Technicien
Aperçu
Les techniciens sont des utilisateurs finaux avec des privilèges spécifiques leur permettant d'effectuer des tâches administratives liées au produit dans ADSelfService Plus. Chaque technicien a besoin d'une licence ADSelfService Plus pour se connecter et effectuer des tâches administratives. La page Technician Settings liste vos techniciens et leur statut de licence, et vous permet de créer des techniciens, d'assigner des rôles et des permissions, et de configurer la MFA de connexion ainsi que la politique de mot de passe pour les techniciens utilisant l'authentification produit. Vous pouvez y accéder sous Configuration > Administrative Tools > Technician.
Comment ça fonctionne
Un technicien est un utilisateur d'annuaire ou un compte produit auquel sont accordés des privilèges administratifs et une licence. Il existe deux types de techniciens et deux rôles intégrés :
- Domain-based Technician (appelé Tenant-based Technician en mode Microsoft Entra ID) : possède un compte dans l'annuaire et contrôle uniquement le domaine ou le locataire auquel il appartient. Il se connecte avec ses identifiants Windows ou d'annuaire.
- Product-based Technician : un compte créé dans ADSelfService Plus qui s'authentifie avec des identifiants produit et contrôle tous les domaines configurés.
- Super Admin : dispose par défaut du contrôle total sur l'ensemble de l'application.
- Operator : peut par défaut auditer les opérations et consulter les rapports.
Important : Lorsqu'un Super Admin basé sur le produit modifie un paramètre couvrant plusieurs domaines ou politiques, la modification est répliquée sur tous. Faites configurer les paramètres multi-domaines ou multi-politiques par des techniciens basés sur le produit uniquement lorsque cela est nécessaire.
Instructions de configuration
Lecture de la page Technician Settings
La page liste chaque technicien avec les colonnes suivantes :
| Colonne | Ce qu’elle montre |
|---|---|
| Actions | Contrôles pour modifier ou supprimer le technicien. |
| Nom de connexion | Le nom de connexion du technicien. |
| Rôle délégué | Le rôle assigné au technicien, tel que Super Admin ou Operator, et si la gestion lui est déléguée. |
| Nom de domaine / Nom du locataire | L'annuaire auquel appartient le technicien. L'en-tête est Nom de domaine en mode Active Directory et Nom du locataire en mode Microsoft Entra ID. Les techniciens basés sur le produit affichent ADSelfService Plus Authentication. |
| Type d’objet | Indique si l'entrée est un utilisateur ou un groupe. |
| Statut de licence | Indique si le technicien possède une licence ADSelfService Plus, par exemple Active. |
Attribution des permissions aux rôles
- Sur la page Technician, cliquez sur Role Settings.
- Sélectionnez le rôle souhaité dans la liste déroulante.
- Attribuez ou retirez les permissions affichées pour ce rôle.
- Cliquez sur Enregistrer.
Création d'un technicien
- Allez dans Configuration > Administrative Tools > Technician.
- Cliquez sur Add New Technician.
- Dans la liste déroulante Technician Type, choisissez Domain-based Technician (ou Tenant-based Technician en mode Microsoft Entra ID) ou Product-based Technician.
- Sélectionnez le Role, le domaine ou locataire, ainsi que les Users ou Groups dans les listes déroulantes respectives.
- Pour permettre au technicien de gérer les utilisateurs locaux, sélectionnez Delegate management of localuser.domain.
- Pour un Product-based Technician, saisissez les identifiants de connexion du compte.
- Cliquez sur Add.
Important : Un Domain-based Technician se connecte avec ses identifiants Windows. Un Product-based Technician n'a pas de compte AD ; il existe uniquement dans ADSelfService Plus et utilise les identifiants que vous définissez.
Paramètres avancés : MFA de connexion et politique de mot de passe
Cliquez sur Advanced en bas à droite pour configurer les paramètres des techniciens utilisant l'authentification produit. La page Advanced comporte trois onglets :
| Onglet | Ce que vous configurez |
|---|---|
| MFA de connexion | Activez la MFA à la connexion pour les techniciens produit, choisissez le nombre de facteurs d'authentification requis et les authenticators à utiliser, et définissez des options telles que masquer le CAPTCHA pendant la MFA, la limite d'inactivité, l'expiration de la confiance pour ce navigateur, et les codes de vérification de secours MFA. |
| Politique de mot de passe | Appliquez les règles de mot de passe pour les techniciens produit : restreignez les caractères, répétitions, motifs (y compris un motif regex) et la longueur ; activez l'analyseur de robustesse du mot de passe ; et vérifiez les mots de passe via l'intégration Have I Been Pwned. |
| Général | Masquez le CAPTCHA sur la page de changement de mot de passe, empêchez le copier-coller dans les champs de mot de passe, activez l'analyseur de robustesse du mot de passe, et configurez le blocage des utilisateurs échouant à la vérification d'identité (nombre maximal de tentatives invalides dans une fenêtre temporelle, durée du blocage, y compris blocage jusqu'à déblocage par un administrateur). |
Important : Les paramètres MFA de connexion s'appliquent à tous les techniciens produit, y compris le compte administrateur par défaut. Un compte sans codes de secours peut être bloqué en cas d'échec MFA, donc activez Enable MFA Backup Verification Codes avant d'imposer la MFA de connexion.
Conseils
- Assignez le rôle Operator aux techniciens qui ont seulement besoin de consulter les rapports et d'auditer les opérations, et réservez Super Admin aux administrateurs complets.
- Donnez à chaque technicien une licence ADSelfService Plus ; la colonne Licensing Status indique qui est licencié.
- Activez les codes de vérification de secours MFA avant d’activer la MFA de connexion, afin qu’une défaillance MFA ne puisse pas verrouiller l’administrateur par défaut.
- Demandez aux Super Admins basés sur le produit d’effectuer des modifications multi-domaines ou multi-politiques uniquement lorsque cela est nécessaire, car ces modifications se répliquent sur tous les domaines affectés.