Authentification à deux facteurs (2FA) pour Office 365
Activer l'authentification à deux facteurs (2FA/MFA) pour Microsoft Office 365
Office 365 Authentification à deux facteurs (2FA) or Authentification multi-facteurs est le processus d'authentification sécurisée dans lequel un utilisateur ou un employé de l'organisation doit fournir deux facteurs pour accéder aux données Office 365. L'authentification à deux facteurs de Microsoft Office 365 commence par la soumission par l'utilisateur de son nom d'utilisateur et de son mot de passe traditionnels. Une fois que l'utilisateur est authentifié avec succès avec la vérification de la première étape, configuré 2FA (OTP sur SMS, notifications push, Google Authenticator, Microsoft Authenticator, etc.) La méthode demande une vérification de deuxième étape. Après s'être authentifié avec succès avec les deux étapes, un utilisateur obtient l'accès aux ressources Microsoft Office 2. Cette couche de sécurité supplémentaire empêche toute personne non autorisée d'accéder aux ressources Microsoft 365 même si des cyberattaquants connaissent vos informations d'identification.
miniorange en fournit 15+ Méthodes d'authentification multifacteur (MFA) et des solutions de sécurité pour divers cas d'utilisation. Il permet aux utilisateurs et à l'organisation de configurer certaines authentifications et paramètres, notamment la configuration de restrictions de mot de passe, la restriction des méthodes de connexion, ainsi que d'autres paramètres de sécurité. miniorange ouvre également la voie aux applications d'authentification qui prennent en charge Google Authenticator, Microsoft Authenticator, l'application d'authentification Authy 2-Factor et notre propre application miniorange Authenticator. Suivez le guide donné pour configurer l'authentification multifacteur sécurisée dans le compte Office 365.
Connectez-vous avec une source externe d'utilisateurs
1. Synchronisez Active Directory sur site avec Microsoft Entra ID
NOTE: Si vous souhaitez utiliser votre Active Directory sur site en tant que magasin d'utilisateurs pour l'authentification unique dans Office 365, suivez les étapes ci-dessous pour synchroniser votre AD et votre identifiant Microsoft Entra.
Exécutez le programme d’installation de Microsoft Entra ID sur votre ordinateur de domaine et suivez la configuration.
2. Vérifiez votre domaine UPN dans le portail Azure
À noter: Si vous avez configuré un nom de domaine personnalisé, ignorez cette étape.
Dans le portail Azure, accédez à Microsoft Entra ID >> Noms de domaine personnalisés et cliquez sur Ajouter un domaine personnalisé.
Entrez le nom de domaine complet dans le volet de droite qui apparaît et cliquez sur Ajouter un domaine.
Une nouvelle fenêtre s'ouvrira avec TXT/MX enregistrements pour le domaine. Vous devrez ajouter l'entrée renvoyée dans votre registraire de nom de domaine.
Cliquez sur vérifier une fois que vous avez ajouté l'entrée
Assurez-vous que la marque de votre organisation est déjà définie sous Personnalisation >> Connexion et inscription dans le menu de gauche du tableau de bord.
Suivez le guide étape par étape ci-dessous pour l'authentification unique (SSO) Office 365.
Allez dans Apps et cliquez sur Ajouter une application .
In Choisissez le type de demande, sélectionnez SAML/WS-FED du Toutes les applications menu déroulant.
À l'étape suivante, recherchez Office 365. Cliquez sur Office 365 app.
Dans l' Fonction Plug & Play Dans la section des paramètres, saisissez le nom d'affichage.
Assurez-vous que l'ID d'entité SP ou l'émetteur est : urn:federation:MicrosoftOnline
Assurez-vous que l'URL ACS est : https://login.microsoftonline.com/login.srf
Cliquez à nouveau Suivant.
Maintenant, allez au Attributs onglet et configurer Nom ID en fonction du magasin d'utilisateurs que vous utilisez :
Utilisation du service de courtage Active Directory/miniOrange : Sélectionnez Attribut IDP externe dans la liste déroulante et ajoutez objectguid dans la zone de texte qui apparaît.
Utiliser miniOrange comme magasin d'utilisateurs : Sélectionnez Attribut de profil personnalisé et sélectionnez un attribut personnalisé dans la liste déroulante.
Cliquez à nouveau Suivant pour aller à la PolitiquesEnregistrez d'abord l'application pour configurer la stratégie.
Cliquez sur Attribuer un groupe bouton. dans le Configurer l'affectation de groupe boîte de dialogue, sélectionnez DEFAULT comme le groupe.
Cliquez à nouveau Suivant pour aller à la Attribuer des politiques section. Sélectionner Premier facteur as Mot de passe.
Vous pouvez activer l'authentification à deux facteurs pour la connexion ou autoriser les utilisateurs à se connecter avec un nom d'utilisateur et un mot de passe standard.
Cliquez à nouveau Enregistrer.
Une fois cette étape terminée, des politiques seront créées pour tous les groupes sélectionnés.
2. Configurer les services Microsoft Graph
Maintenant, allez au Métadonnées languette.
Cliquez sur le Télécharger le script de fédération de domaine bouton sous "Source externe en tant que fournisseur d'identité".
Entrer le Services que vous souhaitez fédérer et cliquez sur Télécharger. À noter: Vous ne pouvez pas fédérer votre valeur par défaut "onmicrosoft.com" domaine. Pour fédérer votre locataire Office 365, vous devez ajouter un domaine personnalisé à Office 365.
Après avoir téléchargé le script, Ouvrir PowerShell exécutez le script federate_domain en utilisant : cd ./Downloads
powershell -ExecutionPolicy ByPass -File federate_domain.ps1
Votre domaine est désormais fédéré. Utilisez les commandes ci-dessous pour vérifier les paramètres de votre fédération : Get-MgDomain -DomainId "<domain>" | Select-Object Id, AuthenticationType
3. Configurez 2FA pour Office 365
3.1 : Activer 2FA pour les utilisateurs de l'application Office 365
Pour activer 2FA pour les utilisateurs de l'application Office 365. Aller à Politiques >> Politique de connexion à l'application
Cliquez sur Modifier icône par rapport à l'application que vous avez configurée.
Vérifiez la Activer l'authentification à 2 facteurs (MFA) option.
Cliquez sur Soumettre.
3.2 : Configurez 2FA pour vos utilisateurs finaux
Pour activer 2FA/MFA pour les utilisateurs finaux, accédez à Authentification à 2 facteurs >> Options 2FA pour les utilisateurs finaux.
Sélectionner par défaut Méthode d'authentification à deux facteurs pour les utilisateurs finaux. Vous pouvez également sélectionner des méthodes 2FA particulières que vous souhaitez afficher sur le tableau de bord des utilisateurs finaux.
Une fois terminé les paramètres, cliquez sur Enregistrer pour configurer vos paramètres 2FA.
3.3 : Configuration 2FA pour l'utilisateur final
Connectez-vous à Tableau de bord de l'utilisateur final en utilisant l'URL de connexion de l'utilisateur final.
Pour la version cloud : L'URL de connexion (URL de marque) que vous avez définie.
Pour la version sur site : L'URL de connexion sera la même que celle de l'URL de connexion administrateur.
Sélectionner Configurer 2FA du panneau de gauche. Sélectionnez ensuite l'un des Méthode 2FA disponible.
Permettre l'OTP par SMS si vous avez ajouté votre numéro de téléphone sous les informations de votre compte, sinon cliquez sur Modifier >> Cliquez ici pour mettre à jour votre numéro de téléphone lien.
Dans les informations du compte, cliquez sur l’icône Modifier.
Sélectionnez votre code de pays, entrez votre numéro de téléphone portable et cliquez sur Envoyer OTP.
Saisissez l'OTP envoyé sur votre téléphone et cliquez sur Valider.
Après avoir ajouté votre numéro de téléphone, activez le bouton bascule pour activer OTP via SMS.
Maintenant Activer l'authentification à 2 facteurs si cela n’a pas été fait auparavant, comme indiqué ci-dessous.
4. Connectez-vous maintenant à votre compte Microsoft Office 365 avec miniOrange IdP en suivant l'une des deux étapes :
1. Utilisation de la connexion initiée par SP : -
Allez dans Connexion Office 365 et cliquez sur connexion.
Vous serez redirigé vers le portail Microsoft Graph. Saisissez ici l'UPN de l'utilisateur (il doit contenir le domaine fédéré avec miniOrange).
Vous serez maintenant redirigé vers la page de connexion miniOrange IdP.
Entrez vos identifiants de connexion et cliquez sur Connexion.
Depuis que nous avons Authentification multifacteur/à deux facteurs (MFA/2FA) activé, vous serez invité à vous inscrire. C'est un processus unique.
Configurez vos informations de base.
Configurez n'importe quelle méthode d'authentification de votre choix.
Après une inscription réussie, vous serez connecté à votre Compte Office 365.
Maintenant nous avons Authentification à deux facteurs activée.
Pour vérifier votre configuration d'authentification à deux facteurs (2FA), accédez à votre Domaine Office 365. Vous serez redirigé vers Connexion miniOrange console.
Entrez vos identifiants de connexion et cliquez sur connexion. Il vous demandera de vous vérifier par rapport à la méthode d'authentification multifacteur (mfa/2fa) configurée. Par exemple, si vous avez configuré OTP sur SMS, après vous être connecté à Office 365, il vous demandera OTP.
Entrez l'OTP reçu sur votre téléphone, après une vérification 2FA réussie, vous serez redirigé vers le tableau de bord Office 365.
2. Utilisation de la connexion initiée par IdP : -
Se connecter à votre Console libre-service miniOrange en tant qu'utilisateur final et cliquez sur le bouton Office 365 icône sur votre Tableau de bord.
Une fois que vous avez cliqué sur Office 365, vous n'avez plus besoin de saisir à nouveau vos informations d'identification, vous serez redirigé vers le compte Office 365.
miniOrange fournit une authentification des utilisateurs à partir de diverses sources externes, qui peuvent être Partages de fichiers (comme ADFS, Microsoft Active Directory, Microsoft Entra ID, OpenLDAP, Google, AWS Cognito etc), Fournisseurs d'identité (comme Okta, Shibboleth, Ping, OneLogin, KeyCloak), Bases de données (comme MySQL, Maria DB, PostgreSQL) et beaucoup plus. Vous pouvez configurer votre répertoire/magasin d'utilisateurs existant ou ajouter des utilisateurs dans miniOrange.
Cliquez sur Utilisateurs >> Liste des utilisateurs >> Ajouter un utilisateur.
Ici, remplissez les détails de l'utilisateur sans le mot de passe puis cliquez sur le Créer un utilisateur .
Après la création réussie d'un utilisateur, un message de notification "Un utilisateur final a été ajouté avec succès" sera affiché en haut du tableau de bord.
Cliquez sur Onglet Statut d'intégration. Vérifiez l'e-mail, avec l'identifiant de messagerie enregistré et sélectionnez l'action Envoyer un courrier d'activation avec le lien de réinitialisation du mot de passe à partir de Sélectionnez l'action liste déroulante puis cliquez sur Appliquer .
Maintenant, ouvrez votre identifiant de messagerie. Ouvrez le mail que vous recevez de miniOrange puis cliquez sur le lien pour définir le mot de passe de votre compte.
Sur l'écran suivant, entrez le mot de passe et confirmez le mot de passe, puis cliquez sur le Mot de passe de réinitialisation de l'authentification unique (SSO) .
Vous pouvez désormais vous connecter au compte miniOrange en saisissant vos identifiants.
2. Téléchargez en masse des utilisateurs dans miniOrange via le téléchargement d'un fichier CSV.
Accédez à Utilisateurs >> Liste des utilisateurs. Cliquez sur Ajouter un utilisateur .
Inscription d'utilisateur en masse Télécharger un exemple de format CSV depuis notre console et éditez ce fichier csv selon les instructions.
Pour importer des utilisateurs en masse, choisissez le fichier et assurez-vous qu'il se trouve dans Format de fichier .csv séparé par des virgules puis cliquez sur Télécharger.
Après avoir téléchargé le fichier csv avec succès, vous verrez un message de réussite avec un lien.
Cliquez sur ce lien, vous verrez la liste des utilisateurs à qui envoyer un courrier d'activation. Sélectionnez les utilisateurs auxquels envoyer le courrier d'activation et cliquez sur Envoyer le courrier d'activation. Un mail d'activation sera envoyé aux utilisateurs sélectionnés.
Cliquez sur Fournisseurs d'identité >> Ajouter un fournisseur d'identité dans le menu de gauche du tableau de bord
Dans Choisir un fournisseur d'identité, sélectionnez Répertoires AD/LDAP de la liste déroulante.
Recherchez ensuite AD/LDAP et cliquez dessus.
STOCKER LA CONFIGURATION LDAP DANS MINIORANGEChoisissez cette option si vous souhaitez conserver votre configuration dans miniOrange. Si Active Directory est protégé par un pare-feu, vous devrez l'ouvrir pour autoriser les requêtes entrantes vers votre AD.
STOCKER LA CONFIGURATION LDAP SUR PLACE: Choisissez cette option si vous souhaitez conserver votre configuration dans vos locaux et autoriser uniquement l'accès à AD à l'intérieur des locaux. Vous devrez télécharger et installer Passerelle miniOrange chez vous.
Entrez AD/LDAP Nom du profil et Identifiant nom.
Sélectionner Type de répertoire as Le tiering Active Directory.
Saisissez l'URL ou l'adresse IP du serveur LDAP par rapport au LDAP URL du serveur champ.
Cliquez sur le Test de connexion bouton pour vérifier si vous avez établi une connexion réussie avec votre Serveur LDAP.
Dans Active Directory, accédez aux propriétés des conteneurs/UO utilisateur et recherchez le Attribut de nom distinctifLe compte lié doit disposer des droits de lecture minimaux requis dans Active Directory pour permettre les recherches dans l'annuaire. Si le cas d'utilisation implique du provisionnement (comme la création, la mise à jour ou la suppression d'utilisateurs ou de groupes), le compte doit également disposer des droits d'écriture appropriés.
Entrez le mot de passe valide du compte Bind.
Cliquez sur le Tester les informations d'identification du compte de liaison pour vérifier vos informations d'identification LDAP Bind pour la connexion LDAP.
Base de recherche est l'emplacement du répertoire où commence la recherche d'un utilisateur. Vous l'obtiendrez au même endroit où vous avez obtenu votre nom distingué.
Sélectionnez un filtre de recherche approprié dans le menu déroulant. Si tu utilises Utilisateur dans un filtre de groupe unique or Utilisateur dans un filtre de plusieurs groupes, remplace legroupe-dn> dans le filtre de recherche avec le nom distinctif du groupe dans lequel vos utilisateurs sont présents. Pour utiliser le filtre de recherche personnalisé, sélectionnez "Écrivez votre filtre personnalisé" option et personnalisez-la en conséquence.
Cliquez sur le Suivant bouton, ou allez à la Options de connexion languette.
Vous pouvez également configurer les options suivantes lors de la configuration d'AD. Activer Activer LDAP afin d'authentifier les utilisateurs depuis AD/LDAP. Clique sur le Suivant bouton pour ajouter un magasin d'utilisateurs.
Voici la liste des attributs et ce qu'il fait lorsque nous l'activons. Vous pouvez activer/désactiver en conséquence.
Attribut
Description
Activer LDAP
Toutes les authentifications des utilisateurs seront effectuées avec les informations d'identification LDAP si vous l'activez
Authentification de secours
Si les informations d'identification LDAP échouent, l'utilisateur sera authentifié via miniOrange
Activer la connexion administrateur
En activant cela, votre connexion administrateur miniOrange s'authentifie à l'aide de votre serveur LDAP
Afficher l'IdP aux utilisateurs
Si vous activez cette option, cet IdP sera visible par les utilisateurs
Synchroniser les utilisateurs dans miniOrange
Les utilisateurs seront créés dans miniOrange après authentification avec LDAP
Cliquez sur le Suivant bouton, ou allez à la Attributs languette.
Cartographie des attributs d'AD
Par défaut, les noms d'utilisateur, prénom, nom et adresse e-mail sont configurés. Faites défiler vers le bas et cliquez sur Enregistrer bouton. Pour récupérer des attributs supplémentaires depuis Active Directory, activez Envoyer les attributs configurésÀ gauche, saisissez le nom que vous souhaitez partager avec les applications. À droite, saisissez le nom de l'attribut depuis Active Directory. Par exemple, pour récupérer l'attribut « entreprise » depuis Active Directory et l'envoyer comme organisation aux applications configurées, saisissez :
Nom d'attribut envoyé à SP = organisation Nom d'attribut de l'IDP = société
Cliquez sur le Suivant bouton, ou allez à la Provisioning languette.
Importation et provisionnement d'utilisateurs à partir d'AD
Si vous souhaitez configurer le provisionnement, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Importer la stratégie de mot de passe depuis Active Directory
Si vous souhaitez importer votre politique de mot de passe Active Directory dans miniOrange, cliquez ici Pour plus d'informations, nous allons ignorer cette étape pour le moment.
Tester les connexions
Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Test de connexion.
Une fenêtre contextuelle apparaît vous invitant à saisir un nom d'utilisateur et un mot de passe pour vérifier votre configuration LDAP.
On Réussi connexion avec le serveur LDAP, un message de réussite s'affiche.
Mappage des attributs de test
Vous verrez une liste de répertoires sous Fournisseurs d'identité. Dans la liste déroulante, sélectionnez Répertoires AD/LDAP, recherchez votre répertoire configuré, cliquez sur les trois points à côté et sélectionnez Mappage des attributs de test.
Une fenêtre contextuelle apparaît pour saisir un nom d'utilisateur et cliquer Test.
Le résultat du mappage des attributs de test sera affiché.
La configuration d'AD en tant qu'annuaire externe est terminée.
À noter: Référez-vous à notre guide pour configurer LDAP sur le serveur Windows.
miniOrange s'intègre à diverses sources d'utilisateurs externes telles que des annuaires, des fournisseurs d'identité, etc.
L’authentification adaptative pour Office 365 permet aux administrateurs d’appliquer des stratégies d’accès contextuelles en évaluant les conditions de connexion des utilisateurs, telles que l’adresse IP, l’appareil, la localisation et l’heure de connexion. Selon la stratégie configurée, l’accès peut être autorisé, soumis à une vérification supplémentaire ou refusé. Les administrateurs peuvent également configurer des alertes par e-mail, personnaliser les messages d’erreur affichés aux utilisateurs, examiner les paramètres de stratégie avant le déploiement et attribuer des stratégies d’authentification adaptative aux stratégies de connexion des applications afin de renforcer la sécurité et d’empêcher les accès non autorisés.
[Remarque: La section Authentification adaptative a été déplacée du menu de navigation de gauche. Vous pouvez désormais accéder aux stratégies d'authentification adaptative et les gérer en naviguant vers : Politiques >> Politique d'accès adaptatif.]
A. Restriction de l'accès à Office 365 avec la restriction d'accès basée sur l'adresse IP
Restriction d'accès basée sur l'adresse IP permet aux administrateurs de contrôler l'accès des utilisateurs en fonction de l'adresse IP source de la requête de connexion. Ils peuvent configurer des adresses IP et des plages d'adresses IP de confiance ou restreintes et définir l'action à entreprendre lorsqu'une adresse IP correspond aux critères configurés. Lors de l'authentification, l'adresse IP de l'utilisateur est évaluée par rapport à la politique configurée et l'accès est soit autorisé, soit refusé. Autorisé, refusé or Interpellés en fonction de la configuration sélectionnée.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur l'adresse IP de la manière suivante :
Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
Élargir la Restriction d'accès basée sur l'adresse IP Pour configurer les règles d'accès basées sur l'adresse IP, cliquez sur l'icône déroulante de cette section.
Cliquez à nouveau Ajouter une plage d'adresses IP pour configurer les adresses IP ou les plages d'adresses IP pour la stratégie.
Indiquez l'adresse IP à ajouter à la liste blanche. Pour les plages d'adresses IP autres que celles autorisées, vous pouvez sélectionner le paramètre ci-dessus.
Choisissez soit Autoriser or Refuser en sélectionnant l'option correspondante dans le menu déroulant. Si un utilisateur tente de se connecter avec une adresse IP autorisée, l'accès lui sera systématiquement accordé.
Nous prenons en charge la plage d'adresses IP dans trois formats, à savoir : IPv4, CIDR IPv4 et CIDR IPv6. Vous pouvez choisir celui qui vous convient dans le menu déroulant.
Vous pouvez ajouter plusieurs adresses IP ou plages d'adresses IP en cliquant sur le bouton + Ajouter une plage d'adresses IP .
Une fois les modifications effectuées, cliquez sur Suivant.
Sélectionner Action pour le changement de comportement, choisissez la bonne Action et Type de défi pour l'utilisateur de cette section.
Action pour les options de changement de comportement :
Attribut
Description
Autoriser
Autoriser les utilisateurs à s'authentifier et à utiliser les services si la condition d'authentification adaptative est vraie.
Refuser
Refuser les authentifications utilisateur et l'accès aux services si la condition d'authentification adaptative est vraie.
Challenge
Défiez les utilisateurs avec l’une des trois méthodes mentionnées ci-dessous pour vérifier l’authenticité de l’utilisateur.
Options de type de défi :
Attribut
Description
Deuxième facteur utilisateur
L'Utilisateur doit s'authentifier à l'aide du deuxième facteur qu'il a choisi ou attribué tel que
KBA (authentification basée sur les connaissances)
Le système posera à l'utilisateur deux des trois questions configurées dans sa console libre-service. Ce n'est qu'après avoir répondu correctement aux deux questions que l'utilisateur pourra poursuivre.
OTP sur un autre e-mail
L'utilisateur recevra un mot de passe à usage unique (OTP) sur l'adresse e-mail secondaire configurée via la console libre-service. Une fois le mot de passe à usage unique correctement saisi, il pourra poursuivre sa navigation.
Cliquez sur Suivant continuer.
B. Restriction de l'accès à Office 365 avec la restriction d'accès basée sur l'appareil
Restriction d'accès basée sur l'appareil Permet aux administrateurs de contrôler l'accès des utilisateurs en fonction des appareils de confiance enregistrés. Grâce aux mécanismes d'identification et de vérification des appareils, les administrateurs peuvent définir des politiques qui évaluent l'appareil utilisé lors de l'authentification. Lorsqu'un utilisateur tente de se connecter, l'appareil est comparé à la politique configurée et l'action appropriée est déclenchée. Autoriser, défier or Refuser est appliquée en fonction des conditions configurées.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur l'appareil de la manière suivante :
Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
Cliquez sur le Déroulante l'option d'étendre Restriction d'accès basée sur l'appareil section permettant de configurer les contrôles d'accès basés sur les périphériques.
Allume le Activer la configuration du périphérique basculer.
Configurer soit Restriction des appareils sans agent or Restriction des dispositifs basée sur un agent en fonction des exigences de votre organisation.
Restriction relative aux appareils sans agent : Il vérifie et gère les appareils de confiance sans nécessiter l'installation de logiciel ou d'agent sur le terminal. Il utilise des méthodes d'identification basées sur le navigateur et l'appareil pour évaluer la fiabilité de ce dernier et appliquer les politiques d'accès lors de l'authentification.
Restriction des appareils basée sur un agent : Ce système offre une vérification de confiance renforcée des appareils grâce à un agent léger installé sur les appareils gérés. Il permet une validation avancée des appareils et un contrôle d'accès basé sur les risques afin de garantir que seuls les appareils de confiance puissent accéder aux ressources protégées.
Cliquez ici pour obtenir plus d'informations sur la restriction basée sur l'appareil.
Une fois les modifications effectuées, cliquez sur Suivant.
Sous Action pour le changement de comportement, sélectionnez l'action et le type de contestation appropriés pour la politique.
Cliquez sur Suivant continuer.
C. Restreindre l'accès à Office 365 grâce à la restriction d'accès basée sur la localisation
Dans les restrictions géographiques, l'administrateur configure une liste de lieux où les utilisateurs peuvent être autorisés à se connecter ou non, selon les conditions qu'il définit. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs de localisation (latitude, longitude et code pays) sont comparés à la liste configurée par l'administrateur. En fonction de cette comparaison, l'accès est autorisé, soumis à une vérification ou refusé.
Vous pouvez configurer l'authentification adaptative avec restriction basée sur la localisation de la manière suivante :
Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
Cliquez sur le Déroulante pour élargir le Restriction d'accès basée sur la localisation section permettant de configurer les règles d'accès basées sur la localisation.
Sélectionner Enregistrer le lieu si l'utilisateur relève le défi enregistrer automatiquement la localisation d'un utilisateur après la réussite de la vérification du défi.
Cliquez sur Ajouter un emplacement.
Dans l' Rechercher un lieu Dans ce champ, saisissez le nom du lieu et sélectionnez le lieu approprié dans les résultats de la recherche.
Spécifiez le rayon autour de l'emplacement sélectionné et choisissez l'unité de distance (KM ou Miles). Cela correspondra à la superficie totale à l'intérieur et autour de l'emplacement que nous avons configuré à l'aide des points de latitude et de longitude.
Pour chaque emplacement configuré, indiquez si l'accès doit être Autorisé or Dénié.
Vous pouvez cliquer sur le Ajouter un emplacement pour ajouter plusieurs emplacements, puis suivez les étapes 2 à 4 comme mentionné ci-dessus.
Une fois les modifications effectuées, cliquez sur Suivant.
Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
Cliquez sur Suivant continuer.
D. Restriction de l'accès à Office 365 avec la restriction d'accès basée sur le temps
Dans le cadre des restrictions horaires, l'administrateur configure un fuseau horaire avec des heures de début et de fin. L'accès des utilisateurs est ensuite autorisé, refusé ou soumis à une vérification en fonction des conditions définies dans la politique. Lorsqu'un utilisateur tente de se connecter avec l'authentification adaptative activée, ses attributs liés au fuseau horaire, tels que le fuseau horaire et l'heure système actuelle, sont comparés à la liste configurée par l'administrateur. En fonction de cette configuration, l'accès est autorisé, refusé ou soumis à une vérification.
Vous pouvez configurer l'authentification adaptative avec restriction temporelle de la manière suivante :
Connectez-vous à Console libre-service >> Stratégies >> Stratégie d'accès adaptatif section du menu latéral gauche.
Cliquez sur le Créer une stratégie bouton en haut à droite. Ajoutez un nom de police approprié et cliquez sur Créer une stratégie.
Élargir la Restriction d'accès basée sur le temps section en cliquant sur l'icône déroulante pour accéder aux règles de restriction d'accès basées sur le temps.
Entrer le Délai d'attente de la fenêtre de connexion (minutes) Pour prévoir un délai de grâce avant l'heure de début et après l'heure de fin de la fenêtre de connexion configurée. Si aucune valeur n'est spécifiée, le délai par défaut de 0 minute est appliqué.
Cliquez à nouveau Ajouter du temps créer une règle d'accès basée sur le temps.
Sélectionnez le requis Fuseau horaire, configurez le Heure de début et Heure de fin et choisissez les jours concernés.
Pour chaque règle temporelle, indiquez si l'accès doit être Autorisé or Dénié.
Cliquez sur le Ajouter du temps ajouter plusieurs fuseaux horaires.
Une fois les modifications effectuées, cliquez sur Suivant.
Sélectionnez votre Action pour le changement de comportement et Type de défi pour l'utilisateur du Action pour le changement de comportement Section.
Cliquez sur Suivant continuer.
E. Alertes par courriel et messages électroniques personnalisés
Cette section gère les notifications et les alertes relatives à la politique d'accès adaptatif. Elle propose les options suivantes :
Envoyer des alertes par courriel : Configurez les destinataires des notifications par e-mail lors d'événements d'authentification adaptative. Les alertes peuvent être envoyées aux administrateurs, aux utilisateurs finaux ou aux deux, selon vos exigences en matière de surveillance et de sécurité.
Envoyer des alertes par courriel aux administrateurs : Activez cette option pour avertir les administrateurs lorsque des événements d'authentification adaptative configurés sont déclenchés. Vous pouvez éventuellement spécifier une adresse e-mail sous Adresse e-mail de l'administrateur pour recevoir les alertes pour recevoir des alertes ; sinon, les alertes sont envoyées au compte administrateur par défaut.
Envoyer des alertes par e-mail aux utilisateurs finaux : Activez cette option pour informer les utilisateurs finaux lorsque des événements d'authentification adaptative affectent leurs tentatives de connexion ou l'enregistrement de leurs appareils.
Nombre d'enregistrements d'appareils dépassé : Lorsque cette option est activée, les utilisateurs finaux reçoivent une notification par e-mail s'ils tentent d'enregistrer plus d'appareils que le nombre maximal autorisé par la politique de restriction des appareils configurée.Disponible uniquement pour les notifications aux utilisateurs finaux.)
Recevez des alertes par e-mail si des utilisateurs se connectent depuis des appareils ou des lieux inconnus : Les administrateurs doivent activer cette option pour pouvoir recevoir des alertes pour différentes options d'alerte.
Option
Description
Les utilisateurs se connectent à partir d'adresses IP, d'appareils ou d'emplacements inconnus
L'activation de cette option vous permet de vous connecter à partir d'adresses IP ou d'appareils inconnus, voire d'emplacements.
Défi terminé et appareil enregistré
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi et enregistre un appareil.
Défi terminé mais appareil non enregistré
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final termine un défi mais n'enregistre pas l'appareil.
Défi échoué
L'activation de cette option vous permet d'envoyer une alerte par e-mail lorsqu'un utilisateur final ne parvient pas à relever le défi.
Si vous souhaitez que plusieurs comptes d'administrateur reçoivent des alertes, vous pouvez activer l'option correspondante, puis saisir les adresses e-mail des administrateurs séparées par une virgule dans le champ de saisie situé à côté de Adresse e-mail de l'administrateur pour recevoir les alertes étiquette. Pour activer les alertes pour les utilisateurs finaux, vous pouvez activer l'option Utilisateur case à cocher.
Si vous souhaitez personnaliser le message de refus que l'utilisateur final reçoit dans le cas où son authentification est refusée en raison d'une politique adaptative, vous pouvez le faire en saisissant le message à l'intérieur Refuser le message zone de texte.
F. Révision
Avant de créer la stratégie d'authentification adaptative, vérifiez les conditions de la stratégie configurée, les actions de modification du comportement, les paramètres d'alerte par e-mail et les messages d'erreur personnalisés. Cette étape vous offre une vue d'ensemble de tous les paramètres configurés, vous permettant ainsi de vérifier la configuration de la stratégie et d'apporter les modifications nécessaires avant l'enregistrement.
Cliquez sur Créer une stratégie.
G. Ajouter une stratégie d'authentification adaptative à Office 365
Connectez-vous à Console libre-service >> Politiques >> Politique de connexion à l'application.
Cliquez sur Modifier option d'icône pour la politique d'application prédéfinie.
Définissez votre politique dans le Nom de la politique et sélectionnez Mot de passe comme Premier facteur.
Permettre Authentification adaptative Sur la page Modifier la politique de connexion, sélectionnez la méthode de restriction souhaitée.
Dès Sélectionnez la politique de connexion Dans le menu déroulant, sélectionnez la politique que nous avons créée à l'étape précédente.
Appliquer les restrictions à l'aide de : Configurez la manière dont plusieurs restrictions d'authentification adaptatives doivent être évaluées lors de la connexion de l'utilisateur.
ET: Pour que la tentative de connexion soit autorisée, toutes les restrictions activées doivent être satisfaites.
OU: Au moins une restriction activée doit être satisfaite pour que la tentative de connexion soit autorisée.
Restrictions d'authentification adaptative : Configurez des restrictions de connexion et des conditions de vérification supplémentaires afin de renforcer la sécurité des comptes et de contrôler l'accès des utilisateurs en fonction des facteurs de risque contextuels.
Restriction IP : Pour une sécurité renforcée, limitez l'accès à la connexion à des adresses IP ou des plages d'adresses IP spécifiques.
Restriction de l'appareil : Autoriser l'accès à la connexion uniquement à partir d'appareils de confiance ou pré-autorisés.
Restriction de localisation : Contrôler l'accès des utilisateurs en fonction de leur situation géographique.
Limite de temps : Limiter l'accès des utilisateurs à des jours ou des périodes horaires spécifiques.
Imposer l'authentification multifacteur à chaque tentative de connexion : Exiger que les utilisateurs effectuent une vérification MFA à chaque tentative de connexion, quel que soit l'appareil ou l'état de la session.
Comment ajouter un appareil de confiance
Lorsque l'utilisateur final se connecte à la console libre-service après la stratégie de restriction de l'appareil est activé, il a la possibilité d'ajouter l'appareil actuel en tant qu'appareil de confiance.
