Rejoindre Azure AD : Comprendre l’identité de l’appareil

Lorsque Microsoft a conçu Azure Active Directory (Azure AD), ils ont modernisé le concept d'identité des appareils en introduisant de nouveaux types d'approbation d'appareil : joint à Azure AD, enregistré à Azure AD et joint à Azure AD hybride.

Ces identités d’appareil peuvent être gérées dans Azure AD de la même manière que les identités d’utilisateur, de groupe et d’application ; cependant, chaque type de confiance présente des caractéristiques et des avantages uniques qui déterminent lesquels répondent le mieux aux cas d'utilisation présents dans votre environnement. Les trois scénarios peuvent coexister, et il est fort probable qu’ils le soient, au sein d’une même organisation.

Figure 1 : Identités des appareils dans Azure AD

Si vous n’avez pas encore une solide compréhension de ces nouveaux types de confiance, vous hésiterez peut-être à commencer à adopter et à investir dans ces nouvelles technologies, notamment en décidant du moment de la conversion des appareils traditionnels joints à AD vers des appareils joints à Azure-AD.

Dans ce blog, nous allons travailler à démêler ce réseau de nouveaux types de confiance pour lier les appareils des utilisateurs finaux à Azure AD, aider à clarifier les avantages et les différences entre chacun et examiner comment ils se comparent aux jointures de domaine traditionnelles sur site.

Qu’est-ce que la jointure hybride Azure AD ?

Commençons par un cas d’utilisation très courant, celui de l’adhésion hybride à Azure AD. Ces appareils sont simplement des points de terminaison Windows joints à AD qui ont été synchronisés depuis Active Directory sur site vers Azure AD. Ils s'appuient sur les services de domaine Active Directory (AD DS) traditionnels sur site pour la gestion des identités et des accès (IAM) et sont également enregistrés auprès d'Azure AD (voir figure 2).

Figure 2 : Périphérique Azure AD hybride

Il y a de fortes chances que si Azure AD Connect (AADC) est déjà installé et que vous synchronisez votre AD DS local avec Azure, vous disposez probablement déjà d'appareils hybrides joints à Azure-AD dans votre environnement, car ils ont été automatiquement provisionnés avec Windows Autojoin. fonctionnalité. Pour plus d’informations sur les options de provisionnement hybride telles que Autojoin, vous pouvez consulter la documentation de Microsoft ici.

Moderniser la gestion des points de terminaison

Étant donné que les appareils sont joints à AD, ils peuvent continuer à être gérés avec la stratégie de groupe traditionnelle et SCCM, ainsi qu'avec tous les outils de gestion plus récents tels que Microsoft Endpoint Manager (MEM) que vous avez peut-être commencé à déployer. Puisqu’ils disposent également d’une identité d’appareil dans Azure AD, ils prendront également en charge certaines des fonctionnalités étendues de gestion et de sécurité d’Azure AD que nous aborderons plus tard.

Microsoft déclare que l’adhésion hybride à Azure AD est une étape intermédiaire sur la voie de l’adhésion à Azure AD. Cela peut être vrai pour certaines organisations, mais ce n’est pas nécessairement le cas pour tout le monde. Le type de confiance hybride existe pour plusieurs raisons. La première consiste à prendre en charge les anciens systèmes d'exploitation tels que Windows 7 et Windows Server 2008, qui ne peuvent pas être joints à Azure-AD. Une autre solution consiste à prendre en charge les ordinateurs existants déjà gérés par des systèmes sur site tels que les GPO ou d'autres méthodes et qui ne peuvent actuellement pas être basculés vers un autre système de gestion.

La transition de l’ensemble de la gestion des points de terminaison vers le cloud est un événement coûteux et compliqué qui peut prendre des mois, voire des années, selon la taille de l’infrastructure de votre organisation. Il n’est donc pas totalement exact d’affirmer que l’adoption d’appareils hybrides joints à Azure-AD n’est qu’une étape intermédiaire avant l’adoption d’un modèle uniquement Azure-AD.

Qu’est-ce que l’enregistrement Azure AD ?

Les appareils enregistrés sur Azure-AD répondent aux besoins d'un cas d'utilisation croissant parmi les entreprises, qui consiste à fournir une assistance aux utilisateurs finaux qui profitent des politiques « apportez votre propre appareil » (BYOD). Ces appareils ne sont ni joints à AD ni à Azure-AD, mais sont simplement enregistrés auprès de votre Azure AD afin que vous puissiez déployer et gérer les paramètres et les logiciels des appareils (voir figure 3). Cette identité d'appareil est principalement utilisée pour la gestion des appareils mobiles, où les appareils appartiennent soit à l'organisation, soit à l'utilisateur, avec plusieurs options de connexion, permettant à l'organisation d'appliquer des paramètres et des politiques via des services cloud axés sur la gestion des appareils mobiles ( MDM) et Mobile Application Management (MAM) tels que Microsoft Intune ou des outils de gestion unifiée des appareils tiers comme KACE.

Figure 3 : Appareils enregistrés dans Azure AD

Il est également possible d’utiliser l’inscription Azure AD pour d’autres appareils tels que les ordinateurs BYOD, sur lesquels vous pouvez rencontrer le terme Workplace Join. Cela identifie généralement un Windows 8.1 enregistré sur Azure-AD, mais vous verrez également ce terme lors de la récupération de l'état de jointure Azure AD de n'importe quelle machine Windows à l'aide de la commande dsregcmd /status. Une valeur de jointure sur le lieu de travail de Oui indique que l'appareil est un BYOD enregistré.

Conseil de pro : Cette valeur doit être NON pour un ordinateur membre d'un domaine qui est également membre hybride d'Azure-AD. Si la valeur est OUI, un compte professionnel ou scolaire a été ajouté avant la fin de la adhésion hybride à Azure AD. Dans ce cas, le compte est ignoré lorsque vous utilisez Windows 10 version 1607 ou ultérieure.

Notez que l’enregistrement Azure AD pour les appareils non mobiles n’est pas très courant, car les entreprises préfèrent généralement utiliser l’un des autres types d’approbation pour les ordinateurs, exigeant que les appareils soient joints à Azure-AD ou hybrides à Azure-AD.

Qu’est-ce que la jointure Azure AD ?

Les appareils joints à Azure-AD répondent aux besoins des environnements cloud uniquement, permettant aux organisations de gérer les appareils appartenant à l'entreprise en joignant l'appareil directement à leur Azure AD et en permettant les connexions avec le compte Azure AD des utilisateurs.

Vous pouvez demander aux utilisateurs finaux d'effectuer une jointure Azure AD sur un appareil existant en ouvrant Démarrer > Paramètres > Accéder au travail ou à l'école > Connecter, après quoi ils peuvent s'authentifier à l'aide de leurs informations d'identification Azure AD. Alternativement, les administrateurs peuvent automatiser les jointures d'appareils via une inscription groupée avec Intune, un outil de gestion de points de terminaison tiers ou en utilisant Windows Autopilot. Vous pouvez également déployer de nouveaux ordinateurs portables ou réaffectés, les expédier à un utilisateur final quelque part dans le monde, puis demander à l'utilisateur Azure AD de rejoindre lui-même l'appareil à l'aide du processus de configuration initial de Windows Out of Box Experience (OOBE).

Semblables aux appareils enregistrés auprès d'Azure AD, les appareils joints à Azure-AD peuvent être gérés à l'aide de Microsoft Intune, permettant aux organisations de fournir aux utilisateurs un accès à l'application Intune Company Portal, qui aide les employés à gérer en toute sécurité l'accès à leurs applications, données et ressources d'entreprise.

Figure 4 : Appareil joint à Azure AD

Comparaisons : Active Directory et Azure Active Directory

Maintenant que vous comprenez quels types de confiance sont disponibles avec Azure Active Directory, nous allons tenter de réduire un peu la confusion en examinant les différences entre les différents types d'infrastructure, afin que vous n'ayez pas à passer du temps à les compiler vous-même.

Il existe certaines différences fondamentales entre Active Directory traditionnel et Azure AD à prendre en compte avant d'entrer dans des comparaisons plus détaillées entre chacune des options d'approbation des appareils Azure AD, y compris Azure-AD joint, Azure-AD-register et Azure-AD hybride. -rejoint.

Authentification

Lorsqu'un appareil est joint à un Active Directory local, un objet est créé dans votre AD DS sur site, qui est utilisé pour la gestion des identités et des accès (IAM) des comptes, des appareils utilisateur et des serveurs de votre organisation. Cette configuration offre aux utilisateurs un accès transparent aux ressources à l'aide de Kerberos Single Sign-On (SSO).

Pour qu’un utilisateur puisse se connecter et s’authentifier sur un appareil joint à AD, cet appareil doit disposer d’un accès réseau à un contrôleur de domaine. Pour les utilisateurs distants, cela signifie qu’ils doivent utiliser un VPN ou un moyen similaire pour s’authentifier et se connecter aux ressources sur site de l’organisation. Les utilisateurs peuvent toujours se connecter localement s'ils ont déjà mis en cache leurs informations d'identification, mais ne peuvent pas accéder aux ressources d'entreprise sur site sans accès au réseau.

Lorsqu’un appareil est joint à Azure-AD, l’appareil n’a besoin que d’un accès pour s’authentifier auprès d’Azure AD dans le cloud au lieu de nécessiter l’accès à un contrôleur de domaine. Vous pouvez émettre des jetons d’actualisation primaires (PRT) aux appareils joints à Azure-AD ou hybrides à Azure-AD pour ajouter des revendications spécifiques à l’appareil et fournir une fonctionnalité supplémentaire d’authentification unique (SSO) transparente aux ressources Azure AD.

L'authentification Azure AD présente certains défis qui doivent être pris en compte, et vous devez vous assurer qu'elle prend en charge toutes vos applications métier critiques. L'authentification Kerberos/NTLM et les connexions LDAP (Lightweight Directory Access Protocol) ne sont pas prises en charge par Azure AD et nécessiteront des ressources supplémentaires et d'éventuelles migrations de serveur vers Azure. Vous pouvez également envisager Azure AD Domain Services (Azure AD DS), qui fournit des services de domaine gérés tels que la jointure de domaine, la stratégie de groupe, LDAP et l'authentification Kerberos/NTLM sans avoir besoin de déployer, de gérer et de corriger des contrôleurs de domaine.

Gestion

Les appareils joints à Active Directory s'appuient principalement sur la stratégie de groupe pour gérer et déployer des politiques et des paramètres afin de garantir que vos appareils utilisateur répondent aux exigences de l'entreprise et réglementaires. L'un des défis de cette configuration est qu'il peut être plus difficile de gérer et de sécuriser les appareils pour les utilisateurs distants. À mesure que les applications cloud deviennent plus courantes pour effectuer les activités quotidiennes, les utilisateurs distants peuvent se connecter moins fréquemment au VPN, ce qui les empêche de recevoir des mises à jour en temps opportun.

En enregistrant ou en joignant des identités d’appareil à Azure AD, vous pouvez commencer à gérer les fonctionnalités de sécurité à l’aide de stratégies d’accès conditionnel basées sur les appareils. Si vous n'avez pas encore commencé à utiliser Microsoft Endpoint Manager (MEM), Intune ou des outils tiers pour vous aider à gérer et à surveiller vos appareils traditionnels joints à AD, vous constaterez qu'il dispose de nombreuses fonctionnalités pour vous aider à gérer et à provisionner. Appareils joints à Azure-AD, hybrides joints à Azure-AD et enregistrés sur Azure-AD, y compris les appareils mobiles. Vous pouvez déterminer quels composants de MEM sont appropriés pour votre environnement, y compris la gestion des appareils à l'aide de Configuration Manager et Intune.

Notez que la transition de la stratégie de groupe vers MEM nécessite une formation, une planification, des tests et une mise en œuvre détaillées. Il existe également des exigences de licence à l'échelle du locataire pour l'accès conditionnel basé sur les appareils, tandis que Microsoft Endpoint Manager nécessite une licence Enterprise Mobility + Security E3 ou E5.

Approvisionnement

Vous constaterez qu’il peut être plus facile de confier les appareils joints à Azure-AD aux utilisateurs finaux grâce aux options de provisionnement plus larges disponibles pour les identités d’appareil Azure, y compris les options de configuration automatique des appareils à l’aide du pilote automatique ou via une expérience prête à l’emploi ( OOBE) et la possibilité de déployer des logiciels via le portail de l'entreprise.

En fonction des besoins de votre organisation, vous pouvez choisir d'utiliser des options en libre-service qui ne nécessitent plus de mot de passe d'administrateur, ou vous pouvez provisionner les appareils de manière plus contrôlée et gérée exclusivement par les administrateurs.

Systèmes d'exploitation

L'un des principaux atouts d'Active Directory sur site est la prise en charge des systèmes d'exploitation existants, que de nombreuses organisations continuent de maintenir pendant qu'elles planifient la transition des applications et des serveurs critiques vers des machines virtuelles cloud associées aux services de domaine Azure Active Directory ou lors de la mise à niveau vers Windows 11.

Il y aura une motivation accrue pour la transition des applications et des services gérés sur site à mesure que ces systèmes d'exploitation existants atteindront les délais de fin de support avec Microsoft. Une fois que cela se produira, le cloud ouvrira la voie pour déterminer quels systèmes d’exploitation seront pris en charge sur site.

Comparaisons : jointure AD, jointure Azure AD hybride et jointure Azure AD

Le tableau ci-dessous (voir Tableau 1) fournit une comparaison côte à côte entre les appareils joints à AD traditionnels, joints à Azure-AD hybrides et joints à Azure-AD.

Gardez à l’esprit que, comme pour toute plate-forme SaaS par abonnement, certains des services premium qui remplacent les fonctionnalités intégrées sur site seront soumis à des exigences de licence supplémentaires. Ces services comprendront également de toutes nouvelles technologies dont les administrateurs ont besoin pour apprendre, mettre en œuvre et favoriser l'adoption par leurs organisations.

Tenez toujours compte de l’évolution des coûts avec l’adoption de nouveaux outils de gestion des appareils nécessitant une licence premium. Dans le tableau comparatif ci-dessous, les services auxquels est associé un coût premium sont liés aux informations de licence applicables de Microsoft.

Tableau 1 : adhésion à Active Directory VS adhésion hybride à Azure AD VS adhésion à Azure AD

Comparaisons : inscription Azure AD et adhésion à Azure AD

Le tableau ci-dessous (voir Tableau 2) se concentre sur les deux options cloud uniquement disponibles si vous êtes prêt à vous éloigner complètement de l'infrastructure sur site, fournissant une comparaison côte à côte entre les appareils joints à Azure AD. et enregistré sur Azure-AD.

N'oubliez pas que même si le principal cas d'utilisation de l'enregistrement Azure AD consiste à prendre en charge les appareils mobiles, il peut être utilisé pour n'importe quel BYOD et il existe des différences importantes à prendre en compte entre l'adhésion à Azure AD et l'enregistrement Azure AD, notamment les différentes options de gestion et de provisionnement et les différents systèmes pris en charge. .

Les services auxquels est associé un coût premium sont liés aux informations de licence applicables de Microsoft.

Tableau 2 : Inscription Azure AD VS Rejoindre Azure AD

Conclusion

Il est fort probable que vous observerez un mélange d’appareils joints à Azure-AD, hybrides joints à Azure-AD et enregistrés sur Azure-AD dans un environnement d’entreprise moderne. Vous pouvez même rencontrer des conflits, des enregistrements en double et d’autres anomalies embêtantes à traquer. Par conséquent, il est important de comprendre et d'apprendre toutes les options et composants associés pour prendre en charge chaque type de jointure ainsi que les technologies et composants associés nécessaires pour chacun, et la décision d'utiliser l'un d'entre eux doit être déterminée par les exigences, les priorités et les aspects techniques et commerciaux de votre organisation. limites.

Cela dit, certains points clés peuvent vous aider à prendre la meilleure décision concernant les voies potentielles que votre organisation peut emprunter pour adopter la gestion des points de terminaison dans le cloud et l'identité des appareils dans le cloud.

1. Si vous gérez les appareils sur site maintenant, vous devez commencer par implémenter les services Azure AD pour les appareils Azure AD hybrides, que vous décidiez de rester dans un état hybride à long terme ou que vous envisagiez de passer entièrement au cloud uniquement. L'hybride peut être une stratégie à long terme si la maintenance de certains systèmes IAM sur site est toujours requise pour votre organisation. Cela peut également être un tremplin qui vous donne le temps de planifier et de mettre en œuvre les nouvelles méthodes et technologies de gestion avant de procéder à une transition finale vers le cloud uniquement.
2. Si vous ne disposez d’aucune infrastructure locale, utilisez Azure AD Join pour bénéficier des meilleures protections et de la plus grande valeur pour vos machines et appareils appartenant à votre entreprise, notamment de nouvelles fonctionnalités, une gestion plus robuste et des pratiques de provisionnement améliorées.
3. Si vous préférez un modèle BYOD pour les ordinateurs portables ou si vous souhaitez gérer des appareils mobiles, l'enregistrement Azure AD est l'option pour ces machines et appareils. Gardez à l’esprit que certaines organisations l’ont utilisé pour des appareils BYOD appartenant à l’entreprise qui ne sont jamais joints à Azure AD, mais cela n’est peut-être pas la stratégie à long terme la plus judicieuse pour la gestion et la sécurité des appareils appartenant à l’entreprise.

Microsoft fait un grand effort pour encourager la transition vers le cloud grâce à des changements dans les technologies qui stimulent l'adoption et en offrant des incitations pour réduire les coûts dans tous les domaines informatiques. Lorsque vient le temps de commencer la mise en œuvre, assurez-vous de réaliser une preuve de concept pour apprendre les bases, puis lancez un programme pilote avant de lancer pleinement de nouveaux services à la population mondiale. Il n’y a rien de pire qu’un déploiement perturbateur qui pourrait avoir un impact sur l’accès et la productivité des utilisateurs finaux.

Consultez le tableau de comparaison complet sous un guide de référence rapide, qui comprend des liens supplémentaires et compare les quatre options de jointure côte à côte. N'oubliez pas de consulter toute la documentation Microsoft liée à ce blog pour commencer à vous familiariser avec toutes les nouvelles fonctionnalités et services Azure AD et commencer à planifier votre transition de joint AD à joint Azure AD.

Tableau 3 : Comparaison de quatre options de jointure