Restreignez qui peut atteindre RDP, gardez l'authentification au niveau du réseau activée lorsque prise en charge, utilisez des identifiants forts individuels et minimisez les privilèges administratifs. Testez une seconde session et l'accès de récupération avant de fermer la connexion actuelle.
Traiter le poste de travail comme une frontière d'administration
Une session RDP fournit un accès interactif à un système distant, de sorte que le compte utilisé peut devenir une cible précieuse. Commencez par déterminer qui a besoin d'accéder et quel travail cette personne doit effectuer. Un identifiant administrateur partagé est pratique jusqu'à ce que vous deviez retirer l'accès d'une personne ou comprendre une modification de configuration. Les comptes individuels rendent ces tâches opérationnelles plus claires.
Séparez l'activité courante des modifications privilégiées lorsque le logiciel le permet. Un utilisateur qui a besoin d'une application métier n'a pas nécessairement besoin d'une administration système sans restriction. Maintenez également le poste de travail de l'administrateur : sécuriser la machine distante ne protège pas les identifiants saisis depuis un appareil local infecté ou partagé. Prenez en compte les deux extrémités de la session dans la conception des accès.
Limiter l'accessibilité avant de compter sur la protection par connexion
Décidez quels réseaux ou appareils autorisés doivent pouvoir atteindre l'hôte de session. Lorsque votre architecture le permet, utilisez un VPN contrôlé ou une passerelle Bureau à distance plutôt que d'exposer largement l'administration. Microsoft documente la passerelle RD comme une voie d'accès aux ressources internes avec des stratégies d'autorisation de connexion et de ressources. Son adéquation dépend de l'environnement ; il ne s'agit pas d'une fonctionnalité incluse simplement parce qu'un plan prend en charge RDP.
Restreignez les règles de pare-feu au chemin prévu et confirmez comment les adresses client dynamiques seront gérées. N'établissez pas une règle restrictive qui déconnecte immédiatement le seul administrateur sans option de récupération. Gardez la session existante ouverte, testez le nouveau chemin depuis une autre session et documentez le mécanisme de récupération autorisé avant de supprimer l'ancienne voie d'accès.
Maintenir l'authentification et la confiance explicites
Microsoft recommande l'authentification au niveau du réseau pour la plupart des environnements pris en charge. NLA exige une authentification avant d'établir une session distante complète, ajoutant une protection à cette étape. Elle ne remplace pas un pare-feu, une politique de comptes ou les mises à jour système. Vérifiez la compatibilité des clients et résolvez les problèmes d'authentification plutôt que d'affaiblir définitivement la configuration en première réponse.
Utilisez des identifiants uniques et un second facteur via une architecture d'accès prise en charge lorsque c'est possible. Vérifiez l'identité distante attendue et le comportement du certificat, en particulier après une reconstruction ou un changement de nom d'hôte. Un avertissement de certificat mérite une investigation ; accepter de façon répétée des identités inattendues transforme une vérification de confiance utile en boîte de dialogue ignorée. Conservez les identifiants de récupération dans un magasin privé approuvé.
| Couche | Décision | Vérification |
|---|---|---|
| Réseau | Quels clients peuvent atteindre l'hôte ? | Les sources inattendues ne peuvent pas se connecter |
| Authentification | Quel compte et quels facteurs sont requis ? | Une seconde session autorisée réussit |
| Privilège | Quelles tâches nécessitent une administration ? | Les utilisateurs courants ne peuvent pas modifier les paramètres système |
| Récupération | Comment l'accès est-il restauré après une erreur ? | Le chemin de récupération documenté est disponible |
Réduire ce que la session peut transporter
Examinez les fonctionnalités de presse-papiers, de lecteur, d'imprimante et d'autres redirections par rapport au flux de travail réel. Un administrateur peut ne pas avoir besoin que toutes les ressources locales soient exposées à l'hôte distant. À l'inverse, désactiver un chemin de transfert requis sans alternative peut encourager des contournements dangereux. Documentez la méthode autorisée pour déplacer des fichiers et gardez les secrets hors des notes de bureau ordinaires ou des répertoires de téléchargement partagés.
Pour les environnements basés sur un domaine appropriés, Microsoft fournit Remote Credential Guard afin de réduire l'exposition des identifiants lors des connexions RDP. Il nécessite des clients compatibles et l'authentification Kerberos et prend en charge les connexions directes à la machine cible ; les connexions via la passerelle Bureau à distance ou le répartiteur de connexions ne sont pas prises en charge. Vérifiez les exigences pour votre chemin d'accès réel plutôt que de le considérer comme une protection universelle pour les machines Windows hébergées autonomes.
Maintenir la machine et les preuves dont vous avez besoin
Planifiez les mises à jour du système d'exploitation et des applications, y compris un processus de redémarrage délibéré. Vérifiez si une mise à jour nécessite un redémarrage et validez le service ensuite. Définissez des politiques de session raisonnables pour le travail sans surveillance ou déconnecté, mais tenez compte des applications qui doivent continuer à fonctionner. Une politique de délai d'expiration doit répondre à un besoin de sécurité ou d'exploitation plutôt que de simplement copier un nombre arbitraire depuis un autre environnement.
Conservez les informations utiles sur les accès et les incidents selon une politique documentée. Surveillez les échecs d'authentification répétés et les activités d'administration inattendues sans collecter de contenu inutile. Restreignez qui peut lire les enregistrements de diagnostic et déterminez combien de temps ils sont nécessaires. Une politique de journalisation précise est plus pertinente que de tout conserver indéfiniment ou de promettre qu'aucun enregistrement opérationnel ne pourra jamais exister.
Une séquence sûre pour la première session
À la livraison, vérifiez le système attendu, changez les identifiants temporaires via le processus approuvé et établissez des accès individuels. Confirmez le pare-feu et le chemin de récupération, puis testez une seconde connexion. Appliquez les mises à jour, examinez la redirection et installez l'application requise. Créez une sauvegarde et entraînez-vous à récupérer les paramètres importants avant de dépendre du poste de travail pour le travail quotidien.
DeskLink RDP et certaines configurations dédiées sélectionnées offrent des choix liés à Windows dans le catalogue SwissOctet. Confirmez le système d'exploitation, les licences, les privilèges de compte et les responsabilités de gestion pour votre commande. Une connexion de bureau prise en charge est le début d'un plan d'administration ; les contrôles que vous configurez et vérifiez déterminent comment cet accès est utilisé.
Votre liste de contrôle pratique.
- Utilisez des comptes individuels et des privilèges appropriés.
- Restreignez le chemin d'accès RDP prévu.
- Gardez NLA activée sur les systèmes compatibles.
- Testez une seconde session avant de fermer l'accès actuel.
- Examinez la redirection, les mises à jour et la politique de session.
- Confirmez les licences et la procédure de récupération.
Les détails qui comptent.
NLA rend-elle un hôte RDP exposé totalement sûr ?+
Non. NLA est un contrôle d'authentification. L'accessibilité, les identifiants, les mises à jour et les privilèges nécessitent encore une attention.
Puis-je utiliser Remote Credential Guard sur chaque serveur Windows ?+
Non. Le client, l'hôte et l'environnement d'authentification doivent satisfaire aux exigences de Microsoft, y compris la configuration Kerberos applicable.
Que dois-je faire avant de durcir le pare-feu ?+
Vérifiez un chemin de récupération, préservez la session fonctionnelle et testez le nouveau chemin autorisé via une seconde connexion.
Allez à la source.
Ces références soutiennent les concepts techniques de ce guide. Suivez la documentation actuelle avant de modifier un système de production.
- Microsoft : Activer le Bureau à distance et l'authentification au niveau du réseau learn.microsoft.com
- Microsoft : Accès par passerelle Bureau à distance learn.microsoft.com
- Microsoft : Remote Credential Guard learn.microsoft.com
Conseils éditoriaux par SwissOctet. Les exemples sont illustratifs. Les spécifications de service, les options disponibles et les conditions contractuelles doivent être vérifiées séparément.