MFA pour la connexion OWA

    Note : La MFA pour les connexions OWA nécessite la Professional edition of ADSelfService Plus avec l’Endpoint MFA.

    Avec ce paramètre, vous pouvez activer la MFA pour les connexions Outlook on the Web (OWA) et Exchange admin center afin d’ajouter une couche supplémentaire de sécurité à votre environnement Exchange.

    Comment ça fonctionne

    MFA pour OWA
    • L’utilisateur tente de se connecter à OWA ou à Exchange admin center.
    • L’utilisateur complète l’authentification primaire (mot de passe) dans OWA.
    • Si l’authentification primaire réussit, OWA envoie une requête au ADSelfService Plus MFA Connector, qui ordonne à ADSelfService Plus de procéder avec les facteurs MFA configurés.
    • Si l’utilisateur complète avec succès tous les facteurs MFA requis, il obtient l’accès à OWA ou à Exchange admin center.

    Note : La MFA pour les connexions OWA est prise en charge pour les versions Exchange suivantes :

    • Exchange Server 2013
    • Exchange Server 2016
    • Exchange Server 2019

    Activation de la MFA pour OWA

    Avant de commencer :

    • Assurez-vous que le produit utilise uniquement le protocole HTTPS.
    • Le certificat SSL ADSelfService Plus doit être installé sur Exchange Server.

    Étape 1 : Configuration de la MFA pour OWA

    1. Allez à Configuration > Self-Service > Multi-factor Authentication > MFA for OWA Login.
    2. Cliquez sur le menu déroulant Choose the Policy et sélectionnez une policy. Cela déterminera quelles méthodes d’authentification sont activées pour quels groupes d’utilisateurs.
    3. Dans la section MFA for OWA Login, cochez la case Enable __ authentication factor, sélectionnez le nombre de méthodes d’authentification, et spécifiez celles que vous souhaitez utiliser dans le menu déroulant.

    Note :

    • Le site OWA doit utiliser HTTPS pour que les FIDO Passkeys fonctionnent.
    • L’authentification via SAML n’est pas prise en charge par la MFA dans OWA.
    1. Cliquez sur Enregistrer les paramètres.

    Étape 2 : Installation du ADSelfService Plus MFA Connector

    L’extension IIS MFA doit être installée sur Exchange Server pour activer la MFA pour les connexions OWA et Exchange admin center. L’extension déclenche la demande de complétion des autres facteurs d’authentification après la réussite de l’authentification primaire par mot de passe.

    1. Allez à Configuration > Self-Service > Multi-factor Authentication > MFA for Endpoint.
    2. Naviguez vers MFA for OWA et cliquez sur l’icône d’aide .
    3. Téléchargez le ADSelfService Plus MFA Connector depuis la fenêtre pop-up qui apparaît.
    4. Copiez le fichier du connecteur téléchargé (AdsspOWAIISModule.zip) sur le serveur Windows que vous avez configuré comme serveur Exchange. Extrayez le contenu du fichier ZIP et enregistrez-le dans un emplacement.
    5. Ouvrez PowerShell (x64) en tant qu’administrateur et naviguez jusqu’au dossier où se trouve le contenu des fichiers d’extension.
    6. Exécutez la commande suivante : PS C:\> .\setupIISMFAModule.ps1 Install

    Personnalisation du répertoire virtuel pour ADSelfService Plus Connector

    Par défaut, les fichiers du ADSelfService Plus IIS MFA Connector sont créés dans un répertoire virtuel sous le site web par défaut dans IIS Manager. Si vous souhaitez modifier votre site web par défaut pour rediriger vers un site particulier (par exemple : si votre site web par défaut est selfservice.com et que vous avez configuré une URL de redirection vers selfservice.com/owa), vous pouvez changer le répertoire virtuel en owa en utilisant la commande ci-dessous C:\>setupIISMFAModule.ps1 install -virtualDirectory "owa"

    Désinstallation et mise à jour du ADSelfService Plus MFA Connector

    1. Ouvrez PowerShell (x64) en tant qu’administrateur et naviguez jusqu’au dossier où se trouve le contenu des fichiers d’extension (par défaut, il est stocké dans C:\Program Files\ManageEngine\ADSelfService Plus MFA Connector).
    2. Pour désinstaller l’extension, exécutez la commande suivante : PS C:\> .\setupIISMFAModule.ps1 Uninstall
    3. Pour mettre à jour l’extension, exécutez la commande suivante : PS C:\> .\setupIISMFAModule.ps1 Update
    MFA pour OWA

    Note : Si ADSelfService Plus est indisponible ou inaccessible, les utilisateurs ne pourront pas accéder à leur messagerie, car ils ne pourront pas compléter l’authentification. Vous pouvez autoriser les utilisateurs à contourner la MFA dans de telles situations. Consultez les Advanced settings pour plus d’informations.

    Conseils

    • Installez le certificat SSL ADSelfService Plus sur le serveur Exchange avant d’installer le MFA Connector — c’est un prérequis facile à oublier, et le sauter entraînera l’échec du Connector lors de la tentative de communication avec le serveur ADSelfService Plus via HTTPS.
    • Configurez l’option de contournement de la MFA dans [LINK: "Advanced settings"] avant d’imposer la MFA pour OWA en production. Contrairement à la MFA pour la connexion machine (où un utilisateur peut toujours contacter le support), un serveur ADSelfService Plus inaccessible bloquera complètement l’accès à la messagerie — avoir une politique de contournement garantit la continuité des activités pendant la maintenance ou les pannes du serveur.
    • Si votre site OWA utilise un répertoire virtuel personnalisé ou redirige vers un chemin non par défaut, utilisez le paramètre -virtualDirectory lors de l’installation plutôt que la commande d’installation par défaut. Installer dans le mauvais répertoire virtuel est une cause fréquente du non-déclenchement de l’étape MFA après l’authentification primaire.