Comment activer MFA pour Windows, macOS et Linux

    Vous pouvez appliquer MFA aux machines Windows, macOS et Linux de deux manières :

    • MFA basée sur l'utilisateur : Protégez les connexions de bureau ou d’ordinateur portable, y compris les connexions à distance via MFA pour un groupe spécifique d’utilisateurs. Cliquez ici pour les étapes de configuration.
    • MFA basée sur la machine : Appliquez MFA spécifiquement aux machines, indépendamment des utilisateurs y accédant, de leur statut d’enregistrement et de la connectivité ADSelfService Plus. Les authentificateurs configurés sous MFA basée sur l'utilisateur sont sollicités lors du processus de MFA basée sur la machine. Les invites User Account Control (UAC), l’authentification client et serveur RDP, ainsi que le déverrouillage du système peuvent également être sécurisés par MFA basée sur la machine. Cliquez ici pour en savoir plus.

    Note : La édition Professional d’ADSelfService Plus avec Endpoint MFA est requise pour que le MFA machine fonctionne sur les serveurs Windows. Sinon, MFA sera contourné sur les serveurs Windows.

    Les machines peuvent être sécurisées par MFA de deux façons :

    • MFA en ligne : Le processus MFA par défaut ou en ligne dans ADSelfService Plus utilise une connexion réseau entre le serveur ADSelfService Plus et les machines utilisateur pour vérifier l’identité des utilisateurs sur la base des données d’authentificateur enregistrées dans le serveur ADSelfService Plus.
    • MFA hors ligne : Pour garantir la sécurité de l’identité même en l’absence d’une connexion réseau adéquate ou de communication avec le serveur ADSelfService Plus, le MFA hors ligne vérifie l’identité de l’utilisateur avec les données d’authentificateur stockées en toute sécurité dans la machine utilisateur par l’agent de connexion Windows ou macOS. Le MFA hors ligne est pris en charge uniquement pour les connexions Windows et macOS, ainsi que pour d’autres actions périphériques liées à Windows (invites UAC, authentification serveur RDP et déverrouillages de machine) lorsque le serveur ADSelfService Plus est inaccessible. Cliquez sur ces liens pour en savoir plus sur le processus d’enregistrement et le processus de vérification.

    Prérequis

    Général

    • L’Endpoint MFA pour ADSelfService Plus est nécessaire pour activer la fonctionnalité MFA pour les connexions machines. Visitez la boutique pour acheter Endpoint MFA.
    • SSL doit être activé : Connectez-vous à la console web ADSelfService Plus avec des identifiants administrateur. Naviguez vers l’onglet Admin > Product Settings > Connection. Sélectionnez l’option ADSelfService Plus Port [https]. Reportez-vous à ce guide pour apprendre comment demander un certificat SSL et activer HTTPS.
    • L’URL d’accès doit être configurée en HTTPS : Naviguez vers Admin > Product Settings > Connection > Connection Settings > Configure Access URL et définissez l’option Protocol sur HTTPS.
    • Activez les méthodes d’authentification requises. Pour les étapes d’activation des méthodes d’authentification, reportez-vous à la section Authenticators.
    • Installez le logiciel client ADSelfService Plus login agent pour Windows, macOS et Linux sur les machines où vous souhaitez activer MFA. Cliquez ici pour les étapes d’installation de l’agent de connexion ADSelfService Plus.

    Prérequis pour le MFA hors ligne

    • Le support du MFA hors ligne nécessite la édition Professional d’ADSelfService Plus avec Endpoint MFA.
    • Le MFA hors ligne est pris en charge uniquement pour les connexions Windows (sauf Windows 10 version 1803) et macOS. Pour les connexions à distance, le MFA hors ligne n’est pas pris en charge pour l’authentification client RDP Windows.
    • Veuillez vous assurer que l’agent de connexion installé sur vos machines correspond à la version requise : version 6.3 ou supérieure pour Windows, et version 3.0 ou supérieure pour macOS. Sinon, mettez à jour l’agent vers la dernière version en suivant ces étapes. Si vous n’avez pas encore installé l’agent de connexion, veuillez configurer le MFA hors ligne avant de le faire afin de garantir que les modifications soient prises en compte.

    Étapes pour activer MFA pour les machines Windows, macOS et Linux

    1. Allez à Configuration > Self-Service > Multi-factor Authentication > MFA for Endpoints.
    2. Sélectionnez une politique dans le menu déroulant Choose the Policy. Cela déterminera quelles méthodes d’authentification sont activées pour quels groupes d’utilisateurs.
      3. ADSelfService Plus vous permet de créer des politiques basées sur les OU et groupes. Pour créer une politique, allez à Configuration > Self-Service > Policy Configuration > Add New Policy. Cliquez sur Select OUs/Groups, et faites la sélection selon vos besoins. Vous devez sélectionner au moins une fonctionnalité en libre-service. Cliquez sur Save Policy.
    3. Dans la section MFA for Machine Login, activez l’option en cochant la case, choisissez le nombre de facteurs d’authentification à solliciter, et sélectionnez la méthode d’authentification souhaitée dans le menu déroulant.
      4. Note : Les clés FIDO2 sont prises en charge pour les connexions machines. Pour plus de détails sur les scénarios pris en charge, cliquez ici.
    4. Sélectionnez l’option Choose Authenticators for Offline Machine Login MFA et choisissez les méthodes d’authentification préférées pour le MFA hors ligne dans le menu déroulant. Les authentificateurs suivants sont pris en charge :
      • Google Authenticator
      • Microsoft Authenticator
      • Authentificateur personnalisé à mot de passe à usage unique basé sur le temps (TOTP)
      • Zoho OneAuth TOTP
      • Clés FIDO2 (cliquez ici pour les scénarios pris en charge)

      Pour forcer les utilisateurs à s’enregistrer pour les authentificateurs sélectionnés ici, choisissez l’option Force enrollment dans ce paramètre avancé.

    5. Cliquez sur Enregistrer les paramètres.

      6. Remarque :

      • Si le MFA hors ligne n’est pas configuré ou si la machine d’un utilisateur n’est pas enregistrée pour le MFA hors ligne, l’accès hors ligne est refusé sauf si :
        • Le paramètre Skip MFA when the ADSelfService Plus server is down or unreachable setting est activé. Ce paramètre se trouve sous Configuration > Self-Service > Multi-factor Authentication > Advanced > Endpoint MFA > Machine Login MFA.
        • Le MFA basé sur la machine n’est pas appliqué pour cette machine. Le paramètre Manage MFA sous Configuration > Administrative Tools > GINA/Mac/Linux (Ctrl+Alt+Del) > GINA/Mac/Linux Installation > Installed Machines est défini sur Exempt.

        Pour éviter de compromettre la sécurité en contournant MFA ou de nuire à la productivité en refusant l’accès hors ligne, il est recommandé d’activer le MFA hors ligne.

      • Les modifications de la configuration MFA hors ligne, des paramètres avancés, des données d’enregistrement et de la désinscription de la machine au MFA hors ligne seront prises en compte uniquement après la prochaine tentative réussie de MFA en ligne sur cette machine.
      • Apprenez comment activer la prise en charge de la langue locale pour MFA sur Windows.

    Enregistrement des machines Windows pour le MFA hors ligne

    Comment activer MFA pour Windows, macOS et Linux

    Enregistrement des authentificateurs par les utilisateurs

    Une fois le MFA hors ligne configuré, après qu’un utilisateur ait terminé le MFA en ligne via l’agent de connexion ou dans le portail ADSelfService Plus, il sera invité à s’enregistrer pour les authentificateurs configurés pour le MFA hors ligne s’il ne l’a pas encore fait.

    Enregistrement des machines pour le MFA hors ligne

    Après la complétion du MFA en ligne, selon la configuration des paramètres avancés, la machine de l’utilisateur sera soit automatiquement enregistrée pour le MFA hors ligne, soit l’utilisateur devra choisir entre enregistrer sa machine ou passer l’enregistrement.

    Une fois la machine enregistrée pour le MFA hors ligne pour l’utilisateur spécifique, les données d’enregistrement des authentificateurs de l’utilisateur seront transmises en toute sécurité depuis le serveur ADSelfService Plus et stockées sous forme de données chiffrées dans la machine spécifique pour le MFA hors ligne. Ce processus se répétera régulièrement pour maintenir les données d’authentificateur à jour.

    L'appareil inscrit pour le MFA hors ligne peut être désinscrit par les administrateurs ou les utilisateurs finaux si nécessaire.

    Comment fonctionne le MFA hors ligne ?

    Comment activer MFA pour Windows, macOS et Linux

    1. L'utilisateur saisit ses identifiants pour se connecter à sa machine.
    2. Si l'authentification principale réussit, l'agent de connexion ADSelfService Plus installé sur la machine tente d'accéder au serveur ADSelfService Plus pour initier le MFA mais échoue en raison d'un manque de connectivité.
    3. L'agent de connexion initie alors le MFA hors ligne.
    4. Si l'utilisateur réussit les niveaux d'authentification requis, il est connecté à la machine.