Azure Virtual Desktop: Aumentando la Seguridad con Acceso Condicional + MFA + Intune

Recientemente hemos hablado de como securizar nuestras máquinas virtuales en un entorno de AVD (Azure Virtual Desktop), utilizando AppLocker y los NGS de Azure [Azure Virtual Desktop: utilizando AppLocker y NSG para securizar tus sesiones remotas – Blog Santiago Buitrago (santiagobuitragoreis.com)]. Pues hoy veremos como podemos aplicar medidas de seguridad adicionales:

• Que los usuarios solo pueda ejecutar aplicaciones dentro de nuestros AVD
• Forzar la autenticación multifactor (MFA) para el acceso a AVD

Esto nos permitirá garantizar de forma sencilla que los usuarios solo tienen acceso a nuestros servicios corporativos desde los AVD, donde podemos/debemos aplicar medidas de seguridad de auditoría, control, corrección y monitorización en tiempo real. En este caso, buscamos que los usuarios puedan ejecutar aplicaciones registradas en AzureAD (Exchange, SharePoint, OneDrive, Teams, etc… ) desde nuestros AVD, utilizando para ello configuraciones específicas de Acceso Condicional definidas en Azure Active Directory.

Antes de empresa, aquí os dejo el esquema de la configuración que vamos a comentar en este artículo:

Antes de empezar, voy a recodar el objetivo de esta configuración:

• Permitir el acceso a las aplicaciones Cloud registradas en AzureAD solo desde nuestras MV en nuestros entorno de Azure Virtual Desktop
• La conexión desde cliente de escritorio remoto de Azure Virtual Desktop será autenticando con MFA

Lo voy a centrar en un AVD, pero veréis que la configuración se puede aplicar también a entornos híbridos. Lo que haré será definir dos directivas de acceso condicional:

1. Permite únicamente el acceso a aplicaciones registradas en AzureAD desde máquinas con el estado de cumplimiento correcto [equipos unidos a AzureAD o Híbridos].
2. Obligar a autenticarse con MFA en la conexión del cliente de escritorio remoto de Azure Virtual Desktop.

La configuración que planteo es teniendo en cuenta que solo tuviéramos en entorno Cloud, 100% AzureAD y O365, vamos, que nuestros usuarios no tengan equipos corporativos pero queramos controlar el acceso a las aplicaciones corporativas. Las aplicaciones de O365 se protegerían utilizando el acceso condicional y, si tuviéramos alguna aplicación de negocio de escritorio pues quedaría protegida porque solo estaría instalada en los AVD.

Insisto, es una configuración muy centrada en AzureAD y AVD, pero se puede extrapolar a entornos híbridos sin problema. La idea es que ningún usuario se pueda conectar utilizando sus equipos personales ni otros que no sean los que nosotros queramos, en este caso los únicos unidos al dominio de AzureAD que son nuestros AVD. Antes de comenzar con las dos configuraciones que debemos realizar, os dejo algunos artículos que he publicado anteriormente sobre estos dos temas:

• Azure MFA: Acceso Condicional – Blog Santiago Buitrago (santiagobuitragoreis.com)
• Azure: Configuración Inicial de Autenticación Multifactor (MFA) – Blog Santiago Buitrago (santiagobuitragoreis.com)
• Conexión VPN + RADIUS + AzureMFA + Enrutamiento IP – Blog Santiago Buitrago (santiagobuitragoreis.com)
• Microsoft Azure: Windows Virtual Desktop + Acceso Condicional + Teams
• Microsoft Azure: Infraestructura VDI con Azure Files, DFS, GPOs y Licenciamiento Usuarios Automático
• Microsoft Azure: Ahorro de Costes en Azure Virtual Desktop
• Microsoft Azure: Ahorro de Costes en WVD [Detener Equipos Sin Sesiones]
• Acceso a tus máquinas virtuales: Azure Bastion o Windows Virtual Desktop
• Windows Virtual Desktop: Inicio Automático de un Hosts de Sesión (versión preliminar)
• Optimización RDP: Implementación RDP Shortpath en Windows Virtual Desktop (versión preliminar)
• Microsoft Azure: Gestión y Administración de Imágenes para Windows Virtual Desktop

Entre todos los artículos veréis configuraciones que iré aplicando aquí, pero las cuales no voy a detallar, me voy a centrar en las dos configuraciones que debemos aplicar para conseguir el objetivo que nos hemos marcado. Pues vamos a ello, os voy a mostrar las diferentes secciones de la configuración de acceso condicional en las diferentes directivas que debemos crear. Las directivas que vamos a crear con las siguientes:

1. Usuarios AVD: definiremos que solo se pueda tener acceso a las aplicaciones registradas en AzureAD desde máquinas con el estado de cumplimiento correcto. La directiva de cumplimiento que he configurado es la siguiente:
2. Cliente AVD: cuando los usuarios inicien sesión en el cliente de escritorio remoto de Azure Virtual Desktop se les obligará a autenticarse utilizando MFA

Entiendo que, todos tenemos claro que para configurar el estado de cumplimiento necesitamos tener Intune y los equipos (MV de AVD) unidos al dominio de AzureAD. Como os he comentado, esta configuración ya no lo voy a comentar en este artículo, pero aquí tenéis el enlace a uno de ellos donde lo comento: Azure MFA: Acceso Condicional – Blog Santiago Buitrago (santiagobuitragoreis.azurewebsites.net)

A continuación, la configuración de la directiva de acceso condicional para evitar que los usuarios accedan a las aplicaciones desde equipos no unidos al dominio de AzureAD y con el estado de cumplimiento adecuado.

Usuarios o identidades de la carga de trabajo: importante, que tengamos un grupo de seguridad al que le aplicaremos esta directiva para evitar problemas de acceso (también podemos utilizar las exclusiones para evitar que se aplique esta configuración a ciertos usuarios):

Aplicaciones en la nube o acciones: elegiremos la opción Todas las aplicaciones de nube para asegurarnos de que se aplica a todos las aplicaciones que tenemos registradas en AzureAD (a mayores de O365)