Paramètres avancés

    L’onglet Advanced dans ADSelfService Plus offre aux administrateurs un contrôle granulaire du comportement de la MFA sur tous les points de terminaison et opérations en libre-service. Grâce à ces paramètres, vous pouvez affiner les limites de temps d’inactivité, les durées des appareils de confiance, l’application de l’enrôlement, les codes de vérification de secours et le comportement des questions de sécurité — le tout au niveau de chaque politique.

    Prérequis

    • L’édition Professional d’ADSelfService Plus avec Endpoint MFA est requise pour configurer les connexions machine, OWA et VPN.
    • Vous devez disposer d'un accès administrateur au portail ADSelfService Plus.
    • Au moins une politique en libre-service doit être configurée avant d’appliquer les paramètres avancés.

    Limitation

    • Les authentificateurs basés sur l’application mobile d’ADSelfService Plus (Authentification biométrique, authentification par code QR, authentification TOTP, authentification par notification push) ne sont pas pris en charge pour l’enrôlement lors des réinitialisations de mot de passe ou déblocages de compte.

    Instructions de configuration

    Pour accéder aux Paramètres avancés :

    1. Connectez-vous au portail administrateur ADSelfService Plus.
    2. Assurez-vous que Active Directory est sélectionné dans la liste déroulante des annuaires en haut à gauche, puis naviguez vers Configuration > Self-Service > Multi-Factor Authentication.
    3. Dans la liste déroulante Choisir la politique, sélectionnez la politique que vous souhaitez configurer.
    4. Cliquez sur Avancé.

    Général

    AD

    Paramètres CAPTCHA

    • Masquer le CAPTCHA dans : Masquez le CAPTCHA sur les pages d'authentification à deux facteurs en sélectionnant les pages concernées dans la liste déroulante.

    Récupération MFA

    • Activer les codes de vérification de secours MFA : Activez ce paramètre pour permettre aux utilisateurs finaux de prouver leur identité à l'aide d'un code de secours lorsque leur appareil ou authentificateur MFA est indisponible.

    À propos des codes de secours : Ces codes à usage unique permettent aux utilisateurs de s’authentifier lorsque leur appareil MFA est inaccessible ou que les méthodes enrôlées ne sont pas disponibles. Une fois activés, les codes de secours peuvent être générés par l’utilisateur depuis le portail utilisateur final d’ADSelfService Plus (cinq codes à la fois), ou par l’administrateur depuis le rapport des utilisateurs enrôlés. Chaque code ne peut être utilisé qu’une seule fois.

    Remarque :
    • Les utilisateurs peuvent utiliser les codes de secours lors des connexions VPN uniquement lorsque des méthodes d’authentification RADIUS challenge-response sont utilisées pour la connexion MFA VPN.
    • Lors de la MFA VPN, le code de secours généré peut être saisi dans le champ prévu pour les codes à usage unique sur le client VPN.
    • Lorsque la vérification d’identité est effectuée à l’aide des codes de secours, les options Trust this browser et Trust this machine ne seront pas prises en compte.

    Réinitialiser/Débloquer MFA

    AD

    MFA pour les réinitialisations de mot de passe

    • Restreindre le temps d’inactivité MFA pendant les réinitialisations de mot de passe à __ minute(s) : Définit une limite de temps pour que les utilisateurs complètent la vérification d’identité lors des réinitialisations de mot de passe. Le minuteur d’inactivité se réinitialise à chaque tentative de vérification ou action telle que le choix des authentificateurs.
    • Refuser aux utilisateurs d’effectuer des réinitialisations de mot de passe en cas d’enrôlement partiel : Lorsqu’activé, les utilisateurs ayant seulement partiellement complété l’enrôlement ne pourront pas réinitialiser leur mot de passe tant qu’ils n’auront pas terminé le processus d’enrôlement. Si désactivé, les utilisateurs partiellement enrôlés seront forcés de compléter l’enrôlement après authentification.
    Note : Les authentificateurs basés sur l'application mobile ADSelfService Plus ne sont pas pris en charge pour l'inscription lors des réinitialisations de mot de passe.
    • Forcer les utilisateurs à s’enrôler pour les authentificateurs activés pour d’autres points de terminaison après authentification réussie : Garantit que les utilisateurs s’enrôlent avec tous les authentificateurs requis — non seulement pour les réinitialisations de mot de passe, mais aussi pour les connexions machine, VPN, OWA et applications. L’enrôlement est également appliqué pour les authentificateurs définis comme obligatoires dans l’onglet MFA Enrollment.

    MFA pour les déblocages de compte

    • Restreindre le temps d’inactivité MFA pendant les déblocages de compte à __ minute(s) : Définit une limite de temps pour que les utilisateurs complètent la vérification d’identité lors des déblocages de compte. Le minuteur d’inactivité se réinitialise à chaque tentative de vérification ou action.
    • Refuser aux utilisateurs de débloquer les comptes en cas d’enrôlement partiel : Lorsqu’activé, les utilisateurs ayant seulement partiellement complété l’enrôlement ne pourront pas débloquer leur compte tant qu’ils n’auront pas terminé le processus d’enrôlement.
    Note : Les authentificateurs basés sur l’application mobile d’ADSelfService Plus ne sont pas pris en charge pour l’enrôlement lors des déblocages de compte.
    • Forcer l’enrôlement après une MFA réussie pour les authentificateurs sélectionnés pour d’autres points de terminaison : Garantit que les utilisateurs s’enrôlent avec tous les authentificateurs requis — non seulement pour les déblocages de compte, mais aussi pour les connexions machine, VPN, OWA et applications.

    MFA pour point de terminaison

    MFA de connexion machine

    La section Machine Login MFA offre aux administrateurs un contrôle granulaire des invites MFA pour les machines du réseau.

    Note : La MFA pour les connexions machine nécessite la Professional edition of ADSelfService Plus avec endpoint MFA. Ce sont des paramètres basés sur des politiques et seront appliqués lorsqu’un utilisateur sous la politique tente de se connecter à une machine du domaine. Selon cette configuration, la MFA peut être contournée sur les machines si l’utilisateur n’est pas enrôlé. Pour appliquer la MFA sur les machines indépendamment du statut d’enrôlement de l’utilisateur, veuillez configurer la machine-based MFA.
    AD
    • Activer la MFA pour <drop-down> : Active la MFA pour les connexions interactives, User Account Control (UAC) et les déblocages machine.
    AD
    • Connexion interactive : La MFA est requise lors des connexions GUI sur les machines Windows.
    • Contrôle de compte utilisateur : La MFA est requise pour toutes les invites d'identifiants UAC. Compatible avec Windows 7 et versions ultérieures ainsi que Windows Server 2008 et versions ultérieures. Pris en charge dans la version 5.10 et ultérieure de l'agent de connexion.
    • Déverrouillages machine : La MFA est appliquée lors du déverrouillage des machines Windows.
    Note : L’option Enable MFA for User Account Control est disponible uniquement pour les invites UAC Windows nécessitant des identifiants utilisateur. La MFA pour le déblocage des machines Windows nécessite la Professional edition of ADSelfService Plus avec Endpoint MFA.
    • Activer la MFA pour l’accès Remote Desktop pendant :

      • Authentification serveur RDP : Toutes les connexions RDP entrantes vers les machines avec l’agent de connexion installé nécessiteront la MFA.
      • Authentification client RDP : Toutes les connexions RDP sortantes via l’application Windows Remote Desktop (mstsc.exe) nécessiteront la MFA. Pris en charge dans la version 5.10 et ultérieure de l’agent de connexion, sur Windows 7 et versions supérieures ainsi que Windows Server 2008 R2 et versions supérieures. Nécessite que l’authentification au niveau réseau soit activée. Vous pouvez activer l’authentification au niveau réseau via la stratégie de groupe en naviguant vers Windows Components > Remote Desktop Services > Remote Desktop Session Host > Security.
    • Pour exiger la MFA pour les connexions Remote Desktop dans un environnement AD multi-forêts, il doit y avoir une relation de confiance entre les deux domaines. Les relations de confiance de domaine peuvent être ajoutées entre forêts soit par une relation de confiance de forêt (relation de confiance au niveau de la forêt), soit par une relation de confiance externe (relation de confiance au niveau du domaine). Pour les étapes de configuration d’une relation de confiance, veuillez consulter ce document.
    Note : Activer les deux options peut entraîner une double vérification MFA si l’agent de connexion Windows est installé à la fois sur les machines serveur et client. Par exemple, si Google Authenticator est l’authentificateur MFA configuré, et que l’authentification serveur et client RDP sont activées, l’utilisateur devra effectuer la vérification d’identité avec le code avant d’établir la connexion avec la machine distante et de nouveau après l’établissement de la connexion. Avec l’authentification client RDP, vous pouvez protéger l’accès distant avec MFA uniquement pour les utilisateurs accédant à la machine depuis Internet ou d’autres adresses IP publiques via Remote Desktop Gateway (RD Gateway), en configurant une règle d’accès conditionnel avec des restrictions IP. En savoir plus sur conditional access.
    • Le processus Machine Login MFA peut rester inactif pendant __ min : Définit une limite de temps pour que les utilisateurs complètent le processus MFA pour les connexions machine.
    • Ignorer la MFA lorsque le serveur ADSelfService Plus est hors service ou inaccessible : Permet aux utilisateurs de contourner la MFA si le serveur est inaccessible. Non recommandé ; déployez la MFA hors ligne pour éviter ce scénario. Non applicable lorsque la MFA hors ligne est configurée et que l’utilisateur est enrôlé, ou lorsque la machine-based MFA est appliquée.
    • Maintenir une machine comme fiable pendant __ jour(s) : Les utilisateurs ayant complété la MFA une fois peuvent éviter la MFA pour les connexions suivantes pendant le nombre de jours spécifié.
    • Garder l'option « Faire confiance à cette machine » sélectionnée par défaut : Maintient la case à cocher Faire confiance à cette machine pré-sélectionnée sur l'écran MFA.
    • __ si l’utilisateur n’est pas enrôlé dans la MFA : Determines the authentication flow for unenrolled users.
      • Autoriser les connexions : L'utilisateur peut contourner la MFA de connexion machine.
      • Refuser les connexions : L'accès de l'utilisateur est restreint.
      • Inscription forcée : L'utilisateur est obligé de s'inscrire après une authentification primaire réussie (Windows et macOS uniquement).
    Note importante
    • Les authentificateurs requis pour la MFA en ligne et hors ligne seront considérés collectivement, donc si l’utilisateur n’est enrôlé pour aucun des authentificateurs requis pour les deux types de MFA, il sera considéré comme non enrôlé. Alternativement, s’il est enrôlé pour au moins un authentificateur requis pour l’une ou l’autre de ces méthodes de connexion, il est considéré comme partiellement enrôlé.
    • Ce paramètre s’applique uniquement aux utilisateurs non enrôlés. Il ne s’applique pas aux utilisateurs partiellement enrôlés ; ces derniers seront forcés de s’enrôler pour les authentificateurs restants après avoir complété la MFA avec les authentificateurs enrôlés.
    • Si des authentificateurs que les utilisateurs ne peuvent pas s’enrôler eux-mêmes — tels que les tokens matériels TOTP personnalisés et les questions de sécurité AD — sont sélectionnés, ils se verront refuser l’accès même si l’enrôlement forcé est activé, car seul l’administrateur peut les enrôler.
    • Lorsque la machine-based MFA est appliquée, ce paramètre est remplacé et les utilisateurs qui ne se sont pas enrôlés pour aucun des authentificateurs se verront refuser l’accès à la machine, et les utilisateurs partiellement enrôlés seront forcés de s’enrôler pour les authentificateurs restants requis.
    • Restreindre les utilisateurs à effectuer la MFA hors ligne après _ jours/tentatives : Limite la MFA hors ligne à un nombre spécifié de jours ou de tentatives, après quoi les utilisateurs doivent se reconnecter au serveur ADSelfService Plus.

    Note : La MFA hors ligne nécessite la Professional edition of ADSelfService Plus avec Endpoint MFA.

    • Il est recommandé de définir une valeur adaptée aux exigences de votre organisation. Définir des valeurs inférieures aux besoins pourrait laisser les utilisateurs bloqués sans accès à la machine.
    • Il est recommandé d’activer ce paramètre, car toute modification apportée à la politique en libre-service, aux configurations MFA, aux paramètres avancés et aux modifications liées à l’enrôlement MFA hors ligne se reflétera dans les machines des utilisateurs enrôlés uniquement après qu’ils auront complété la MFA en ligne.
    • Cette limite sera réinitialisée lorsque l'utilisateur particulier effectuera une authentification en ligne sur la machine spécifique.
    • Forcer l'utilisateur à enregistrer son appareil pour la MFA hors ligne après une authentification en ligne réussie : Enregistre automatiquement la machine pour la MFA hors ligne après que l'utilisateur ait terminé la MFA en ligne.

    MFA de connexion OWA

    AD
    • Restreindre le temps d'inactivité MFA lors des connexions OWA à __ min : La session utilisateur expirera si l'utilisateur est inactif pendant l'intervalle de temps spécifié.
    • Ignorer la MFA lorsque le serveur ADSelfService Plus est en panne ou inaccessible : Permet aux utilisateurs d'accéder à OWA lorsque le serveur est inaccessible. Cependant, sachez que l'activation de cette option signifie renoncer à la couche de sécurité avancée de la MFA lorsque le serveur ADSelfService Plus est en panne ou inaccessible, ce qui n'est pas recommandé. Pour éviter de telles circonstances, déployez ADSelfService Plus avec basculement ou équilibrage de charge.
    Note : Lors de l'activation ou de la désactivation de l'option Ignorer la MFA lorsque le serveur ADSelfService Plus est en panne ou inaccessible pour la MFA OWA, vous devez également modifier la clé de registre correspondante sur la machine où le connecteur ADSelfService Plus OWA est installé pour que les paramètres prennent effet.

    Pour ce faire :

    Étape 1 : Ouvrez l'Éditeur du Registre (tapez regedit dans la boîte de dialogue Exécuter) sur la machine où le connecteur OWA est installé.

    Étape 2 : Naviguez vers Computer\HKEY_LOCAL_MACHINE\SOFTWARE\ZOHO Corp\ADSelfService Plus IIS MFA Module.

    Étape 3 : Définit la propriété BypassMFAOnConnectionError sur TRUE ou FALSE, selon que vous souhaitez que la MFA soit contournée en cas de problèmes de connexion lors de l'authentification.

    Il est recommandé de sauvegarder la clé de registre avant de la modifier. Seuls les membres du groupe d'administrateurs locaux intégrés sur l'ordinateur auront le privilège de modifier cette clé.

    • Expiration de la confiance pour un navigateur après __ jours : Les utilisateurs qui complètent la MFA une fois peuvent ignorer la MFA pour les connexions OWA suivantes depuis le même navigateur pendant le nombre de jours spécifié.
    • Garder l'option « Faire confiance à ce navigateur » sélectionnée par défaut : Maintient la case à cocher Faire confiance à ce navigateur pré-sélectionnée sur l'écran MFA.
    • Ignorer la MFA lorsque l'utilisateur n'est pas inscrit aux authentificateurs requis : Si désactivé, les utilisateurs non inscrits ne peuvent pas se connecter à OWA. Si activé, la MFA est ignorée pour les utilisateurs non inscrits. Il est recommandé de désactiver cette option une fois que tous les utilisateurs sont inscrits.

    MFA de connexion VPN

    AD
    • Maintenir la session MFA VPN valide pendant <number> minutes : Définit une limite de temps pour le second facteur d'authentification lors de la connexion VPN. Par exemple, si vous définissez cette valeur à deux minutes, les utilisateurs doivent saisir le code ou approuver la notification, selon la méthode d'authentification activée, dans un délai de deux minutes.
    Note : Si votre serveur VPN permet de configurer une limite de délai d'attente RADIUS, réglez-la sur une valeur supérieure à la limite de temps de session configurée ici.
    • Le processus MFA de connexion VPN peut rester inactif pendant <number> minutes : Ce temps d'inactivité ne peut pas dépasser la durée d'expiration du lien sécurisé (30 minutes par défaut).
    • Ignorer la MFA lorsque le serveur ADSelfService Plus est en panne ou inaccessible : Permet l'accès VPN lorsque le serveur est inaccessible. Appliqué à toutes les politiques.
    Note : Lors de l'activation ou de la désactivation de l'option Ignorer la MFA lorsque le serveur ADSelfService Plus est en panne ou inaccessible pour la MFA VPN, vous devez également modifier la clé de registre correspondante sur la machine où l'extension ADSelfService Plus NPS est installée pour que les paramètres prennent effet.

    Pour ce faire :

    Étape 1 : Ouvrez l'Éditeur du Registre (tapez regedit dans la boîte de dialogue Exécuter) sur la machine où l'extension NPS est installée.

    Étape 2 : Naviguez vers HKEY_LOCAL_MACHINE\SOFTWARE\ZOHO Corp\ADSelfService Plus NPS Extension.

    Étape 3 : Définissez la propriété BypassMFAOnConnectionError sur TRUE ou FALSE, selon que vous souhaitez que la MFA soit contournée en cas de problèmes de connexion lors de l'authentification.

    Il est recommandé de sauvegarder la clé de registre avant de la modifier. Seuls les membres du groupe d'administrateurs locaux intégrés sur l'ordinateur auront le privilège de modifier cette clé.

    • Ignorer la MFA lorsque l'utilisateur n'est pas inscrit aux authentificateurs requis
    • Vérification par client VPN :
      • Si cette option est activée, la MFA sera ignorée pour les utilisateurs non inscrits.
      • Si cette option est désactivée, les utilisateurs non inscrits ne pourront pas se connecter à leur VPN.
    Note : Les utilisateurs partiellement inscrits sont considérés comme non inscrits et seront autorisés à ignorer la MFA.
    • Vérification par e-mail SecureLink :
      • Si cette option est activée, la MFA sera ignorée pour les utilisateurs non inscrits. Si l'utilisateur est partiellement inscrit, une vérification MFA sera requise avec les authentificateurs auxquels l'utilisateur est inscrit, et après une vérification MFA réussie avec l(es) authentificateur(s) auquel il est inscrit, il sera obligé de compléter l'inscription pour les authentificateurs à utiliser pour la MFA via SecureLink Email Verification.
    Note : Un utilisateur disposant d'une adresse e-mail principale ou secondaire valide est automatiquement considéré comme partiellement inscrit pour la MFA via SecureLink Email Verification.
    • A user without a valid primary or secondary email address is considered not enrolled.
      • Activez cette option si vous souhaitez éviter les situations où les utilisateurs ne peuvent pas accéder à leur VPN lorsque l'utilisateur n'est pas inscrit aux authentificateurs requis. Cependant, sachez que l'activation de cette option permet des connexions sans satisfaire les authentificateurs obligatoires configurés dans la politique. Il est donc recommandé de désactiver cette option une fois que tous les utilisateurs de cette politique sont inscrits à la MFA.
      • Si cette option est désactivée, les utilisateurs non inscrits ne pourront pas se connecter à leur VPN. Les utilisateurs partiellement inscrits seront considérés comme non inscrits.
    • Envoyer des attributs supplémentaires en réponse au serveur VPN après une MFA réussie : Activez cette option si vous souhaitez envoyer des attributs supplémentaires au serveur VPN ou à d'autres points de terminaison RADIUS. Ces attributs ne seront envoyés au fournisseur VPN qu'après une MFA réussie et seront utilisés par le serveur VPN pour déterminer le niveau d'accès que chaque utilisateur doit avoir à d'autres fins. Vous pourrez trouver la liste complète des attributs pris en charge dans la documentation reçue de votre fournisseur VPN.
    Note : Veuillez mettre à jour l'extension NPS à la version 2.3 ou supérieure pour utiliser cette fonctionnalité.

    Configuration des attributs supplémentaires

    1. Si vous essayez d'activer cette fonctionnalité avant de configurer les attributs, une fenêtre contextuelle vous invitera à les configurer. Cliquez sur OK. Vous pouvez également cliquer sur le lien Configurer les attributs.
    2. Vous pouvez configurer les attributs Standard ou Spécifiques au fournisseur de RADIUS ainsi que les valeurs correspondantes à envoyer aux fournisseurs VPN (autres points de terminaison RADIUS).
    AD
    1. Saisissez le ID du fournisseur en cliquant sur le bouton Modifier [ ]. L'ID du fournisseur est le numéro unique qui désigne votre fournisseur VPN. Par exemple, si vous utilisez Fortigate, l'ID du fournisseur est 12356.
    2. Choisissez le Type d'attribut et saisissez le Numéro d'attribut, le Format et la Valeur dans les champs affichés.
    3. Pour les attributs au format string, les valeurs doivent être en caractères, et pour les attributs au format int, les valeurs doivent être en entiers.
    4. Pour les attributs enum, qui contiennent plusieurs valeurs prédéfinies, fournissez la valeur souhaitée en termes de leurs entiers associés. Par exemple, si vous souhaitez utiliser Login comme attribut service-type, saisissez 1 dans le champ Valeur.
    5. Dans le cas où les attributs sont au format adresse IPv4 ou IPv6, veuillez fournir une adresse IP valide dans le champ Valeur.
    6. Par exemple, votre adresse IPv4 peut ressembler à 10.1.1.1, et votre adresse IPv6 peut ressembler à 2001:0db8:85a3::8a2e:0370:7334.
    7. Cliquez sur OK après avoir configuré tous les attributs requis.
    8. Une fois configuré avec succès, le paramètre Send additional attributes as a response to the VPN server after successful completion of MFA sera activé.

    MFA de connexion aux Applications Cloud

    AD
    • Activer les connexions sans mot de passe : Ce paramètre permet aux utilisateurs d’accéder aux applications et au portail en libre-service sans mot de passe. Veuillez consulter cette page pour plus d’informations.

    Note : Les connexions sans mot de passe aux applications cloud nécessitent la Professional edition of ADSelfService Plus avec Endpoint MFA.

    • Veuillez noter que le paramètre Trust this browser sera désactivé pour les utilisateurs pour lesquels la connexion sans mot de passe est activée afin d’éviter les failles de sécurité. Lorsque les connexions sans mot de passe sont imposées, l’utilisateur doit s’authentifier à chaque tentative d’accès à l’application.
    • Restreindre le temps d’inactivité MFA lors des connexions aux applications cloud à <text_field> min : L’activation de ce paramètre fixera une limite de temps pour que les utilisateurs terminent le processus MFA.
    • Forcer l’enrôlement pour les utilisateurs non enrôlés après vérification réussie du mot de passe : Lorsque ce paramètre est activé, les utilisateurs ne seront pas obligés de passer par MFA lors de leur première connexion. Ils seront plutôt invités à s’enrôler après une vérification réussie du mot de passe.
    • Forcer l’enrôlement après MFA réussie pour les authentificateurs sélectionnés pour d’autres points d’accès : L’activation de ce paramètre garantit que les utilisateurs s’enrôlent avec tous les authentificateurs requis non seulement pour les connexions aux applications cloud, mais aussi pour le MFA lors de la réinitialisation du mot de passe et du déverrouillage de compte ainsi que pour les connexions aux machines, VPN, OWA et ADSelfService Plus. L’enrôlement est également imposé pour les authentificateurs définis comme obligatoires dans l’onglet MFA Enrollment.
    • Garder l’option « Trust this browser » sélectionnée par défaut : Lorsque cette option est activée, la case Trust this browser sera cochée par défaut dans l’écran de vérification MFA. Ce paramètre n’est pas applicable lorsque les connexions sans mot de passe sont activées.
    • Expiration de la confiance pour un navigateur après ___ jour(s) : Lorsque cette option est activée, les utilisateurs ne seront pas invités à passer par MFA pendant le nombre de jours spécifié lorsqu’ils se connectent à ADSelfService Plus avec des navigateurs de confiance. Ce paramètre n’est pas applicable lorsque les connexions sans mot de passe sont activées.

    MFA Applications

    MFA de connexion ADSelfService Plus

    AD
    • Activer les connexions sans mot de passe : Permet aux utilisateurs d’accéder au portail en libre-service sans mot de passe. Veuillez consulter cette page pour plus d’informations.
    Note : Le paramètre Trust this browser sera désactivé pour les utilisateurs pour lesquels la connexion sans mot de passe est activée afin d’éviter les failles de sécurité. Lorsque la connexion sans mot de passe est imposée, l’utilisateur doit s’authentifier à chaque tentative d’accès à l’application.
    • Restreindre le temps d’inactivité MFA lors des connexions au portail ADSelfService Plus à __ min : Définit une limite de temps pour que les utilisateurs complètent le processus MFA.
    • Inscription forcée pour les utilisateurs non inscrits après vérification réussie du mot de passe : Les utilisateurs seront invités à s'inscrire après une vérification réussie du mot de passe plutôt que d'être obligés de passer par la MFA lors de la première connexion.
    • Forcer l’enrôlement après MFA réussie pour les authentificateurs sélectionnés pour d’autres points d’accès : Garantit que les utilisateurs s’enrôlent avec tous les authentificateurs requis pour tous les points d’accès.
    • Garder l'option 'Trust this browser' sélectionnée par défaut : Maintient la case Trust this browser pré-sélectionnée sur l'écran MFA.
    • Expiration de la confiance pour un navigateur après __ jours : Les utilisateurs ne seront pas invités à passer par MFA pendant le nombre de jours spécifié lorsqu’ils se connectent depuis des navigateurs de confiance.

    Paramètres Q&A

    Paramètres des questions

    AD
    • Afficher __ questions de sécurité sur <n> au hasard : Définit le nombre de questions de sécurité affichées à l'utilisateur, sélectionnées aléatoirement dans la liste configurée.
    • Afficher __ questions de sécurité AD sur <n> au hasard : Spécifie le nombre de questions de sécurité AD à afficher, sélectionnées aléatoirement depuis Configuration > Multi-Factor Authentication > Authenticators Setup > AD Security Questions.
    • Afficher les questions de sécurité une par une : Affiche une question par page.
    • Afficher toutes les questions de sécurité simultanément : Affiche toutes les questions sur une seule page.

    Paramètres des réponses

    AD
    • Vérifier l’identité des utilisateurs avec des réponses sensibles à la casse aux questions de sécurité : Implique que les réponses soient sensibles à la casse.
    • Cacher les réponses de sécurité lors de l’authentification : Cache les réponses de sécurité par défaut.

    Renforcementdes réponses (uniquement pour Q&A de sécurité)

    • Empêcher les utilisateurs de fournir leur nom d’utilisateur comme réponse : Cela empêchera les utilisateurs d’utiliser leur nom d’utilisateur comme réponse, améliorant la sécurité et réduisant les risques de compromission par des acteurs malveillants.
    • Empêcher les utilisateurs de fournir la même réponse à plusieurs questions : Cela empêchera les utilisateurs de fournir la même réponse à plusieurs questions.
    • Empêcher les utilisateurs d’utiliser un mot de la question de sécurité dans leurs réponses : Cela empêchera les utilisateurs de copier des mots des questions comme réponses.
    • Forcer les utilisateurs à n’utiliser que des caractères anglais (a-z), des chiffres (0-9) et des symboles : Cela garantit que les utilisateurs n’utilisent que des caractères alphanumériques et des symboles dans leurs réponses.
    • Stocker les réponses de sécurité en utilisant un chiffrement réversible : La sélection de cette option stockera les réponses de sécurité en texte clair dans la base de données ADSelfService Plus. Les réponses peuvent être consultées via le rapport Questions et Réponses de sécurité.
    • Stocker les réponses de sécurité en utilisant l’algorithme ___ : Sélectionnez cette option pour chiffrer et stocker les réponses aux questions de sécurité en utilisant l’algorithme MD5 ou SHA-512.

    Paramètres du code de vérification

    Attributs Mail/Mobile

    AD
    • Sélectionnez le type d'attribut (Mail ou Mobile) dans la liste déroulante Select Type.
    • Cliquez sur Add Attribute pour ajouter un nouvel attribut contenant les adresses e-mail ou les numéros de mobile des utilisateurs.

    Email secondaire/Numéro de mobile

    AD
    • Prevent enrolling already enrolled <drop-down> : Empêche plusieurs utilisateurs de s'inscrire avec la même adresse e-mail secondaire et/ou le même numéro mobile secondaire.
    • Autoriser/Bloquer les adresses email des domaines suivants : Contrôle les domaines email autorisés pour l’enrôlement d’email secondaire.
    • Autoriser/Bloquer les formats de numéros mobiles suivants : Contrôle les formats de numéros mobiles autorisés.
    • Choisissez l'application : Configures whether adding secondary email addresses and mobile numbers is mandatory or optional.
      • Rendre cette inscription facultative.
      • Obliger les utilisateurs à enregistrer une adresse e-mail.
      • Obliger les utilisateurs à enregistrer un numéro mobile.
      • Obliger les utilisateurs à enregistrer à la fois une adresse e-mail et un numéro mobile.
    • Limit the number of secondary email enrollments to __ : Spécifie le nombre maximal d'adresses e-mail secondaires par utilisateur (1–10).
    • Limit the number of secondary mobile number enrollments to __ : Spécifie le nombre maximal de numéros mobiles secondaires par utilisateur (1–10).

    Autres

    AD
    • Set verification code length to ___ digits : Définit le nombre de chiffres du code de vérification.
    • Show 'Select Email ID/Mobile No.' in the mail/mobile drop-down list as default value : Affiche une invite de sélection par défaut dans la liste déroulante mail/mobile lors de la vérification d'identité.
    • Partially hide Email ID/Mobile No. on MFA pages : Masque partiellement l'adresse e-mail et le numéro mobile lors de la vérification d'identité.
    • Passer l’étape « Choisir une adresse email/numéro mobile » et déclencher automatiquement le code de vérification : Ignore la liste déroulante de sélection et envoie directement le code à l’adresse principale de l’utilisateur.
    • Mettre en copie l’administrateur/manager dans l’email de vérification d’identité envoyé aux utilisateurs : Inclut l’email de l’administrateur ou du manager en copie dans l’email du code de vérification.

    Conseils

    • Configurez les limites de temps d’inactivité pour les réinitialisations de mot de passe et les déverrouillages de compte (Configuration > Self-Service > Multi-Factor Authentication > Advanced > Reset/Unlock MFA) afin de prévenir le détournement de session lors de la vérification MFA sans surveillance.
    • Activez MFA Backup Verification Codes (Configuration > Self-Service > Multi-Factor Authentication > Advanced > General) afin que les utilisateurs ne soient jamais complètement bloqués lorsque leur appareil MFA est indisponible.
    • Utilisez Force enrollment post successful MFA for authenticators selected for other endpoints (Configuration > Self-Service > Multi-Factor Authentication > Advanced > Reset/Unlock MFA) pour garantir que les utilisateurs sont inscrits pour tous les points de terminaison en une seule fois, plutôt que d’être invités séparément pour chaque point de terminaison.
    • Activez Restrict users from performing offline MFA after _ days/attempts (Configuration > Self-Service > Multi-Factor Authentication > Advanced > Endpoint MFA) pour garantir que les modifications de politique sont prises en compte sur les machines après que les utilisateurs se soient réauthentifiés en ligne.
    • Pour OWA et VPN, évitez d’activer Skip MFA when the ADSelfService Plus server is down or unreachable dans les environnements de production. Déployez ADSelfService Plus avec basculement ou répartition de charge à la place.