Configurer les politiques de groupe pour les serveurs AD

Une fois que les équipes ont importé un certificat dans Active Directory (AD), elles doivent encore configurer les ressources du serveur à utiliser avec Advanced Server Access. Okta recommande aux équipes de placer tous les serveurs protégés par Advanced Server Access dans une unité d'organisation (OU) distincte des autres ressources du domaine. Les équipes peuvent gérer les contrôleurs de domaine et les ressources au sein de l'OU de manière centralisée en utilisant un objet de politique de groupe (GPO).

Commencer la tâche

1. Distribuez le certificat en utilisant un GPO.
   1. Faites un clic droit sur l'objet des contrôleurs de domaine et sélectionnez Créer un GPO dans ce domaine et le lier ici….
   2. Dans la fenêtre Nouveau GPO, nommez le GPO Advanced Server Access - Certificat.
   3. Cliquez sur OK.
   4. Dans l'arborescence de la console, accédez à Computer Configuration\Policies\Windows Settings\Security Settings\Public Key Policies.
   5. Faites un clic droit sur Autorités de certification racines de confiance et cliquez sur Importer.
   6. Dans Bienvenue dans l'Assistant Importation du certificat, cliquez sur Suivant.
   7. Indiquez le chemin d'accès au fichier de certificat que vous avez précédemment créé et cliquez sur Suivant.
   8. Cliquez sur Placer tous les certificats dans la base suivante et cliquez sur Suivant.
   9. Vérifiez les informations et cliquez sur Terminer.
2. Désactivez l'authentification au niveau du réseau.
   1. Depuis l'écran Gestion des politiques de groupe, identifiez le GPO Advanced Server Access - Certificat.
   2. Faites un clic droit sur le GPO et cliquez sur Modifier.
   3. Dans l'arborescence de la console, accédez à Computer Configuration\Policies\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security.
   4. Double-cliquez sur Requérir l'authentification utilisateur pour les connexions à distance à l'aide de l'authentification au niveau du réseau.
   5. Dans la fenêtre des propriétés, sélectionnez Désactivé.
   6. Cliquez sur Appliquer, puis sur OK.
3. Affectez le GPO à l'OU Advanced Server Access.
   1. Identifiez l'OU Advanced Server Access à partir du composant logiciel enfichable de gestion des politiques de groupe.
   2. Faites un clic droit sur le contrôleur de domaine, puis cliquez sur Lier un GPO existant.
   3. Dans la fenêtre Sélectionner un GPO, sélectionnez le GPO Advanced Server Access - Certificat.
   4. Cliquez sur OK.
4. Exigez l'authentification par carte à puce pour les comptes.
   Remarque :

   • N'appliquez pas cette politique aux contrôleurs de domaine tant que l'authentification sans mot de passe n'a pas fait l'objet de tests approfondis. Dans le cas contraire, vous risquez d'être exclus du domaine.
   • Si votre org Okta utilise l'authentification déléguée Active Directory, l'application de cette politique aux comptes utilisateurs empêchera ces derniers d'accéder au tableau de bord Okta.
   1. Faites un clic droit sur l'OU Advanced Server Access et sélectionnez Créer un GPO dans ce domaine et le lier ici….
   2. Dans la fenêtre Nouveau GPO, nommez le GPO Advanced Server Access - Authentification.
   3. Cliquez sur OK.
   4. Dans l'arborescence de la console, accédez à Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options.
   5. Double-cliquez sur Ouverture de session interactive : Windows Hello Entreprise ou carte à puce nécessaire. Remarque : Certaines versions de Windows utilisent plutôt Ouverture de session interactive : carte à puce nécessaire.
   6. Dans la fenêtre des propriétés, sélectionnez Définir ce paramètre de politique.
   7. Sélectionnez Activé. Avertissement : Les équipes ne doivent pas mettre en place l'authentification par carte à puce pour accéder aux contrôleurs de domaine tant que l'authentification sans mot de passe n'a pas fait l'objet de tests approfondis. Dans le cas contraire, les équipes risquent d'être exclues du domaine.
   8. Cliquez sur Appliquer, puis sur OK.

Étapes suivantes

Ajouter un certificat à une connexion AD