Configurer la MFA pour RemoteApp

RemoteApp permet aux utilisateurs d’exécuter des applications distantes depuis un serveur RDS comme si elles étaient installées localement.
Pour sécuriser ces sessions, UserLock peut imposer une MFA lorsque les utilisateurs lancent ou se reconnectent à des RemoteApps.

Différents scénarios peuvent s’appliquer selon la configuration de votre déploiement RemoteApp, avec ou sans l’intégration de RD Web.

Ce guide explique comment configurer la MFA pour RemoteApp avec UserLock, y compris les prérequis, les étapes de configuration et les limitations connues.

• ✅️ Agent UserLock Station installé sur tous les hôtes de session RDS.

• ✅️ Les services Windows et protocoles réseau requis sont disponibles.

• ✅️ Sous Windows Server 2025, où la technologie du fournisseur d’informations d’identification (Credential Provider) est utilisée, vérifiez la compatibilité avec d’autres fournisseurs éventuellement installés.

• ✅️ Sous Windows Server 2022 ou version antérieure, pour protéger les RemoteApp nécessitant une élévation de privilèges, créez la clé de registre suivante :

  Chemin	HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\ISDecisions\UserLock
  Nom	UACinRemoteApp
  Type	DWORD (32-bit)
  Valeur	1

  Sous Windows Server 2025, les RemoteApp demandant une élévation de privilèges sont prises en charge par défaut.

1. Suivez les étapes décrites dans Configurer une stratégie d’accès afin de créer une stratégie d’accès ciblant les utilisateurs, groupes ou unités d’organisation (OUs) concernés.

2. Choisissez la stratégie d’authentification multifacteur (MFA).

3. Activez la MFA.

4. Sélectionnez le mode de configuration : Paramètre distinct par type de session pour configurer les sessions serveur (les RemoteApps sont considérées comme des sessions serveur).

5. Ajustez le type de connexion et la fréquence de la MFA selon vos exigences de sécurité.

   

6. Lancez une RemoteApp et vérifiez que le défi MFA s’affiche.

• Dans la console UserLock > Activité, confirmez que la session apparaît.

• Une deuxième RemoteApp lancée dans la même session ne doit pas déclencher une nouvelle demande MFA.

• Si une RemoteApp nécessite une élévation de privilèges, vérifiez qu’elle fonctionne correctement.

Si votre déploiement RemoteApp publie des bureaux basés sur des sessions, l’inscription sera gérée par les agents de bureau installés sur l’hôte de session RD.

Si votre déploiement RemoteApp publie des applications basées sur des sessions, l’inscription ne peut pas être effectuée directement à l’intérieur de ces sessions.
Cependant, elle peut être gérée via une installation RD Web, comme expliqué dans les scénarios suivants.

En option, si vous souhaitez protéger l’accès à votre console RD Web et gérer l’inscription MFA à travers celle-ci, vous pouvez utiliser UserLock IIS MFA.
Reportez-vous au guide Comment appliquer la MFA pour les applications IIS pour des instructions détaillées si nécessaire.

Pour permettre l’inscription à la MFA directement depuis une session RemoteApp, que vous publiiez des programmes ou des bureaux distants, la condition suivante est requise :

• ✅️ La clé de registre suivante :

  Chemin	HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\ISDecisions\UserLock
  Nom	EnrollDuringRemoteApp
  Type	DWORD (32-bit)
  Valeur	1

En option, si vous souhaitez protéger l’accès à votre RD Web HTML5, vous devez activer l’authentification Windows en suivant les instructions officielles de Microsoft.
Une fois cette configuration effectuée, vous pourrez protéger l’accès à l’aide de UserLock IIS MFA.
Reportez-vous au guide Comment appliquer la MFA pour les applications IIS pour obtenir les étapes détaillées si nécessaire.

• L’authentification multifacteur (comme les autres stratégies d’accès UserLock) est appliquée lors de l’établissement de la session RDS, et non pour chaque application individuelle.

• Si une application RemoteApp est reconnectée dans les 30 secondes suivant une déconnexion, le défi MFA n’est pas déclenché.

• La prise en charge des RemoteApps demandant une élévation de privilèges dépend de la version de Windows Server (voir la section correspondante).