Authentification par carte à puce

    ADSelfService Plus permet aux administrateurs d'ajouter un bouton Carte à puce à l'écran de connexion, permettant aux utilisateurs d'accéder au portail en libre-service et aux applications de manière sécurisée sans nom d'utilisateur ni mot de passe.

    Connexions sans mot de passe au portail ADSelfService Plus à l’aide de cartes à puce.
    Note : L'authentification par carte à puce peut également être utilisée comme méthode MFA pour protéger les applications d'entreprise, les machines Windows, les actions en libre-service telles que les réinitialisations de mot de passe et les déblocages de compte, les connexions Outlook sur le web, les connexions VPN via des liens de vérification sécurisés, et les connexions à ADSelfService Plus. Pour en savoir plus sur ce que sont les cartes à puce, comment fonctionne le processus d'authentification, et d'autres façons d'exploiter l'authentificateur par carte à puce avec ADSelfService Plus, cliquez ici.

    Configuration de l'authentification par carte à puce pour ADSelfService Plus

    Préparation de votre environnement d'authentification par carte à puce

    L'inscription à l'authentification par carte à puce peut être effectuée par les utilisateurs ainsi que par l'administrateur. Les étapes générales sont les suivantes :

    1. Les utilisateurs doivent se voir délivrer un certificat numérique et une clé privée par l'autorité de certification (CA) de votre organisation.
      2. Note : Assurez-vous que les attributs utilisateur AD pris en charge et ayant des valeurs uniques, tels que employeeID, sAMAccountName ou userPrincipalName, possèdent des valeurs valides pouvant être mappées aux attributs correspondants du certificat, comme SAN.OtherName, SAN.RFC822Name, SAN.DirName, SAN.DNSName, SAN.URI, emailaddress, distinguishedName ou CommonName, dans le certificat de l'utilisateur. Les valeurs des deux attributs liés doivent être identiques pour que le mappage réussisse.
      • Si vous utilisez la CA d'AD, vous pouvez vous référer au guide Microsoft sur la demande et l'octroi de certificats.
      • Si une CA externe est utilisée pour l'inscription à la carte à puce, les certificats doivent être importés dans AD et liés à l'attribut userCertificate de l'utilisateur concerné.
    2. Maintenant, le certificat et la clé privée (généralement délivrés ensemble sous forme de fichier PFX) de votre CA doivent être inscrits dans les cartes à puce pour compléter les étapes de préparation.
      • Pour les cartes à puce sur les machines :
        • Windows : Importez le fichier PFX directement dans le magasin personnel de l'utilisateur via l'outil Certificate Manager (certmgr.exe).
        • macOS : Non applicable (seules les cartes à puce physiques sont compatibles avec macOS).
        • Linux : À l'aide des paramètres de votre navigateur, importez le fichier PFX via l'onglet Certificate Manager, et le certificat racine de la CA via l'onglet Authorities.
      • Pour les cartes à puce physiques, veuillez vous référer à la documentation fournie par votre fournisseur de cartes à puce sur la manière d'inscrire les certificats avec le matériel.

    Prérequis

    1. ADSelfService Plus doit utiliser une connexion HTTPS. En savoir plus.
    2. Obtenez le certificat racine de la CA auprès d'une CA.

    Étapes de configuration

    Maintenant que les certificats sont dans le magasin personnel de l'utilisateur ou sur leurs dispositifs physiques, et que les prérequis pour ADSelfService Plus sont remplis, configurons l'authentification sans mot de passe via les cartes à puce pour le portail ADSelfService Plus.

    1. Connectez-vous à la console web ADSelfService Plus avec les identifiants administrateur.
    2. Naviguez vers Admin > Customize > Logon Settings.
    3. Cliquez sur l'onglet Smart Card Authentication.

      4. Configuration des connexions sans mot de passe au portail ADSelfService Plus à l’aide de cartes à puce.

    4. Dans le champ Import CA Root Certificate, cliquez sur Browse pour importer le fichier de certificat racine requis (certificat X.509) obtenu à l'étape deux des prérequis.
    5. Dans le champ Mapping Attribute in Certificate, sélectionnez un attribut unique dans le certificat pour le mappage.
      • Assurez-vous qu'un attribut unique du certificat est mappé à un attribut unique dans AD. Les deux attributs doivent avoir les mêmes valeurs.
      • ADSelfService Plus offre la possibilité de sélectionner n'importe quel attribut du certificat de la carte à puce qui identifie de manière unique un utilisateur. Vous pouvez choisir SAN.OtherName, SAN.RFC822Name, SAN.DirName, SAN.DNSName, SAN.URI, email, distinguishedName ou CommonName. Si d'autres attributs sont utilisés pour identifier de manière unique l'utilisateur dans votre environnement, saisissez le nom de l'attribut dans la zone de texte fournie et cliquez sur l'icône +.

      Connexions sans mot de passe au portail ADSelfService Plus pour des domaines spécifiques à l’aide de cartes à puce.

    6. Dans le champ Mapping Attribute in AD, spécifiez l'attribut LDAP qui doit être associé à l'attribut de certificat spécifié.
      • Ici, vous devez spécifier l'attribut LDAP particulier qui identifie de manière unique l'utilisateur dans AD (par exemple, sAMAccountName).
      • Lors de l'authentification, ADSelfService Plus lit la valeur correspondant à l'attribut de certificat que vous avez spécifié dans l'attribut de mappage du certificat et la compare avec l'attribut de mappage spécifié dans AD.
    7. Dans le champ Linked Domains, sélectionnez les domaines pour lesquels vous souhaitez activer l'authentification par carte à puce dans la liste déroulante.
    8. Cliquez sur Enregistrer.
    9. Redémarrez ADSelfService Plus pour que les modifications prennent effet.
      10. Note : L'authentification par carte à puce n'est pas prise en charge lorsque le Load Balancer ou le Reverse Proxy est activé pour ADSelfService Plus.

    Gestion des configurations d'authentification par carte à puce

    Après avoir ajouté une carte à puce pour l'authentification, vous pouvez effectuer l'une des fonctions suivantes :

    Ajouter une nouvelle carte à puce

    1. Naviguez vers Admin > Customize > Logon Settings > Smart Card Authentication.
    2. Cliquez sur le bouton Add a New Smartcard dans le coin supérieur droit.
    3. Saisissez tous les détails requis et cliquez sur Save.

    Modifier une carte à puce configurée

    1. Naviguez vers Admin > Customize > Logon Settings > Smart Card Authentication.
    2. Cliquez sur l’icône crayon (icône de modification) correspondant à la carte à puce dont vous souhaitez modifier la configuration.
    3. Modifiez les paramètres que vous souhaitez changer.
    4. Cliquez sur Enregistrer.

    Activation ou désactivation d’une carte à puce configurée

    1. Naviguez vers Admin > Customize > Logon Settings > Smart Card Authentication.
    2. Pour activer ou désactiver une carte à puce configurée, cliquez sur l’icône rouge (désactiver l'icône) ou l’icône verte avec coche (activer l'icône) située dans la colonne d’action de la carte à puce concernée.

    Supprimer une carte à puce configurée

    1. Naviguez vers Admin > Customize > Logon Settings > Smart Card Authentication.
    2. Cliquez sur l’icône de suppression (icône supprimer) de la carte à puce que vous souhaitez supprimer.
    3. Cliquez sur Yes pour confirmer la suppression.