Accès conditionnel

    L’accès conditionnel (CA) dans ADSelfService Plus est une fonctionnalité de sécurité puissante qui vous permet de définir et d’appliquer des politiques d’accès granulaires à vos ressources informatiques. Vous pouvez créer des politiques d’accès en utilisant divers paramètres tels que le statut de conformité des appareils des utilisateurs, l’heure d’accès, les adresses IP et la géolocalisation. Cela garantit un contrôle strict sur qui peut accéder à votre réseau et à vos données sensibles.

    Avec l’accès conditionnel, vous pouvez garantir que seuls les utilisateurs autorisés accèdent aux postes de travail, aux applications et aux fonctionnalités spécifiques au sein d’ADSelfService Plus, y compris les points de terminaison externes et les applications tierces.

    Fonctionnement de l’accès conditionnel

    L’accès conditionnel fonctionne en évaluant les demandes d’accès des utilisateurs entrants par rapport à un ensemble de règles prédéfinies. Ces règles sont composées de conditions combinées à l’aide d’opérateurs logiques pour former un critère.

    Lorsqu’un utilisateur tente d’accéder à ADSelfService Plus, sa demande est évaluée pour déterminer si elle répond aux critères définis dans une règle active. Si les conditions sont satisfaites, l’utilisateur se voit accorder ou restreindre l’accès au portail ADSelfService Plus, ou une politique d’auto-assistance assignée entre en vigueur en fonction de l’affectation de la règle. La politique d’auto-assistance détermine alors les méthodes MFA disponibles, les applications d’entreprise accessibles et les fonctionnalités d’auto-assistance activées pour cet utilisateur.

    Fonctionnement de l’accès conditionnel dans ADSelfService Plus.

    Fig.1 : Fonctionnement de l’accès conditionnel dans ADSelfService Plus.

    Conditions

    Les conditions sont des facteurs liés à l’utilisateur ou à l’appareil qui influencent les décisions d’accès. Vous pouvez définir et sélectionner vos conditions en fonction des facteurs suivants :

    Adresse IP : Configurez cette condition pour évaluer les connexions entrantes en fonction de l’IP source. Vous pouvez spécifier des IP statiques, des IP de serveur proxy ou des IP VPN, et les classer comme adresses IP de confiance ou non.

    Appareil : Configurez cette condition pour évaluer la connexion entrante en fonction du type d’appareil d’origine : objets ordinateur spécifiques ou plateforme (Windows, macOS, Linux, application web mobile ou application mobile native) sur laquelle ils fonctionnent.

    Heures ouvrables : Définissez les heures ouvrables et non ouvrables, et choisissez d’évaluer les connexions entrantes en fonction de ces plages horaires définies.

    Géolocalisation : Configurez cette condition en sélectionnant le pays d’origine déterminé à partir des adresses IP publiques.

    Critères

    Une fois que vous avez défini et activé les conditions selon vos besoins, combinez-les en utilisant les opérateurs AND, OR, et NOT pour formuler un critère. Cela déterminera comment les différentes conditions sont évaluées pour aboutir au résultat de la demande d’accès.

    Contrôles d’accès

    Après avoir configuré une règle d’accès conditionnel, vous devez définir les contrôles d’accès pour qu’elle prenne effet. Vous pouvez :

    • Assigner la règle à une politique d’auto-assistance, et/ou
    • Autoriser ou restreindre l’accès au portail ADSelfService Plus en utilisant les options NTLM SSO et Grant Access.

    Utilisez les boutons radio appropriés pour configurer ces paramètres pour les utilisateurs qui satisfont à la règle CA.

    Configuration de l’accès conditionnel

    Configuration de la règle

    Pour créer une règle d’accès conditionnel, vous devez spécifier des conditions et formuler le critère en utilisant des opérateurs logiques. Ces conditions sont la base de chaque décision d’accès conditionnel.

    Voici les étapes pour configurer une règle :

    1. Connectez-vous à ADSelfService Plus en tant qu’administrateur.
    2. Naviguez vers Configuration > Self-Service > Conditional Access > Rule configuration.
    3. Cliquez sur Configurer une nouvelle règle d’accès conditionnel (CA).
    4. Saisissez un Nom de la règle CA et une Description.
    5. Select the Conditions based on your requirements. You can choose IP Address, Devices, Business Hours and Geolocation.

      Adresse IP

      Pour inclure cette condition dans votre critère, sélectionnez les types d’adresses IP à évaluer en cochant les cases correspondantes :

      • Pour les utilisateurs se connectant directement à votre réseau via leurs ordinateurs clients, vous pouvez activer IP statique.
      • Si les utilisateurs se connectent via un serveur proxy, activez IP du serveur proxy.
      • Si les utilisateurs se connectent via un serveur VPN, activez IP VPN. Pour garantir que l’accès conditionnel basé sur l’IP fonctionne avec la fonctionnalité MFA VPN, reportez-vous à cette section pour effectuer les modifications nécessaires sur l’extension NPS.
      • Pour les IP statiques, sélectionnez si les IP que vous avez saisies sont de confiance ou non fiables. Saisissez la plage d’adresses IP dans les champs Plage IP. Utilisez l’icône + pour ajouter d’autres plages IP. Vous pouvez également saisir des IP individuelles et utiliser * comme caractère générique pour sélectionner une classe entière d’adresses IP.
      • Pour les IP du serveur proxy et adresse IP VPN, saisissez l’adresse IP du serveur.
      Note Si les trois types d’IP sont activés, la priorité sera déterminée par la règle : * (IP statique AND IP proxy) OR IP VPN.
      Accès conditionnel basé sur l’adresse IP dans ADSelfService Plus

      Appareils non conformes

      Pour inclure cette condition dans votre critère, vous pouvez activer la case à cocher Sélectionner les appareils, la case Sélectionner la plateforme ou les deux.

      • Pour filtrer des appareils spécifiques, activez la case Sélectionner les appareils et cliquez sur l’icône +. Dans la boîte de dialogue Sélectionner les appareils qui s’ouvre, sélectionnez le domaine (si plusieurs domaines sont configurés) puis les objets ordinateur. Cliquez sur Enregistrer.
      • Activez la case Sélectionner les plateformes et utilisez le menu déroulant pour sélectionner la ou les plateformes. Vous pouvez choisir parmi Windows, macOS, Linux, l’application web mobile ADSelfService Plus, l’application mobile native ADSelfService Plus, et les Applications ManageEngine (qui couvrent les demandes des comptes de service des applications ManageEngine).

      Important : Lorsque les conditions Appareil et Plateforme sont toutes deux activées, un appareil satisfera la règle si l’une ou l’autre des conditions est remplie.
      Par exemple, si vous sélectionnez les appareils spécifiques A, B et C sous Sélectionner les appareils, et choisissez également Windows sous Sélectionner la plateforme, alors tous les appareils Windows — pas seulement A, B et C — satisferont la règle.

      Note

      Les appareils sont identifiés via une recherche DNS inversée. Assurez-vous que les enregistrements DNS pointent vers le nom de domaine pleinement qualifié (FQDN) de l’objet ordinateur.

      La restriction de la plateforme repose sur l'en-tête user-agent de la requête HTTP.

      Les demandes d'accès provenant d'autres produits ManageEngine, tels que AD360, sont identifiées à l'aide de la ManageEngine Applications Platform.

      Accès conditionnel basé sur l’appareil dans ADSelfService Plus

      Heures ouvrables

      Pour inclure cette condition dans vos critères, sélectionnez la case à cocher Business Hours.

      • Configurez Business Hours ou Non-business Hours en cliquant sur le bouton radio correspondant.
      • À partir des plages de jours et d'heures fournies, configurez vos heures ouvrables ou non ouvrables.
      Note L'heure appliquée sera basée sur le fuseau horaire sélectionné dans Admin > Personalize > Time Zone.
      Accès conditionnel basé sur les heures ouvrables dans ADSelfService Plus

      Géolocalisation

      Pour inclure cette condition dans vos critères, sélectionnez la case à cocher Géolocalisation.

      • Sélectionnez les pays applicables dans la liste déroulante.
      Note

      L'accès conditionnel basé sur la géolocalisation repose sur l'adresse IP de l'utilisateur pour déterminer la localisation. Par conséquent, seul l'accès depuis des adresses IP publiques sera évalué. Cette condition n'inclura pas les utilisateurs avec des adresses IP privées.

      ADSelfService Plus se connecte au serveur de géolocalisation via Zoho Creator. Veuillez vous assurer que https://creator.zoho.com est exclu de vos paramètres de pare-feu pour que l'accès conditionnel basé sur la géolocalisation fonctionne.

      Accès conditionnel basé sur la géolocalisation dans ADSelfService Plus
    6. Un Critère est automatiquement créé avec les conditions que vous avez activées. Si le critère créé correspond à vos exigences, aucune modification supplémentaire n'est nécessaire. Modifiez-le uniquement si vous êtes certain qu'il ne répond pas à vos besoins. Vous pouvez utiliser les opérateurs AND, OR et NOT pour formuler la logique.
    7. Cliquez sur Configure pour créer la nouvelle règle CA.

    Attribution de règle

    Une fois une règle configurée, l'étape cruciale suivante consiste à définir ses access controls. Cela détermine comment la règle impactera l'accès des utilisateurs.

    Pour attribuer une règle et configurer ses contrôles d'accès :

    1. Connectez-vous à ADSelfService Plus en tant qu’administrateur.
    2. Naviguez vers Configuration > Self-Service > Conditional Access > Rule Assignment.
    3. Dans la liste déroulante Choose CA rule , choisissez la règle CA spécifique que vous souhaitez attribuer.
    4. Under the Contrôles d'accès section, you must choose how this rule will be applied. You have the following options:

      Assigner des stratégies

      • Activez cette option pour lier la règle CA sélectionnée à une ou plusieurs politiques de libre-service existantes. Ces politiques sont configurées sous Configuration > Self-Service > Policy Configuration (reportez-vous à cette page pour plus de détails).
      • Si un utilisateur satisfait les conditions de cette règle CA, la politique de libre-service associée déterminera les méthodes MFA disponibles, les applications d'entreprise accessibles et les fonctionnalités de libre-service activées pour cet utilisateur.
      Note Les règles d'accès conditionnel configurées avec des attributions de politique ont la priorité sur les politiques de libre-service standard définies dans la section Policy Configuration.
      Exemple Considérez un utilisateur appartenant à deux politiques de libre-service : la Politique A exige MFA pour la connexion ADSelfService Plus et la Politique B ne requiert pas MFA pour la connexion au portail ADSelfService Plus. Si la Politique A a une priorité plus élevée que la Politique B dans la configuration des politiques, mais que votre règle CA est attribuée uniquement à la Politique B, et que l'utilisateur satisfait cette règle CA, alors MFA ne sera pas demandé car l'attribution de la règle CA à la Politique B prévaut sur la priorité standard des politiques.

      NTLM SSO

      • Utilisez cette option pour soit autoriser soit refuser les demandes de connexion via NTLM Single Sign-On (SSO) si elles satisfont la règle CA sélectionnée.
      Note Cette option ne sera activée que si NTLM authentication est configurée dans vos paramètres de connexion.

      Accorder l'accès

      • Choisissez soit autoriser soit refuser les demandes de connexion générales au portail ADSelfService Plus pour les utilisateurs qui satisfont la règle CA sélectionnée.
    5. Cliquez sur Enregistrer.

    Important : Par défaut, les règles CA sont conçues pour autoriser les demandes. Pour refuser spécifiquement les demandes de connexion et empêcher les utilisateurs d'accéder au portail ADSelfService Plus, vous devez créer une règle avec les conditions requises et sélectionner explicitement l'option Deny sous Accorder l'accès.

    Attribution des règles d’accès conditionnel dans ADSelfService Plus

    Priorisation des règles d'accès conditionnel

    Si vous avez créé plusieurs règles d'accès conditionnel, vous pouvez définir leur priorité. La règle avec la priorité la plus élevée est appliquée aux utilisateurs concernés par plusieurs règles.

    Pour prioriser les règles d'accès conditionnel :

    1. On the Accès conditionnel configuration page, click the modifier la priorité icon at the top-right corner (next to the Configurer une nouvelle règle d'accès conditionnel (CA) button).
      Priorisation des règles d’accès conditionnel dans ADSelfService Plus
    2. Faites glisser et déposez les règles pour les ordonner selon vos besoins. La règle en haut aura la priorité la plus élevée.

    Modification, copie, désactivation et suppression des règles CA

    Une règle peut être modifiée pour changer les conditions ou la logique des conditions, copiée pour créer une nouvelle règle, désactivée ou supprimée.

    1. Allez à la page de configuration Conditional Access (Configuration > Self-Service > Conditional Access).
    2. Vous verrez un tableau contenant toutes les règles d'accès conditionnel qui ont été créées.
    3. Sous la colonne Actions, cliquez sur une icône selon l'action que vous souhaitez effectuer.
    4. Basculez les icônes et pour activer ou désactiver une règle. Si une icône ☑ est présente, cela signifie que la règle est activée, et si une icône ☒ est présente, cela signifie que la règle est désactivée.
    5. Cliquez sur l’icône pour modifier la règle.
    6. Cliquez sur l’icône pour copier la règle et en créer une nouvelle à partir de celle-ci.
    7. Cliquez sur l’icône pour supprimer une règle.

    Cas d'utilisation

    • Contrôle d’accès à distance : Autorisez uniquement les utilisateurs à réinitialiser les mots de passe ou à déverrouiller les comptes depuis des IP de confiance ou pendant les heures ouvrables lorsqu’ils accèdent à distance.
    • Accès aux données sensibles : Restreignez l’accès à des applications spécifiques (par exemple, portail RH, tableaux de bord financiers) uniquement aux appareils conformes situés dans des zones géographiques spécifiques.
    • Gestion des comptes privilégiés : Exigez plusieurs conditions (par exemple, IP de confiance, heures ouvrables, appareil conforme) pour que les comptes administratifs accèdent aux fonctionnalités d’ADSelfService Plus.
    • Restrictions d’accès mobile : Autorisez l’accès à l’application mobile uniquement depuis des appareils mobiles conformes ou pendant les heures ouvrables, en interdisant l’accès à l’application web depuis des navigateurs mobiles non conformes.
    • Accès basé sur les événements : Lors d’événements spécifiques, ajustez temporairement l’accès en fonction de la localisation ou de l’heure, par exemple en activant l’accès depuis la plage d’IP d’un lieu de conférence pour une durée limitée.
    • Blocage des régions à risque : Refusez automatiquement l’accès depuis des pays connus pour leurs menaces cybernétiques élevées.