FIDO2 MFA Outlook Client - Windows 2016 (Terminalserver)

[MatBat 0]

Hallo zusammen,

wir sind aktuell dabei FIDO2 Security Keys als MFA-Methode für unsere AzureAD Benutzer auszurollen.

Nun haben wir auf unseren Windows 2016 Terminalservern (DomainJoined) bei Outlook das Problem, dass bei der Abfrage des FIDO2 Keys das Fenster für die PIN Abfrage erst gar nicht erscheint.
Das Fenster bleibt bei "Überprüfen Ihrer Identität" hängen.

Ist es denn grundsätzlich möglich das unter Windows Server 2016 zum Laufen zu bekommen? Hat da schon jemand Erfahrungen sammeln können?

 

Vielen Dank.

[Nobbyaushb 1.513]

Werden die USB-Port an den RDS durchgereicht?
"Sieht" der User den Fido?

[MatBat 0]

Sorry für die später Rückmeldung.
Ich habe zwischenzeitlich ein paar mehr Erfahrungen damit sammeln können.

 

Der FIDO2 Token funktioniert auf dem selben Terminalserver im Browser problemlos.
Nachdem das ganze nun auch unter Windows Server 2019 und 2022 getestet wurde, scheint es erst ab Server 2022 zu funktionieren. 

[testperson 1.761]

Hi,

 

ist hier das Problem evtl., dass Outlook zur Authentifizierung auf Windows Server 2016 im Hintergrund per Default noch den Internet Explorer nutzt? Ich meine mich an sowas zu erinnern, dass es bei einem Kunden mit Gmail dieses Problem gab. Hier ging ein Browser Fenster auf, welches meldete, dass der Browser nicht unterstützt ist.

 

Das hier geht in die Richtung, wenn ich es noch im Kopf habe: Error 'This web browser does not support JavaScript or scripts are being blocked' when adding a Google Workspace account - Microsoft Support

 

Gruß

Jan

[MatBat 0]

Hi Jan,

 

vielen Dank dafür.
Hat leider nicht das gewünschte Ergebnis gebracht.
Wir werden MFA über entsprechende Conditional Access Regeln in Azure nun dort erzwingen, wo es auch wirklich funktioniert.
Aber generell habe ich zu diesem Thema leider sehr wenige Infos gefunden. Da frage ich mich, wie das bei anderen gelöst wird.

 

Danke und Grüße

[testperson 1.761]

Du könntest die Frage einfach mal beim Microsoft Support platzieren, den du "ja eh" bezahlst. Die sollten dir da helfen können oder zumindest mitteilen, dass es so nicht geht / vorgesehen ist.