Comment configurer l'exigence de force d'authentification dans l'accès conditionnel
Le contrôle d’accès Exiger le niveau d’authentification dans l’accès conditionnel Azure AD est une nouvelle option permettant aux administrateurs de définir les méthodes d’authentification qui peuvent être utilisées pour accéder à votre environnement ou à votre ressource. Il est là pour garantir que vous pouvez définir les méthodes les plus sécurisées et les appliquer dans votre environnement et pour empêcher l'utilisation de méthodes d'authentification moins sécurisées.
Options intégrées
Vous avez le choix entre 3 options intégrées différentes lors de la sélection d'un niveau d'authentification dans l'accès conditionnel : MFA, MFA sans mot de passe et MFA résistant au phishing. Chaque option offre un niveau de protection différent et comprend les éléments suivants :
Force de l'authentification multifacteur :
- FIDO2
- Windows Hello Entreprise
- Authentification basée sur un certificat
- Authentificateur Microsoft
- Pass d'accès temporaire
- Mot de passe et quelque chose que vous possédez
- Facteur unique fédéré et quelque chose que vous avez
- Multi-facteur fédéré
Force de l'authentification multifacteur sans mot de passe
- Clé de sécurité FIDO2
Force MFA résistante au phishing
- Clé de sécurité FIDO2
Comment créer un niveau d'authentification personnalisé pour l'accès conditionnel
En plus des contrôles intégrés par défaut que j'ai répertoriés ci-dessus, vous pouvez également créer votre propre niveau d'authentification personnalisé qui peut inclure un mélange des méthodes d'authentification ci-dessus. Suivez les étapes ci-dessous pour créer une méthode d'authentification personnalisée.
- Connectez-vous au portail de gestion Azure Active Directory sur aad.portal.azure.com.
2. Sélectionnez Azure Active Directory.
3. Sous l'en-tête Gérer, sélectionnez Sécurité.
4. Sélectionnez Méthodes d'authentification
5. Sélectionnez Forces d'authentification
6. Cliquez sur Nouveau niveau d'authentification et une nouvelle fenêtre contextuelle apparaîtra à droite. Commencez par donner un nom significatif à votre nouveau niveau d’authentification.
7. Choisissez les méthodes d'authentification souhaitées dans la liste des options et cliquez sur Suivant. Cela vous amènera à l'onglet Révision, où vous pourrez confirmer vos sélections et cliquer sur Créer.
8. Vous verrez maintenant votre nouveau niveau d'authentification dans la liste avec le type de personnalisé. Actuellement, il apparaîtra comme pas encore configuré dans aucune stratégie.
Comment appliquer votre force d'authentification personnalisée à une stratégie
- Ouvrez l’accès conditionnel au sein de votre portail de gestion Azure Active Directory.
2. Cliquez sur Nouvelle stratégie ou sélectionnez l'une de vos stratégies existantes.
3. Sous Contrôles d'accès, sélectionnez Accorder > Exiger le niveau d'authentification et sélectionnez votre nouveau niveau d'authentification personnalisé dans la liste déroulante.
Expérience utilisateur lorsque le niveau d'authentification est activé
Dans ce scénario, notre utilisateur « John Smith » dispose de l’activation MFA avec authentification SMS. Il existe une politique d’accès conditionnel qui applique uniquement l’AMF de base.
Actuellement, lorsque John Smith se connecte à office.com, il est confronté à un code MFA qui est envoyé à chaque fois sur son téléphone portable.
En tant qu'administrateur, je vais maintenant modifier la politique d'accès conditionnel existante pour utiliser ma nouvelle politique de force d'authentification.
Maintenant que nous avons modifié la politique, lorsque la session de John Smith expire ou qu'il se reconnecte, il est accueilli par la page suivante :
Une fois qu'il clique sur Suivant, il lui est d'abord demandé de compléter sa méthode d'authentification SMS existante :
Une fois qu'il s'est authentifié avec succès avec le code envoyé sur son mobile, il lui sera demandé plus d'informations :
Il lui sera maintenant demandé de configurer la nouvelle méthode d'authentification pour utiliser l'application Microsoft Authenticator que nous avons définie dans notre niveau d'authentification personnalisé :
Une fois la configuration de la nouvelle méthode d'authentification, il arrivera à l'écran suivant :
Fait intéressant, la méthode de connexion par défaut s'affiche incorrecte sur cette page, il s'agit désormais de l'application d'authentification et non du « texte ». De plus, dans mon cas, lorsque j'ai suivi ce processus dans un navigateur privé Chrome, après avoir cliqué sur « Terminé », j'étais dans une boucle sans fin d'authentification avec l'application d'authentification et de retour à ce même écran. J'ai dû mettre fin à ma session de navigateur et me reconnecter normalement, mais la modification s'est effectuée avec succès.