Secondary Authentication บน RDP คืออะไร?

Secondary Authentication (หรือ การยืนยันตัวตนชั้นที่ 2) บน RDP (Remote Desktop Protocol)
คือระบบที่ ขอให้ผู้ใช้ยืนยันตัวตนอีกครั้ง หลังจากที่ใส่รหัสผ่านแล้ว เพื่อเพิ่มความปลอดภัยในการเข้าใช้งานเครื่องผ่าน Remote Desktop

• กล่าวง่าย ๆ คือ:
  ปกติเราใส่รหัสผ่านแค่ครั้งเดียวเพื่อเข้า RDP → แต่ถ้ามี Secondary Authentication
  ระบบจะ "ถามซ้ำอีกชั้น" ก่อนเข้าใช้งาน Windows

ทำไมระบบถึงให้ใส่รหัสซ้ำ?

เกิดได้จากหลายสาเหตุ โดยแบ่งเป็น 2 กลุ่มหลัก:

1. การตั้งค่าความปลอดภัยของระบบ (Windows หรือ Group Policy)

• มีการเปิดนโยบายในระบบให้ "Always prompt for password upon connection"
  → ทำให้ทุกครั้งที่มีการเชื่อมต่อ RDP จะต้องใส่รหัสใหม่อีกครั้ง แม้ว่าระบบจำรหัสไว้แล้ว

• หรือมีการเปิดใช้ Network Level Authentication (NLA) ซึ่งจะยืนยันตัวก่อนเข้าสู่ Desktop

• หรือมีการบังคับ Smart Card หรือ PIN ในการล็อกอิน

2. มีระบบ 2FA / MFA เสริม (Two-Factor หรือ Multi-Factor Authentication)

มักพบในองค์กรที่ต้องการความปลอดภัยสูง

• ตัวอย่างเช่น:

  • ติดตั้ง Duo Security, RSA, FortiToken, Azure MFA

  • เมื่อล็อกอินผ่าน RDP แล้ว ต้องกรอกรหัส OTP หรือยืนยันผ่านมือถืออีกขั้น

• เหล่านี้ทำให้ต้องใส่รหัสหรือยืนยันตัวเพิ่มอีก แม้ใส่รหัสผ่านหลักผ่าน RDP ไปแล้ว

สรุปง่าย ๆ:

• สิ่งที่เกิดขึ้น
  - ใส่รหัสผ่านแล้ว แต่ระบบถามซ้ำตอนเข้า Windows
  - จำรหัสเข้า RDP ได้ แต่ยังถามอีกตอนเข้า Desktop

• สาเหตุที่เป็นไปได้
  - นโยบาย Windows หรือ GPO เปิด "Always Prompt for Password"
  - มี MFA/2FA เสริมในระบบ
  - เปิด Smart Card / PIN
  - เป็นลักษณะของ Secondary Authentication เพื่อความปลอดภัย

   

วิธีปิดการใช้งาน (ถ้าไม่ต้องการ)

1. ปิด Group Policy: Always prompt for password upon connection

วิธีการ:

1. กดปุ่ม windows พิมพ์ Run
   
   
   
   - ในช่องใส่คำสั่ง พิมพ์ gpedit.msc แล้วกด Enter
   
   
   
   

2. ไปที่: Computer Configuration >
   Administrative Templates >
   Windows Components >
   Remote Desktop Services >
   Remote Desktop Session Host >
   Security
   
   ดับเบิลคลิกที่ชื่อ:
   - Always prompt for password upon connection
   
   
   
    - ตั้งค่าเป็น: Disabled 
    - คลิก Apply > OK
   
   
   

3. กดปุ่ม windows พิมพ์ Run
   
   
   
   - ในช่องใส่คำสั่ง พิมพ์ cmd แล้วกด Enter
   
   
   
   - แล้วพิมพ์คำสั่ง gpupdate /force แล้วกด Enter
   
   
   
   
4. เพื่อบังคับให้นโยบายใหม่มีผลทันทีตามภาพเสร็จเรียบร้อยพร้อมใช้งาน
   - สามารถปิดหน้าโปรแกรม แล้วลองเข้าใช้งาน Remote Desktop ตามปกติ