Authentification multi-facteurs

    Note : L'authentification multi-facteurs (MFA) pour les endpoints, VPN et SSO nécessite l'édition Professional de ADSelfService Plus avec Endpoint MFA. Consultez la page de tarification pour plus de détails.

    La MFA d'ADSelfService Plus complète l'authentification traditionnelle basée sur le nom d'utilisateur et le mot de passe par une couche supplémentaire d'authentification (par exemple, biométrie, codes TOTP ou Passkeys FIDO) pour vérifier l'identité d'un utilisateur. La MFA offre un niveau élevé d'assurance d'identité pour les demandes d'accès.

    Vous pouvez activer la MFA dans ADSelfService Plus pour sécuriser l'accès via :

    • Endpoint MFA pour Windows, macOS et Linux, y compris la MFA hors ligne pour les machines Windows et macOS
    • SSO pour les applications d'entreprise
    • MFA pour VPN et tous les endpoints supportant l'authentification RADIUS, comme Citrix Gateway, VMWare Horizon et Microsoft Remote Desktop Gateway
    • MFA pour Outlook sur le web et le centre d'administration Exchange (EAC)
    • Réinitialisations de mot de passe en libre-service et déblocages de compte, ainsi que les connexions au portail ADSelfService Plus

    Pour activer la MFA pour ces événements, suivez ces étapes :

    1. Configurez les méthodes d'authentification que vous souhaitez utiliser pour la MFA.
    2. Activez les méthodes MFA que vous avez configurées pour les ressources requises.

    Veuillez consulter la page des authenticators pour la liste des méthodes d'authentification prises en charge et leur configuration.

    Combinée à l'accès conditionnel, la MFA pour Endpoints peut être activée uniquement pour les utilisateurs à haut risque, garantissant que les actions à haut risque restent sécurisées tout en minimisant l'impact global sur l'expérience utilisateur. Pour en savoir plus sur l'accès conditionnel, cliquez ici.

    Activation de la MFA pour des ensembles spécifiques d'utilisateurs

    ADSelfService Plus vous permet de configurer la MFA pour deux ensembles d'utilisateurs :

    Utilisateurs de domaine

    Les utilisateurs de domaine font partie d'un domaine AD et sont généralement importés dans ADSelfService Plus via le AD Synchronizer configuré lors de la configuration du domaine.

    Pour configurer la MFA pour les utilisateurs de domaine, assignez-les d'abord à une politique. Vous pouvez ensuite appliquer les paramètres MFA à cette politique, et tous les utilisateurs sous cette politique auront la MFA configurée pour eux.

    1. Allez dans Configuration > Self-Service > Policy Configuration, choisissez une politique de votre choix, puis cliquez sur l'icône Edit. Vous pouvez également créer une nouvelle politique en cliquant sur le bouton Add New Policy.

      2. Configuration des politiques dans ADSelfService Plus.

    2. Cliquez sur le bouton Select OUs/Groups et sélectionnez l'ensemble spécifique d'utilisateurs pour lesquels vous souhaitez activer la MFA. Cliquez sur OK.
      3. Astuce Sélectionnez l'option Don't inherit child OU(s) pour ne sélectionner que les OU parents.

      Configuration des UO spécifiques pour les politiques dans ADSelfService Plus.

    3. Sélectionnez les fonctionnalités d'auto-service de mot de passe (Reset Password, Unlock Account, Self Update ou Change Password) que vous souhaitez activer pour les utilisateurs sélectionnés. Cliquez sur Save Policy.

      4. Politiques configurées dans ADSelfService Plus.

    4. Allez dans Configuration > Self-Service > Multi-factor Authentication > Authenticator Setup et sélectionnez une politique dans le menu déroulant Choose the Policy.
    5. Configurez les méthodes d'authentification que vous souhaitez activer pour la politique sélectionnée.

      6. Authenticators dans ADSelfService Plus.

    6. Cliquez sur Enregistrer.
      7. Astuce Vous pouvez choisir de configurer différentes méthodes d'authentification pour différents ensembles de politiques. Par exemple, si la Politique 1 peut appliquer l'authentification YubiKey, la Politique 2 peut appliquer l'authentification SAML, etc.

    Comment forcer l'inscription pour des méthodes d'authentification spécifiques

    Les utilisateurs de domaine doivent s'inscrire eux-mêmes en fournissant les informations nécessaires, selon les méthodes d'authentification activées, afin de pouvoir prouver leur identité. Par exemple, si vous avez activé l'authentification biométrique, les utilisateurs doivent scanner leur empreinte digitale ou leur visage via l'application mobile ADSelfService Plus, seulement après quoi ils pourront utiliser leur biométrie lors de la réinitialisation du mot de passe ou des connexions aux endpoints.

    Pour forcer l'inscription pour des méthodes d'authentification spécifiques :

    1. Allez dans Configuration > Self-Service > Multi-factor Authentication > MFA Enrollment.
    2. Sélectionnez l'option Force users to enroll when they log in to the end-user portal. Cela empêchera les utilisateurs d'accéder à d'autres fonctionnalités du portail en libre-service avant d'avoir saisi leurs informations d'inscription.
    3. Sélectionnez Enforce these authenticators during enrollment et choisissez les authenticators à rendre obligatoires.

      4. Inscription MFA dans ADSelfService Plus.

    4. Vous pouvez également choisir de masquer l’Enrollment tab dans le portail utilisateur pour les utilisateurs déjà inscrits.
    5. Cliquez sur Enregistrer les paramètres.

    Utilisateurs locaux

    Note : La MFA pour utilisateur local est prise en charge uniquement sur les machines Windows et nécessite l'édition Professional de ADSelfService Plus avec Endpoint MFA.

    Les utilisateurs locaux sont des comptes créés directement sur un ordinateur spécifique et n'existent que sur cette machine. Ils ne sont pas gérés via un domaine réseau et s'authentifient avec des identifiants stockés localement. Les utilisateurs locaux peuvent être présents sur des machines autonomes ou jointes à un domaine, et sont généralement utilisés pour l'accès administrateur ou pour se connecter à des systèmes Workgroup ou hors ligne qui ne dépendent pas d'un annuaire central comme AD. Cliquez ici pour en savoir plus.

    Authenticators et fonctions pris en charge par les différents types de MFA

    Ce tableau fournit des informations détaillées sur chaque type de MFA, y compris les authenticators pris en charge ainsi que les paramètres et options disponibles pour améliorer la fonctionnalité et la sécurité du processus d'authentification.

    Type de MFA Méthodes d'authentification prises en charge Connexion sans mot de passe Codes de récupération de sauvegarde CAPTCHA
    MFA pour les actions en libre-service via le portail web Tous les authenticators pris en charge par ADSelfService Plus Non applicable Pris en charge Pris en charge
    Actions en libre-service depuis l’écran de connexion GUI des machines Windows, macOS et Linux Tous les authenticators pris en charge par ADSelfService Plus. L’authentification par carte à puce n’est pas prise en charge pour les machines macOS ou Linux Non applicable Pris en charge Pris en charge
    MFA pour les connexions des utilisateurs de domaine aux machines Windows, macOS et Linux Tous les authenticators pris en charge par ADSelfService Plus. L’authentification par carte à puce n’est pas prise en charge pour les machines macOS ou Linux Non pris en charge Pris en charge Pris en charge
    MFA pour les connexions des utilisateurs locaux aux machines Windows*
    • Questions et réponses de sécurité
    • Vérification par e-mail
    • Vérification par SMS
    • Google Authenticator
    • Microsoft Authenticator
    • Duo Security
    • RSA SecurID
    • Zoho OneAuth TOTP
    • Authentificateur TOTP personnalisé
    		 Non pris en charge Pris en charge Pris en charge
    MFA hors ligne pour les connexions Windows et macOS
    1. Google Authenticator
    2. Microsoft Authenticator
    3. Authentificateur TOTP personnalisé
    4. Zoho OneAuth TOTP Authenticator
    5. Clés FIDO2
    		 Non applicable Non pris en charge Non pris en charge
    MFA pour OWA et le EAC Tous les authenticators pris en charge par ADSelfService Plus Non applicable Pris en charge Pris en charge
    MFA pour les VPN basés sur RADIUS, RDP et autres points d’accès via l’option VPN Client Verification
    1. Authenticators unidirectionnels
      • Notification push
      • Authentification biométrique
    2. Authenticators basés sur un défi
      • Authentification ADSelfService Plus (TOTP)
      • Google Authenticator
      • Microsoft Authenticator
      • Yubico OTP (authentification par clé matérielle)
      • Zoho OneAuth TOTP
      • Authentification TOTP personnalisée
      • Code de vérification par SMS et par e-mail
    		 Non applicable Pris en charge*
    (Les codes de sauvegarde ne peuvent être utilisés que pour les authenticators basés sur un défi)    		 Non applicable
    MFA pour les VPN basés sur RADIUS, RDP et autres points d’accès via l’option Verify via Secure Link through Browser Tous les authenticators pris en charge par ADSelfService Plus Non applicable Pris en charge Pris en charge
    MFA pour les applications cloud Tous les authenticators pris en charge par ADSelfService Plus Pris en charge Pris en charge Pris en charge
    MFA pour les connexions ADSelfService Plus Tous les authenticators pris en charge par ADSelfService Plus Pris en charge Pris en charge Pris en charge

    *MFA utilisateur local sécurise les connexions et l’accès aux périphériques sur les machines Windows autonomes et jointes au domaine, mais ne peut pas être utilisé pour les actions en libre-service, les applications cloud ou d’autres points d’accès spécifiques au domaine.

    Le tableau suivant décrit les capacités et restrictions associées à chaque type de MFA pris en charge dans ADSelfService Plus. Il met en évidence la disponibilité des options de délai d’inactivité et de périphérique de confiance, et explique comment le produit gère l’accès utilisateur lorsque l’enrôlement MFA est incomplet. Utilisez-le comme référence pour configurer les politiques MFA selon les exigences de sécurité et d’utilisabilité de votre organisation.

    Type de MFA Peut-on définir une limite de temps d’inactivité ? Peut-on faire confiance au navigateur ou à la machine pour ne pas exiger de MFA pendant une certaine période ? Restreindre les connexions utilisateur et les actions en libre-service pour les utilisateurs non enrôlés :
    MFA pour les actions en libre-service Oui Non Refuser l’accès aux actions en libre-service lorsque les utilisateurs ne sont pas enrôlés. Les utilisateurs partiellement enrôlés peuvent être forcés à s’enrôler pour les authenticators restants et poursuivre les actions en libre-service.
    MFA pour les connexions des utilisateurs de domaine aux machines Windows, macOS et Linux Oui Oui Refuser ou autoriser les connexions machine pour les utilisateurs non enrôlés, ou appliquer l’enrôlement lors de la tentative de connexion.
    MFA pour les connexions locales aux machines Windows* Oui. Prend en charge uniquement les connexions Windows. Oui. Prend en charge uniquement les connexions Windows. Refuser ou autoriser les connexions machine pour les utilisateurs non enrôlés.
    MFA pour Outlook on the web et EAC Oui Oui L’accès à OWA et aux connexions Exchange est refusé par défaut aux utilisateurs non enrôlés.
    MFA pour les VPN basés sur RADIUS, RDP et autres points d’accès via l’option VPN Client Verification Oui*
    (Une limite de temps de session est définie pour obliger les utilisateurs à compléter l’authentification dans le temps imparti.)    		 Non Refuser ou autoriser les connexions pour les utilisateurs non enrôlés.
    MFA pour les VPN basés sur RADIUS, RDP et autres points d’accès via l’option Secure Link Email Verification Oui*
    (Une limite de temps d'inactivité est définie pour obliger les utilisateurs à terminer l'authentification dans le délai spécifié, et elle ne peut pas être supérieure à la période de validité du lien sécurisé.)    		 Non Refuser ou autoriser les connexions pour les utilisateurs non enrôlés.
    MFA pour les applications cloud Oui Oui Refuser ou autoriser les connexions aux applications cloud pour les utilisateurs non inscrits.
    MFA pour les connexions ADSelfService Plus Oui Oui Refuser ou autoriser les connexions ADSelfService Plus pour les utilisateurs non inscrits.

    * Les utilisateurs n'ont pas à s'inscrire pour ces méthodes car ils sont automatiquement inscrits lors de leur première connexion.

    + Ces authenticators sont natifs de l'application mobile et ne peuvent pas être utilisés dans le portail du navigateur mobile.

    *L'authentification multifactorielle locale peut être configurée pour sécuriser les connexions et les connexions périphériques depuis des machines Windows autonomes (Workgroup) et jointes au domaine. Elle ne peut pas être configurée pour les actions en libre-service, les applications cloud, et d'autres points de terminaison pouvant être sécurisés pour les utilisateurs du domaine.

    Authenticators pris en charge par l'application mobile ADSelfService Plus et le portail du navigateur mobile

    ADSelfService Plus propose 21 types d'authenticators. Parmi ceux-ci, huit authenticators de base sont disponibles avec chaque édition d'ADSelfService Plus. Les 13 autres sont des authenticators avancés, disponibles uniquement avec la édition Professionnelle d'ADSelfService Plus.

    Ce tableau fournit des informations détaillées sur les authenticators de base et avancés pris en charge pour la MFA dans l'application mobile ADSelfService Plus et le portail du navigateur mobile ainsi que les dispositions pour l'inscription à l'authenticator dans les deux consoles.

    Note : Ces informations concernent uniquement les utilisateurs du domaine. Les utilisateurs locaux ne pourront pas se connecter au portail mobile ou à l'application ADSelfService Plus.

    Authentificateur Type d'authenticator Portail du navigateur mobile Application mobile
    Les utilisateurs peuvent-ils s'inscrire à l'authenticator dans le portail du navigateur mobile ? L'authenticator est-il pris en charge pour la MFA lors des connexions ADSelfService Plus ? L'authenticator est-il pris en charge pour la MFA lors des actions en libre-service ? Les utilisateurs peuvent-ils s'inscrire à l'authenticator dans l'application mobile ? L'authenticator est-il pris en charge pour la MFA lors des connexions à l'application mobile ADSelfService Plus ? L'authenticator est-il pris en charge pour la MFA lors des actions en libre-service ?
    Questions et réponses de sécurité Basique Oui Oui Oui Oui Oui Oui
    Vérification par e-mail Basique Oui Oui Oui Oui Oui Oui
    Vérification par SMS Basique Oui Oui Oui Oui Oui Oui
    Google Authenticator Basique Oui Oui Oui Oui Oui Oui
    Microsoft Authenticator Basique Oui Oui Oui Oui Oui Oui
    Duo Security Authenticator avancé Oui Oui Oui Oui Oui Oui
    Authentification Radius Authenticator avancé Non* Oui Oui Non* Oui Oui
    Notification Push Authenticator avancé Non+ Non+ Non+ Oui Non Non
    Authentification basée sur QR Code Authenticator avancé Non+ Non+ Non+ Oui Non Non
    Authentification biométrique Authenticator avancé Non+ Non+ Non+ Oui Oui Oui
    Authentification TOTP (utilisant l'application mobile ADSelfService Plus) Authenticator avancé Non+ Non+ Non+ Oui Non Non
    Questions de sécurité AD Basique Non* Oui Oui Non* Oui Oui
    Zoho OneAuth TOTP Basique Oui Oui Oui Oui Oui Oui
    Authenticator TOTP personnalisé (Jeton matériel) Basique Oui Oui Oui Oui Oui Oui
    Authenticator TOTP personnalisé (Jeton logiciel) Authenticator avancé Oui Oui Oui Oui Oui Oui
    Authentification par carte à puce Authenticator avancé Non* Non Non Non* Non Non
    Authentification SAML Authenticator avancé Non* Oui Oui Non* Oui Oui
    Authenticator YubiKey Authenticator avancé Oui Oui Oui Oui Oui Oui
    Microsoft Entra ID MFA Authenticator avancé Non* Oui Oui Non* Oui Oui
    RSA SecurID Authenticator avancé Non* Oui Oui Non* Oui Oui
    Passkeys FIDO Authenticator avancé Oui Oui Oui Oui Non Non

    * Les utilisateurs n'ont pas à s'inscrire pour ces méthodes car ils sont automatiquement inscrits lors de leur première connexion.

    + Ces authenticators sont natifs de l'application mobile et ne peuvent pas être utilisés dans le portail du navigateur mobile.