• Accueil
• Intégrations d'applications
• Intégrations MFA
• Authentification multifacteur pour les espaces de travail AWS

Comment activer l'authentification à deux facteurs pour Amazon (AWS) Workspace

---

Améliorez la sécurité d'Amazon WorkSpaces avec miniOrange Multi-Factor Authentication (MFA), en ajoutant une couche de protection supplémentaire en exigeant un deuxième facteur d'authentification en plus du nom d'utilisateur et du mot de passe.

Pour les organisations sans serveur RADIUS ou OTP, miniOrange fournit 15+ méthodes d'authentification, notamment Google Authenticator, Microsoft Authenticator et miniOrange Authenticator, pour configurer facilement l'authentification multifacteur pour AWS WorkSpaces. Les utilisateurs vérifient leur identité via des solutions MFA virtuelles ou matérielles après avoir saisi leurs informations d'identification.

Suivez notre guide détaillé pour configurer MFA pour AWS WorkSpaces.

Authentification MFA miniOrange pour la connexion à AWS WorkSpaces

miniOrange accomplit cela en agissant comme un serveur RADIUS qui accepte le nom d'utilisateur/mot de passe de l'utilisateur saisi en tant que requête RADIUS et valide l'utilisateur par rapport au magasin d'utilisateurs en tant que Active Directory (AD). Après le premier niveau d'authentification, miniOrange invite l'utilisateur à Authentification à 2 facteurs (2FA) et soit accorde/révoque l'accès en fonction de l'entrée de l'utilisateur.

1. L'authentification primaire démarre lorsque l'utilisateur soumet son nom d'utilisateur et son mot de passe pour Espaces de travail AWS.
2. La demande de l'utilisateur agit comme un demande d'authentification au serveur RADIUS (miniOrange).
3. miniOrange Serveur RADIUS transmet les informations d'identification de l'utilisateur pour valider les informations d'identification stockées dans AD (Active Directory)/base de données.
4. Une fois le premier niveau d'authentification de l'utilisateur validé AD envoie la confirmation au serveur RADIUS.
5. Maintenant, miniOrange RADIUS Server demande un Défi d'authentification à 2 facteurs (2FA) à l'utilisateur.
6. Ici, l'utilisateur soumet la réponse/le code qu'il reçoit sur son matériel/téléphone.
7. Réponse de l'utilisateur est vérifié du côté du serveur RADIUS de miniOrange.
8. Sur succès Authentification à 2e facteur (2FA) l'utilisateur a accès à AWS Workspaces, c'est-à-dire à Amazon Workspace MFA

Conditions préalables à l'activation/au déploiement de MFA pour AWS Workspaces :

• Votre Active Directory doit être l'un des suivants
• Active Directory géré par AWS
• Connecteur AD
• Vous avez déjà configuré et activé Espaces de travail AWS

Déterminez l'adresse IP du client AWS :

• Connectez-vous à Console de gestion AWS.
• Allez dans Services d'annuaire et Choisissez le lien d'ID de répertoire pour lequel vous souhaitez activer MFA.



• Sur la page Détails de l'annuaire, sélectionnez le Onglet Réseau et sécurité.
• Dans l' Onglet Réseau et sécurité, Aller à Détails de mise en réseau et notez les adresses DNS.



• Faites défiler jusqu'à la Authentification multi-facteurs , choisissez Actions, puis choisissez Modifier.



• Sur la page Activer l'authentification multifacteur (MFA), fournissez les détails suivants :
  
  

  Attribut	Valeur
  Afficher l'étiquette	Une valeur d'affichage pour la configuration MFA
  Nom DNS ou adresses IP du serveur RADIUS	18.190.76.192
  Port	1814
  Code secret partagé	Entrez le code secret partagé de votre choix
  Code secret partagé confirmé	Entrez le code secret partagé de votre choix
  Passerelle	Sélectionnez le protocole comme : PAP
  Délai d'expiration du serveur (en secondes)	30
  Nombre maximal de tentatives de requête RADIUS	Gardez cette valeur telle quelle




• Cliquez sur Soumettre pour enregistrer cette configuration et activer RADIUS.
• Maintenant, cliquez sur ceci. lien pour rechercher votre adresse IP Radius.
• Entrez vos IP DNS que vous avez saisies ceci. étape pour rechercher votre adresse IP Radius.



• Notez cette adresse pour la suite.



• Si vous ne voyez pas les adresses IP publiques à l'étape ci-dessus, veuillez vérifier votre Groupe de sécurité en suivant les étapes ci-dessous. Ignorez cette étape si vous disposez déjà d’adresses IP publiques et que vous êtes passé à la configuration.
• Accédez aux services d'annuaire et copiez ID d'annuaire et groupe de sécurité de votre annuaire.




• Maintenant, allez à VPC (Cloud Privé Virtuel) Tableau de bord et sélectionnez Groupes de sécurité dans le menu latéral.
• Utilisez le champ de recherche pour rechercher votre ID d'annuaire Microsoft AD géré par AWS. Dans les résultats de la recherche, sélectionnez l'élément portant la description AWS a créé un groupe de sécurité pour contrôleurs de répertoire.




• Accédez à l’onglet Règles entrantes pour ce même groupe de sécurité. Choisissez Modifier, puis Ajouter une autre règle. Pour la nouvelle règle, saisissez les valeurs suivantes :



Attribut	Valeur
Type	Règle UDP personnalisée
Passerelle	UDP
Plages de ports	1812
Matériau	Entrez le groupe de sécurité que nous avons copié plus tôt




• Cliquez sur Ajouter Règle pour ajouter cette règle, puis Enregistrer les règles.

Activez l'authentification multifacteur MFA pour AWS WorkSpaces afin d'étendre le niveau de sécurité.

1. Configurez AWS WorkSpaces dans miniOrange

• Suivez les étapes ci-dessous pour créer deux applications pour les adresses IP que vous avez saisies. déterminer l'adresse IP du client AWS étape.
• Connectez-vous à miniOrange Console d'administration.
• Allez dans Apps et cliquez sur Ajouter une application bouton dans le coin supérieur droit.



• Choisissez RAYON comme Type d'application et cliquez sur Créer une application .



• Cliquez sur Espace de travail AWS onglet application. Si vous ne trouvez pas votre candidature cliquez sur Client de rayon onglet application.



• Cliquez sur le Documentation pour obtenir les adresses IP du serveur Radius.



• Copiez et enregistrez les adresses IP du serveur Radius qui seront nécessaires pour configurer votre client Radius.



• Configurez les détails ci-dessous pour ajouter Radius Client.




Nom du client:	N’importe quel nom pour votre référence.
IP du client :	Entrez l'adresse IP du client que nous avons obtenue dans le précédent étape.
Secret partagé:	Clef de sécurité. Par exemple. "secret partagé" (Gardez ceci avec vous, vous devrez le configurer sur le serveur VPN).

• Après avoir configuré les détails ci-dessus, cliquez sur Suivant .
• Cliquez sur Politique de connexion pour configurer les détails de politique suivants pour le client VPN AWS ​​Workspace.

Nom de groupe:	Groupe pour lequel la politique s’appliquera.
Nom de la politique:	Tout identifiant qui spécifie le nom de la stratégie.
Politique de méthode de connexion - Mobile uniquement	Les utilisateurs se connectent à l'aide d'une méthode d'authentification mobile, par exemple SMS, notification push, jeton logiciel (authentification sans mot de passe) et l'authentification à 2 facteurs seront automatiquement activés.





• Après avoir configuré les détails ci-dessus, cliquez sur Suivant .
• Configurer le Paramètres avancés pour le client VPN AWS ​​Workspace selon les besoins.



• Vous devez Permettre la dernière option pour suivre et enregistrer les requêtes RADIUS pour les utilisateurs qui n'existent pas dans votre système.
• Après avoir configuré les détails ci-dessus, cliquez sur Enregistrer .
À noter: Vous devez créer une autre application pour la deuxième adresse IP Radius que vous avez saisie. déterminer l'adresse IP du client AWS étape, et pour cela vous devez suivre la Étape 1 nouveau.


NOTE: Pour Sur place version, suivez les étapes ci-dessous avant de tester la connectivité.



Uniquement pour la version sur site

Étape 1 : ouvrez les ports du pare-feu.

• Afin de recevoir la requête RADIUS, il est nécessaire de ouvrir le trafic UDP sur les ports 1812 et 1813 pour la machine sur laquelle l'IdP sur site est déployé.
• Si la machine d'hébergement est un Fenêtres Machine alors vous pouvez suivre ceci. document.
• Si la machine d'hébergement est un Linux Machine alors vous pouvez suivre ceci. document.

NOTE: Si votre machine est hébergée sur AWS, activez les ports depuis le panneau AWS.

2. Configurez RADIUS dans AWS WorkSpaces

• Retour à Console de gestion AWS.
• In Nom DNS ou adresses IP du serveur RADIUS, saisissez l'une des adresses IP suivantes répertoriées dans l'image ci-dessous.



• Changez le Port à 1812.



• Cliquez sur Permettre pour enregistrer cette configuration et activer RADIUS.

3. Configurez votre annuaire d'utilisateurs

miniOrange fournit une authentification des utilisateurs à partir de diverses sources externes, qui peuvent être Partages de fichiers (comme ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito etc), Fournisseurs d'identité (comme Okta, Shibboleth, Ping, OneLogin, KeyCloak), Bases de données (comme MySQL, Maria DB, PostgreSQL) et beaucoup plus. Vous pouvez configurer votre répertoire/magasin d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.

Configurer AD/LDAP comme annuaire d'utilisateurs

Configurer miniOrange comme répertoire d'utilisateurs

Configurez vos annuaires existants tels que Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, etc.

• Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord.



• Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.



• Recherchez ensuite AD/LDAP et cliquez dessus.



• STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
• STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.




• Entrez LDAP Nom du profil et Identifiant nom.
• Sélectionner Type de répertoire as Le tiering Active Directory.
• Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
• Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.



• Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.



• Entrez le mot de passe valide du compte Bind.
• Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.



• Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.



• Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.



• Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
• Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.




Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.

Attribut	Description
Activer LDAP	Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez
Authentification de secours	Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange
Activer la connexion administrateur	En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP
Afficher l'IdP aux utilisateurs	Si vous activez cette option, cet IdP sera visible par les utilisateurs
Synchroniser les utilisateurs dans miniOrange	Les utilisateurs seront créés dans miniOrange après authentification avec LDAP



• Cliquez sur le Suivant bouton, ou allez à la Attributs languette.

Cartographie des attributs d'AD

• Par défaut, les noms d'utilisateur, prénom, nom et adresse e-mail sont configurés. Faites défiler vers le bas et cliquez sur Enregistrer bouton. Pour récupérer des attributs supplémentaires depuis Active Directory, activez Envoyer les attributs configurésÀ gauche, saisissez le nom que vous souhaitez partager avec les applications. À droite, saisissez le nom de l'attribut depuis Active Directory. Par exemple, pour récupérer l'attribut « entreprise » depuis Active Directory et l'envoyer comme organisation aux applications configurées, saisissez :

  Nom d'attribut envoyé à SP = organisation
  Nom d'attribut de l'IDP = société






• Cliquez sur le Suivant bouton, ou allez à la Provisioning languette.

Importation et provisionnement d'utilisateurs à partir d'AD

• Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.

Importer la stratégie de mot de passe depuis Active Directory

• Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.

Tester les connexions

• Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.



• Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.



• On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.

Mappage des attributs de test

• Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.



• Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.



• Le résultat du mappage des attributs de test sera affiché.

La configuration d'AD en tant qu'annuaire externe est terminée.

À noter: Référez-vous à notre guide pour configurer LDAP sur le serveur Windows.

• Pour ajouter vos utilisateurs dans miniOrange il y a 2 manières :

1. Créer un utilisateur dans miniOrange

2. Utilisateurs de téléchargement groupé

1. Créer un utilisateur dans miniOrange

• Cliquez sur Utilisateurs >> Liste des utilisateurs >> Ajouter un utilisateur.



• Ici, remplissez les détails de l'utilisateur sans le mot de passe puis cliquez sur le Créer un utilisateur .



• Après la création réussie d'un utilisateur, un message de notification "Un utilisateur final a été ajouté avec succès" sera affiché en haut du tableau de bord.



• Cliquez sur Onglet Statut d'intégration. Vérifiez l'e-mail, avec l'identifiant de messagerie enregistré et sélectionnez l'action Envoyer un courrier d'activation avec le lien de réinitialisation du mot de passe à partir de Sélectionnez l'action liste déroulante puis cliquez sur Appliquer .



• Maintenant, ouvrez votre identifiant de messagerie. Ouvrez le mail que vous recevez de miniOrange puis cliquez sur le lien pour définir le mot de passe de votre compte.
• Sur l'écran suivant, entrez le mot de passe et confirmez le mot de passe, puis cliquez sur le Mot de passe de réinitialisation de l'authentification unique (SSO) .



• Vous pouvez désormais vous connecter au compte miniOrange en saisissant vos identifiants.

2. Téléchargez en masse des utilisateurs dans miniOrange via le téléchargement d'un fichier CSV.

• Accédez à Utilisateurs >> Liste des utilisateurs. Cliquez sur Ajouter un utilisateur .



• Inscription d'utilisateur en masse Télécharger un exemple de format CSV depuis notre console et éditez ce fichier csv selon les instructions.



• Pour importer des utilisateurs en masse, choisissez le fichier et assurez-vous qu'il se trouve dans Format de fichier .csv séparé par des virgules puis cliquez sur Télécharger.



• Après avoir téléchargé le fichier csv avec succès, vous verrez un message de réussite avec un lien.
• Cliquez sur ce lien, vous verrez la liste des utilisateurs à qui envoyer un courrier d'activation. Sélectionnez les utilisateurs auxquels envoyer le courrier d'activation et cliquez sur Envoyer le courrier d'activation. Un mail d'activation sera envoyé aux utilisateurs sélectionnés.

Création de groupes d'utilisateurs (recommandé)

Groupe d'utilisateurs AD

Groupe d'utilisateurs miniOrange

• Cette étape implique l'importation du groupe d'utilisateurs à partir d'Active Directory et leur provisionnement.
• Allez dans Provisioning. Basculer vers Configurer le provisionnement onglet et sélectionnez Le tiering Active Directory dans le menu déroulant.



• Sélectionner Approvisionnement/déprovisionnement de groupe onglet et activez Groupe d'importation option.
• Entrer le DN de base pour la synchronisation de groupe et cliquez sur Enregistrer.



• Si vous souhaitez attribuer dynamiquement des utilisateurs aux groupes présents dans le miniOrange, alors activez "Attribuer des utilisateurs à des groupes"



• Passez maintenant à Importer des groupes option et sélectionnez Le tiering Active Directory à partir duquel vous souhaitez importer vos utilisateurs.
• Enfin, cliquez sur Global bouton. Votre groupe sera importé.




(La configuration du provisionnement de groupe Active Directory (Sync) est terminée. Désormais, chaque fois qu'un utilisateur est créé ou modifié sur le serveur LDAP et si l'option Attribuer des utilisateurs aux groupes est activée, l'attribut de groupe d'utilisateurs du serveur LDAP sera automatiquement synchronisé et l'utilisateur le groupe sera attribué ou modifié en conséquence dans miniOrange.)

• Sélectionner Groupes >> Gérer les groupes du panneau de gauche.
• Cliquez sur le Créer un groupe bouton en haut.



• Entrez un Nom du groupe et cliquez sur Créer un groupe.



• Dans ce guide, nous avons créé un groupe par nom Groupe_VPN.
• Affectez différents membres au groupe à l'aide du Attribuer un utilisateur option associée au groupe dans la liste des groupes.



• Sélectionnez les utilisateurs qui doivent être affectés à ce groupe. Sélectionnez ensuite Attribuer au groupe dans la liste déroulante Sélectionner une action et cliquez sur le bouton Appliquer.



• Ces groupes seront utiles pour ajouter plusieurs Politiques 2FA sur les candidatures.

4. Configurer MFA pour AWS WorkSpaces

• Ici, nous allons configurer une politique pour le groupe d'utilisateurs que nous avons créé dans cette étape et associez-le à l'application VPN AWS ​​WorkSpaces.
• Cliquez sur Politiques >> Politique de connexion à l'application.



• Cliquez sur Ajouter une politique .
• Dans la section Application, sélectionnez le Application RAYON que nous avons configuré plus tôt à l'étape 1.
• Sélectionnez le groupe d'utilisateurs requis dans Nom du groupe et entrez le Nom de la politique.
• Dans ce guide, nous allons configurer un Mot de passe seulement politique pour "Groupe_VPN", afin que seuls les membres du VPN_Group puissent accéder aux services VPN sans deuxième facteur.
• Une fois terminé les paramètres de la politique, cliquez sur Soumettre pour ajouter une stratégie.

5. Testez l'authentification multifacteur AWS WorkSpaces

• Accédez au client AWS WorkSpaces approprié, par exemple : - (Windows, Linux, Internet)
• Ici, vous verrez 3 champs de saisie au lieu de 2 pour Nom d'utilisateur, mot de passe et code MFA.
• Entrez votre espace de travail AWS Nom d'utilisateur ( Ou : Nom d'épouse ) et Mot de passe dans les champs respectifs et entrez votre Code AMF dans le Champ Code MFA pour la méthode d'authentification configurée dans miniOrange





• Sur succès Authentification MFA votre session AWS Workspaces démarrera.

À noter: miniOrange a fourni une présentation de la solution et a guidé les étapes clés pour améliorer la sécurité d'Amazon WorkSpaces en activant RADIUS/MFA. Les utilisateurs devront fournir un code MFA immédiatement après la fin de la configuration. Il est recommandé de tester cette implémentation dans un environnement de test ou de développement avant de la déployer en production.

Foire Aux Questions (FAQ)

Références supplémentaires

• MFA pour Windows VPN
• Accès à distance sécurisé avec MFA
• Sécuriser les périphériques réseau avec MFA
• Solution MFA RADIUS