Restriction de l'accès à Office 365 par adresse IP

2. Configurez Office 365 dans miniOrange

• Se connecter à Console d'administration miniOrange.
• Allez dans Apps et cliquez sur Ajouter une application .



• In Choisissez le type de demande cliquez sur Créer une application bouton dans le type d'application SAML/WS-FED.



• À l'étape suivante, recherchez Office 365. Cliquez sur Office 365 app.



• Assurez-vous que le ID d'entité SP or Emetteur est: urne: fédération: MicrosoftOnline
• Assurez-vous que le URL ACS est: https://login.microsoftonline.com/login.srf
• Cliquez sur Suivant.



• Configurez l'ID de nom en fonction du magasin d'utilisateurs que vous utilisez :
  • Utilisation du service de courtage Active Directory/miniOrange : Sélectionnez Attribut IDP externe dans la liste déroulante et ajoutez objectguid dans la zone de texte qui apparaît.
  
  
  
  • Utiliser miniOrange comme magasin d'utilisateurs : Sélectionnez Attribut de profil personnalisé et sélectionnez un attribut personnalisé dans la liste déroulante.
  
  
  
• Mettez le politique de connexionVous pouvez choisir d'activer la 2FA pour la connexion ou de demander aux utilisateurs de se connecter à l'aide d'un nom d'utilisateur et d'un mot de passe standard.
• Cliquez sur Enregistrer pour configurer Office 365.

3. Configurer les services en ligne Microsoft

• Cliquez sur Sélectionner liste déroulante et choisissez Métadonnées.
  



• Cliquez sur le Télécharger le script de fédération de domaine bouton sous "INFORMATIONS REQUISES POUR L'AUTHENTIFICATION VIA DES IDPS EXTERNES"



• Entrer le nom de domaine que vous souhaitez fédérer et cliquez sur Télécharger. À noter: Vous ne pouvez pas fédérer votre valeur par défaut "onmicrosoft.com" domaine. Pour fédérer votre locataire Office 365, vous devez ajouter un domaine personnalisé à Office 365.



• Après avoir téléchargé le script, Ouvrir PowerShell exécutez le script federate_domain en utilisant : cd ./Downloads powershell -ExecutionPolicy ByPass -File federate_domain.ps1



• Votre domaine est désormais fédéré. Utilisez les commandes ci-dessous pour vérifier les paramètres de votre fédération : Get-MgDomain -DomainId "<domain>" | Select-Object Id, AuthenticationType

4. Configurer la politique de restriction IP

[Remarque : La section Authentification adaptative a été déplacée du menu de navigation de gauche. La configuration de la restriction d’accès basée sur l’adresse IP est maintenant disponible sous Stratégies >> Stratégie d’accès adaptatif.]

La restriction d'accès basée sur l'adresse IP permet aux administrateurs de contrôler l'accès des utilisateurs en fonction de l'adresse IP source de la requête de connexion. Ils peuvent configurer des adresses IP et des plages d'adresses IP de confiance ou restreintes, et définir l'action à entreprendre lorsqu'une adresse IP correspond aux critères configurés. Lors de l'authentification, l'adresse IP de l'utilisateur est comparée à la politique configurée et l'accès est autorisé, refusé ou contesté selon la configuration choisie.

• Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.



• Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.

4.1 Présentation de la politique

• Élargir la Restriction d'accès basée sur l'adresse IP Pour configurer les règles d'accès basées sur l'adresse IP, cliquez sur l'icône déroulante de cette section.



• Cliquez à nouveau Ajouter une plage d'adresses IP pour configurer les adresses IP ou les plages d'adresses IP pour la stratégie.



• Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
• Choisissez soit Autoriser or Refuser en sélectionnant l'option correspondante dans le menu déroulant. Si un utilisateur tente de se connecter avec une adresse IP autorisée, l'accès lui sera systématiquement accordé.
• Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
• Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une plage d'adresses IP .



• Une fois les modifications effectuées, cliquez sur Suivant.

4.2 Actions visant à modifier les comportements

• Vous pouvez configurer l'une des trois actions possibles pour votre stratégie d'accès adaptatif, comme expliqué ci-dessous :




Attribut	Description
Autoriser	Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition de la politique d'accès adaptatif est vraie.
Refuser	Refuser l'authentification des utilisateurs et l'accès aux services si la condition de la politique d'accès adaptatif est vraie.
Challenge	Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur.




Options de type de défi :




Natural	Description
Deuxième facteur d'authentification de l'utilisateur	L'utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a sélectionné ou qui lui a été attribué, tel que : OTP par SMS Notification push OTP par e-mail et beaucoup plus.
KBA	Le système demandera à l'utilisateur de répondre à 2 des 3 questions qu'il a configurées dans sa console libre-service. L'utilisateur ne pourra poursuivre qu'après avoir répondu correctement aux deux questions.
OTP sur un autre e-mail	L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation.

4.3 Alertes par e-mail et messages d'erreur personnalisés

Cette section gère les notifications et alertes relatives à l'authentification adaptative. Elle propose les options suivantes :

• Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
• Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.



• Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
• Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)



• Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.



Option	Description
Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus	L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements.
Défi terminé et appareil enregistré	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil.
Défi terminé mais appareil non enregistré	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil.
Défi échoué	L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi.





• Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
• Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.

4.4 Commentaires

Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.

• Une fois que vous avez vérifié toutes les configurations, cliquez Créer une stratégie pour enregistrer et activer la police d'assurance.
• Vous verrez la politique répertoriée une fois qu'elle aura été ajoutée avec succès.

5. Activer la restriction pour Office 365

• Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
• Cliquez sur le Modifier icône pour la stratégie d'application prédéfinie.



• complet » Nom du groupe et Nom de la politique au besoin. Sélectionnez Mot de passe as Premier facteur.



• Permettre Authentification adaptative sur la page Modifier la politique de connexion et sélectionnez le méthode de restriction Comme une option.
• Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
• Appliquer les restrictions à l'aide de : Sélectionnez la manière dont la restriction IP doit être évaluée lorsque plusieurs restrictions d'authentification adaptatives sont configurées.
  • ET: L'accès doit être autorisé si la restriction d'adresse IP configurée et toutes les autres restrictions activées sont respectées.
  • OU: L'accès doit être autorisé si la restriction d'adresse IP configurée ou au moins une autre restriction activée est respectée.



• Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires en plus des restrictions et conditions de vérification existantes. Restriction renforcer la sécurité des comptes et contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.

2. Configurer la source d'authentification dans CASB

• Connectez-vous à la Cloud Access Security Broker (CASB) avec votre email et votre mot de passe. (Vous n'avez pas de compte ? Pas de soucis, cliquez ici pour créer un nouveau compte)



• Après vous être connecté, accédez à la Source d'authentification dans la barre latérale gauche.



• Vous verrez la liste de toutes les sources d'authentification existantes configurées dans le tableau de bord CASB. Cliquez sur Ajouter un nouveau pour en créer un nouveau.



• Cela ouvrira l'écran de configuration de la source d'authentification. Saisissez le Nom de la source d'authentification et cliquez sur Télécharger les métadonnées.

3. Configurer Microsoft Office 365 comme fournisseur d'identité

• Allez dans miniOrange IDP et cliquez sur le Champs du profil utilisateur comme indiqué ci-dessous dans l'image et cliquez dessus.
  (Dans ce guide, nous utilisons miniOrange comme IDP, mais vous pouvez contactez-nous au proxysupport@xecurify.com pour configurer votre IDP préféré.)



• Cliquez sur le Ajouter un attribut de profil personnalisé .



• Entrer Nom du champ comme Guid et Type de champ comme zone de texte (sélectionnez dans la liste déroulante). Cliquez sur enregistrer .



• Cela créera un champ d'attribut personnalisé en tant que Guid comme indiqué ci-dessous dans l'image qui sera utilisé pour synchroniser l'ImmutableID pour les utilisateurs.



• Naviguez maintenant vers le Apps et cliquez sur le Ajouter une application bouton .



• Recherche pour le Office 365 dans la zone de recherche et cliquez dessus.



• Ici, donnez le nom de votre application et aller à Cartographie d'attributs. Cette application sera utilisée pour synchroniser les utilisateurs de miniOrange IAM à Office 365.



• Sur le Mappages d'attributs :
  • In NomID, Sélectionnez l' Attribut personnalisé à partir du 1er menu déroulant.
  • Sélectionnez maintenant Guide sur la 2ème liste déroulante (que nous avons créée dans le étape précédente).



• Accédez maintenant au dernier onglet Provisioning, entrez votre domaineet cliquez sur Enregistrer .



• Accédez à l'application nouvellement créée et sous le Action colonne, cliquez sur le Modifier Comme indiqué ci-dessous.



• Il ouvrira le Modifier vue de l'application. Là, allez à Provisioning.



• Cliquez sur le Vérifier l'administrateur Microsoft .



• Il vous mènera au Page de connexion Microsoft. Connectez-vous avec votre Informations d'identification d'administrateur pour votre compte Microsoft.



• Une fois connecté en tant qu'administrateur, la page ci-dessous s'affichera. Cliquez sur Accepter .



• Maintenant, allez à Provisioning dans la barre latérale et dans le Sélectionnez une application menu déroulant, choisissez Office 365/Azure AD.



• Gardez le Attribut section avec les valeurs indiquées dans l'image ci-dessous, activez les valeurs requises Fonctionnalités de provisionnement, Et cliquez sur Enregistrer Une fois que vous avez terminé.

Attributs Microsoft	miniOrange Les attributs
prénom	Prénom
nom de famille	Nom de famille
mailpseudonyme	Nom d'utilisateur ( Ou : Nom d'épouse )
nomprincipalutilisateur	Adresse Email




• Maintenant, allez à la Apps dans la barre latérale et cliquez sur Ajouter une application.



• Recherchez Application SAML personnalisée et cliquez dessus.



• Cliquez sur le Importer les métadonnées SP Comme indiqué ci-dessous.



• Proposer une Le nom pour votre Authentification Office 365 application, choisissez le Fichier option, téléchargez le fichier téléchargé dans étape 1, Et cliquez sur Global.



• Cette étape importera les métadonnées pour Authentification SAML. Allez maintenant à la Cartographie d'attributs .



• Dans l' Cartographie d'attributs, effectuez les configurations suivantes et cliquez sur le Enregistrer bouton:
  • NomID → Sélectionnez le Attribut de profil personnalisé dans la première liste déroulante et sélectionnez Guide à partir du 2ème menu déroulant.
  • Cliquez sur Ajouter un attribut bouton comme indiqué ci-dessous dans le 3ème.
• Mappage des attributs de groupe :
  • Nom d'attribut → groupes
  • Valeur d'attribut → Groupes d'utilisateurs (sélectionnez dans la liste déroulante)
• Mappage des attributs de nom :
  • Nom d'attribut → nom de famille
  • Valeur d'attribut → Nom complet (sélectionnez dans la liste déroulante)



• Accédez à l'application nouvellement créée, cliquez sur le trois points sous le Action colonne et sélectionnez le Métadonnées option.



• Copiez le URL de métadonnées et retourner à la Tableau de bord CASB.



• Sur le Tableau de bord CASB, Aller à Source d'authentifications et cliquez sur le Télécharger des métadonnées option.



• Sélectionner Format d'entrée as URL, collez l'URL copiée et cliquez sur Global.



• Une invite confirmera que les métadonnées ont été téléchargées avec succès. Cliquez sur le bouton Enregistrer bouton pour enregistrer le Source d'authentification.

4. Configurer Microsoft Office 365 dans CASB

• Accédez à Applications dans la barre latérale, allez à Office 365et cliquez sur Configurer .



• Sélectionnez le Source d'authentification à partir du menu déroulant que nous avons créé à l'étape précédente, puis cliquez sur Sauvegarder et Suivant.



• Configurez les détails suivants et cliquez sur le Enregistrer bouton:

Nom de l'application:	Entrez le nom de votre application
Domaine de l'organisation :	Saisissez le domaine de votre organisation. (Ex : exemple.com)
Clé d'attribut :	Saisissez la clé d’attribut de groupe pour l’application SSO, que vous avez configurée dans l’IDP sous la section Attributs SAML.
Nom Clé d'attribut :	Entrez le nom de l'attribut comme fname, Lname, etc.
Entrez l'URL ACS :	Entrez l'URL ACS d'Office 365 comme suit : https://login.microsoftonline.com/login.srf
Entrez l'URL de l'entité :	Entrez l'URL de l'entité Office365 comme suit : urn:federation:MicrosoftOnline




• Une fois tout configuré, téléchargez le script de fédération.



• À noter: Exécutez le script de fédération téléchargé à l’aide de la commande suivante :

powershell -ExecutionPolicy ByPass -File [votre nom de fichier].ps1



• Après avoir exécuté la commande dans Windows PowerShell, une fenêtre contextuelle apparaîtra et entrez les informations d’identification de votre compte administrateur Office 365.



• Ouvrez votre application d’authentification et entrez le numéro affiché pour approuver la demande de connexion.



• Le script de la fédération s'est terminé avec succès, comme indiqué dans l'image ci-dessous.

5. Configuration des politiques et des groupes

Voyons comment configurer les politiques et les groupes pour Office365 CASB.

• Allez dans Gérer la politique écran et cliquez sur Ajouter un nouveau .



• Saisissez votre détails de la politique, comme le nom de la politique et la description de la politique.



• Cliquez sur la case à cocher pour activer le Restriction IP comme indiqué dans l'image ci-dessous.
• En activant cette fonctionnalité de restriction IP, vous limitez l'accès aux utilisateurs en fonction de leurs adresses IP :

1) Sélectionnez l' option Autoriser ou Refuser pour autoriser ou restreindre certaines adresses IP.

2) Cliquez sur l' icône Ajouter une adresse IP pour créer un nouveau champ dans lequel vous pourrez ajouter les adresses IP que vous souhaitez réglementer.

• Une fois terminé, cliquez sur Enregistrer .



• Maintenant, allez au Applications onglet et cliquez sur le Modifier option pour votre application.



• Cliquez sur Paramètres de groupe puis cliquez sur Ajouter un nouveau .



• Entrer le Nom du groupe et Description du groupe. Sélectionnez le Office365 Politique dans le menu déroulant.
• Choisissez l'application à laquelle vous souhaitez appliquer les autorisations ci-dessous.

1) Restriction d'application : Dans ce cas, les restrictions seront appliquées à l'application en fonction de la politique que vous avez configurée pour le groupe.

2) Aucune restriction d'application : Dans ce cas, il n'y aura aucune restriction sur l'application pour le groupe.

3) Désactiver l'application : en choisissant cette option, l'application devient inaccessible à l'ensemble du groupe, où que ce soit.

4) Restriction d'application personnalisée : en utilisant cette option, vous pouvez appliquer une politique de restriction d'application personnalisée spécifique à une application qui prime sur la politique de restriction du groupe.




• Maintenant, cliquez sur Enregistrer et suivant .

1. Enregistrez votre organisation auprès d'Android Enterprise.

• Connectez-vous au tableau de bord miniOrange MDM en cliquant sur ici.



• Une fois connecté, accédez à ANDROID -> Android Entreprise et cliquez sur S'enregistrer bouton. Vous devrez d'abord enregistrer votre organisation auprès d'Android Enterprise et ce sera un processus unique.



• Cliquez à nouveau ici pour obtenir des instructions détaillées sur l’enregistrement de votre organisation auprès d’Android Enterprise.

2. Créer une nouvelle politique

• Allez dans ANDROID -> Politiques. Cliquez sur Créer une stratégie pour créer la nouvelle politique.



• Maintenant, allez au Application section et choisissez la section spécifique Applications Microsoft 365 pour lesquels vous souhaitez appliquer des restrictions IP.

3. Configurer le VPN pour la restriction IP

• Rendez-vous dans la section Rubrique réseau sur le miniOrange IAM tableau de bord et choisissez le Configuration VPN option.
• Sélectionnez le VPN app vous utiliserez pour appliquer des restrictions IP aux applications Microsoft 365.
• Vérifiez tous les paramètres précédents. Une fois terminé, cliquez sur le bouton Créer une stratégie bouton pour finaliser la politique.




Note

Assurez-vous que la politique que vous avez créée et l'IP VPN sont correctement configurées dans votre miniOrange IAM tableau de bord. Consultez ceci guide pour des instructions détaillées.

4. Créer des utilisateurs et associer une politique à un groupe d'appareils

• Maintenant, allez au UTILISATEURS onglet et cliquez sur Ajouter un utilisateur pour créer un nouvel utilisateur et entrez l'e-mail et le nom d'utilisateur et cliquez sur Ajouter un utilisateur .



• Allez dans ANDROID -> Groupes d'appareils, ici le groupe par défaut sera déjà créé avec la politique par défaut attribuée. Vous pouvez créer d'autres groupes selon vos besoins. Cliquez sur Ajouter un groupe .



• Choisissez le groupe d’appareils approprié auquel vous souhaitez appliquer la politique.
• Associez la politique nouvellement créée au groupe d'appareils sélectionné. Cela garantira que la politique est appliquée à tous les appareils de ce groupe. Cliquez sur Ajouter un groupe.



• Cliquez ici pour inscrire votre nouvel appareil et terminer le processus de configuration.