Bloquer les utilisateurs

    L’onglet Block Users comprend des paramètres qui renforcent la sécurité des comptes en empêchant les tentatives d’accès non autorisées. Lorsque les utilisateurs dépassent un nombre prédéfini de vérifications d’identité invalides ou de tentatives d’actions en libre-service, ADSelfService Plus peut bloquer automatiquement leur accès—soit temporairement, soit jusqu’à l’intervention d’un administrateur. Cela minimise les attaques par force brute et renforce la posture globale d’authentification sur tous les points d’accès protégés par ADSelfService Plus.

    Limitations

    • Les échecs MFA avec Duo Security ou l’authentification par carte à puce ne sont pas pris en compte dans le seuil de blocage car ces authentificateurs mettent en œuvre leurs propres mécanismes de blocage et de verrouillage.
    • Le blocage est appliqué uniquement pour les opérations et points d’accès protégés par ADSelfService Plus ; il ne remplace ni ne remodifie les politiques natives de verrouillage de compte configurées dans votre domaine AD.

    Configurer le blocage des utilisateurs

    1. Connectez-vous à ADSelfService Plus avec des identifiants administratifs.
    2. Naviguez vers Configuration > Self-Service > Policy configuration.
    3. Dans la liste des politiques, cliquez sur l’icône Advanced pour la politique pour laquelle vous souhaitez activer le blocage des utilisateurs.
    4. Dans la fenêtre contextuelle, sélectionnez Block Users.

      5. Onglet Utilisateurs bloqués dans Adselfservice Plus

    5. Under Bloquer les utilisateurs qui échouent à la vérification d’identité, configure the following settings:
      • Définir le seuil

        Utilisez Allow a maximum of X invalid attempts within Y minutes pour spécifier le nombre d’échecs de vérification d’identité autorisés dans une fenêtre temporelle donnée.

      • Définir la limite de blocage

        Utilisez Block users for a period of X mins pour définir la durée pendant laquelle l’utilisateur doit rester bloqué. Une fois le temps spécifié écoulé, l’utilisateur est automatiquement débloqué. Vous pouvez définir une période en minutes ou sélectionner Forever pour maintenir le blocage jusqu’à ce qu’un administrateur le lève manuellement.

        • Définition de la durée limite pour le blocage des utilisateurs dans ADSelfService Plus.

    6. Cliquez sur OK pour enregistrer vos modifications.
    Remarque :

    Chaque tentative de vérification d’identité échouée compte dans la limite, y compris :

    • Saisie de mot de passe incorrecte
    • Codes de secours invalides
    • Soumissions OTP incorrectes ou expirées, y compris lors de l’enrôlement
    • Échecs de vérifications MFA, sauf pour Duo Security et carte à puce

    Pendant le blocage, l’utilisateur :

    • Ne peut pas réinitialiser les mots de passe ni déverrouiller les comptes via ADSelfService Plus
    • Ne peut pas se connecter aux applications ou aux appareils finaux qui utilisent ADSelfService Plus pour l’authentification/MFA

    Restreindre les actions en libre-service

    Pour atténuer davantage les attaques automatisées, vous pouvez limiter la fréquence des opérations en libre-service effectuées par les utilisateurs.

    1. Dans la même fenêtre contextuelle Advanced settings, accédez à la section Restrict Self-Service Actions.
    2. Configure the following:
      • Allow users to reset passwords only X times within Y days : Fixez une limite sur les réinitialisations de mot de passe dans un nombre spécifique de jours. Par exemple, autoriser trois réinitialisations en sept jours empêche les utilisateurs de réinitialiser leur mot de passe plus de trois fois par semaine.
      • Allow users to unblock accounts only X times within Y days : Fixez une limite sur les déblocages de compte dans un nombre spécifique de jours. Par exemple, cinq déblocages en 30 jours signifie que les utilisateurs ne peuvent pas débloquer leur compte plus de cinq fois par mois.
    3. Cliquez sur OK pour enregistrer vos modifications.

      4. Restreindre les actions en libre-service dans Adselfservice Plus

    Auditer les utilisateurs bloqués

    Vous pouvez consulter la liste des utilisateurs qui ont échoué à la vérification d’identité et qui ont été bloqués pour accéder à ADSelfService Plus.

    1. Dans le portail administrateur ADSelfService Plus, naviguez vers Reports > MFA Reports > Blocked Users Report.
    2. Sélectionnez la politique concernée pour laquelle vous souhaitez voir la liste des utilisateurs bloqués et spécifiez la période.
    3. Cliquez sur Generate.
    4. Review:
      • Utilisateurs actuellement bloqués
      • Utilisateurs précédemment bloqués et leur historique de blocage ou de déblocage
      • Horodatages indiquant quand les utilisateurs ont été bloqués

      Cliquez ici pour en savoir plus sur le Blocked Users Report.

    Débloquer les utilisateurs

    Pour débloquer des utilisateurs,

    1. Naviguez vers Reports > MFA Reports > Blocked Users Report.
    2. Choisissez la politique et cliquez sur Generate.
    3. Cochez les cases à côté des utilisateurs que vous souhaitez débloquer dans la liste.
    4. Cliquez sur Débloquer, puis cliquez sur OK pour confirmer.

      5. Débloquer les utilisateurs dans le Rapport des utilisateurs bloqués d'ADSelfService Plus.

    Conseils

    • Définissez des seuils raisonnables pour les tentatives invalides afin d'équilibrer utilisabilité et sécurité.
    • Examinez périodiquement le Rapport des utilisateurs bloqués pour identifier des schémas pouvant indiquer des attaques ciblées.
    • Encouragez les utilisateurs à s'inscrire aux méthodes MFA et à maintenir leurs informations de récupération à jour pour réduire les tentatives de vérification échouées.
    • Utilisez le blocage temporaire plutôt que le blocage permanent, sauf si la politique de sécurité l'exige.
    • Appliquez des politiques distinctes pour les comptes à privilèges élevés afin d'imposer des limites de vérification plus strictes.