Sujet précédent Sujet suivant

Authentification multi-facteurs

Remarque : L’authentification multi-facteurs (MFA) pour les points d’accès, VPN et SSO nécessite l’édition Professional d’ADSelfService Plus avec Endpoint MFA. Reportez-vous à la page de tarification pour plus de détails.

La MFA d’ADSelfService Plus complète l’authentification traditionnelle basée sur nom d’utilisateur et mot de passe avec une couche supplémentaire d’authentification (par exemple, biométrie, codes TOTP ou Passkeys FIDO) pour vérifier l’identité de l’utilisateur. La MFA fournit un niveau élevé d’assurance d’identité pour les demandes d’accès.

Vous pouvez activer la MFA dans ADSelfService Plus pour sécuriser l’accès via :

• Endpoint MFA pour Windows, macOS et Linux, y compris la MFA hors ligne pour les machines Windows et macOS
• SSO pour les applications d’entreprise
• MFA pour les VPN et tous les points d’accès supportant l’authentification RADIUS, comme Citrix Gateway, VMWare Horizon, et Microsoft Remote Desktop Gateway
• MFA pour Outlook sur le web et le centre d’administration Exchange (EAC)
• Réinitialisations de mot de passe en libre-service, déblocages de compte, et connexions au portail ADSelfService Plus

Pour activer la MFA pour ces événements, suivez ces étapes :

1. Configurez les méthodes d’authentification que vous souhaitez utiliser pour la MFA.
2. Activez les méthodes MFA configurées pour les ressources requises.

Veuillez consulter la page des authenticators pour la liste des méthodes d’authentification supportées et comment les configurer.

Combinée avec les Accès Conditionnels, la MFA pour Endpoints peut être activée uniquement pour les utilisateurs à haut risque, garantissant que les actions à risque élevé restent sécurisées tout en minimisant l’impact sur l’expérience utilisateur globale. Pour en savoir plus sur l’Accès Conditionnel, cliquez ici.

Activation de la MFA pour des ensembles spécifiques d’utilisateurs

ADSelfService Plus vous permet de configurer la MFA pour deux ensembles d’utilisateurs :

• Utilisateurs de domaine
• Utilisateurs locaux

Utilisateurs de domaine

Les utilisateurs de domaine font partie d’un domaine AD et sont généralement importés dans ADSelfService Plus via le Synchroniseur AD configuré lors de la configuration du domaine.

Pour configurer la MFA pour les utilisateurs de domaine, affectez-les d’abord à une politique. Vous pouvez ensuite appliquer les paramètres MFA à cette politique, et tous les utilisateurs sous cette politique auront la MFA configurée.

1. Allez à Configuration > Libre-service > Configuration des politiques, choisissez une politique de votre choix, et cliquez sur l’ icône Modifier . Vous pouvez également créer une nouvelle politique en cliquant sur le bouton Ajouter une nouvelle politique .



2. Cliquez sur le bouton Sélectionner les OUs/Groupes et sélectionnez l’ensemble spécifique d’utilisateurs pour lesquels vous souhaitez activer la MFA. Cliquez sur OK.
Astuce :Sélectionnez l’option Ne pas hériter des OUs enfants pour ne sélectionner que les OUs parents.



3. Sélectionnez les fonctionnalités d’auto-service des mots de passe (Réinitialiser le mot de passe, , Débloquer le compte, , Mise à jour personnelleou Changer le mot de passe) que vous souhaitez activer pour les utilisateurs sélectionnés. Cliquez sur Enregistrer la politique.



4. Allez à Configuration > Libre-service > Authentification multi-facteurs > Configuration des authenticators et sélectionnez une politique dans le menu déroulant Choisir la politique .
5. Configurez les méthodes d’authentification que vous souhaitez activer pour la politique sélectionnée.



6. Cliquez sur Enregistrer.
Astuce : Vous pouvez choisir de configurer différentes méthodes d’authentification pour différents ensembles de politiques. Par exemple, si la Politique 1 peut appliquer l’authentification par YubiKey, la Politique 2 peut appliquer l’authentification SAML, etc.

Comment forcer l’inscription à des méthodes d’authentification spécifiques

Les utilisateurs de domaine doivent s’inscrire eux-mêmes en fournissant les informations nécessaires selon les méthodes d’authentification activées, afin de pouvoir prouver leur identité. Par exemple, si vous avez activé l’authentification biométrique, les utilisateurs doivent scanner leur empreinte digitale ou leur visage via l’application mobile ADSelfService Plus, seulement après quoi ils pourront utiliser leur biométrie lors de la réinitialisation du mot de passe ou des connexions point d’accès.

Pour forcer l’inscription à des méthodes d’authentification spécifiques :

1. Allez à Configuration > Libre-service > Authentification multi-facteurs > Inscription MFA.
2. Sélectionnez l’option Forcer les utilisateurs à s’inscrire lors de la connexion au portail utilisateur final . Cela empêchera les utilisateurs d’accéder à d’autres fonctionnalités du portail libre-service avant d’avoir saisi leurs informations d’inscription.
3. Sélectionnez l’option Appliquer ces authenticators lors de l’inscription et choisissez les authenticators à définir comme obligatoires.



4. Vous pouvez également choisir de masquer l’ onglet Inscription dans le portail utilisateur final pour les utilisateurs déjà inscrits.
5. Cliquez sur Enregistrer les paramètres.

Utilisateurs locaux

Remarque: La MFA pour utilisateurs locaux est prise en charge uniquement sur machines Windows et nécessite l’édition Professional d’ADSelfService Plus avec Endpoint MFA.

Les utilisateurs locaux sont des comptes créés directement sur un ordinateur spécifique et n’existent que sur cette machine. Ils ne sont pas gérés via un domaine réseau et s’authentifient avec des identifiants stockés localement. Les utilisateurs locaux peuvent être présents sur des machines autonomes ou jointes à un domaine, et sont généralement utilisés pour l’accès administrateur ou la connexion à des systèmes Workgroup ou hors ligne qui ne dépendent pas d’un annuaire central comme AD. Cliquez ici pour en savoir plus.

Authenticators et fonctions supportés par les différents types de MFA

Ce tableau fournit des informations détaillées pour chaque type de MFA, y compris les authenticators supportés ainsi que les paramètres et options disponibles pour améliorer la fonctionnalité et la sécurité du processus d’authentification.

^*Le MFA utilisateur local sécurise les connexions et l'accès aux périphériques sur les machines Windows autonomes et jointes à un domaine, mais ne peut pas être utilisé pour les actions en libre-service, les applications cloud ou d'autres points de terminaison spécifiques au domaine.

Le tableau suivant présente les capacités et les restrictions associées à chaque type de MFA pris en charge dans ADSelfService Plus. Il met en évidence la disponibilité des délais d'inactivité et des options de périphérique de confiance, et explique comment le produit gère l'accès utilisateur lorsque l'enregistrement MFA est incomplet. Utilisez ceci comme référence pour configurer les politiques MFA en fonction des exigences de sécurité et d'utilisabilité de votre organisation.

* Les utilisateurs n'ont pas besoin de s'enregistrer pour ces méthodes car ils sont automatiquement inscrits lors de leur première connexion.

+ Ces authenticators sont natifs de l'application mobile et ne peuvent pas être utilisés dans le portail navigateur mobile.

^*Le MFA utilisateur local peut être configuré pour sécuriser les connexions et les connexions périphériques depuis les machines Windows autonomes (Workgroup) et jointes à un domaine. Il ne peut pas être configuré pour les actions en libre-service, les applications cloud, et autres points de terminaison pouvant être sécurisés pour les utilisateurs de domaine.

Authenticators pris en charge par l'application mobile ADSelfService Plus et le portail navigateur mobile

ADSelfService Plus propose 21 types d'authenticators. Parmi eux, huit authenticators de base sont disponibles avec chaque édition d'ADSelfService Plus. Les 13 autres sont des authenticators avancés, disponibles uniquement avec l'édition Professional d'ADSelfService Plus.

Ce tableau fournit des informations détaillées sur les authenticators de base et avancés pris en charge pour le MFA dans l'application mobile ADSelfService Plus et le portail navigateur mobile ainsi que les dispositions pour l'enregistrement des authenticators dans les deux consoles.

Remarque: Cette information concerne uniquement les utilisateurs de domaine. Les utilisateurs locaux ne pourront pas se connecter au portail ou à l'application mobile ADSelfService Plus.

* Les utilisateurs n'ont pas besoin de s'enregistrer pour ces méthodes car ils sont automatiquement inscrits lors de leur première connexion.

+ Ces authenticators sont natifs de l'application mobile et ne peuvent pas être utilisés dans le portail navigateur mobile.

Sujet précédent Sujet suivant