Restriction des appareils Office365

2. Configurer Office 365 dans miniOrange

• Se connecter à Console d'administration miniOrange.
• Allez dans Apps et cliquez sur Ajouter une application .



• In Choisissez le type de demande cliquez sur Créer une application bouton dans le type d'application SAML/WS-FED.



• À l'étape suivante, recherchez Office 365. Cliquez sur Office 365 app.



• Assurez-vous que le ID d'entité SP or Emetteur est: urne: fédération: MicrosoftOnline
• Assurez-vous que le URL ACS est: https://login.microsoftonline.com/login.srf
• Cliquez sur Suivant.



• Configurez l'ID de nom en fonction du magasin d'utilisateurs que vous utilisez :
  • Utilisation du service de courtage Active Directory/miniOrange : Sélectionnez Attribut IDP externe dans la liste déroulante et ajoutez objectguid dans la zone de texte qui apparaît.
  
  • Utiliser miniOrange comme magasin d'utilisateurs : Sélectionnez Attribut de profil personnalisé et sélectionnez un attribut personnalisé dans la liste déroulante.
  
• Mettez le politique de connexionVous pouvez choisir d'activer la 2FA pour la connexion ou de demander aux utilisateurs de se connecter à l'aide d'un nom d'utilisateur et d'un mot de passe standard.
• Cliquez sur Enregistrer pour configurer Office 365.

3. Configurer Microsoft Online Services

• Cliquez sur Sélectionner liste déroulante et choisissez Métadonnées.
  



• Cliquez sur le Télécharger le script de fédération de domaine bouton sous "INFORMATIONS REQUISES POUR L'AUTHENTIFICATION VIA DES IDPS EXTERNES"



• Entrer le nom de domaine que vous souhaitez fédérer et cliquez sur Télécharger. À noter: Vous ne pouvez pas fédérer votre valeur par défaut "onmicrosoft.com" domaine. Pour fédérer votre locataire Office 365, vous devez ajouter un domaine personnalisé à Office 365.



• Après avoir téléchargé le script, Ouvrir PowerShell exécutez le script federate_domain en utilisant : cd ./Downloads powershell -ExecutionPolicy ByPass -File federate_domain.ps1



• Votre domaine est désormais fédéré. Utilisez les commandes ci-dessous pour vérifier les paramètres de votre fédération : Connect-MsolService Get-MsolDomainFederationService

4. Configurer la restriction des appareils : restreindre l'accès en limitant le nombre d'appareils

Grâce à l'authentification adaptative, vous pouvez également limiter le nombre d'appareils sur lesquels l'utilisateur final peut accéder aux services. Vous pouvez autoriser les utilisateurs finaux à accéder aux services sur un nombre fixe d'appareils. Lorsque l'option Appareil pour une politique est activée, l'appareil de l'utilisateur final sera associé à l'appareil précédemment enregistré pour cet utilisateur. Les utilisateurs finaux pourront accéder aux services que nous fournissons sur ce nombre fixe d'appareils de cet utilisateur particulier.

• Allez dans Authentification adaptative dans la barre de navigation de gauche.
• Cliquez sur Ajouter une politique languette.



• Ajouter un Nom de la politique pour votre politique d’authentification adaptative.



• Faites défiler jusqu'à Configuration de l'appareil section et cliquez sur Modifier.
• Entrer le Nombre d'appareils qui sont autorisés à s'inscrire sur le terrain Nombre d'enregistrements d'appareils autorisés.



• Vous pouvez activer ou désactiver le Restriction des appareils mobiles pour garantir que les tentatives de connexion à partir d'appareils mobiles seront acceptées ou refusées.
• De même, vous pouvez activer ou désactiver Restriction basée sur l'adresse MAC.



• Maintenant, faites défiler jusqu'à la Action pour le changement de comportement section et cliquez sur Modifier. Sélectionnez l'action que vous souhaitez effectuer si l'adresse IP est hors plage. c'est-à-dire Autoriser, contester ou refuser.




Action pour les options de changement de comportement :




Attribut	Description
Autoriser	Autoriser l'utilisateur à s'authentifier et à utiliser les services si la condition d'authentification adaptative est vraie.
Challenge	Mettez les utilisateurs au défi avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur.
Refuser	Refuser les authentifications des utilisateurs et l’accès aux services si la condition d’authentification adaptative est vraie.




Options de type de défi :




Attribut	Description
Deuxième facteur utilisateur	L'utilisateur doit s'authentifier en utilisant le deuxième facteur qu'il a choisi ou attribué, tel que OTP par SMS Notification push OTP par e-mail Et 12 autres méthodes.
KBA (authentification basée sur les connaissances)	Le système posera à l'utilisateur 2 des 3 questions qu'il a configurées dans sa console en libre-service. Ce n'est qu'après avoir répondu correctement aux deux questions que l'utilisateur est autorisé à continuer.
OTP sur un autre e-mail	L'utilisateur recevra un OTP sur l'e-mail alternatif qu'il a configuré via la console libre-service. Une fois que l'utilisateur a fourni le bon OTP, il est autorisé à poursuivre.



• Faites défiler jusqu'à la fin et cliquez sur enregistrer.

5. Activer la restriction des appareils Office 365

• Allez dans Politiques >> Politique de connexion à l'application dans la barre de navigation de gauche.
• Cliquez sur Modifier option par rapport à votre application sélectionnée.



• Définissez le nom de votre application dans le Application et sélectionnez le mot de passe comme Méthode de connexion.
• Permettre Authentification adaptative.
• Extrait du Sélectionnez la politique de connexion dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente et sélectionnez la politique requise. méthode de restriction Comme une option.
• Cliquez à nouveau Enregistrer.





Comment ajouter un appareil de confiance

• Lorsque l'utilisateur final se connecte à la console en libre-service une fois la politique de restriction des appareils activée, il a la possibilité d'ajouter l'appareil actuel en tant qu'appareil de confiance.

1. Enregistrez votre organisation auprès d'Android Enterprise.

• Connectez-vous au tableau de bord miniOrange MDM en cliquant sur ici.



• Une fois connecté, accédez à ANDROID -> Android Entreprise et cliquez sur S'enregistrer bouton. Vous devrez d'abord enregistrer votre organisation auprès d'Android Enterprise et ce sera un processus unique.



• Cliquez à nouveau ici pour obtenir des instructions détaillées sur l’enregistrement de votre organisation auprès d’Android Enterprise.

2. Créer une nouvelle politique

• Allez dans ANDROID -> Politiques dans le tableau de bord miniOrange MDM. Ici, le politique par défaut est déjà créé pour vous sans aucune application Play Store ajoutée. Vous pouvez utiliser cette politique pour inscrire l'appareil sans donner accès à aucune application.
• Cliquez sur Créer une stratégie bouton pour concevoir une nouvelle politique.



• Maintenant, allez au Application section et choisissez les applications Microsoft 365 spécifiques que vous souhaitez installer sur les appareils approuvés.
• Vérifiez tous les paramètres précédents. Une fois terminé, cliquez sur le bouton Créer une stratégie bouton pour finaliser la politique.



• De même, vous pouvez créer plusieurs politiques avec différents ensembles d'applications et restrictions qui peuvent être attachées à l'appareil mobile en fonction de son statut d'approbation, par exemple EN ATTENTE, UTILISATEUR MFA TERMINÉ, ADMINISTRATEUR APPROUVÉ, etc.

3. Associer la politique au groupe de périphériques

• Allez dans ANDROID -> Groupes d'appareils, cliquer sur Ajouter un groupe pour créer un groupe pour les appareils approuvés.
• Associez la politique nouvellement créée au groupe d'appareils sélectionné. Cela garantit que la politique est appliquée à tous les appareils de ce groupe.

4. Configurer les paramètres d'inscription des appareils

• Allez dans ANDROID -> Appareils, Et cliquez sur Inscrivez-vous pour créer le jeton d'inscription de l'appareil.



• Sélectionnez l'utilisateur dont l'appareil va être inscrit, le mode de propriété de l'appareil comme Personnel si l'appareil appartient à l'utilisateur final ou Entreprise si l'appareil est fourni par l'organisation.



• Si l'appareil passe par le flux de vérification de l'utilisateur ou de l'administrateur comme indiqué dans l'image ci-dessus, il est recommandé d'effectuer l'inscription initiale avec le groupe par défaut et d'attribuer les groupes appropriés après vérification.
• L'exemple ci-dessus montre que l'appareil sera inscrit avec politique par défaut et n'aura initialement aucune application Play Store. Une fois la vérification de l'utilisateur via la méthode MFA terminée, l'appareil sera ajouté au MFA_Terminé le groupe et la politique associée seront attribués.



Note

La configuration de la méthode MFA par défaut pour l'utilisateur final est récupérée à partir du miniOrange IAM tableau de bord et en conséquence l'AMF sera initié, par exemple OTP par e-mail/notification push, etc.



• L'option d'inscription « Sur invitation de l'utilisateur » enverra les étapes d'inscription de l'appareil par courrier électronique pour l'utilisateur sélectionné. L'option « Tout seul » affichera les détails de l'inscription sur ce même écran.

5. Approbation de l'administrateur pour les appareils inscrits

• En fonction des paramètres du jeton d'inscription, l'appareil inscrit sera répertorié sur le tableau de bord. Nous pouvons vérifier l'état actuel de l'appareil dans la colonne Approbation de l'appareil où il est répertorié pour approbation par l'administrateur, approuvé, vérification MFA en attente, etc.



• Après avoir accédé aux détails de l'utilisateur et de l'appareil, l'administrateur peut cliquer sur le bouton Approuver bouton pour approuver et attribuer la politique appropriée à l'appareil.