Microsoft Entra Id kullanarak şirket içi kaynaklarda parolasız güvenlik anahtarı oturum açma özelliğini etkinleştirme

Bu konu başlığında, Windows 10 sürüm 2004 veya üzerini çalıştıran cihazlarla ortamlar için şirket içi kaynaklarda parolasız kimlik doğrulamasının nasıl etkinleştirileceği gösterilmektedir. Cihazlar Microsoft Entra'ya katılmış veya Microsoft Entra karma katılmış olabilir. Bu parolasız kimlik doğrulama işlevi, Microsoft uyumlu güvenlik anahtarlarını kullandığınızda veya İş İçin Windows Hello Bulut güveniyle şirket içi kaynaklara sorunsuz çoklu oturum açma (SSO) sağlar.

FIDO2 anahtarlarını kullanarak şirket içi kaynaklarda oturum açmak için SSO kullanma

Microsoft Entra Id, bir veya daha fazla Active Directory etki alanınız için Kerberos bilet verme biletleri (TGT) verebilir. Bu işlevsellikle, kullanıcılar FIDO2 güvenlik anahtarları gibi modern kimlik bilgileriyle Windows'ta oturum açabilir ve ardından geleneksel Active Directory tabanlı kaynaklara erişebilir. Kerberos Hizmet Biletleri ve yetkilendirme, şirket içi Active Directory etki alanı denetleyicileriniz (DC) tarafından denetlenmeye devam eder.

şirket içi Active Directory örneğinizde bir Microsoft Entra Kerberos sunucu nesnesi oluşturulur ve ardından Microsoft Entra Id'de güvenli bir şekilde yayımlanır. Nesne hiçbir fiziksel sunucuyla ilişkili değil. Yalnızca, Active Directory etki alanınız için Kerberos TGT'leri oluşturmak üzere Microsoft Entra Id tarafından kullanılabilecek bir kaynaktır.

1. Bir kullanıcı, FIDO2 güvenlik anahtarıyla Windows 10 cihazında oturum açar ve Microsoft Entra Kimliği'nde kimlik doğrulaması yapar.

2. Microsoft Entra Id, kullanıcının şirket içi Active Directory etki alanıyla eşleşen bir Kerberos Server anahtarının dizinini denetler.

   Microsoft Entra Id, kullanıcının şirket içi Active Directory etki alanı için bir Kerberos TGT oluşturur. TGT yalnızca kullanıcının SID'sini içerir ve yetkilendirme verileri yoktur.

3. TGT, kullanıcının Microsoft Entra Birincil Yenileme Belirteci (PRT) ile birlikte istemciye döndürülür.

4. İstemci makine bir şirket içi Active Directory Etki Alanı Denetleyicisi ile iletişim kurar ve kısmi TGT'yi tam biçimlendirilmiş bir TGT ile takas eder.

5. İstemci makinesi artık bir Microsoft Entra PRT'sine ve tam bir Active Directory TGT'sine sahiptir ve hem bulut hem de şirket içi kaynaklara erişebilir.

Önkoşullar

Bu makaledeki yordamlara başlamadan önce, kuruluşunuzun Kuruluşunuz için geçiş anahtarlarını etkinleştirme (FIDO2) başlığı altında yer alan yönergeleri tamamlaması gerekir.

Aşağıdaki sistem gereksinimlerini de karşılamanız gerekir:

• Cihazların Windows 10 sürüm 2004 veya üzerini çalıştırıyor olması gerekir.

• Windows Server etki alanı denetleyicilerinizin Windows Server 2016 veya üzerini çalıştırması ve aşağıdaki sunucular için düzeltme eklerinin yüklü olması gerekir:

  • Windows Server 2016
  • Windows Server 2019

• Ağ güvenliği: Kerberos ilkesi için izin verilen şifreleme türlerini yapılandırma etki alanı denetleyicilerinde yapılandırıldığında AES256_HMAC_SHA1 etkinleştirilmelidir.

• Senaryodaki adımları tamamlamak için gereken kimlik bilgilerini sağlayın:

  • Bir etki alanı için Domain Admins grubunun ve bir orman için Enterprise Admins grubunun üyesi olan bir Active Directory kullanıcısı. $domainCred olarak adlandırılır.
  • Genel Yöneticiler rolünün üyesi olan bir Microsoft Entra kullanıcısı. $cloudCred olarak adlandırılır.

• Kullanıcılar, Microsoft Entra Connect aracılığıyla aşağıdaki Microsoft Entra özniteliklerine sahip olmalıdır:

  • onPremisesSamAccountName (accountName Microsoft Entra Connect'te)
  • onPremisesDomainName (domainFQDN Microsoft Entra Connect'te)
  • onPremisesSecurityIdentifier (objectSID Microsoft Entra Connect'te)

  Microsoft Entra Connect bu öznitelikleri varsayılan olarak eşitler. Eşitlenecek öznitelikleri değiştirirseniz, eşitleme için , domainFQDNve objectSID öğesini seçtiğinizden accountNameemin olun.

Desteklenen senaryolar

Bu makaledeki senaryo, aşağıdaki örneklerin her ikisinde de SSO'yi destekler:

• Microsoft 365 ve diğer Güvenlik Onaylama İşaretleme Dili (SAML) özellikli uygulamalar gibi bulut kaynakları.
• Şirket içi kaynaklar ve Web siteleri için Windows ile tümleşik kimlik doğrulaması. Kaynaklar, IIS kimlik doğrulaması gerektiren web sitelerini ve SharePoint sitelerini ve/veya NTLM kimlik doğrulamasını kullanan kaynakları içerebilir.

Desteklenmeyen senaryolar

Aşağıdaki senaryolar desteklenmez:

• Windows Server Active Directory Etki Alanı Services (AD DS) ile katılmış (yalnızca şirket içi cihazlar) dağıtımı.
• Bir güvenlik anahtarı kullanarak Uzak Masaüstü Protokolü (RDP), sanal masaüstü altyapısı (VDI) ve Citrix senaryoları.
• Güvenlik anahtarı kullanarak S/MIME.
• Bir güvenlik anahtarı kullanarak farklı çalıştırın.
• Güvenlik anahtarı kullanarak bir sunucuda oturum açın.

AzureADHybridAuthenticationManagement Modülü yükleme

Modül, AzureADHybridAuthenticationManagement yöneticiler için FIDO2 yönetim özellikleri sağlar.

1. Yönetici olarak çalıştır seçeneğini kullanarak bir PowerShell istemi açın.

2. AzureADHybridAuthenticationManagement Modülü yükleyin:

   # First, ensure TLS 1.2 for PowerShell gallery access.
   [Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12
   
   # Install the AzureADHybridAuthenticationManagement PowerShell module.
   Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber
   

Kerberos Server nesnesi oluşturma

Yöneticiler, şirket içi dizinlerinde bir Microsoft Entra Kerberos sunucu nesnesi oluşturmak için modülünü kullanır AzureADHybridAuthenticationManagement . Nesne, Microsoft Entra Connect sunucusunda veya Microsoft.Online.PasswordSynchronization.Rpc.dll bağımlılığının yüklü olduğu bir sunucuda oluşturulmalıdır.

Kuruluşunuzdaki Microsoft Entra kullanıcılarını içeren her etki alanında ve ormanda aşağıdaki adımları çalıştırın:

1. Yönetici olarak çalıştır seçeneğini kullanarak bir PowerShell istemi açın.
2. Hem şirket içi Active Directory etki alanınızda hem de Microsoft Entra kiracınızda yeni bir Microsoft Entra Kerberos sunucu nesnesi oluşturmak için aşağıdaki PowerShell komutlarını çalıştırın.

Azure Bulutu(Varsayılan olarak Azure Ticari) seçeneğini belirleyin

Cmdlet varsayılan olarak Set-AzureADKerberosSever Ticari bulut uç noktalarını kullanır. Kerberos'ı başka bir bulut ortamında yapılandırıyorsanız, cmdlet'ini belirtilen bulutu kullanacak şekilde ayarlamanız gerekir.

Kullanılabilir bulutların listesini ve değiştirilmesi gereken sayısal değeri almak için aşağıdakileri çalıştırın:
Get-AzureADKerberosServerEndpoint

Örnek Çıkış:

Current Endpoint = 0(Public)
Supported Endpoints:
   0 :Public
   1 :China
   2 :Us Government

İstediğiniz bulut ortamının yanındaki sayısal değeri not edin.

Ardından istenen bulut ortamını ayarlamak için aşağıdakileri çalıştırın:

(Örnek: ABD Kamu Bulutu için)

Set-AzureADKerberosServerEndpoint -TargetEndpoint 2

Tüm kimlik bilgileri için örnek 1 istemi

# Specify the on-premises Active Directory domain. A new Microsoft Entra ID
# Kerberos Server object will be created in this Active Directory domain.
$domain = $env:USERDNSDOMAIN

# Enter an Azure Active Directory Global Administrator username and password.
$cloudCred = Get-Credential -Message 'An Active Directory user who is a member of the Global Administrators group for Microsoft Entra ID.'

# Enter a Domain Administrator username and password.
$domainCred = Get-Credential -Message 'An Active Directory user who is a member of the Domain Admins group.'

# Create the new Microsoft Entra ID Kerberos Server object in Active Directory
# and then publish it to Azure Active Directory.
Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

Örnek 2 bulut kimlik bilgisi istemi

# Specify the on-premises Active Directory domain. A new Microsoft Entra ID
# Kerberos Server object will be created in this Active Directory domain.
$domain = $env:USERDNSDOMAIN

# Enter an Azure Active Directory Global Administrator username and password.
$cloudCred = Get-Credential

# Create the new Microsoft Entra ID Kerberos Server object in Active Directory
# and then publish it to Azure Active Directory.
# Use the current windows login credential to access the on-premises AD.
Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred

Örnek 3 modern kimlik doğrulaması kullanan tüm kimlik bilgileri istemi

# Specify the on-premises Active Directory domain. A new Microsoft Entra ID
# Kerberos Server object will be created in this Active Directory domain.
$domain = $env:USERDNSDOMAIN

# Enter a UPN of a Global Administrator
$userPrincipalName = "administrator@contoso.onmicrosoft.com"

# Enter a Domain Administrator username and password.
$domainCred = Get-Credential

# Create the new Microsoft Entra ID Kerberos Server object in Active Directory
# and then publish it to Azure Active Directory.
# Open an interactive sign-in prompt with given username to access the Microsoft Entra ID.
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential $domainCred

Örnek 4 modern kimlik doğrulaması kullanan bulut kimlik bilgileri istemi

# Specify the on-premises Active Directory domain. A new Microsoft Entra ID
# Kerberos Server object will be created in this Active Directory domain.
$domain = $env:USERDNSDOMAIN

# Enter a UPN of a Global Administrator
$userPrincipalName = "administrator@contoso.onmicrosoft.com"

# Create the new Microsoft Entra ID Kerberos Server object in Active Directory
# and then publish it to Azure Active Directory.
# Open an interactive sign-in prompt with given username to access the Microsoft Entra ID.
Set-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName

Microsoft Entra Kerberos sunucusunu görüntüleme ve doğrulama

Aşağıdaki komutu kullanarak yeni oluşturulan Microsoft Entra Kerberos sunucusunu görüntüleyebilir ve doğrulayabilirsiniz:

 # When prompted to provide domain credentials use the userprincipalname format for the username instead of domain\username
Get-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential (get-credential)

Bu komut, Microsoft Entra Kerberos sunucusunun özelliklerini oluşturur. Her şeyin düzgün olduğunu doğrulamak için özellikleri gözden geçirebilirsiniz.

Microsoft Entra Kerberos sunucu anahtarını döndürme

Microsoft Entra Kerberos sunucu şifreleme krbtgt anahtarları düzenli olarak döndürülmelidir. Diğer tüm Active Directory DC krbtgt anahtarlarını döndürmek için kullandığınız zamanlamanın aynısını izlemenizi öneririz.

Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred -RotateServerKey

Microsoft Entra Kerberos sunucusunu kaldırma

Senaryoyu geri almak ve Microsoft Entra Kerberos sunucusunu hem şirket içi Active Directory hem de Microsoft Entra Kimliği'nden kaldırmak istiyorsanız aşağıdaki komutu çalıştırın:

Remove-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

Çok ormanlı ve çok etki alanılı senaryolar

Microsoft Entra Kerberos sunucu nesnesi, Microsoft Entra ID'de KerberosDomain nesnesi olarak temsil edilir. Her şirket içi Active Directory etki alanı, Microsoft Entra Id'de tek bir KerberosDomain nesnesi olarak temsil edilir.

Örneğin, kuruluşunuzun ve olmak üzere iki etki alanı contoso.com fabrikam.comiçeren bir Active Directory ormanı olduğunu varsayalım. Microsoft Entra Id'nin tüm orman için Kerberos TGT'leri vermesine izin vermeyi seçerseniz, Microsoft Entra Id'de iki KerberosDomain nesnesi vardır; biri için contoso.com KerberosDomain nesnesi ve diğeri içinfabrikam.com. Birden çok Active Directory ormanınız varsa, her ormandaki her etki alanı için bir KerberosDomain nesnesi vardır.

Microsoft Entra kullanıcılarını içeren kuruluşunuzdaki her etki alanında ve ormanda Kerberos Server nesnesi oluşturma başlığındaki yönergeleri izleyin.

Bilinen davranış

Parolanızın süresi dolduysa FIDO ile oturum açma engellenir. Beklenti, kullanıcıların FIDO kullanarak oturum açabilmesi için parolalarını sıfırlamalarıdır. Bu davranış, İş İçin Windows Hello bulut kerberos güveniyle eşitlenmiş karma şirket içi kullanıcı oturum açma işlemleri için de geçerlidir.

Sorun giderme ve geri bildirim

Sorunlarla karşılaşırsanız veya bu parolasız güvenlik anahtarı oturum açma özelliği hakkında geri bildirim paylaşmak istiyorsanız, aşağıdakileri yaparak Windows Geri Bildirim Merkezi uygulaması aracılığıyla paylaşın:

1. Geri Bildirim Merkezi'ne gidin ve oturum açtığınızdan emin olun.
2. Aşağıdaki kategorileri seçerek geri bildirim gönderin:
   • Kategori: Güvenlik ve Gizlilik
   • Alt kategori: FIDO
3. Günlükleri yakalamak için Sorunumu yeniden oluştur seçeneğini kullanın.

Parolasız güvenlik anahtarıyla oturum açma hakkında SSS

Parolasız oturum açma hakkında sık sorulan soruların bazı yanıtları aşağıdadır:

Parolasız güvenlik anahtarı oturum açma işlemi şirket içi ortamımda çalışıyor mu?

Özellik, saf bir şirket içi AD DS ortamında çalışmaz.

Kuruluşum kaynaklara erişmek için iki öğeli kimlik doğrulaması gerektiriyor. Bu gereksinimi desteklemek için ne yapabilirim?

Güvenlik anahtarları çeşitli form faktörleriyle birlikte gelir. Cihazlarının ikinci bir faktör olarak PIN veya biyometrik olarak nasıl etkinleştirilebileceğini tartışmak için kayıt cihazı üreticisine başvurun.

Yöneticiler güvenlik anahtarlarını ayarlayabilir mi?

Bu özelliğin genel kullanılabilirlik (GA) sürümü için bu özellik üzerinde çalışıyoruz.

Uyumlu güvenlik anahtarlarını bulmak için nereye gidebilirim?

Uyumlu güvenlik anahtarları hakkında bilgi için bkz . FIDO2 güvenlik anahtarları.

Güvenlik anahtarımı kaybedersem ne yapabilirim?

Kayıtlı bir güvenlik anahtarını silmek için myaccount.microsoft.com oturum açın ve güvenlik bilgileri sayfasına gidin.

Microsoft Entra karma katılmış bir makine oluşturduktan hemen sonra FIDO güvenlik anahtarını kullanamıyorsam ne yapabilirim?

Microsoft Entra karma katılmış bir makineyi temiz yüklüyorsanız, etki alanına katılma ve yeniden başlatma işleminden sonra, fido güvenlik anahtarını kullanarak oturum açabilmeniz için önce parolayla oturum açmanız ve ilkenin eşitlenmesini beklemeniz gerekir.

• Komut İstemi penceresinde çalıştırarak dsregcmd /status geçerli durumunuzu denetleyin ve hem AzureAdJoined hem de DomainJoined durumlarının EVET olarak gösterildiğinden emin olun.
• Eşitlemedeki bu gecikme, etki alanına katılmış cihazların bilinen bir sınırlaması olup FIDO'ya özgü değildir.

FIDO ile oturum açıp kimlik bilgisi istemi aldıktan sonra NTLM ağ kaynağımda çoklu oturum açamıyorsam ne olur?

Kaynak isteğinize zamanında yanıt vermek için yeterli DC'nin düzeltme eki uygulamadığından emin olun. Bir DC'nin özelliği çalıştırıp çalıştırmadığını görmek için komutunu çalıştırın nltest /dsgetdc:contoso /keylist /kdcve çıkışı gözden geçirin.

FIDO2 güvenlik anahtarları, karma ortamda mevcut RODC ile Windows oturumu açmada çalışıyor mu?

FIDO2 Windows oturum açma bilgileri, kullanıcı TGT'sini değiştirmek için yazılabilir bir DC arar. Site başına en az bir yazılabilir DC'niz olduğu sürece oturum açma işlemi düzgün çalışır.

Sonraki adımlar

Parolasız kimlik doğrulaması hakkında daha fazla bilgi edinin