 11 Enterprise, versies 24H2 of hoger worden uitgevoerd met de 2025-09 cumulatieve Updates voor Windows 11 (KB5065789) of hoger geïnstalleerd.
- Jointype cloud-pc: de cloud-pc moet aan Entra zijn gekoppeld.
- Eenmalige aanmelding: eenmalige aanmelding moet worden geconfigureerd voor de cloud-pc.
- Windows-app-client: ondersteuning voor externe identiteit is algemeen beschikbaar in de Windows-app in Windows, macOS, iOS, Android of een webbrowser. Zie de sectie Identiteit van de Windows-app-documentatie voor meer informatie.
- Licenties: zorg ervoor dat externe identiteiten de juiste rechten hebben voor software en services op de cloud-pc. Zie de licentierichtlijnen voor Windows 365 voor meer informatie.
- Beperkingen
Intune apparaatconfiguratiebeleid: beleid voor apparaatconfiguratie dat is toegewezen aan de externe identiteit, wordt niet toegepast op de cloud-pc van de gebruiker. Wijs in plaats daarvan apparaatconfiguratiebeleid toe aan het apparaat.
Beschikbaarheid in Windows 365 Government: Windows 365 Government wordt ondersteund en gebruikers kunnen verbinding maken met de Windows-app in Windows, macOS, iOS en Android.
Uitnodigingen voor meerdere clouds: gebruikers van meerdere clouds worden niet ondersteund. U kunt alleen cloud-pc's leveren aan gebruikers die u uitnodigt van sociale id-providers, Microsoft Entra-gebruikers uit dezelfde Microsoft Azure-cloud als het Windows 365-aanbod of andere id-providers die zijn geregistreerd in uw personeelstenant. U kunt geen cloud-pc's inrichten voor gebruikers die u uitnodigt vanuit Microsoft Azure beheerd door 21Vianet.
Tokenbeveiliging: Microsoft Entra kent bepaalde beperkingen voor tokenbeveiliging voor externe identiteiten. Meer informatie over Windows-app-ondersteuning voor tokenbeveiliging per platform.
Kerberos-verificatie: externe identiteiten kunnen niet worden geverifieerd bij on-premises bronnen met Kerberos- of NTLM-protocollen.
Microsoft 365-apps: U kunt zich alleen aanmelden bij de Windows-bureaubladversie van de Microsoft 365-apps als:
- De uitgenodigde gebruiker is een op Entra gebaseerd account of een Microsoft-account met een licentie voor Microsoft 365-apps.
- De toegang van de uitgenodigde gebruiker tot de Microsoft 365-apps is niet geblokkeerd door een beleid voor voorwaardelijke toegang van de thuisorganisatie.
Ongeacht het uitgenodigde account hebt u toegang tot Microsoft 365-bestanden die met u zijn gedeeld met behulp van de juiste Microsoft 365-app in de webbrowser van de cloud-pc.
Id-providers: je kunt je aanmelden als een externe identiteit met een van de vermelde identiteitsproviders, met uitzondering van eenmalige aanmelding met een wachtwoordcode. Voor de volgende Windows-app clients gelden aanvullende beperkingen:
- iOS, Android: De enige ondersteunde sociale identiteitsprovider waarmee u zich kunt aanmelden, is een Microsoft-account dat is geconfigureerd als een verbonden account in de Microsoft Authenticator-app op hetzelfde apparaat als de client. U kunt zich niet aanmelden met Facebook of Google.
Federatie zonder domein: Windows 365 ondersteunt externe identiteiten via domeinloze SAML IdP-federatie, maar deze gebruikers moeten hun uitnodiging (inclusief de
domain_hintparameter) inwisselen voordat ze de Windows-app starten. Als de gebruiker verbinding maakt met de Windows-app, maar de uitnodiging voor de domeinloze SAML IdP nog niet heeft ingewisseld, kan de gebruiker zich niet verifiëren of de uitnodiging accepteren.
Zie de aanbevolen procedures voor B2B van Microsoft Entra voor aanbevelingen voor het configureren van uw omgeving voor externe identiteiten en richtlijnen voor Windows 365-licenties.
Jointypen voor apparaten
Er zijn twee jointypen waaruit u kunt kiezen bij het inrichten van een cloud-pc:
- Hybride deelname aan Microsoft Entra: als u dit jointype kiest, voegt Windows 365 uw cloud-pc toe aan het Windows Server Active Directory-domein dat u opgeeft. Als uw organisatie vervolgens correct is geconfigureerd voor hybride deelname aan Microsoft Entra, wordt het apparaat gesynchroniseerd met Microsoft Entra ID.
- Microsoft Entra deelnemen: Als u dit jointype kiest, voegt Windows 365 uw cloud-pc rechtstreeks toe aan Microsoft Entra ID.
In de volgende tabel staan de belangrijkste mogelijkheden of vereisten op basis van het geselecteerde jointype:
| Mogelijkheid of vereiste | Hybride deelname aan Microsoft Entra | Deelnemen aan Microsoft Entra |
|---|---|---|
| Azure-abonnement | Vereist | Optioneel |
| Azure virtueel netwerk met zichtlijn naar de domeincontroller | Vereist | Optioneel |
| Gebruikersidentiteitstype dat wordt ondersteund voor aanmelding | Alleen voor hybride gebruikers | Hybride gebruikers, gebruikers die alleen de cloud gebruiken of externe identiteiten |
| Beleidsbeheer | groepsbeleid objecten (GPO) of Intune MDM | Alleen Intune MDM |
| Aanmelding bij Windows Hello voor Bedrijven ondersteund | Ja, en het verbindende apparaat moet een zichtlijn hebben naar de domeincontroller via het directe netwerk of een VPN | Ja |
Verificatie
Wanneer een gebruiker toegang heeft tot een cloud-pc, zijn er drie afzonderlijke verificatiefasen:
- Verificatie van cloudservices: verificatie bij de Windows 365-service, waaronder het abonneren op bronnen en verificatie bij de gateway, vindt plaats met Microsoft Entra ID. Hier kunt u beleidsregels voor voorwaardelijke toegang met Entra ID's afdwingen. Hier kun je ook federeren van Entra-id naar een externe identiteitsprovider.
- Externe sessieverificatie: verificatie bij de cloud-pc. Er zijn meerdere manieren om u te verifiëren voor de externe sessie, met inbegrip van de aanbevolen eenmalige aanmelding (SSO).
- Verificatie tijdens de sessie: verificatie bij toepassingen en websites op de cloud-pc.
Hier volgt een korte vergelijking van de opties voor gebruikersverificatie in elke verificatiefase:
| Verificatie van cloudservices | Verificatie van externe sessies | Verificatie tijdens sessie |
|---|---|---|
|
|
|
Dit is een superset verificatie-opties per verificatiefase. Voor de lijst met referenties die beschikbaar zijn op de verschillende clients voor elk van de verificatiefasen, vergelijkt u de clients op verschillende platforms.
Belangrijk
Voor een juiste werking van verificatie moet de lokale computer van de gebruiker ook toegang hebben tot de URL's in de sectie Extern bureaublad-clients van de lijst met vereiste URL's voor Azure Virtual Desktop.
Windows 365 biedt eenmalige aanmelding (gedefinieerd als een enkele verificatieprompt die kan voldoen aan zowel de Windows 365-serviceverificatie als Cloud PC-verificatie) als onderdeel van de service. Zie Eenmalige aanmelding voor meer informatie.
De volgende secties bieden meer informatie over deze verificatiefasen.
Verificatie van cloudservices
Gebruikers moeten zich in de volgende gevallen verifiëren bij de service Windows 365:
- Ze hebben toegang tot windows.cloud.microsoft.
- Ze navigeren naar de URL die rechtstreeks is toegewezen aan hun cloud-pc.
- Ze gebruiken een ondersteunde client om hun cloud-pc's weer te geven.
Voor toegang tot de Windows 365-service moeten gebruikers zich eerst verifiëren bij de service door zich aan te melden met een Microsoft Entra ID-account.
Meervoudige verificatie
Volg de instructies in Beleid voor voorwaardelijke toegang instellen voor meer informatie over het afdwingen van meervoudige verificatie van Microsoft Entra voor uw cloud-pc's. In dit artikel wordt ook uitgelegd hoe u kunt configureren hoe vaak gebruikers wordt gevraagd hun referenties in te voeren.
Verificatie zonder wachtwoord
Gebruikers kunnen elk type verificatie gebruiken dat wordt ondersteund door Microsoft Entra ID, zoals Windows Hello voor Bedrijven en andere verificatieopties zonder wachtwoord (bijvoorbeeld FIDO-sleutels), om zich te verifiëren bij de service.
Verificatie van smartcards
Als u een smartcard wilt gebruiken voor verificatie bij Microsoft Entra ID, moet u eerst verificatie op basis van een Microsoft Entra-certificaat configureren of AD FS configureren voor verificatie met gebruikerscertificaten.
Id-providers van derden
U kunt id-providers van derden gebruiken, zolang deze zijn gefedereerd met Microsoft Entra ID.
Verificatie van externe sessies
Als u eenmalige aanmelding nog niet hebt ingeschakeld en gebruikers hun referenties nog niet lokaal hebben opgeslagen, moeten ze zich ook verifiëren bij de cloud-pc bij het starten van een verbinding.
Eenmalige aanmelding (SSO)
Met eenmalige aanmelding (SSO) kan de verbinding de Cloud PC-referentieprompt overslaan en wordt de gebruiker automatisch aangemeld bij Windows via Microsoft Entra-verificatie. Microsoft Entra-verificatie biedt andere voordelen, waaronder verificatie zonder wachtwoord en ondersteuning voor identiteitsproviders van derden. Bekijk de stappen voor het configureren van eenmalige aanmelding om aan de slag te gaan.
Belangrijk
SSO moet worden geconfigureerd voor externe identiteiten om zich aan te melden bij de cloud-pc. Als SSO niet is geconfigureerd, blijft de gebruiker hangen bij de prompt voor externe sessieverificatie.
Zonder eenmalige aanmelding vraagt de client gebruikers bij elke verbinding om hun cloud-pc-referenties. De enige manier om dit probleem te voorkomen, is door de referenties op te slaan in de client. U wordt aangeraden referenties alleen op veilige apparaten op te slaan om te voorkomen dat andere gebruikers toegang hebben tot uw bronnen.
Verificatie tijdens sessie
Nadat u verbinding hebt gemaakt met uw cloud-pc, wordt u mogelijk gevraagd om verificatie binnen de sessie. In deze sectie wordt uitgelegd hoe u in dit scenario andere referenties dan gebruikersnaam en wachtwoord gebruikt.
Verificatie zonder wachtwoord tijdens de sessie
Windows 365 ondersteunt verificatie zonder wachtwoord tijdens de sessie met behulp van Windows Hello voor Bedrijven of beveiligingsapparaten zoals FIDO-sleutels bij gebruik van de Windows-app. Verificatie zonder wachtwoord wordt automatisch ingeschakeld wanneer de sessiehost en de lokale pc de volgende besturingssystemen gebruiken:
- Windows 11 Enterprise met de cumulatieve Updates 2022-10 voor Windows 11 (KB5018418) of hoger geïnstalleerd.
- Windows 10 Enterprise, versies 20H2 of hoger met de 2022-10 Cumulatieve Updates voor Windows 10 (KB5018410) of hoger geïnstalleerd.
Voor het gedrag van wachtwoordloze verificatie tijdens de sessie en app-vereisten bij het maken van verbinding vanaf andere Windows-app-clients, raadpleegt u de WebAuthn-omleidingsgedrag in de documentatie van Windows-app
Wanneer deze optie is ingeschakeld, worden alle WebAuthn-aanvragen in de sessie omgeleid naar de lokale pc. U kunt Windows Hello voor Bedrijven of lokaal aangesloten beveiligingsapparaten gebruiken om het verificatieproces te voltooien.
Als u toegang wilt tot Microsoft Entra-bronnen met Windows Hello voor Bedrijven of beveiligingsapparaten, moet u de FIDO2-beveiligingssleutel inschakelen als verificatiemethode voor uw gebruikers. Als u deze methode wilt inschakelen, volgt u de stappen in de FIDO2-beveiligingssleutelmethode inschakelen.
Tip
Op Windows 11 versie 24H2 en hoger laten privacybesturingselementen gebruikers beslissen of wachtwoordsleutels kunnen worden gebruikt door een app of website. Als een gebruiker de vraag om privacytoestemming weigert, werkt wachtwoordsleutelregistratie en -verificatie mogelijk niet in Cloud PC-sessies. Om dit probleem op te lossen, vraagt u de gebruiker om wachtwoordsleuteltoegang opnieuw in te schakelen in Instellingen>Privacy & beveiliging>. Zie Problemen met privacytoestemming voor de wachtwoordsleutel van Windows 11 oplossen voor meer informatie.
Verificatie van smartcards tijdens de sessie
Als u een smartcard in uw sessie wilt gebruiken, moet u ervoor zorgen dat u de smartcardstuurprogramma's op de cloud-pc installeert en smartcardomleiding toestaat als onderdeel van het beheer van RDP-apparaatomleidingen voor cloud-pc's. Bekijk het vergelijkingsdiagram voor klanten om te controleren of omleiding via smartcards door uw client wordt ondersteund.