Installation de l’agent de connexion GINA/macOS/Linux

    L’agent de connexion ADSelfService Plus sécurise les machines avec MFA et permet aux utilisateurs finaux de réinitialiser leurs mots de passe et de déverrouiller leurs comptes directement depuis l’écran de connexion Windows, macOS ou Linux.

    Plates-formes prises en charge

    Serveurs WindowsClients WindowsClients macOSClients Linux
    Windows Server 2025Windows 11macOS 26 TahoeSUSE Linux Enterprise Server/Desktop (SLES/SLED) 12.x à 15.x et openSUSE Leap 15.6 *
    Windows Server 2022Windows 10macOS 15 SequoiaRed Hat Enterprise Linux 8.x–9.x *
    Windows Server 2019Windows 8.1macOS 14 SonomaRocky Linux 8.x–9.x *
    Windows Server 2016Windows 8macOS 13 VenturaUbuntu 16.x–20.04.4
    Windows Server 2012 R2Windows 7macOS 12 MontereyFedora 27.x–31.x
    Windows Server 2012Windows VistamacOS 11 Big SurCentOS 7.x - 8.x et CentOS Stream 9.x *
    Windows Server 2008 R2macOS 10.15 Catalina
    Windows Server 2008macOS 10.14 Mojave
    macOS 10.13 High Sierra
    macOS 10.12 Sierra
    OS X 10.11 El Capitan
    OS X 10.10 Yosemite

    * Les machines exécutant SLES/SLED, openSUSE Leap 15.6, Red Hat Enterprise Linux et Rocky Linux peuvent être sécurisées avec MFA au niveau de la connexion machine. Les réinitialisations de mot de passe en libre-service et les déverrouillages depuis l’écran de connexion ne sont actuellement pas pris en charge pour ces plateformes.

    Note : Pour les environnements joints à Entra ID, le déploiement de l’agent de connexion est pris en charge uniquement sur les machines Windows. macOS et Linux ne sont pas pris en charge.

    Prérequis

    • Vous devez disposer des privilèges administratifs dans ADSelfService Plus.
    • HTTPS doit être activé dans l’URL d’accès avant que l’agent de connexion puisse être installé sur des machines distantes. Pour plus de détails, voir activation de HTTPS dans ADSelfService Plus.

    Limitations

    • L’agent de connexion ne peut pas être installé sur des machines Windows en groupe de travail depuis la console d’administration. Utilisez la méthode d’installation manuelle ou CLI pour les machines en groupe de travail.
    • Sur les machines Windows jointes à Entra ID, l’authentification via le fournisseur Windows Web Sign-in contourne le flux MFA de l’agent de connexion. Désactivez le fournisseur Web Sign-in pour garantir l’application de MFA. Voir Désactivation du fournisseur Windows Web Sign-in avec Microsoft Intune.
    • L’agent de connexion a été testé sur les distributions Linux listées dans le tableau des plateformes prises en charge. Il peut prendre en charge d’autres distributions. Contactez support@adselfserviceplus.com pour vérifier la compatibilité avec l’environnement de votre organisation.

    Instructions de configuration

    Les étapes ci-dessous couvrent l’installation de l’agent de connexion via la console d’administration pour les machines jointes à AD. Pour toutes les autres méthodes de déploiement, suivez les liens vers les pages correspondantes du guide d’administration.

    Installation de l’agent de connexion depuis la console d’administration (machines jointes à AD)

    La méthode console d’administration installe l’agent de connexion simultanément sur plusieurs machines Windows, macOS et Linux jointes au domaine depuis ADSelfService Plus.

    1. Dans le portail ADSelfService Plus, naviguez vers Configuration > Outils administratifs > GINA/Mac/Linux (Ctrl+Alt+Del) > Installation GINA/Mac/Linux.
    2. Cliquez sur Nouvelle installation.
    3. Sélectionnez un domaine, puis sélectionnez les ordinateurs sur lesquels vous souhaitez installer l’agent de connexion.
    4. Cliquez sur Install.
    Note : ADSelfService Plus utilise trois méthodes pour l’installation de l’agent de connexion Windows afin d’améliorer le taux de réussite : Remcom, PAExec et WMI. Si Remcom échoue, PAExec est tenté ; si PAExec échoue, WMI est utilisé.

    La clé d’installation de l’agent de connexion

    • La clé d'installation est similaire à un mot de passe. Il s'agit d'une information sensible qui ne doit pas être partagée. Si la clé actuelle est compromise, régénérez-en une nouvelle en utilisant le lien dans le portail admin.
    • Après avoir régénéré la clé, copiez la commande mise à jour depuis le portail admin et mettez à jour le champ Installation Command pour toutes les nouvelles installations effectuées via GPO, Microsoft Configuration Manager, Endpoint Central ou d'autres outils tiers.
    • La régénération de la clé n'affecte pas les installations existantes de l'agent de connexion.

    Autres méthodes de déploiement pour les machines jointes à AD

    Installation manuelle : Installez l'agent de connexion sur les machines Windows, macOS et Linux jointes au domaine ou en groupe de travail en utilisant le package d'installation ou la CLI. Pour plus de détails, voir l'installation manuelle de l'agent de connexion.

    Via GPO : Déployez l'agent de connexion sur les machines Windows jointes au domaine en utilisant la stratégie de groupe. Pour plus de détails, voir l'installation de l'agent de connexion via GPO.

    Via Microsoft Configuration Manager : Déployez l'agent de connexion sur les machines Windows jointes au domaine en utilisant Microsoft Configuration Manager. Pour plus de détails, voir l'installation de l'agent de connexion via Microsoft Configuration Manager.

    Via Endpoint Central : Déployez l'agent de connexion sur les machines Windows, macOS et Linux jointes au domaine en utilisant Endpoint Central. Pour plus de détails, voir l'installation de l'agent de connexion via Endpoint Central.

    Méthodes de déploiement pour les machines jointes à Entra ID

    Le déploiement de l'agent de connexion pour les machines jointes à Entra ID est pris en charge uniquement sur Windows. Utilisez l'une des méthodes suivantes pour déployer l'agent de connexion :

    Installation manuelle : Installez l'agent de connexion sur les machines Windows jointes à Entra ID en utilisant le package d'installation. Pour plus de détails, voir l'installation manuelle de l'agent de connexion sur les machines Windows jointes à Entra ID.

    Via scripts : Déployez l'agent de connexion sur les machines Windows jointes à Entra ID en utilisant des scripts d'installation. Pour plus de détails, voir l'installation de l'agent de connexion via scripts sur les machines Windows jointes à Entra ID.

    Via Microsoft Configuration Manager : Déployez l'agent de connexion sur les machines Windows jointes à Entra ID en utilisant Microsoft Configuration Manager. Pour plus de détails, voir l'installation de l'agent de connexion via Microsoft Configuration Manager.

    Désactivation du fournisseur Windows Web Sign-in via Microsoft Intune (machines jointes à Entra ID)

    Sur les machines Windows jointes à Entra ID, l'authentification via le fournisseur Windows Web Sign-in contourne le flux MFA de l'agent de connexion. Pour garantir que le MFA est appliqué via l'agent de connexion, désactivez le fournisseur Web Sign-in en utilisant Microsoft Intune.

    1. Ouvrez le Microsoft Intune Admin Center.
    2. Allez à Devices > Configuration profiles.
    3. Cliquez sur Create profile.
    4. Définissez Platform sur Windows 10 and later.
    5. Définissez Profile type sur Settings catalog.
    6. Cliquez sur Create.
    7. Dans le Settings catalog, recherchez Enable Web Sign In et ajoutez ce paramètre.
    8. Définissez la valeur sur Disabled.
    9. Assignez la stratégie aux groupes d'appareils Entra requis.
    10. Synchronisez la stratégie sur les machines clientes, ou attendez le prochain cycle de synchronisation des stratégies Intune.
    11. After the policy applies:
      • L'option Web Sign-in n'apparaît plus sur l'écran de connexion Windows.
      • Les utilisateurs finaux s'authentifient en utilisant les fournisseurs d'identifiants de l'agent de connexion Windows pris en charge.
      • L'application du MFA via l'agent de connexion fonctionne comme prévu.

    Désinstallation ou mise à jour de l'agent de connexion

    Pour les étapes de désinstallation ou de mise à jour de l'agent de connexion sur les ordinateurs Windows, macOS et Linux, voir désinstaller et mettre à jour l'agent de connexion ADSelfService Plus.