Entra ID MFA

    Remarque : Entra ID MFA is an Authentificateur avancé available as part of the Édition professionnelle de ADSelfService Plus.

    Cette méthode d'authentification est disponible uniquement pour les comptes AD.

    Si votre organisation utilise Microsoft Entra ID et emploie Entra ID MFA pour sécuriser les connexions, vous pouvez étendre son utilisation en le configurant comme méthode d'authentification dans ADSelfService Plus. Cela simplifie le processus de configuration pour les administrateurs, permet une gestion centralisée du MFA depuis ADSelfService Plus, et offre une expérience d'authentification fluide pour les utilisateurs finaux.

    Comment ça fonctionne

    Fonctionnement de Entra ID MFA avec ADSelfService Plus :

    Architecture Entra ID MFA dans ADSelfServicePlus

    1. L'utilisateur tente d'effectuer une action en libre-service ou d'accéder à un point de terminaison protégé.
    2. La page d'authentification multi-facteurs est chargée, et l'utilisateur initie Microsoft Entra ID.
    3. Le serveur ADSelfService Plus envoie une requête RADIUS au Network Policy Server (NPS).
    4. L'extension NPS pour Microsoft Entra ID MFA contacte le cloud Microsoft et déclenche une demande MFA.
    5. Si les méthodes de vérification par notification push Microsoft Authenticator ou appel téléphonique sont activées pour Entra ID MFA, la demande de vérification est déclenchée directement.
    6. Si les méthodes de vérification par code Microsoft Authenticator, jeton matériel ou code SMS sont activées pour Microsoft Entra ID MFA, l'extension NPS renvoie une réponse de défi RADIUS au serveur ADSelfService Plus et l'utilisateur est invité à saisir le code de vérification.
    7. Une fois que Microsoft Entra ID MFA est réussi, l'extension NPS renvoie une réponse d'acceptation RADIUS au serveur ADSelfService Plus et l'accès est accordé à l'utilisateur.

    Microsoft Entra ID MFA propose les authentificateurs suivants pour sécuriser l'accès :

    • Notifications push basées sur l'application Microsoft Authenticator.
    • Codes de vérification basés sur l'application Microsoft Authenticator.
    • Vérification par appel téléphonique.
    • Vérification par SMS.
    • Jetons matériels OATH utilisant Yubico, DeepNet Security, et plus encore.

    Prérequis

    1. Un serveur doit être configuré en tant que NPS, et l'extension Entra ID NPS installée et configurée en suivant ces étapes.
    2. Un client RADIUS doit être configuré dans le NPS pour le serveur ADSelfService Plus.
    3. In the NPS, primary authentication must be skipped by selecting the Accepter les utilisateurs sans validation des identifiants option under Connection Request Policy > Authentication.
      Remarque :
      • Assurez-vous que la politique de connexion où l'authentification est ignorée s'applique uniquement au client RADIUS d'ADSelfService Plus afin d'éviter un accès non authentifié aux autres clients RADIUS dans le même NPS.
      • Si Entra ID MFA doit être supprimé, ne désinstallez pas l'extension Entra ID NPS sans désactiver Entra ID MFA dans ADSelfService Plus.
    4. Les utilisateurs finaux doivent être inscrits à Microsoft Entra ID MFA.

    Étapes de configuration

    1. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    2. Dans la liste déroulante Choisir la politique, sélectionnez une politique.
    3. Cliquez sur Entra ID MFA.
    4. Enter the necessary information in the Serveur NPS, Port d'authentification NPS, Méthode d'authentification, Secret partagé (set while configuring the RADIUS client. Refer to prérequis 2), Modèle de nom d'utilisateur, and Paramètre de délai d'attente de la requêtes fields.
      • Pour les jetons matériels OATH, la vérification par SMS et les codes de vérification basés sur l'application Microsoft Authenticator, PAP doit être sélectionné comme Méthode d'authentification.
      • Pour les notifications push basées sur l'application Microsoft Authenticator et les méthodes de vérification par appel mobile, il est recommandé que les Paramètres de délai d'attente de la requête soient réglés à au moins 60 secondes.
    5. Cliquez sur Tester la connexion & Enregistrer.

    Configuration Entra ID MFA dans ADSelfServicePlus

    Gestion des authentificateurs

    Pour modifier la configuration :

    1. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    2. Sélectionnez Entra ID MFA.
    3. Cliquez sur Modifier et changez les informations fournies si nécessaire.
    4. Si la configuration doit être supprimée, cliquez sur Supprimer la configuration.
    5. Cliquez sur Tester la connexion & Enregistrer.

    Déploiement de l'authentificateur pour MFA

    Une fois l'authentificateur configuré, vous pouvez le déployer comme méthode MFA pour sécuriser des actions sensibles telles que réinitialisations et déblocages de mot de passe, points de terminaison protégés, et connexion à ADSelfService Plus. Cliquez sur les liens respectifs pour apprendre comment.

    Configuration de l’enregistrement des utilisateurs

    La dernière étape consiste à configurer le processus permettant aux utilisateurs de s’inscrire à la méthode MFA et de l’utiliser pour la vérification d’identité. Cliquez ici pour plus d’informations sur les différentes options d’inscription disponibles dans ADSelfService Plus pour vos utilisateurs.

    Astuce

    Vous pouvez voir comment les paramètres d’enregistrement que vous configurez seront présentés à vos utilisateurs, ici.