Déploiement en libre-service des mots de passe

    ADSelfService Plus permet aux utilisateurs de réinitialiser leurs mots de passe en toute sécurité, de déverrouiller leurs comptes et de mettre à jour leurs informations d'annuaire sans intervention du support informatique. Pour déployer les fonctionnalités de libre-service des mots de passe d'ADSelfService Plus, suivez ce processus de déploiement simple en quatre étapes.

    ÉTAPE 1

    Configurer
    les politiques de libre-service

    ÉTAPE 2

    Configurer la vérification d'identité
    (MFA)

    ÉTAPE 3

    Enregistrer les utilisateurs

    ÉTAPE 4

    Sécuriser les actions de libre-service

    Configurer les politiques de libre-service

    ADSelfService Plus propose quatre fonctionnalités clés de libre-service :

    • Réinitialisation de mot de passe
    • Déblocage de compte
    • Auto-mise à jour du répertoire
    • Changer le mot de passe

    Les politiques déterminent qui a accès à quelles fonctionnalités de libre-service. Vous pouvez les attribuer aux utilisateurs en fonction de leur OU ou de leur appartenance à un groupe.

    Pour créer une politique de libre-service :

    1. Naviguez vers Configuration > Self-Service > Policy Configuration.
    2. Cliquez sur +Add New Policy.
    3. Saisissez un nom descriptif pour la politique.
    4. Cochez les cases des fonctionnalités de libre-service que vous souhaitez activer, telles que Reset Password ou Unlock Account.
    5. Click Sélectionnez les OU/Groupes and assign the policy to the desired users. You can apply policies based on OU, group membership, or a combination of both.

      AstuceUtilisez plusieurs politiques si différents départements ou rôles nécessitent des fonctionnalités différentes.

    6. Cliquez sur Save Policy.

    Consultez cette page pour plus de détails sur les paramètres avancés de configuration des politiques

    Configurer la vérification d'identité (MFA)

    Pour renforcer la sécurité, les utilisateurs doivent vérifier leur identité avant d'effectuer des actions en libre-service. ADSelfService Plus prend en charge 20 méthodes d'authentification multi-facteurs (MFA) pour sécuriser ce processus.

    Pour configurer la MFA pour les actions de libre-service des mots de passe :

    1. Naviguez vers Configuration > Self-Service > Multi-factor Authentication > Authenticators Setup.
    2. Ici, vous verrez tous les authenticators disponibles (par exemple, Google Authenticator, vérification par e-mail, YubiKey et clés FIDO).
    3. Cliquez sur l'authenticator que vous souhaitez activer pour vos utilisateurs. Suivez les instructions à l'écran pour toute configuration requise, comme la configuration d'un serveur e-mail ou des clés API.
    4. Cliquez sur Save.
    5. Ensuite, naviguez vers l'onglet MFA for Reset/Unlock pour appliquer la MFA aux réinitialisations de mot de passe et aux déverrouillages de compte.
    6. Définissez le nombre d'authenticators à solliciter et spécifiez les authenticators que l'utilisateur doit satisfaire lors des actions en libre-service.
    7. Cliquez sur Enregistrer les paramètres.

    Les méthodes d'authentification disponibles dans ADSelfService Plus incluent :

    En cliquant sur les liens ci-dessus, vous pouvez consulter les étapes de configuration pour chacune de ces méthodes d'authentification.

    Enregistrer les utilisateurs

    Pour que la MFA fonctionne, les utilisateurs doivent s'enregistrer en fournissant les informations de vérification (comme leur numéro de téléphone, les réponses de sécurité ou la configuration de l'application d'authentification). Vous pouvez gérer ce processus pour eux ou laisser les utilisateurs s'enregistrer eux-mêmes.

    Enregistrement dirigé par l'administrateur (aucune action utilisateur requise)

    • Importer depuis un fichier CSV : Naviguez vers Configuration > Administrative Tools > Quick Enrollment > Import Enrollment Data from CSV pour importer en masse des données utilisateur telles que les numéros de mobile et les adresses e-mail. Click here pour plus de détails.
    • Importer depuis une base de données externe : Connectez-vous aux bases de données externes (MS SQL, PostgreSQL, etc.) sous Configuration > Administrative Tools > Quick Enrollment > Import Enrollment Data from External Database pour synchroniser les données utilisateur. Vous pouvez également configurer un planificateur pour rechercher régulièrement les nouveaux utilisateurs ajoutés dans les sources de données externes connectées et les inscrire dans ADSelfService Plus. Pour plus d'informations sur l'importation des données d'inscription depuis une base de données externe, click here.

    Note : Pour les méthodes MFA telles que les questions de sécurité AD, la vérification par e-mail et la vérification par SMS, ADSelfService Plus peut récupérer les valeurs directement à partir des attributs AD (sAMAccountName, mail ou mobile), donc aucun enregistrement n'est nécessaire.

    Enregistrement dirigé par l'utilisateur

    Les utilisateurs peuvent s'enregistrer avec ADSelfService Plus via le client web ADSelfService Plus ou l'application mobile ADSelfService Plus dans la section Enrollment. Pour imposer l'enregistrement des utilisateurs, vous pouvez mettre en œuvre les mesures suivantes :

    • Notifications d'inscription : Naviguez vers Configuration > Outils administratifs > Inscription rapide > Envoyer une notification d'inscription par Email/SMS/Push. Activez et planifiez des notifications automatisées par email, SMS ou push pour rappeler aux utilisateurs non inscrits de compléter leur inscription. Cliquez ici pour plus de détails.
    • Forcer l'inscription via un script de connexion : Sous Configuration > Outils administratifs > Inscription rapide > Forcer l'inscription via script de connexion, vous pouvez associer un script de connexion aux utilisateurs non inscrits. Cela forcera les utilisateurs à s'inscrire lors de leur prochaine connexion à leur machine. Vous pouvez également configurer un planificateur pour s'exécuter périodiquement afin de vérifier les utilisateurs non inscrits et nouvellement ajoutés et configurer des scripts de connexion pour leurs comptes. Pour les étapes d'activation des scripts de connexion, cliquez ici.

    Sécuriser les actions en libre-service

    Enfin, affinez vos paramètres de sécurité pour ajouter des couches supplémentaires de protection au processus de libre-service et protéger vos comptes utilisateurs.

    Naviguez vers Configuration > Centre de sécurité pour examiner et activer ces paramètres recommandés :

    Catégorie de paramètre Actions recommandées
    Protection du compte
    • Bloquer les utilisateurs : Verrouillez automatiquement le compte d'un utilisateur après un nombre spécifié de tentatives de vérification d'identité échouées.
    • CAPTCHA : Activez le CAPTCHA pour empêcher les attaques automatisées par bots.
    • Expiration de session : Déconnectez automatiquement les utilisateurs du portail après une période d'inactivité.
    • Restreindre les utilisateurs inactifs.
    Politiques de mot de passe
    • Appliquer le niveau de complexité du mot de passe : Créez et appliquez des politiques de mot de passe granulaires et personnalisées qui vont au-delà de la politique par défaut AD.
    • Forcer le changement au prochain logon : Exigez que les utilisateurs changent leur mot de passe immédiatement lors de leur prochaine connexion après une réinitialisation de mot de passe.
    Sécurité de l'authentificateur
    • Empêcher la réutilisation des réponses : Empêchez les utilisateurs de fournir la même réponse à plusieurs questions de sécurité.
    • Renforcer la sécurité des réponses : Empêchez les utilisateurs d'utiliser un mot de la question dans leurs réponses.
    • Randomiser les questions : Affichez un sous-ensemble aléatoire des questions de sécurité enregistrées par l'utilisateur lors de la vérification.
    • Cacher les réponses : Masquez les réponses de sécurité lors des opérations de réinitialisation de mot de passe et de déverrouillage.
    • Rendre les réponses de sécurité sensibles à la casse.
    Système et réseau
    • Connexions sécurisées : Appliquez HTTPS (SSL) pour le portail web et LDAPS pour la communication avec le contrôleur de domaine.
    • Notifications par email : Informez automatiquement les utilisateurs par email lorsqu'une action de mot de passe en libre-service est effectuée sur leur compte.