Windows Login: 2FA mit OTP
Hallo zusammen,
wir sind auf der Suche nach einer 2FA Lösung für den Windows Login.
Gegegeben ist eine Windows Server 2022 Umgebung mit lokalen/AzureAD in einer Hybrid Umgebung.
Synchronisiert zu AAD werden aktuell nur die Benutzer.
Gewünscht ist als Lösung, dass man sich am Client nur anmelden kann, nachdem zunächst die AD Credentials und anschließend der OTP Code eingegeben wurden.
Wir haben bereits die Lösungen von Token2 versucht. Hierbei muss allerdings am lokalen ein Softwareclient installiert werden, welcher relativ leicht als Admin bzw. im abgesicherten Modus deinstalliert werden. Weiterhin wird hier der 2. Faktor faktisch nach den Credentials nur "nachgelagert" und nicht direkt mit dem AD Login verknüpft.
Welche Lösungen gibt es,, welche die Anforderungen erfüllen würden:
- 2FA Direkt gegen das AD bzw in Verbindung mit dem AD Login
- Lokaler Client (falls notwendig) nicht ohne "deinstallationskennwort" zu entfernen
=> Im besten Fall eine Lösung ohne der notwendigkeit eines lokalen Clients.
- 2FA als OTP (nicht als FIDO/FIDO2 USB-Key)
Perfekt wäre, wenn man noch definieren könnte, dass der 2. Faktor auch für RDP Login verwendet werden kann.
Habt ihr bereits Erfahrungen/Lösungen für diesen Fall?
wir sind auf der Suche nach einer 2FA Lösung für den Windows Login.
Gegegeben ist eine Windows Server 2022 Umgebung mit lokalen/AzureAD in einer Hybrid Umgebung.
Synchronisiert zu AAD werden aktuell nur die Benutzer.
Gewünscht ist als Lösung, dass man sich am Client nur anmelden kann, nachdem zunächst die AD Credentials und anschließend der OTP Code eingegeben wurden.
Wir haben bereits die Lösungen von Token2 versucht. Hierbei muss allerdings am lokalen ein Softwareclient installiert werden, welcher relativ leicht als Admin bzw. im abgesicherten Modus deinstalliert werden. Weiterhin wird hier der 2. Faktor faktisch nach den Credentials nur "nachgelagert" und nicht direkt mit dem AD Login verknüpft.
Welche Lösungen gibt es,, welche die Anforderungen erfüllen würden:
- 2FA Direkt gegen das AD bzw in Verbindung mit dem AD Login
- Lokaler Client (falls notwendig) nicht ohne "deinstallationskennwort" zu entfernen
=> Im besten Fall eine Lösung ohne der notwendigkeit eines lokalen Clients.
- 2FA als OTP (nicht als FIDO/FIDO2 USB-Key)
Perfekt wäre, wenn man noch definieren könnte, dass der 2. Faktor auch für RDP Login verwendet werden kann.
Habt ihr bereits Erfahrungen/Lösungen für diesen Fall?
Please also mark the comments that contributed to the solution of the article
Content-ID: 7290834560
Url: https://administrator.de/contentid/7290834560
Printed on: October 10, 2024 at 01:10 o'clock
10 Comments
Latest comment
Hallo,
wie schon der Kollege @Spirit-of-Eli schreibt. Wenn die User Adminrechte haben dann lohnt es sich in den meisten fällen nicht.
Es kommt auch darauf an was Ihr beiret seit zu investieren. Da Ihr schon die User in der AAD könntet Ihr es über Microsoft Azure "AAD" steuern und lokal entweder über den Authenticator oder z.B. über REINER SCT Authenticator benutzen.
Oder Ihr investier z.B. in Zwei-Faktor-Authentifizierung und Identity Access Management-Lösung von Fortinet welches wir im Einsatz haben.
LG
wie schon der Kollege @Spirit-of-Eli schreibt. Wenn die User Adminrechte haben dann lohnt es sich in den meisten fällen nicht.
Es kommt auch darauf an was Ihr beiret seit zu investieren. Da Ihr schon die User in der AAD könntet Ihr es über Microsoft Azure "AAD" steuern und lokal entweder über den Authenticator oder z.B. über REINER SCT Authenticator benutzen.
Oder Ihr investier z.B. in Zwei-Faktor-Authentifizierung und Identity Access Management-Lösung von Fortinet welches wir im Einsatz haben.
LG
Es ist Empfehlenswert einen IT-Sicherheitskonzept nach BSI Standard 200-2 Grundschutz umzusetzen. Der MFA sollte dann ein teil des Sicherheitskonzeptes sein......
LG
LG
N'Abend.
Ich werf' mal ESET Secure Authentication in die Runde.
https://www.eset.com/de/business/secure-authentication/
Cheers,
jsysde
Ich werf' mal ESET Secure Authentication in die Runde.
https://www.eset.com/de/business/secure-authentication/
Cheers,
jsysde
Zitat von @Pharaun:
Wie genau wird das dann gemacht? Ich hab bisher nichts finden können, wie wir mit den AAD MFA den Windows Login am Lokalen Gerät zusätzlich absichern?
Wie genau wird das dann gemacht? Ich hab bisher nichts finden können, wie wir mit den AAD MFA den Windows Login am Lokalen Gerät zusätzlich absichern?
Das würde mich auch interessieren!
Geht dies im von Pharaun beschriebenen Szenario allein mit Microsoft-Mitteln? In unserem Fall haben wir dasselbe Setup wie Pharaun es beschreibt, alle User haben M365 Business Premium.
Oder braucht es eine Dritthersteller-Lösung wie das empfohlene ESET? Habt Ihr noch weitere Empfehlungen?
Bei dem Azure MFA schreibt ihr dem User vor, dass er MFA nutzen muss. Das ist eine Richtline die dem User mitgegeben wird. Mehr passiert da nicht.
Dafür müssen die Geräte und eben auch User halt Azure joint sein. Ansonsten werdet ihr wahrscheinlich auf Dritthersteller Tools zurück greifen müssen.
Ich hätte jetzt noch Win-Hello in den Ring geworfen. Allerdings ist der OnPrem Server glaube ich abgekündigt. Vielleicht weiß ja noch jemand mehr.
Ich würde einfach mal ein paar Dienstleister anfragen und mal hören wie die das lösen würden.
Dafür müssen die Geräte und eben auch User halt Azure joint sein. Ansonsten werdet ihr wahrscheinlich auf Dritthersteller Tools zurück greifen müssen.
Ich hätte jetzt noch Win-Hello in den Ring geworfen. Allerdings ist der OnPrem Server glaube ich abgekündigt. Vielleicht weiß ja noch jemand mehr.
Ich würde einfach mal ein paar Dienstleister anfragen und mal hören wie die das lösen würden.