Configurer l'accès RDP aux serveurs Windows

Signer les fichiers RDP

La mise à jour Windows de Microsoft d'avril 2026 entraîne l'affichage par mstsc.exe d'un avertissement « Attention : connexion à distance inconnue » pour les fichiers .rdp non signés. Le client sft crée un fichier .rdp pour chaque connexion RDP ; c'est pourquoi les utilisateurs voient cet avertissement chaque fois qu'ils se connectent. Consultez Comprendre les avertissements de sécurité dans la documentation Microsoft.

Lorsque vous activez la signature RDP, Okta Privileged Access signe le fichier .rdp via un certificat propre à votre équipe, et l'avertissement passe à une invite « Vérifier l'éditeur ». Pour supprimer l'invite, installez le certificat et ajoutez son empreinte numérique à la liste blanche sur chaque machine gérée.

Si la signature n'est pas disponible, sft utilise un fichier .rdpnon signé et la connexion se poursuit.

Pour signer des fichiers RDP, vous devez effectuer les tâches suivantes dans l'ordre. Si vous ignorez une tâche, les utilisateurs verront toujours une invite de sécurité lorsqu'ils se connecteront.

1. Mettre à jour sftd
2. Activer la signature RDP
3. Obtenir le certificat de signature et l'empreinte numérique
4. Installer le certificat
5. Ajouter l'empreinte numérique à la liste blanche

Mettre à jour sftd

La signature RDP requiert la dernière version de sftdsur la cible Windows. Les versions antérieures ne la prennent pas en charge. Mettez à jour sftd sur chaque serveur Windows auquel vos utilisateurs se connectent via RDP, en utilisant votre processus de mise à niveau sftd habituel.

Activer la signature RDP

La signature RDP est désactivée par défaut. Pour vous inscrire, exécutez la commande suivante sur chaque machine cliente :

sft config beta.rdp_signing true

Après avoir activé la signature RDP, sft rdp demande automatiquement un fichier .rdp signé.

Obtenir le certificat de signature et l'empreinte numérique

Exécutez la commande suivante :

sft rdp --certificate

La commande imprime l'empreinte numérique du certificat de signature de votre équipe ainsi que le certificat au format PEM. Il n'installe ni ne modifie quoi que ce soit sur la machine. Par exemple :

RDP signing certificate thumbprint:
sha256:<sha256_thumbprint>,<sha1_thumbprint>

RDP signing certificate (PEM):
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

Pour supprimer l'invite, installez le certificat et ajoutez l'empreinte numérique à la liste blanche de chaque machine géré. Si vous n'effectuez qu'une seule de ces procédures, l'invite « Vérifier l'éditeur » apparaît toujours. Les deux procédures nécessitent un accès administrateur.

Installer le certificat

Installez le certificat dans les magasins de certificats LocalMachine\Root et LocalMachine\TrustedPublisher afin que Windows fasse confiance à l'éditeur. Enregistrez le résultat PEM de sft rdp --certificate en tant que okta-rdp-signing.cer, puis utilisez l'une des méthodes suivantes.

Politique de groupe (recommandée pour les flottes gérées)

1. Dans l'Éditeur de la politique de groupe, accédez à Configuration de l'ordinateur > Paramètres Windows > Paramètres de sécurité > Politiques des clés publiques.
2. Importez okta-rdp-signing.cer à la fois dans Autorités de certification racines de confiance et Éditeurs de confiance.
3. Exécutez gpupdate /force sur les machines cibles ou attendez la prochaine actualisation de la politique.

Gestionnaire de certificats (appareil unique)

1. Appuyez sur Win + R, puis exécutez certlm.msc.
2. Faites un clic droit sur Autorités de certification racines de confiance > Certificats, puis sélectionnez Toutes les tâches > Importer.
3. Importez okta-rdp-signing.cer.
4. Répétez l'importation pour Éditeurs de confiance > Certificats.

PowerShell (appareil unique)

Exécutez les commandes suivantes en tant qu'administrateur :

Import-Certificate -FilePath .\okta-rdp-signing.cer -CertStoreLocation Cert:\LocalMachine\Root
Import-Certificate -FilePath .\okta-rdp-signing.cer -CertStoreLocation Cert:\LocalMachine\TrustedPublisher

Ajouter l'empreinte numérique à la liste blanche

Ajoutez l'empreinte numérique à la politique TrustedCertThumbprints pour que mstsc ignore l'invite de vérification de l'éditeur pour ce certificat.

La chaîne d'empreintes numériques de sft rdp --certificate contient l'empreinte numérique SHA-256 (préfixée par sha256:) et l'empreinte numérique SHA-1, séparées par une virgule. Copiez la chaîne complète et conservez les deux hachages. Windows correspond au hachage qu'il prend en charge. Les machines avec la mise à jour KB5101650 (juillet 2026) ou ultérieure reconnaissent l'un ou l'autre des hachages. Les machines antérieures ne reconnaissent que l'empreinte numérique SHA-1.

Politique de groupe (recommandée pour les flottes gérées)

1. Dans l'Éditeur de politique de groupe, accédez à Configuration de l'ordinateur > Modèles administratifs > Composants Windows > Services de bureau à distance > Client de connexion au Bureau à distance.
2. Activez Spécifier les empreintes SHA1 des certificats correspondant aux éditeurs .rdp de confiance.
3. Collez la chaîne d'empreinte numérique complète dans la liste.
4. Exécutez gpupdate /force sur les machines cibles ou attendez la prochaine actualisation de la politique.

Éditeur de registre (machine unique)

1. Appuyez sur Win + R, puis exécutez regedit.
2. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services. Si la clé Terminal Services n'existe pas, créez-la.
3. Ajoutez une valeur de chaîne nommée TrustedCertThumbprints.
4. Définissez la valeur sur la chaîne d'empreinte numérique complète. Pour approuver plusieurs certificats, séparez les chaînes d'empreintes numériques par une virgule au sein de la même valeur.

PowerShell (appareil unique)

Exécutez les commandes suivantes en tant qu'administrateur. Remplacez la valeur de $thumbprint par la chaîne d'empreinte numérique complète.

$thumbprint = "sha256:<sha256_thumbprint>,<sha1_thumbprint>"

New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" `
  -Name "TrustedCertThumbprints" -Value $thumbprint

Résoudre les problèmes liés à l'invite « Vérifier l'éditeur »

Si l'invite « Vérifier l'éditeur » apparaît toujours, vérifiez les éléments suivants :

• Vérifiez que vous avez activé beta.rdp_signing. Exécutez sft config beta.rdp_signing pour vérifier la valeur.
• Vérifiez que vous avez installé le certificat dans les deux magasins de certificats.
• Vérifiez que la politique relative aux empreintes numériques a bien été appliquée. Exécutez gpresult /r si vous utilisez les politiques de groupe, ou vérifiez la clé de registre.
• Vérifiez que vous avez bien copié l'intégralité de la chaîne de l'empreinte numérique, et pas seulement l'un des deux hachages.