MFA utilisateur local pour Windows

    La MFA utilisateur local dans ADSelfService Plus renforce la sécurité d'accès des comptes utilisateurs locaux créés et stockés directement sur une machine Windows, plutôt que dans un annuaire centralisé comme Active Directory ou Entra ID. Ces comptes s'authentifient à l'aide d'identifiants stockés localement et sont couramment utilisés dans des environnements en groupe de travail, sur des systèmes autonomes ou en DMZ, ainsi que pour des tâches administratives locales sur des points de terminaison joints à un domaine.

    ADSelfService Plus améliore la sécurité de ces comptes en appliquant la MFA pour les scénarios clés de connexion Windows, notamment :

    • Connexions sur machine Windows
    • Déverrouillages de machine
    • Invites User Account Control (UAC)
    • Sessions Remote Desktop Protocol (RDP)

    La MFA basée sur la machine pour les ordinateurs avec utilisateurs locaux peut être activée pour les types de machines suivants :

    • Ordinateurs en groupe de travail
    • Machines situées dans une DMZ
    • Ordinateurs joints à un domaine

    Fonctionnement de la MFA utilisateur local

    MFA pour les utilisateurs locaux Windows

    Lorsque la MFA utilisateur local est activée, ADSelfService Plus crée un domaine virtuel nommé localusers.domain. Tous les comptes utilisateurs locaux et les machines en groupe de travail avec l'agent de connexion ADSelfService Plus installé sont regroupés sous ce domaine virtuel pour faciliter la gestion. Le flux d'authentification se déroule comme suit :

    1. Un utilisateur local tente de se connecter, de déverrouiller la machine ou de démarrer une session RDP.
    2. La Windows Local Security Authority (LSA) valide les identifiants de l'utilisateur (nom d'utilisateur et mot de passe).
    3. Après une authentification primaire réussie, l'agent de connexion ADSelfService Plus déclenche une authentification secondaire basée sur la politique configurée pour localusers.domain.
    4. L'agent de connexion communique avec le serveur ADSelfService Plus pour demander la vérification MFA.
    5. ADSelfService Plus valide la réponse MFA et renvoie le statut d'authentification à l'agent de connexion.
    6. Si la MFA réussit, la LSA accorde l'accès et l'utilisateur est connecté à la machine Windows.

    [Image: local-user-mfa-architecture.png]

    Prérequis

    • L'édition Professional d'ADSelfService Plus avec Endpoint MFA est requise.
    • SSL doit être activé : Accédez à Admin > Product Settings > Connection et sélectionnez l'option ADSelfService Plus Port [https]. Référez-vous à ce guide pour apprendre comment demander un certificat SSL et activer HTTPS.
    • L'URL d'accès doit être configurée en HTTPS. Accédez à Admin > Product Settings > Connection > Connection Settings > Configure Access URL et définissez le protocole sur HTTPS.
    • L'agent de connexion Windows ADSelfService Plus doit être en version 6.12 ou supérieure.

    Note : Tous les agents existants sur les machines jointes au domaine où vous souhaitez activer la MFA utilisateur local doivent être au minimum en version 6.12. Cliquez ici pour obtenir des informations sur la mise à jour de l'agent.

    • Les machines cibles doivent avoir une connectivité réseau vers le serveur ADSelfService Plus pour la vérification MFA en ligne.

    Limitations

    Général :

    • La MFA utilisateur local est prise en charge uniquement sur les machines Windows.
    • La MFA utilisateur local n'est pas prise en charge pour les comptes Microsoft (MSA).
    • L'auto-inscription n'est pas prise en charge pour les utilisateurs locaux. Les administrateurs doivent inscrire les utilisateurs via import CSV ou synchronisation avec une base de données externe.
    • L'agent de connexion Windows ne peut pas être déployé à distance sur des machines non jointes au domaine (groupe de travail) via la console ADSelfService Plus ; l'installation doit être effectuée manuellement ou via des outils de déploiement tiers.

    Inscription :

    • Les noms d'utilisateur doivent être uniques au sein de localusers.domain. Si deux machines en groupe de travail différentes ont des comptes locaux avec le même nom d'utilisateur, un seul pourra être inscrit.
    • Si le nom d'utilisateur d'un utilisateur local est modifié sur la machine Windows, l'utilisateur doit être réinscrit dans ADSelfService Plus avec le nom d'utilisateur mis à jour.

    MFA hors ligne :

    • La MFA hors ligne n'est pas prise en charge pour Windows 10 version 1803.
    • Pour les connexions à distance, la MFA hors ligne n'est pas prise en charge pour l'authentification client RDP Windows.

    Instructions de configuration

    Étape 1 : Activer la MFA utilisateur local

    MFA pour les utilisateurs locaux Windows
    1. Connectez-vous au portail administrateur ADSelfService Plus.
    2. Sélectionnez votre annuaire (Active Directory ou Microsoft Entra ID) dans la liste déroulante d'annuaire en haut à gauche, puis accédez à Configuration > Self-Service > Multi-Factor Authentication.
    3. Cliquez sur Local User MFA Settings en haut à droite de la page.
    4. Dans la fenêtre contextuelle qui apparaît, cochez Enable local user MFA.
    5. Cliquez sur Enregistrer.

    Étape 2 : Configurer les authenticators MFA pour les utilisateurs locaux

    MFA pour les utilisateurs locaux Windows
    1. Assurez-vous que votre annuaire (Active Directory ou Microsoft Entra ID) est sélectionné dans la liste déroulante des annuaires en haut à gauche, puis naviguez vers Configuration > Self-Service > Multi-Factor Authentication.
    2. Dans la liste déroulante Choose the Policy, sélectionnez localusers.domain.
    3. Cliquez sur l’onglet Authenticators Setup et configurez les authenticators requis pour le MFA des utilisateurs locaux.

    ADSelfService Plus prend en charge les authenticators suivants pour le MFA des utilisateurs locaux :

    MFA en ligne pour les utilisateurs locaux :

    • Questions et réponses de sécurité
    • Vérification par e-mail
    • Vérification par SMS
    • Google Authenticator
    • Microsoft Authenticator
    • Duo Security
    • RSA SecurID
    • Zoho OneAuth TOTP
    • Authentificateur TOTP personnalisé

    MFA hors ligne pour les utilisateurs locaux :

    • Google Authenticator
    • Microsoft Authenticator
    • Zoho OneAuth TOTP
    • Authentificateur TOTP personnalisé

    Pour des étapes détaillées sur la configuration de ces méthodes d’authentification, reportez-vous à la section Authenticators.

    Étape 3 : Assigner les méthodes MFA pour les connexions des utilisateurs locaux

    MFA pour les utilisateurs locaux Windows
    1. Assurez-vous que votre annuaire (Active Directory ou Microsoft Entra ID) est sélectionné dans la liste déroulante des annuaires en haut à gauche, puis naviguez vers Configuration > Self-Service > Multi-Factor Authentication.
    2. Sélectionnez localusers.domain dans la liste déroulante Choose the Policy.
    3. Allez à l’onglet MFA for Endpoints.
    4. Dans la section MFA for Machine Login, cochez la case Enable _ authentication factor(s) for machine logins. Utilisez la liste déroulante pour sélectionner le nombre de facteurs d’authentification demandés lors des connexions.
    5. Utilisez la liste déroulante Choose Authenticators for Machine Login MFA pour sélectionner les authenticators requis configurés à l’étape 2.
    6. (Optionnel) Pour configurer le MFA hors ligne pour les utilisateurs locaux qui doivent être authentifiés lorsqu’ils sont déconnectés du réseau, cochez la case Choose authenticators for offline MFA et sélectionnez les authenticators requis dans la liste déroulante.

    Pour configurer le MFA des utilisateurs locaux lors des invites UAC, des connexions RDP et des déverrouillages système :

    MFA pour les utilisateurs locaux Windows
    1. Cliquez sur Advanced et allez à l’onglet Endpoint MFA.
    2. Utilisez la liste déroulante de la case à cocher Enable MFA for _ pour sélectionner User Account Control et System unlocks.
    3. Cochez la case Enable MFA for Remote Desktop access during RDP server authentication.
    4. Cliquez sur Enregistrer.

    Pour configurer le MFA local basé sur l’appareil pour les machines :

    MFA pour les utilisateurs locaux Windows
    1. Naviguez vers Configuration > Administrative Tools > GINA/Mac/Linux (Ctrl+Alt+Del) > GINA/Mac/Linux Installation > Installed Machines.
    2. Dans la liste déroulante Select Domain, sélectionnez Workgroup.
    3. Cliquez sur Advanced Machine MFA Settings en bas à droite de la page.
    4. Dans la fenêtre contextuelle, sélectionnez les endpoints Windows que vous souhaitez sécuriser avec MFA.
    5. Cliquez sur Enregistrer.

    Étape 4 : Installer l’agent de connexion Windows

    L’agent de connexion Windows ADSelfService Plus facilite la communication entre la machine locale et le serveur ADSelfService Plus. Vous devez installer l’agent sur chaque machine cible.

    Une fois l’agent déployé, consultez tous les systèmes avec l’agent de connexion installé sous Configuration > Administrative Tools > GINA/Mac/Linux Installation > Installed Machines.

    MFA pour les utilisateurs locaux Windows

    Note : Les machines en groupe de travail sur lesquelles l’agent est installé apparaîtront sous localusers.domain.

    Étape 5 : Enregistrer les utilisateurs locaux

    MFA pour les utilisateurs locaux Windows

    Une fois l’agent installé, importez et enregistrez les utilisateurs locaux comme suit :

    1. Naviguez vers Configuration > Administrative Tools > Quick Enrollment.
    2. Dans la liste déroulante Select the policy, choisissez localusers.domain.
    3. Enroll users using one of the following methods:
      • CSV import : Naviguez vers Quick Enrollment > Import enrollment data from CSV file.
      • External database : Naviguez vers Quick Enrollment > Import enrollment data from external database.

    Les utilisateurs importés par l’une ou l’autre méthode seront listés sous localusers.domain.

    Conseils

    • Utilisez le rapport MFA Enrolled Users Report (Reports > MFA Reports > MFA Enrolled Users Report) pour suivre le statut d’enregistrement et générer des codes de secours pour les utilisateurs locaux incapables d’utiliser leurs méthodes MFA enregistrées.
    • Échelonnez le déploiement de l’agent sur les machines pour éviter les pics de connectivité vers le serveur ADSelfService Plus.
    • Activez Restrict users from performing offline MFA after _ days/attempts (Configuration > Self-Service > Multi-Factor Authentication > Advanced > Endpoint MFA) pour garantir que les modifications de politique soient appliquées sur les machines après que les utilisateurs se soient réauthentifiés en ligne.
    • Pour les machines en groupe de travail, planifiez une stratégie de déploiement manuel ou par un tiers pour l’agent de connexion avant d’activer la MFA utilisateur local.
    • Refer to the following reports (Reports > MFA Reports) to monitor and audit local user MFA activity:
      • Rapport des utilisateurs inscrits à la MFA
      • Rapport d’audit d’inscription à la MFA
      • Rapport d’audit d’utilisation de la MFA
      • Rapport d’audit des échecs MFA
      • Rapport des machines avec agent installé
      • Rapport des machines inscrites à la MFA hors ligne
      • Rapport des utilisateurs bloqués