[TSE & RDS Licensing] Matrice d’Interopérabilité : s’applique à Windows Server 2008 à 2019

J’avais publié dans le passé un post décrivant la matrice d’interopérabilité des Licences TSE/RDS Windows Server 2000 à 2016.

Note : le post est disponible directement depuis ce lien.

 

J’expliquais à travers cet article quand et comment pouvez-vous ré-utiliser vos Licences (CAL) TSE/RDS 2000 à 2016 sur les différentes plateformes Windows Server 2000 à 2016.

Aujourd’hui, je vais partager avec vous la nouvelle Matrice d’interopérabilité des Licences/CAL RDS à partir de 2012 à 2019.
Windows Server 2003 & 2008/2008 R2 étant Obsolètes, nous allons principalement nous focaliser sur les versions d’OS Server pouvant être utilisées en Production.

 

Comme vous le savez, Windows Server 2008 et 2008 R2 ne sont plus supportés depuis le 14 Janvier 2020. Consultez ce post pour en savoir plus.

 

Je vais plus précisément répondre aux questions suivantes :

• Puis-je réutiliser mes anciennes CAL RDS et les réinstaller sur un nouveau serveur exécutant une version d’OS Windows Server différente à celle du serveur « Source/existant »?
• Puis-je utiliser mes CAL TSE/RDS existantes pour autoriser mes utilisateurs RDS à se connecter à des serveurs Hôtes de Session (RDSH) exécutant des versions Windows Server différentes ?

 

Ma réponse sera « Splitée » en deux parties :

• Compatibilité des CAL TSE/RDS pour les serveurs de Licence RDS (RDLS)
• Comptabilité des CAL TSE/RDS pour les serveurs Hôte de Session (RDSH)

 

Note importante : les informations détaillées ci-dessous s’applique à vos serveurs de Licence RDS et RDSH hébergés OnPrem mais aussi ceux qui tournent sous forme de VM IaaS Azure (ou AWS, GCP, AliBabaCloud…Etc)

 

#R1 : Compatibilité des CAL RDS avec les serveurs de Licences RDS (RD Licensing Server)

Le tableau ci-dessous vous montre les CAL RDS pouvant être installées/utilisées sur chaque version d’OS Windows Server hébergeant le service de Licensing RDS (RDLS : Remote Desktop Licensing Server) :

 

#R2 : Compatibilité des CAL RDS avec les serveurs Hôtes de Session RDS (RD Session Host Server)

Le tableau ci-dessous vous montre les CAL RDS pouvant être installées/utilisées pour autoriser vos utilisateurs distants à se connecter aux serveurs RDSH en fonction de la version d’OS Windows Server qui exécutent :

Ce qu’il faut retenir

Vous ne pouvez pas utiliser vos anciennes CAL RDS pour accéder aux nouvelles versions de Windows Server (RD Session Server), mais vous pouvez utiliser des nouvelles CAL RDS pour accéder aux anciennes versions de Windows Server (RD Session Host). Les serveurs de licences RDS peuvent héberger toutes les CAL RDS ayant la même version de l’OS qu’il exécute ou ultérieur (eg : un RD Licensing Server 2016 peut héberger des CAL RDS 2016 et 2019).

Pour vous aider à mieux comprendre le tableau, je vous détaillerai un vrai « Use Case »:

Supposons qu’un Client (Société) X dispose déjà d’un Pack de Licences RDS 2012 R2 et est sur le point de dé-commissionner son infrastructure RDS 2012 R2 pour en déployer une nouvelle sous 2016 ou 2019. Comme indiqué dans le tableau ci-dessus, les CAL « RDS 2012 R2 » peuvent être installées sur les OS Windows Server suivants : 2012, 2012 R2, 2016 et 2019. Cette société pourra donc continuer à utiliser (en réinstallant) les Licences RDS 2012 R2 sur tout futur serveur de Licence RDS exécutant Windows Server 2012 R2 à 2019.

Cette même société souhaite savoir s’elle peut réutiliser ses licences RDS 2012 R2 pour permettre l’accès à des hôtes de session RDSH 2016 ou 2019, comme indiqué dans le tableau ci-haut, les CAL RDS 2012 R2 ne permettent l’accès qu’à des RDSH Servers exécutant la même versions que les CAL ou antérieur, donc des hôtes de sessions sous Windows Server 2012 R2, 2012, 2008 R2 ou 2008.

 

Référence documentation

Pour en savoir plus sur le Licensing RDS et la compatibilité des CAL RDS entre les différentes versions d’OS Windows Server, je vous invite à consulter la documentation officielle Microsoft disponible directement depuis ce lien.

A bientôt, et soyez forts pendant cette crise sanitaire (covid-19), tout va rapidement rentrer dans l’ordre :).

#ProtegezVous #RestezVous #SoyezForts

 

[RDS – Free Training] Lesson1 : Security Risks & Best Practices You Should Know

Introduction

RDP (Remote Desktop Protocol) est (par défaut) considéré comme un protocole vulnérable qui peut exposer votre infrastructure (voire tout votre S.I) à des risques assez importants, notamment :

• Brute-Force Attack
• DoS (Denial-of-Service) Attack
• Encryption Attack
• Man-in-The-Middle (MiTM) Attack
• …

 

Vous exposerez également votre S.I à un risque de sécurité si vous êtes consommateur (Cloud Consumer) d’une solution/Application Cloud hébergée sur une infrastructure RDS distante : Multi-tenancy Risk.

Plusieurs Cloud Providers proposant des applications SaaS (Software-as-a-Service) virtualisées et distribuées (RemoteApp) via des Portail RD Web Access personnalisés. Ces Apps sont souvent hébergées sur des infrastructures RDS « Partagées /Shared », cela veut dire que plusieurs clients, se connectent et consomment les mêmes Apps Cloud RDS depuis le même environnement. Pour des raisons de réduction de coût, plusieurs Cloud Providers déploient des RD Session Host en mode « Shared », et proposent rarement des infrastructures RDS dédiées (Collections de Session RDS dédiées par client/app).

Malheureusement la plupart des clients ne pensent pas à poser la question et se contentent de signer un contrat désignant les responsabilités de chacun (SLA) : en mode SaaS vous êtes uniquement responsable de vos données, les couches infra/storage/middleware sont gérées par le CP, seul ce dernier est responsable de la gestion, maintenance, patching… de l’environnement Cloud.

En revanche, vous avez la responsabilité de s’assurer du niveau de sécurité offert à travers ces applis Cloud qui souvent font parties de votre IT globale car les devices clients depuis lesquels vos users se connectent sont souvent intégrés dans votre AD local et connectés au niveau de votre Coporate Network.

 

Guide de Sécurité RDS : Liste des Risques, Menaces et Bonnes Pratiques que vous connaître 

Je viens de publier sur Slideshare un Guide de sécurité RDS assez complet (en Anglais) traitant ce sujet.

Il décrit et détaille toutes les Security Risks, menaces ainsi que les bonnes pratiques que vous devez prendre en considération lors de la phase « Design » de tout projet RDS (de 2008 R2 à 2019).

Il vous liste également les Risks/Menaces liées à des infrastructures RDS Offsites (hébergées chez un Cloud Provider), si vous êtes Cloud Customer d’une ou plusieurs Apps Cloud, vous pouvez toujours challenger l’éditeur/Cloud Provider en posant les questions listées dans ce Slide.

Le document est disponible sur SlideShare, à cet URL.

Vous pouvez aussi le visualiser directement depuis ce post, voir Slide ci-dessous :

[RDS /Remote Desktop Services] Lesson 1 : Security Risks & Best Practices You Should Know from ☁ Hicham KADIRI ☁

Si vous souhaitez être accompagné, n’hésitez pas à me Ping via MP pour planifier un call et discuter plus en détail de votre projet.

Bonne lecture à tous,

#HK

HowTo : Personnaliser le lien « Aide » du Portail RD Web Access 2012, 2012 R2 et 2016

 

Une question intéressante m’a été posée récemment par un de mes clients :

Est-il possible de modifier le lien du bouton « Aide » du Portail RD Web Access ?

Eh bien, la réponse est Oui 🙂

Vous pouvez presque tout modifier sur le Portail RD Web Access 2012, 2012 R2 mais aussi 2016.

What is The default Link déjà ?

Notez que par défaut, le lien programmé sur le bouton « Aide » est le suivant :

http://go.microsoft.com/fwlink/?LinkId=141038

Cette URL renvoie simplement vers une KB OnLine décrivant les RemoteApps et leur fonctionnement depuis le Portail RD Web Access, le lien de redirection est le suivant :

https://technet.microsoft.com/en-us/library/ff608240(WS.10).aspx?ocid=fwlink

Le besoin de mon client était de remplacer ce lien par l’URL de sa plateforme de Ticketing /Support (GLPI).

Solution ?

Le lien « Aide » a d’abord été renommé en « Support », cela permettra aux End Users rencontrant des problèmes (utilisation, fonctionnement) sur le Portail RD Web Access d’avoir un lien unique pour la création de ticket de support.

Maintenant, pour changer l’Hyperlink du bouton « Support » et spécifier une URL personnalisée, suivez les instructions suivants :

Note importante : je vous recommande de sauvegarder le dossier C:\Windows\Web\RDWeb avant d’apporter toute modification aux fichiers de configuration du Portail RD Web. Donc commencez par faire une copie /sauvegarde de ce dossier avant d’appliquer la procédure décrite ci-dessous :

• Ouvrez une Session Windows sur le serveur RD Web Access et naviguez jusqu’au : C:\Windows\Web\RDWeb\Pages\fr-FR (ou C:\Windows\Web\RDWeb\Pages\en-US si votre OS Server est en EN’glais)
• Editez le fichier Login.aspx (de préférence à l’aide de Notepad++)
• Allez à la ligne N° 91 (sHelpSourceServer = ….) et remplacez l’URL http://go.microsoft.com/fwlink….. par votre URL.

• Dans l’exemple suivant, l’URL http://glpi.BecomeITExpert.com sera spécifiée. Enregistrez la modification (File > Save) et fermez le fichier Login.aspx
• Reconnectez-vous sur le portail RD Web Access et cliquez sur le Lien « Aide » (Support dans l’exemple suivant), et constatez la redirection vers l’URL spécifiée :

That’s All :).

J’espère que cette astuce pourra vous être utile.

D’autres RDS Tips & Tricks arrivent prochainement, so stay in touch

HK | Just Another IT Guy | Twitter | LinkedIn

[RDS 2012 R2 et 2016 – Script Resources] Déployer, Créer et Gérer RDS 2016 via Scripts PowerShell

Hello RDS Guys,

Je viens de créer un partage « OneDrive » dans lequel j’ai ajouté tous les scripts (développés par mes soins) liés au rôle RDS et au protocole RDP.

Ils sont accessibles en free download, à l’URL suivante :

https://1drv.ms/f/s!Agu0mgqr6F71pUWk4wK4fwu6H5_Q

Enjoy !

HK

[eBook /Book] RDS 2012 R2 – Securisation et Hardening: Guide du Consultant [1ère Edition]

Ce guide pas à pas vous permet de planifier et mettre en place une politique de sécurisation et durcissement de votre infrastructure RDS sous Windows Server 2012 R2. Plus de 30 paramètres (Hardening) de stratégies de groupe sont détaillés dans ce guide. Les options de sécurisation telles que NLA, Certificat SSL, chiffrement RDP y sont également traitées. De plus, je vous liste à travers cet eBook tous les outils (GUI & CLI) de protection du rôle RDS et vous montre comment les utiliser, et quand les utiliser. Enfin, vous y trouverez toutes les bonnes pratiques liées à RDS ainsi que mes retours d’expériences.

Le livre est en Français 😀 ::: La version Anglaise est en cours de rédaction…

Le format :: Broché :: est disponible sur Amazon.fr et Amazon.com, cliquez sur l’image ci-après pour en savoir plus :

Le format :: eBook [PDF] :: est disponible sur BecomeITExpert.com, cliquez sur l’image ci-après pour en savoir plus :

 

HowTo : Supprimer les options de sécurité « Ceci est un Ordinateur Privé /Public /Partagé » du Portail RD Web Access 2012 R2

Cet article voit le jour suite à la demande d’un Follower :).

Sa question était la suivante :

Comment supprimer la partie « Sécurité » du portail RD Web Access ?

La partie « Sécurité » fait simplement référence aux deux options suivantes :

• Ceci est un ordinateur public ou partagé
• Ceci est un ordinateur privé

La capture d’écran suivante illustre ces deux options, par défaut affichées sur le portail RD Web Access:

Suivez les instructions suivantes pour supprimer tout le bloc « Sécurité » de votre Portail RDWA.

Note : si votre déploiement RDS comprend plusieurs serveurs RDWA, vous devez réaliser les opérations décrites ci-dessous sur chaque RD Web Access du déploiement.

• Ouvrez une Session Windows sur le serveur RDWA
• Installez Notepad++ (temporairement) pour faciliter la réalisation des opérations suivantes
• Éditez (avec Notepad++) le fichier C:\Windows\Web\RDWeb\Pages\fr-FR\login.aspx
  • Note : si votre RDWA exécute WS2012 R2 en EN(glish), le fichier login.aspx est normalement placé dans C:\Windows\Web\RDWeb\Pages\en-US\login.aspx
• Allez à la ligne 522 et ajoutez <!– 
• Allez ensuite à la ligne 596 et saisissez –>

Le but étant de marquer tout le bloc de texte allant de la ligne 523 >> 598 comme « Commentaire » et donc bypasser les options de sécurité.

Enregistrez les modifications et reconnectez-vous sur le Portail RDWA.

Constatez la disparition du bloc « Sécurité » :)) :

[TOOLBOX] RDP Defender : protégez votre infrastructure RDS contre les attaques « Brute-Force »

Dernière Update : 27/10/2017 @22:00

RDP Defender est une sorte de Pare-feu (Firewall) RDP. Il s’agit d’un outil puissant (et gratuit :)) capable de détecter toute tentative d’intrusion de type « Brute-Force » et bloquer les adresses IP dont le nombre de tentatives de connexions dépasse celui spécifié dans les paramètres. RDP Defender vous permet également de définir une liste-blanche (Whitelist) en saisissant les adresses IP autorisées, enfin il fournit un log des tentatives de connexions échouées.

Comme illustré dans la screenshot ci-après, RDP Defender a déjà bloqué plusieurs dizaines de tentatives de connexions provenant de différentes @IP. Cette capture d’écran a été prise depuis l’environnement d’un de mes clients utilisant des VMs Azure (mode IaaS) :

Vous aurez compris, cet outil est une protection puissante contre les tentatives d’attaques RDP.

Il est téléchargeable gratuitement ici.

[eBook /Book] How-To : Migrer votre infrastructure RDS 2012 R2 vers RDS 2016

Avez-vous des projets de migration d’une ou plusieurs infrastructures RDS 2012 R2 vers RDS Windows Server 2016 ?

Si oui, ce guide pratique est fait pour vous :).

Il s’agit de l’unique guide de migration vers RDS 2016 et j’en suis fier.

BIG NEWS

Le livre est en Français 😀 ::: La version Anglaise est en cours de rédaction…

Le format :: Broché :: est disponible sur Amazon.fr et Amazon.com, cliquez sur l’image ci-après pour en savoir plus :

Le format :: eBook [PDF] :: est disponible sur BecomeITExpert.com et YouScribe.com, cliquez sur les images ci-après pour en savoir plus :

 

HowTo : Supprimer l’onglet « Se connecter à un ordinateur distant » du Portail RDWA sous RDS 2012 R2

Hello everyone,

Lors d’une intervention chez un de mes clients, la question suivante (concernant la personnalisation du Portail RDWA RDS 2012 R2) m’a été posée :

Peut-on faire disparaître l’onglet « Se connecter à un ordinateur distant » (ou « Connect to a remote PC » sur les OS en Anglais) du Portail RDWA (Remote Desktop Web Access) ?

La question est oui :), et la procédure est assez simple, voir les instructions suivantes :

Note : la procédure décrite ci-après doit être appliquée sur chaque serveur RDWA de votre déploiement RDS

Lancez le Gestionnaire des services Internet (IIS) en exécutant InetMgr.exe depuis le menu « Exécuter »

Naviguez jusqu’à « Sites > Default Web Site > RDWeb > Pages »

Sous « ASP.NET« , cliquez « Paramètres d’application » et double-cliquez ensuite sur « ShowDesktops »

Changez la valeur par défaut (qu’est « true« ) par « false » et cliquez sur « OK »

Lancez l’invite de commande (CMD.exe) en tant qu’Administrateur et saisissez la commande suivante pour redémarrer IIS et ses services associés : IISReset /restart

Enfin, connectez-vous sur le portail RDWA, authentifiez-vous et constatez la disparition de l’onglet « Se connecter à un ordinateur distant« , voir image ci-après :

Extrait du livre RDS 2012 R2 – Guide du consultant

HowToFix : Crash de la console « Gestionnaire de Passerelle des Services Bureau à distance » avec l’Update « .NET Framework 4.6.1 »

S’applique à : RDS Windows Server 2012 R2 uniquement

Si un ou plusieurs de vos serveurs RDG 2012 R2 (Remote Desktop Gateway : Passerelle des Services Bureau à distance) ont récupéré la mise à jour « KB3102467« , celle-ci peut causer un crash de la console « Gestionnaire de Passerelle des Services Bureau à distance » (ou « RD Gateway Manager » pour les OS en EN).

La KB3102467 décrit la mise à jour « .NET Framework 4.6.1 » pour Windows Server 2012 R2.

J’ai essayé de reproduire le problème sur mes LABs RDS (OnPrem & Cloud), le problème parvient au niveau d’un serveur RDG sur 2.

Microsoft vient de publier un « Fix » pour corriger ce bug post-install de l’Update .NET Framework 4.6.1

Un reboot post-application du Fix est requis, donc pensez à planifier l’application de ce correctif sur vos serveurs RDG de Prod.