[2012] Rdweb gebruiker moet 2x gegevens invullen

[mydogisgone]

Op het moment loop ik nog steeds tegen 1 probleem aan bij een terminal server omgeving.
Ik heb al verschillende dingen geprobeerd om de gebruikers maar 1 keer hun gegevens in te laten vullen.

Zodra de gebruikers is ingelogd op de rdweb omgeving. Moet hij bij het klikken op de rdp snelkoppeling nog een keer zijn gegevens invullen. Ik maak gebruik van een wildcard certificaat. Alles lijkt nu ook goed te werken om dit stukje na.

Is er een mogelijkheid om dit alsnog werkend te krijgen? Lees hier en daar dat dit schijnbaar alleen met windows 8 moet kunnen. Maar het lijkt mij toch dat het ook gewoon met een andere windows versie moet kunnen?

Iemand die mij wat duidelijkheid kan verschaffen? Vinkje use rd gateway credentials staat iig aan.

[Jeroen_ae92]

Deze en zoek dan even op single sign on.

http://msfreaks.wordpress...-desktop-services-part-2/

[Hero of Time]

Je moet even kijken naar de authenticatiemethode. Er zijn een paar opties in je RDP connection settings, iets van Compatibility en nog wat. Die compatibility werkt niet met Kerberos ticketing authentication, iets wat je wel wilt. Dat is hoe ik het destijds had opgelost op m'n vorige werk toen we met twee locaties zaten voor RDP servers waarvan de externe gebruikt werd voor remoteapp. Dit zal met RDWeb net zo moeten werken.

[mydogisgone]

http://anandthearchitect....ntication-for-rdweb-page/

Is dit wat ik zoek?

[Hero of Time]

Niet helemaal waar ik aan dacht. Wat ik bedoel is dat ze aanmelden op de RDWeb omgeving zoals gebruikelijk, en dat alle opvolgende RDP verbinding vanuit die interface zonder opnieuw te moeten authenticeren. Maar als je al in een domein omgeving zit waar mensen op een domein systeem zitten en dan nog eens moeten aanmelden op de webinterface, dan is het iig een begin.

[mydogisgone]

Hero of Time schreef op vrijdag 11 april 2014 @ 08:24:
Niet helemaal waar ik aan dacht. Wat ik bedoel is dat ze aanmelden op de RDWeb omgeving zoals gebruikelijk, en dat alle opvolgende RDP verbinding vanuit die interface zonder opnieuw te moeten authenticeren. Maar als je al in een domein omgeving zit waar mensen op een domein systeem zitten en dan nog eens moeten aanmelden op de webinterface, dan is het iig een begin.

Ze zitten sowieso niet in een domein. Het is echt een externe oplossing. Maar goed dan weet ik iig dat dat het niet is. Hopelijk dat je nog iets meer kan vertellen over dit probleem? Want ik begrijp dus dat ik de authenticatie moet aanpassen? En dan doel je dus op kerberos?
Ik zie namelijk wel bij iis dat je hier voor de rdweb pagina's wat kan aanpassen. En dan op het gebied van authenticatie.

[Question Mark]

mydogisgone schreef op donderdag 10 april 2014 @ 20:09:
Is er een mogelijkheid om dit alsnog werkend te krijgen? Lees hier en daar dat dit schijnbaar alleen met windows 8 moet kunnen. Maar het lijkt mij toch dat het ook gewoon met een andere windows versie moet kunnen?

De client moet beschikken over RDP versie 8.0. Anders moet SSO of op een andere wijze ingericht worden.

Zie ook: Remote Desktop Web Access single sign-on now easier to enable in Windows Server 2012

[Trommelrem]

Bij mij werkt het overigens al een poos volgens de bovenstaande oplossingen, mits de client een domain controller kan bereiken. Zodra een client op een ander netwerk zit, dan moet de user alsnog inloggen wanneer de RDP verbinding wordt gestart.

Heeft dat iets te maken met Kerberos ofzoiets?

[Hero of Time]

Hmm, iets als dit kan helpen, is wel voor 2008R2: http://blogs.technet.com/...-desktop-remote-apps.aspx. Even snel gevonden met Google: windows remoteapp sso.

[Razwer]

SSO werkt ook alleen vanuit IE (via activex) en remote desktop client 7.0 (vista of hoger dus).
Ook moet je cert kloppen en gelijk zijn aan je rdweb cert.
Moet niet al te moeilijk zijn dit aan de praat te krijgen...

[mydogisgone]

Razwer schreef op zaterdag 12 april 2014 @ 22:26:
SSO werkt ook alleen vanuit IE (via activex) en remote desktop client 7.0 (vista of hoger dus).
Ook moet je cert kloppen en gelijk zijn aan je rdweb cert.
Moet niet al te moeilijk zijn dit aan de praat te krijgen...

Heb beide certificaten gelijk. Tevens ook geprobeerd via win8 laptop met de laatste versie van rdc. Maar nog steeds geen succes.

[Semt-x]

Ik heb een vergelijkbare situatie gezien (gepubliceerde SSL sharepoint web farm) waar mensen ook twee maal moesten inloggen voordat men op sharepoint kwam. Dat heb ik voor een klant opgelost door
kerberos constrained delegation te configureren.

[Razwer]

wat is het resultaat van de volgende commandos?

Get-RDDeploymentGatewayConfiguration
Get-RDCertificate
Get-RDSessionCollection | Get-RDSessionCollectionConfiguration

[mydogisgone]

Get-RDDeploymentGatewayConfiguration:

code:

Gatewaymode  LogonMethod                       GatewayExternalFQDN
-----------  -----------                       -------------------
Custom       Password                          subname.domain.nl

Get-RDCertificate:

code:

Role          Level          ExpiresOn                           IssuedTo
----          -----          ---------                           --------
RDRedirector  Trusted        04/11/2015 01:59:59                 CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Doma...
RDPublishing  Trusted        04/11/2015 01:59:59                 CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Doma...
RDWebAccess   Trusted        04/11/2015 01:59:59                 CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Doma...
RDGateway     Trusted        04/11/2015 01:59:59                 CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Doma...

Get-RDSessionCollection | Get-RDSessionCollectionConfiguration:

code:

CollectionName                 CollectionDescription
--------------                 ---------------------
RD bedrijfsnaam

Bij de laatste geeft hij maar 1 sessioncollection aan. Maar heb er 2 in staan.

[Razwer]

Sorry, pipe ze aub nog eens met fl
dit is te weinig info.

[mydogisgone]

Get-RDDeploymentGatewayConfiguration:

code:

GatewayMode          : Custom
GatewayExternalFqdn  : sub.domain.nl
LogonMethod          : Password
UseCachedCredentials : True
BypassLocal          : False

Get-RDCertificate:

code:

Subject              : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
SubjectAlternateName : {*.domain.nl, domain.nl}
IssuedBy             : CN=PositiveSSL CA 2, O=COMODO CA Limited, L=Salford, S=Greater Manchester, C=GB
IssuedTo             : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
ExpiresOn            : 04/11/2015 01:59:59
Thumbprint           : FC601FA30443030F950D0C71B347B0F884DC1412
Role                 : RDRedirector
Level                : Trusted

Subject              : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
SubjectAlternateName : {*.domain.nl, domain.nl}
IssuedBy             : CN=PositiveSSL CA 2, O=COMODO CA Limited, L=Salford, S=Greater Manchester, C=GB
IssuedTo             : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
ExpiresOn            : 04/11/2015 01:59:59
Thumbprint           : FC601FA30443030F950D0C71B347B0F884DC1412
Role                 : RDPublishing
Level                : Trusted

Subject              : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
SubjectAlternateName : {*.domain.nl, domain.nl}
IssuedBy             : CN=PositiveSSL CA 2, O=COMODO CA Limited, L=Salford, S=Greater Manchester, C=GB
IssuedTo             : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
ExpiresOn            : 04/11/2015 01:59:59
Thumbprint           : FC601FA30443030F950D0C71B347B0F884DC1412
Role                 : RDWebAccess
Level                : Trusted

Subject              : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
SubjectAlternateName : {*.domain.nl, domain.nl}
IssuedBy             : CN=PositiveSSL CA 2, O=COMODO CA Limited, L=Salford, S=Greater Manchester, C=GB
IssuedTo             : CN=*.domain.nl, OU=PositiveSSL Wildcard, OU=Domain Control Validated
ExpiresOn            : 04/11/2015 01:59:59
Thumbprint           : FC601FA30443030F950D0C71B347B0F884DC1412
Role                 : RDGateway
Level                : Trusted

Get-RDSessionCollection | Get-RDSessionCollectionConfiguration:

code:

CollectionName        : RD bedrijfsnaam
CollectionDescription :
CustomRdpProperty     : authentication level:i:0
                        use redirection server name:i:1

[Razwer]

mjah voor zover ik hier info van je heb zou het allemaal prima moeten werken.
Lijkt bijna of "use remote gateway credentials for remote computer" op de client niet aangevinkt word.
Als je met het handje door de gateway gaat met het vinkje aan, werkt SSO dan wel?
alternatief lijkt het anders alsof de activex van rdweb niet geladen word op de client.

[mydogisgone]

Heb nu wel zover dat hij iig de username mee neemt. Maar nu krijgt hij geen domain name mee. Dit heb ik wel vooraf ingesteld staan binnen de rdweb pages. Zou er daar iets niet lekker kunnen zitten?

Ik heb het begin nooit ingericht. Dat is door me collega gedaan. Kan het misschien zijn dat daar iets door hem is aangepast waardoor het niet meer zou kunnen werken?

[Hero of Time]

Als je de tijd en resources hebt, doe dan een nieuwe installatie op een aparte machine (licentie invoeren e.d. hoeft in principe niet, is toch voor een test van paar dagen hooguit) en configureer de boel zoals jij denkt of hebt gevonden hoe 't moet en test dat. Werkt 't, dan vergelijk je de config met productie en past 't aan. Doe 't wel in een maintenance window en documenteer alles! Mocht je de wijzigingen moeten terugdraaien, heb je iig documentatie van hoe 't was.

[Razwer]

customizen van rdweb paginas is niet echt wenselijk tenzij je goed weet wat je doet.
Er zijn zat instellingen die je in de application settings van de "Pages" virtual site kan aanpassen om zaken te "tweaken".
probeer idd eens een default install en je zal merken dat alles in 1 keer werkt.
Domeinnaam wegstrippen bij rdweb is niet altijd even handig. Als users het te lang vinden, leer ze de UPN te gebruiken.

[mydogisgone]

Razwer schreef op vrijdag 18 april 2014 @ 09:20:
customizen van rdweb paginas is niet echt wenselijk tenzij je goed weet wat je doet.
Er zijn zat instellingen die je in de application settings van de "Pages" virtual site kan aanpassen om zaken te "tweaken".
probeer idd eens een default install en je zal merken dat alles in 1 keer werkt.
Domeinnaam wegstrippen bij rdweb is niet altijd even handig. Als users het te lang vinden, leer ze de UPN te gebruiken.

Duidelijke taal, zal dit uitrollen op mijn test machine. Beetje jammer dat ik nu moet puinruimen. Maar door toeval zag ik ineens aanpassingen in de rdweb pages. En natuurlijk geen backup van de aangepaste bestanden. Beetje ict'er had toch even een kopie gemaakt van het aan te passen bestand.