Impor a autenticação multifator do Microsoft Entra para a Área de Trabalho Virtual do Azure usando o Acesso Condicional

Os usuários podem entrar na Área de Trabalho Virtual do Azure de qualquer lugar usando diferentes dispositivos e clientes. No entanto, há certas medidas que você deve tomar para ajudar a manter seu ambiente e seus usuários seguros. O uso da MFA (autenticação multifator) do Microsoft Entra com a Área de Trabalho Virtual do Azure solicita aos usuários durante o processo de entrada outra forma de identificação, além de seu nome de usuário e senha. Você pode impor a MFA para a Área de Trabalho Virtual do Azure usando o Acesso Condicional e também pode configurar se ela se aplica ao cliente Web, aplicativos móveis, clientes de área de trabalho ou todos os clientes.

Quando um usuário se conecta a uma sessão remota, ele precisa se autenticar no serviço da Área de Trabalho Virtual do Azure e no host da sessão. Se a MFA estiver habilitada, ela será usada ao se conectar ao serviço da Área de Trabalho Virtual do Azure e o usuário será solicitado a fornecer sua conta de usuário e uma segunda forma de autenticação, da mesma forma que acessa outros serviços. Quando um usuário inicia uma sessão remota, um nome de usuário e uma senha são necessários para o host da sessão, mas isso é contínuo para o usuário se o logon único (SSO) estiver habilitado. Para obter mais informações, consulte Métodos de autenticação.

A frequência com que um usuário é solicitado a se autenticar novamente depende das políticas de vida da sessão adaptável de Acesso Condicional do Microsoft Entra. Embora lembrar credenciais seja conveniente, isso também pode tornar as implantações usando dispositivos pessoais menos seguras. Para proteger seus usuários, você pode garantir que o cliente solicite credenciais de autenticação multifator do Microsoft Entra com mais frequência. Você pode usar a frequência de entrada do acesso condicional para configurar esse comportamento.

Saiba como impor a MFA para a Área de Trabalho Virtual do Azure e, opcionalmente, configurar a frequência de entrada nas seções a seguir.

Pré-requisitos

Veja o que você precisa para começar:

• Atribua aos usuários uma licença que inclua o Microsoft Entra ID P1 ou P2.
• Um grupo do Microsoft Entra com seus usuários da Área de Trabalho Virtual do Azure atribuídos como membros do grupo.
• Habilite a autenticação multifator do Microsoft Entra.

Criar uma política de Acesso Condicional

Veja como criar uma política de Acesso Condicional que exija autenticação multifator ao se conectar à Área de Trabalho Virtual do Azure:

1. Entre no centro de administração do Microsoft Entra como pelo menos um Administrador de Acesso Condicional.

2. Navegue até Políticas deacesso >condicionalde proteção>.

3. Selecione Nova política.

4. Dê um nome à sua política. Recomendamos que as organizações criem um padrão significativo para os nomes de suas políticas.

5. Em Usuários de Atribuições>, selecione 0 usuários e grupos selecionados.

6. Na guia Incluir, selecione Selecionar usuários e grupos e marque Usuários e grupos e, em seguida, em Selecionar, selecione 0 usuários e grupos selecionados.

7. No novo painel que é aberto, pesquise e escolha o grupo que contém seus usuários da Área de Trabalho Virtual do Azure como membros do grupo e, em seguida, selecione Selecionar.

8. Em Atribuições Recursos de>destino, selecione Nenhum recurso de destino selecionado.

9. Para a lista suspensa Selecione a que essa política se aplica, deixe o padrão de Recursos (anteriormente aplicativos em nuvem). Na guia Incluir , selecione Selecionar recursos e, em seguida, em Selecionar, selecione Nenhum.

10. No novo painel que é aberto, pesquise e selecione os aplicativos necessários com base nos recursos que você está tentando proteger. Selecione a guia relevante para seu cenário. Ao procurar o nome de um aplicativo no Azure, use termos de pesquisa que começam com o nome do aplicativo em ordem, em vez de palavras-chave que o nome do aplicativo contém fora de ordem. Por exemplo, quando você quiser usar a Área de Trabalho Virtual do Azure, será necessário inserir 'Virtual do Azure', nessa ordem. Se você digitar 'virtual' sozinho, a pesquisa não retornará o aplicativo desejado.

    • Área de Trabalho Virtual do Azure
    • Área de Trabalho Virtual do Azure (clássica)

    Para Área de Trabalho Virtual do Azure (com base no Azure Resource Manager), você pode configurar a MFA nestes aplicativos diferentes:

    • Área de Trabalho Virtual do Azure (ID 9cdead84-a844-4324-93f2-b2e6bb768d07do aplicativo), que se aplica quando o usuário assina a Área de Trabalho Virtual do Azure, se autentica no Gateway de Área de Trabalho Virtual do Azure durante uma conexão e quando as informações de diagnóstico são enviadas ao serviço do dispositivo local do usuário.

      Dica

      Anteriormente, o nome do aplicativo era Windows Virtual Desktop. Se você registrou o provedor de recursos Microsoft.DesktopVirtualization antes da alteração do nome de exibição, o aplicativo será nomeado Área de Trabalho Virtual do Windows com a mesma ID de aplicativo que a Área de Trabalho Virtual do Azure.

    • Logon de nuvem do Windows (ID 270efc09-cd0d-444b-a71f-39af4910ec45do aplicativo), que se aplica quando o usuário se autentica no host da sessão quando o logon único está habilitado. Recomendamos que você combine as políticas de acesso condicional entre esses aplicativos e o aplicativo da Área de Trabalho Virtual do Azure, exceto pela frequência de entrada.

      Importante

      • Se você se conectar à Área de Trabalho Virtual do Azure com thin clients, entre em contato com o provedor do cliente para confirmar que você deve usar as políticas de Logon na Nuvem do Windows para Acesso Condicional para conexões de logon único.

      • Não selecione o aplicativo chamado Área de Trabalho Virtual do Azure Azure Resource Manager Provider (ID 50e95039-b200-4007-bc97-8d5790743a63do aplicativo). Este aplicativo é usado apenas para recuperar o feed do usuário e não deve ter autenticação multifator.

11. Depois de selecionar seus aplicativos, selecione Selecionar.

    

12. Em Condições de atribuições, selecione 0 seleção de> condições.

13. Em Aplicativos cliente, selecione Não configurado.

14. No novo painel que é aberto, para Configurar, selecione Sim.

15. Selecione os aplicativos cliente aos quais essa política se aplica:

    • Selecione Navegador se quiser que a política se aplique ao cliente Web.
    • Selecione Aplicativos móveis e clientes de desktop se quiser aplicar a política a outros clientes.
    • Marque ambas as caixas de marcação se quiser aplicar a política a todos os clientes.
    • Desmarque os valores dos clientes de autenticação herdados.

    

16. Depois de selecionar os aplicativos cliente aos quais essa política se aplica, selecione Concluído.

17. Em Conceder controles de> acesso, selecione 0 controles selecionados.

18. No novo painel que é aberto, selecione Conceder acesso.

19. Marque Exigir autenticação multifator e, em seguida, selecione Selecionar.

20. Na parte inferior da página, defina Habilitar política como Ativado e selecione Criar.

Configurar a frequência de entrada

As políticas de frequência de entrada permitem configurar a frequência com que os usuários devem entrar ao acessar recursos baseados no Microsoft Entra. Isso pode ajudar a proteger seu ambiente e é especialmente importante para dispositivos pessoais, onde o sistema operacional local pode não exigir MFA ou pode não ser bloqueado automaticamente após inatividade. Os usuários são solicitados a se autenticar somente quando um novo token de acesso é solicitado do Microsoft Entra ID ao acessar um recurso.

As políticas de frequência de entrada resultam em comportamento diferente com base no aplicativo Microsoft Entra selecionado:

Para configurar o período após o qual um usuário é solicitado a entrar novamente:

1. Abra a política criada anteriormente.
2. Em Sessão de controles de> acesso, selecione 0 controles selecionados.
3. No painel Sessão , selecione a frequência de entrada.
4. Selecione Reautenticação periódica ou Todas as vezes.
   • Se você selecionar Reautenticação periódica, defina o valor para o período de tempo após o qual um usuário será solicitado a entrar novamente ao executar uma ação que exija um novo token de acesso e, em seguida, selecione Selecionar. Por exemplo, definir o valor como 1 e a unidade como Horas exigirá autenticação multifator se uma conexão for iniciada mais de uma hora após a última autenticação do usuário.
   • A opção Todas as vezes só é suportada quando aplicada ao aplicativo Windows Cloud Login quando o logon único está habilitado para seu pool de host. Se você selecionar Todas as vezes, os usuários serão solicitados a se autenticar novamente ao iniciar uma nova conexão após um período de 5 a 10 minutos desde a última autenticação.
5. Na parte inferior da página, selecione Salvar.

Estrutura da política de Acesso Condicional recomendada

Quando o logon único está habilitado para a Área de Trabalho Virtual do Azure, dois aplicativos do Microsoft Entra estão envolvidos na conexão: o aplicativo Área de Trabalho Virtual do Azure lida com a assinatura de feed e a autenticação de gateway, e o aplicativo Logon de Nuvem do Windows lida com a entrada do host da sessão. Ambos os aplicativos precisam de políticas de Acesso Condicional que estejam alinhadas entre si ou os usuários veem prompts de autenticação multifator em momentos inesperados.

Lista de verificação de pré-configuração

Conclua essas verificações antes de habilitar o SSO no pool de hosts.

Verifique os registros do aplicativo:

• Confirme se o ID (aplicativo da Área de Trabalho Virtual) 9cdead84-a844-4324-93f2-b2e6bb768d07do Azure existe em seu locatário.
• Confirme se o aplicativo de Logon de Nuvem do Windows (ID: 270efc09-cd0d-444b-a71f-39af4910ec45) existe em seu locatário.
• Não adicione o Azure Virtual Desktop Azure Resource Manager Provider (ID: 50e95039-b200-4007-bc97-8d5790743a63) a nenhuma política de Acesso Condicional. Este aplicativo é apenas para recuperação de feed e não deve ter autenticação multifator imposta.

Verifique se há conflitos:

• Listar todas as políticas de Acesso Condicional direcionadas a Todos os aplicativos de nuvem. Essas políticas se aplicam às sessões de SSO da Área de Trabalho Virtual do Azure e podem bloquear o acesso inesperadamente.
• Verifique se alguma política exige conformidade do dispositivo. Os hosts de sessão da Área de Trabalho Virtual do Azure ingressados no Entra podem não atender às políticas de conformidade projetadas para pontos de extremidade do usuário.
• Verifique se alguma política aplica restrições baseadas em localização. Para o aplicativo da Área de Trabalho Virtual do Azure, as políticas baseadas em localização são avaliadas em relação ao IP do cliente do usuário. Para o aplicativo Logon na Nuvem do Windows (SSO para host de sessão), o endereço IP visto pelo Acesso Condicional pode ser diferente do IP do cliente do usuário, dependendo do roteamento de rede. Teste as políticas baseadas em localização em relação a ambos os aplicativos antes de impor.
• Verifique se nenhuma política bloqueia o aplicativo de logon de nuvem do Windows .
• Verifique se nenhuma política bloqueia o aplicativo do Windows 365 (0af06dc6-e4b5-4f28-818e-e78e62d137a5). O aplicativo do aplicativo do Windows se autentica para os aplicativos da Área de Trabalho Virtual do Azure e do Windows 365, mesmo que o usuário tenha apenas recursos da Área de Trabalho Virtual do Azure. Uma política de Acesso Condicional que bloqueia o aplicativo do Windows 365 causa falhas de entrada para usuários da Área de Trabalho Virtual do Azure.

Desabilite a autenticação multifator herdada por usuário:

No centro de administração do Microsoft Entra, acesse Usuários de identidade>>Todos os usuários e selecione MFA por usuário na barra de ferramentas. Confirme se a autenticação multifator por usuário está desabilitada para todos os usuários da Área de Trabalho Virtual do Azure. Para obter mais informações, consulte VMs de host de sessão ingressadas no Microsoft Entra.

Estrutura de duas políticas

Crie duas políticas separadas em vez de uma política combinada.

Política 1 - Autenticação do serviço da Área de Trabalho Virtual do Azure:

Política 2 - Autenticação SSO do host da sessão:

Fluxo de autenticação

Quando um usuário se conecta, os dois aplicativos são avaliados em pontos diferentes:

1. O aplicativo do aplicativo do Windows do usuário se autentica no aplicativo da Área de Trabalho Virtual do Azure. A política 1 foi avaliada. Um token é emitido.
2. O aplicativo do aplicativo do Windows entra em contato com o Gateway de Área de Trabalho Virtual do Azure usando o token.
3. O Gateway inicia o SSO do host de sessão através do aplicativo Windows Cloud Login . A política 2 é avaliada.
4. O aplicativo Windows Cloud Login emite um token do Microsoft Entra para o host da sessão.
5. O host da sessão aceita o token e a sessão está pronta.

A política 1 controla a etapa 1. A política 2 controla a etapa 3. Quando ambos são configurados corretamente, os usuários veem um único prompt de autenticação multifator (se necessário) e entram na sessão sem problemas.

Erros comuns de configuração

Verificação pós-configuração

Após habilitar o SSO e configurar políticas de Acesso Condicional:

1. Conecte-se à Área de Trabalho Virtual do Azure usando o aplicativo do Windows.
2. Confirme a autenticação uma vez (com autenticação multifator, se necessário) e entre na sessão sem um segundo prompt de credencial.
3. No centro de administração do Microsoft Entra, acesse Monitoramento de identidade> &Logs de login deintegridade> e filtre por usuário de teste. Verificar:
   • Área de Trabalho Virtual do Azure: Status: êxito, política de Acesso Condicional correta aplicada.
   • Logon de Nuvem do Windows: Status: Êxito, política de Acesso Condicional correta aplicada.
4. Se qualquer um deles mostrar Falha, selecione a entrada e marque a guia Acesso Condicional para identificar qual política bloqueou a entrada.

Se os usuários ainda virem prompts de entrada repetidos, confira Solucionar problemas de logon único e acesso condicional para a Área de Trabalho Virtual do Azure.

VMs de host de sessão ingressadas no Microsoft Entra

Para que as conexões sejam bem-sucedidas, você deve desabilitar o método de entrada de autenticação multifator herdado por usuário. Se você não quiser restringir a entrada a métodos de autenticação fortes, como o Windows Hello para Empresas, precisará excluir o Azure aplicativo de VM do Windows Sign-In da política de Acesso Condicional.

Próximas etapas

• Saiba mais sobre as políticas de Acesso Condicional
• Saiba mais sobre a frequência de entrada do usuário