MFA basé sur la machine

    Présentation des fonctionnalités

    La MFA basée sur la machine est un paramètre qui protège les machines critiques pour l'entreprise au sein d'une organisation en empêchant leur compromission. Elle impose la MFA sur des machines sélectionnées, quel que soit l'utilisateur qui se connecte. Chaque utilisateur accédant à une machine protégée doit vérifier son identité via la MFA avant de se connecter.

    La MFA basée sur la machine reste appliquée en toutes circonstances. Même lorsqu'un utilisateur n'est pas inscrit à la MFA ou lorsque le serveur ADSelfService Plus est inaccessible, la machine protégée continue d'exiger la MFA et bloque la connexion jusqu'à ce que l'utilisateur vérifie son identité. Cela la rend adaptée aux points d'extrémité sensibles qui doivent rester protégés en permanence.

    La MFA basée sur la machine s'applique aux machines jointes à un domaine AD, aux machines autonomes (workgroup) et aux machines gérées via un locataire Microsoft Entra ID.

    Fonctionnement de la MFA basée sur la machine

    La MFA basée sur la machine lie l'exigence de MFA à la machine plutôt qu'à une politique utilisateur. Chaque invite d'authentification utilise les authentificateurs configurés pour cet utilisateur sous MFA for Machine Login.

    Elle prévaut sur la MFA Endpoint basée sur l'utilisateur. Même les utilisateurs qui n'ont pas activé la MFA Endpoint basée sur l'utilisateur sont invités à la vérification sur une machine protégée, et les utilisateurs non inscrits ne peuvent pas contourner l'invite.

    Si un utilisateur sélectionne Trust this machine sur l'écran de connexion, il peut se connecter sans MFA pendant une durée définie après la première vérification réussie. Une fois cette durée expirée, la MFA est à nouveau requise.

    Note : Parce que l'application s'effectue même lorsque le serveur est inaccessible, le type d'authentificateur est important. Les authentificateurs dépendants du serveur (en ligne) ne peuvent pas compléter la vérification sans un serveur accessible. Inscrivez au moins un authentificateur capable de fonctionner hors ligne pour les machines qui opèrent hors réseau.

    Lorsque la connexion est bloquée

    Lorsque la MFA basée sur la machine est appliquée, ADSelfService Plus bloque la connexion à la machine protégée dans l'un des cas suivants :

    • Le serveur ADSelfService Plus est inaccessible.
    • Le compte utilisateur est restreint dans ADSelfService Plus.
    • L'utilisateur n'appartient à aucune politique avec MFA for Machine Login configurée.
    • L'utilisateur ne s'est inscrit à aucun des authentificateurs configurés dans la section MFA for Machine Login, qu'ils soient en ligne ou hors ligne, indépendamment de l'activation ou non de l'option Force Enrollment pour la politique utilisateur.
    • L'utilisateur a dépassé la limite de consommation de licence, ou la MFA Endpoint n'a pas été achetée. Pour acheter la MFA Endpoint, cliquez ici.
    Note : Mettez à jour l'agent de connexion vers Windows 5.10, macOS 1.7 ou Linux 2.4 ou version ultérieure afin que la MFA soit correctement appliquée. Si une machine utilise un agent de connexion plus ancien et que le serveur est inaccessible, l'utilisateur peut toujours accéder à la machine, mais uniquement lorsque Skip MFA when the ADSelfService Plus server is down or unreachable est activé dans sa politique.

    Scénarios MFA pris en charge

    ADSelfService Plus prend en charge la MFA pour les connexions interactives aux machines exécutant Windows, macOS ou Linux. Les scénarios incluant User Account Control (UAC), l'accès Remote Desktop et le déverrouillage de machine sont pris en charge uniquement sur Windows.

    Parmi les scénarios Windows, le support diffère également entre Active Directory et Microsoft Entra ID :

    Scénario MFAActive DirectoryMicrosoft Entra ID
    Connexion GUI interactivePris en chargePris en charge
    User Account Control (UAC)Pris en chargePris en charge
    Authentification serveur RDPPris en chargePris en charge
    Authentification client RDPPris en chargeNon pris en charge
    Déverrouillage des machines WindowsPris en chargePris en charge

    Prérequis

    Assurez-vous des éléments suivants avant de configurer et d'appliquer la MFA basée sur la machine dans ADSelfService Plus :

    • Édition : La Professional edition of ADSelfService Plus avec Endpoint MFA. Sans l'édition Professional et Endpoint MFA, ADSelfService Plus n'applique pas la MFA basée sur la machine.
    • Agent de connexion : Installez l'agent de connexion ADSelfService Plus sur chaque machine cible.

    Limitations

    Les limitations suivantes s'appliquent à la MFA basée sur la machine dans ADSelfService Plus :

    • Vous ne pouvez pas installer, mettre à jour ou désinstaller l'agent de connexion depuis ADSelfService Plus sur les machines Windows en workgroup. Effectuez ces actions manuellement, ou utilisez un outil tel que Microsoft Configuration Manager ou ManageEngine Endpoint Central.
    • L'authentification client RDP n'est pas prise en charge pour les utilisateurs locaux sur les machines jointes à un domaine ou autonomes (workgroup), ni pour Microsoft Entra ID.
    • Les actions effectuées via l'option Run as a different user ne déclenchent pas l'invite d'identification utilisée par les autres actions UAC, donc la MFA pour UAC ne s'applique pas à ce chemin.
    Note : Sur les machines jointes à Microsoft Entra ID, modifier le suffixe du nom principal d'utilisateur (UPN) après que l'utilisateur s'est connecté à la machine ne met pas à jour le nom d'utilisateur mis en cache sur cette machine. Lorsque l'utilisateur se reconnecte via la vignette utilisateur mise en cache, la machine présente toujours l'ancien nom d'utilisateur. En raison de cette discordance, ADSelfService Plus peut ne pas identifier correctement l'utilisateur lors du flux MFA de connexion machine et contourne la MFA. Le nom d'utilisateur se synchronise localement uniquement après que l'utilisateur s'est connecté une fois avec le nom d'utilisateur mis à jour depuis la vignette Other User , après quoi la MFA est à nouveau appliquée. Pour maintenir la protection de ces machines lors d'un changement de UPN, appliquez la MFA basée sur la machine pour contrôler la MFA au niveau de la machine plutôt que de se fier uniquement à la correspondance du nom d'utilisateur.

    Instructions de configuration

    Pour configurer la MFA basée sur la machine dans ADSelfService Plus, appliquez-la sur les machines requises et, facultativement, configurez les paramètres avancés pour des scénarios Windows supplémentaires. Les procédures s'appliquent aux domaines Active Directory et aux locataires Microsoft Entra ID, avec les différences indiquées lorsqu'elles apparaissent.

    Appliquer la MFA basée sur la machine

    Pour appliquer la MFA basée sur la machine sur une ou plusieurs machines, suivez ces étapes :

    1. Allez dans Configuration > Administrative Tools > GINA/Mac/Linux (Ctrl+Alt+Del) > GINA/Mac/Linux Installation > Installed Machines.
    MFA basée sur la machine 1

    Fig.1 : Onglet Installed Machines dans ADSelfService Plus.

    1. Pour un domaine Active Directory, sélectionnez le domaine requis dans la liste déroulante. Pour un locataire Microsoft Entra ID, sélectionnez le locataire requis dans la liste déroulante Select Tenant.
    2. Sélectionnez les machines sur lesquelles vous souhaitez appliquer la MFA basée sur la machine.
    3. Cliquez sur Manage MFA, puis sélectionnez Enforce.
    MFA basée sur la machine 2

    Fig.2 : Application de la MFA basée sur la machine avec ADSelfService Plus.

    Exempter une machine de la MFA basée sur la machine

    Pour supprimer l’application de la MFA basée sur la machine sur une ou plusieurs machines, suivez ces étapes :

    1. Allez dans Configuration > Administrative Tools > GINA/Mac/Linux (Ctrl+Alt+Del) > GINA/Mac/Linux Installation > Installed Machines.
    2. Pour un domaine Active Directory, sélectionnez le domaine requis dans la liste déroulante. Pour un locataire Microsoft Entra ID, sélectionnez le locataire requis dans la liste déroulante Select Tenant.
    3. Sélectionnez les machines que vous souhaitez exempter de la MFA basée sur la machine.
    4. Cliquez sur Manage MFA, puis sélectionnez Exempt.
    MFA basée sur la machine 3

    Fig.3 : Suppression de l’application basée sur la machine avec ADSelfService Plus.

    Paramètres avancés de la MFA machine

    Les paramètres avancés étendent la MFA à des scénarios Windows spécifiques. Sur l’écran GINA/Mac/Linux Installation, cliquez sur Advanced Machine MFA Settings. Ces paramètres s’appliquent à chaque machine Windows ayant l’agent de connexion ADSelfService Plus installé.

    MFA basée sur la machine 4

    Fig.4 : Configuration des paramètres avancés de la MFA machine dans ADSelfService Plus

    Activer la MFA lors des connexions GUI interactives aux machines Windows

    Lorsque vous activez ce paramètre, ADSelfService Plus exige la MFA lors des connexions interactives (basées sur GUI) sur les machines Windows. Les utilisateurs ne peuvent effectuer d’actions ultérieures qu’après avoir vérifié leur identité.

    Activer la MFA pour le Contrôle de compte utilisateur (UAC)

    Ce paramètre exige la MFA pour chaque invite d’identification UAC. L’utilisateur ne peut effectuer l’action demandée qu’après avoir vérifié son identité. La MFA peut intercepter l’invite d’élévation uniquement lorsqu’elle s’exécute sur le bureau sécurisé, vous devez donc appliquer d’abord les paramètres de stratégie de groupe suivants.

    1. Log in to a domain controller with Administrateur de domaine privileges, then apply these Group Policy settings to the target computers:
      • Ouvrez l’éditeur de gestion des stratégies de groupe (GPMC) et accédez à Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options.
      • Définissez User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode sur Prompt for credentials on the secure desktop.
      • Définissez User Account Control: Switch to the secure desktop when prompting for elevation sur Enabled.
    2. Passez à ADSelfService Plus et cochez Enable MFA for User Account Control.
    Note : Ce paramètre fonctionne sur Windows 7 ou ultérieur et Windows Server 2008 ou ultérieur. Il est pris en charge à partir de la version 5.10 ou ultérieure de l’agent de connexion Windows ADSelfService Plus. Les actions effectuées via l’option Run as a different user ne déclenchent pas l’invite d’identification utilisée par les autres actions UAC, donc MFA for UAC ne s’applique pas à ce chemin.

    Activer la MFA pour l’accès Remote Desktop (RDP)

    Vous pouvez exiger la MFA pour les connexions Remote Desktop Protocol (RDP), ce qui ajoute une couche d’authentification à ces connexions. L’authentification RDP fonctionne dans deux sens :

    • RDP server authentication protège les connexions entrantes vers une machine protégée.
    • L’authentification RDP client protège les connexions sortantes depuis une machine protégée.
    Note : Activer à la fois l’authentification serveur RDP et client RDP peut entraîner une double vérification si l’agent de connexion est installé à la fois sur le serveur et la machine cliente. Par exemple, avec Google Authenticator configuré et les deux paramètres activés, l’utilisateur saisit un code deux fois — une fois avant la connexion et une fois après.

    Authentification serveur RDP

    Lorsque vous activez ce paramètre, ADSelfService Plus protège chaque connexion Remote Desktop entrante par MFA sur toute machine Windows ayant l’agent de connexion installé.

    Pour activer la MFA pour l’authentification serveur RDP, connectez-vous à un contrôleur de domaine avec les privilèges d’administrateur de domaine, puis appliquez les paramètres de stratégie de groupe suivants aux ordinateurs cibles :

    1. Ouvrez l’éditeur de gestion des stratégies de groupe et accédez à Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Security.
    2. Double-cliquez sur Require user authentication for remote connections by using Network Level Authentication et cochez Enabled.
    3. Cliquez sur Apply, puis sur OK.
    4. Passez à la console ADSelfService Plus, sélectionnez Enable MFA for Remote Desktop access on Windows machines during et cochez RDP server authentication.

    Pour exiger la MFA pour les connexions Remote Desktop dans un environnement AD multi-forêts, une relation de confiance doit exister entre les deux domaines. Vous pouvez ajouter des trusts de domaine entre forêts via un trust de forêt (au niveau de la forêt) ou un trust externe (au niveau du domaine). Pour les étapes, cliquez ici.

    Note : L’authentification client RDP couvre également les utilisateurs qui se connectent via Internet ou d’autres adresses IP publiques via Remote Desktop Gateway (RD Gateway). Pour protéger ces connexions, configurez une règle d’accès conditionnel avec des restrictions IP. Pour plus de détails, consultez conditional access.

    Authentification client RDP

    Ce paramètre exige la MFA pour toutes les connexions Remote Desktop sortantes depuis des machines jointes au domaine. Il s’applique aux connexions effectuées via l’application Windows Remote Desktop (mstsc.exe) sur les machines ayant l’agent de connexion installé.

    Note : L’authentification client RDP n’est pas prise en charge pour les utilisateurs locaux sur des machines jointes au domaine ou autonomes (workgroup), ni pour Microsoft Entra ID.

    Avant de configurer l’authentification client RDP, connectez-vous à un contrôleur de domaine avec les privilèges d’administrateur de domaine et appliquez ces paramètres :

    1. Ouvrez l’éditeur de gestion des stratégies de groupe (GPMC) et accédez à Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Security.
    2. Double-cliquez sur Require user authentication for remote connections by using Network Level Authentication et cochez Enabled.
    3. Cliquez sur Apply, puis sur OK.
    4. Passez à la console ADSelfService Plus, sélectionnez Activer MFA pour l'accès Bureau à distance sur les machines Windows pendant et cochez Authentification client RDP.
    Note : Ce paramètre est pris en charge à partir de la version 5.10 ou ultérieure de l'agent de connexion Windows ADSelfService Plus et fonctionne sur Windows 7 ou ultérieur ainsi que Windows Server 2008 R2 ou ultérieur.

    Activer MFA lors du déverrouillage des machines Windows : Lorsque vous activez ce paramètre, ADSelfService Plus exige MFA lorsqu'un utilisateur déverrouille une machine Windows.

    MFA basée sur la machine 5

    Fig.5 : Dialogue des paramètres avancés MFA machine dans ADSelfService Plus