Comment configurer l'authentification multifacteur avec Duo Security ?

ADSelfService Plus prévient les menaces potentielles à la sécurité en renforçant l'accès aux comptes utilisateurs avec l'authentification multifacteur (MFA) en ajoutant une couche de sécurité supplémentaire. Si l’authentification MFA est activée, les utilisateurs doivent prouver leur identité par le biais des authentificateurs renforcés, en plus des mots de passe.

L'authentification MFA peut être appliquée aux opérations de mot de passe en libre-service ainsi qu'aux tentatives de connexion au portail de l'utilisateur final ADSelfService Plus, aux points de terminaison et aux applications. ADSelfService Plus prend en charge quinze techniques d'authentification avancées, notamment Duo Security, la biométrie, l'authentificateur YubiKey, l'authentification SAML et RSA SecurID.

Authentification multifacteur via Duo Security

Si l’authentification multifacteur utilisant Duo Security est activée, les utilisateurs devront, lors de chaque connexion, prouver leur identité par l'une des méthodes suivantes :

• Approuver une notification push via l'application mobile Duo Security.
• Saisir le code d'accès de sécurité reçu lors d'un appel de vérification.
• Saisir un code d'accès de sécurité généré pendant le processus de connexion.

Configuration

L'authentification multifacteur basée sur Duo Security peut être configurée en seulement trois étapes simples.

Étape 1 : Intégrez Duo Security à ADSelfService Plus.

1. Connectez-vous à votre compte Duo Security (par exemple, https://admin-3d5d33c0.duosecurity.com), ou si vous êtes un nouvel utilisateur, inscrivez-vous et connectez-vous.
2. Allez dans Applications.
3. Cliquez sur Protéger une application.

   

4. Recherchez Web SDK dans la liste des applications.

   

5. Cliquez sur le bouton Protéger cette application dans le résultat de la recherche.
6. Copiez les valeurs de la Clé d'intégration, Clé secrète et du Nom d'hôte de l'API à partir de la page Web SDK qui s'ouvre.

   

Configurer l'API Auth (facultatif)

La configuration de l'API Auth est utilisée pour vérifier l'inscription d'un utilisateur auprès de Duo Security. Si l'API Auth n'est pas configurée, il est obligatoire de supprimer l'inscription de l'utilisateur dans ADSelfService Plus lors de la suppression de l'inscription d'un utilisateur dans Duo Security. Si cela n'est pas fait, l'utilisateur est ajouté à Duo Security lors de son utilisation pour l'authentification dans ADSelfService Plus.

• Si l'API Auth est configurée, retournez dans la section Applications → Protéger une application.
• Recherchez API d'authentification.
• Copiez les valeurs de la Clé d'intégration et de la Clé de sécurité.

Étape 2 : Configurer Duo Security dans ADSelfService Plus

1. Connectez-vous à la console ADSelfService Plus en utilisant les informations d'identification de l'administrateur.
2. Allez dans Configuration → Libre-service → Authentification multifacteur → Configuration des authentificateurs.
3. Sélectionnez Duo Security.

   

4. Collez les valeurs que vous avez copiées précédemment à partir de la page Web SDK dans les champs Clé d'intégration, Clé secrète et Nom d'hôte de l'API.
5. Si Auth API est configuré, allez dans Paramètres avancés et collez les valeurs que vous avez copiées dans cette étape de la page Auth API dans les champs Clé d'intégration et Clé secrète.
6. Cliquez sur Enregistrer.

Étapes pour activer l'authentification multifacteur pour la connexion au portail de l'utilisateur final d'ADSelfService Plus

Prérequis:

1. SSL doit être activé : Connectez-vous à la console web d'ADSelfService Plus avec vos identifiants d'administrateur. Allez dans Admin → Paramètres du produit → Connexion. Sélectionnez l’option Port ADSelfService Plus [https]. Se référer à ce guide pour savoir comment appliquer un certificat SSL et activer HTTPS.

Étapes pour configurer :

1. Naviguez jusqu'à Configuration → Libre-service → Authentification multifacteur → MFA pour la réinitialisation/déverrouillage.

   

2. Choisissez la Stratégie dans le menu déroulant.
   Remarque : ADSelfService Plus vous permet de créer des stratégies basées sur les UO - et les groupes. Pour créer une stratégie, allez dans Configuration → Libre-service → Configuration des stratégies → Ajouter une nouvelle stratégie. Cliquez sur Sélectionner UO/Groupes et effectuez la sélection en fonction de vos besoins. Vous devez sélectionner au moins une fonction de libre-service. Enfin, cliquez sur Enregistrer la stratégie.
3. Utilisez l'option Activer _ facteurs d'authentification à côté de MFA pour connexion ADSelfService Plus,
4. Sélectionnez Duo Security et les autres authentificateurs nécessaires dans le menu déroulant Sélectionner les authentificateurs nécessaires.
5. Cliquez sur Enregistrer les paramètres.

Étapes à suivre pour activer l'authentification multifacteur pour la réinitialisation du mot de passe/le déverrouillage du compte

Prérequis:

1. SSL doit être activé : Connectez-vous à la console web d'ADSelfService Plus avec vos identifiants d'administrateur. Allez dans Admin → Paramètres du produit → Connexion. Sélectionnez l’option Port ADSelfService Plus [https]. Se référer à ce guide pour savoir comment appliquer un certificat SSL et activer HTTPS.

Étapes pour configurer :

1. Allez dans Configuration → Libre-service → Authentification multifacteur → MFA pour la réinitialisation/le déverrouillage.

   

2. Choisissez la Stratégie dans le menu déroulant.
   Remarque : ADSelfService Plus vous permet de créer des stratégies basées sur les UO - et les groupes. Pour créer une stratégie, allez dans Configuration → Libre-service → Configuration des stratégies → Ajouter une nouvelle stratégie. Cliquez sur Sélectionner UO/Groupes et effectuez la sélection en fonction de vos besoins. Vous devez sélectionner au moins une fonction de libre-service. Enfin, cliquez sur Enregistrer la stratégie.
3. Cochez la case Sélectionner les authentificateurs requise
4. Utilisez l'option Activer _ facteurs d'authentification à côté de « MFA pour réinitialisation du mot de passe/déverrouillage de compte » pour sélectionner le nombre de facteurs d'authentification
5. Sélectionnez Duo Security et les autres authentificateurs configurés nécessaires dans le menu déroulant.
6. Cliquez sur Enregistrer les paramètres.

Étapes à suivre pour activer l'authentification multifacteur pour les points de terminaison

Conditions préalables :

1. Utiliser le module complémentaire Endpoint MFA : Votre licence ADSelfService Plus doit inclure le module complémentaire Endpoint MFA. Visitez la boutique en ligne pour l'acheter.
2. SSL doit être activé : Connectez-vous à la console web d'ADSelfService Plus avec vos identifiants d'administrateur. Allez dans Onglet Admin → Paramètres du produit → Connexion. Sélectionnez l’option Port ADSelfService Plus [https]. Se référer à ce guide pour savoir comment appliquer un certificat SSL et activer HTTPS.
3. L'URL d'accès doit être défini comme HTTPS : Naviguer vers Admin > Paramètres du produit > Connexion > Paramètres de connexion > Configurer l'URL d'accès et définissez l’option Protocole sur HTTPS.
4. Applicable au MFA pour les connexions aux machines : Installez le logiciel client ADSelfService Plus pour Windows, macOS et Linux sur les machines où vous voulez activer MFA. Cliquez ici pour connaître les étapes d'installation du logiciel client ADSelfService Plus.

Configuration:

1. Allez dans Configuration → Libre-service → Authentification multifacteur → MFA pour les points de terminaison.

   

2. Choisissez la Stratégie dans le menu déroulant.
   Remarque : ADSelfService Plus vous permet de créer des stratégies basées sur les UO - et les groupes. Pour créer une stratégie, allez dans Configuration → Libre-service → Configuration des stratégies → Ajouter une nouvelle stratégie. Cliquez sur Sélectionner UO/Groupes et effectuez la sélection en fonction de vos besoins. Vous devez sélectionner au moins une fonction de libre-service. Enfin, cliquez sur Enregistrer la stratégie.
3. L’authentification MFA peut être configurée de manière à ce que des facteurs d'authentification supplémentaires soient requis sur les écrans de connexion des machines ou systèmes Windows, macOS et Linux, pendant les connexions VPN ou Outlook Web Access (OWA).
   • Pour les connexions aux machines :
     • Allez dans Configuration > Libre service > Authentification multifacteur > MFA pour points de terminaison > MFA pour connexions machines.
     • Cochez la case Sélectionner les authentificateurs requise
     • Utilisez l'option Activer _ facteurs d'authentification à côté de MFA pour connexion machine pour sélectionner le nombre de facteurs d'authentification
     • Sélectionnez Duo Security et les autres authentificateurs configurés nécessaires dans le menu déroulant.
     • Cliquez sur Enregistrer les paramètres.
   • Pour la connexion OWA :
     • Allez dans Configuration > Libre service > Authentification multifacteur > MFA pour points de terminaison > MFA pour connexions machines.
     • Cochez la case Sélectionner les authentificateurs requis.
     • Sélectionnez l'option Activer l'authentification à deux facteurs à côté de MFA pour la connexion à OWA, et choisissez RSA SecurID dans le menu déroulant.
     • Cliquez sur Enregistrer les paramètres.
4. Cliquez sur Enregistrer les paramètres.