Seemless SSO dans RDS fonctionne la première fois

Question

Bonjour à tous,

• J'ai un tenant O365 synchronisé avec mon active directory local grâce à EntraID Connect.
• La synchro est bonne
• Le SSO est actif et en mode Password Hash Synchronisation
• J'ai créé ma GPO pour le seemless SSO et elle est bien appliquée

Dans mon environnement, à la première connexion le Seemless SSO fonctionne parfaitement bien.

Lors de l'ouverture de session suivante, Outlook demande le mot de passe des utilisateurs qui est le mot de passe d'utilisateur Active Directory.

Si je vais dans le panneau de configuration de l'utilisateur, puis dans le gestionnaire d'identification et que je supprime les lignes de credential relatives au SSO le SSO refonctionne une fois puis demande à nouveau le mot de passe.

Je test le tout sur une ferme RDS de 6 serveurs avec des profils FsLogix.

Je n'ai pas créé de conteneurisation particulière pour les OST.

J'ai désactiver la mise en cache d'Outlook pour le moment pour forcer le mode en ligne (restriction obligatoire en regard de ma bande passante).

Nous somme pour le moment sur un office 2019 (et prévoyons d'installer la suite Office 365 pour laquelle nous avons des licences mais nous devons patienter pour des raisons internes).

Avez-vous des idée sur la cause de ce problème car je suis un peu à sec d'inspiration.

Merci pour votre aide

Loïc

Answer 1

Bonjour,

Merci d’avoir pris le temps d’expliquer votre situation. Ce problème est assez courant dans les environnements RDS lorsque Seamless SSO est utilisé avec Outlook et que les profils sont gérés par FSLogix. Pour le résoudre, commencez par vérifier que votre configuration Seamless SSO est correcte et que l’authentification Kerberos fonctionne. Vous pouvez tester cela en exécutant la commande klist dans une session utilisateur pour confirmer la présence des tickets Kerberos.

Ensuite, activez l’authentification moderne pour Outlook en ajoutant la clé de registre AlwaysUseMSOAuthForAutoDiscover sous HKEY_CURRENT_USER\Software\Microsoft\Exchange et définissez-la sur Cela garantit qu’Outlook utilise l’authentification moderne au lieu de revenir à l’authentification basique.

Il est également important de s’assurer que les conteneurs de profil FSLogix incluent les dossiers qui stockent les jetons d’activation et d’authentification, comme le dossier de licence Office, le dossier AAD Broker Plugin et le dossier TokenBroker. Si ces dossiers ne sont pas conservés, Outlook continuera à demander les identifiants après chaque déconnexion.

Vérifiez aussi que les entrées du Gestionnaire d’identifiants Windows pour les comptes Microsoft ne sont pas supprimées entre les sessions. Si c’est le cas, ajustez la configuration FSLogix ou vos paramètres GPO pour les conserver.

Une fois ces modifications appliquées, connectez-vous à une session RDS et ouvrez Outlook pour confirmer qu’il ne demande plus de mot de passe lors des connexions suivantes.

Dites moi si cela vous aide ou si vous avez besoin de plus de précisions, je suis là pour vous aider !

Cordialement,

Edward