Início de sessão no Windows

Neste tutorial, vamos proteger o início de sessão no Windows com um segundo fator: a palavra-passe do Windows e, logo a seguir, uma aprovação no telemóvel. Também funciona sem rede, e com a ajuda do suporte. O agente instala-se com um MSI, em Windows dez, onze e Windows Server. Acrescenta o segundo fator ao início de sessão, ao desbloqueio, ao ambiente de trabalho remoto e, se quiser, aos pedidos de administrador.

Primeiro, crie um token de instalação. Em Gerir, Computadores, dê-lhe uma etiqueta, escolha a aprovação automática ou manual, quantos computadores o podem usar, e a validade. O token só é mostrado uma vez, e é um segredo: trate-o como uma palavra-passe. Depois, distribua o MSI. Por Política de Grupo, com os modelos ADMX e uma transformação que define o endereço da organização e o token; ou pelo Intune, como aplicação Win32.

Comece por um grupo-piloto, com a conta de emergência definida. Os computadores aparecem em Gerir, Computadores, com o estado, a conformidade, e onde está a chave: no TPM ou em software. Aprove os que esperam aprovação, e desative ou retire os que já não devem entrar. Para quem entra, é simples: escreve a palavra-passe do Windows, e o painel mostra um número.

No telemóvel, abre o pedido, confirma o nome do computador, escreve o número, aprova, e confirma com a impressão digital. A política dos computadores está em Início de sessão sem ligação e emergência. Defina quantos dias e quantos inícios de sessão são permitidos sem ligação, em que situações se pede o segundo fator, e a conta de emergência. A política é assinada: uma GPO não a pode alargar.

Sem rede, quem já entrou com ligação nesse computador usa o seu código sem ligação. Obtém-no na consola, em Proteger, Dispositivos de confiança, Códigos de uso único, e lê o QR com a aplicação autenticadora. E se não houver telemóvel nem código, o suporte ajuda. O painel mostra um desafio de dez algarismos. O técnico confirma primeiro quem está a ligar, abre os detalhes do computador, e obtém a resposta, que lê à pessoa.

Funciona sem rede, e cada resposta só serve uma vez. Em cada computador, o histórico de inícios de sessão mostra quem entrou, como e com que resultado. É aí que o suporte vê porque é que um telemóvel não recebeu nada. E está feito: o Windows protegido, com rede ou sem ela. No próximo tutorial, vamos trazer as pessoas do Entra ID e do Okta por SCIM.