Cet article répond aux questions fréquemment posées sur les clés d'accès. N'hésitez pas à le consulter pour vous tenir au courant des mises à jour.
Questions fréquentes (FAQ) sur les clés secrètes dans Microsoft Entra
Quand les utilisateurs sont-ils invités à inscrire une clé secrète pendant la connexion ?
Les utilisateurs peuvent voir une invite d’inscription de clé d'accès si :
- Une campagne d’inscription de clé de passe (nudge) est activée ou
- Un administrateur requiert explicitement l’inscription par clé de sécurité via la politique, par exemple en appliquant l’authentification multifacteur résistante au hameçonnage avec un niveau de sécurité d’authentification par accès conditionnel.
Comment les administrateurs peuvent-ils surveiller ou auditer l’utilisation de la clé secrète ?
Les administrateurs peuvent utiliser les journaux d’audit, les journaux de connexion et les notifications utilisateur pour suivre la création et l’utilisation de la clé secrète. Il n'existe actuellement aucune expiration automatique pour les clés d'accès, donc il est recommandé de surveiller et d'assurer une bonne hygiène du cycle de vie.
Les clés secrètes sont-elles dans la preuve quantique Microsoft Entra ?
Les clés d'accès ne sont pas entièrement sécurisées quantiquement aujourd'hui, mais Microsoft a publié une feuille de route pour rendre l’authentification Microsoft Entra, y compris les clés d'accès, sécurisées quantiquement grâce au chiffrement post-quantique, pour une transition complète prévue d'ici 2033.
FAQ sur la clé secrète synchronisée
Quels sont les avantages des clés de passe synchronisées ?
Les clés secrètes synchronisées stockées dans des fournisseurs de clés secrètes natifs et tiers qui existent déjà sur les appareils des utilisateurs résolvent de nombreux problèmes d’émission et de gestion en dur associés à un appareil d’authentification distinct. Le fait que la clé secrète peut être synchronisée entre les appareils clients de l’utilisateur et le cloud réduit massivement la récupération et les coûts de réédition associés aux clés secrètes liées à l’appareil. Nous nous attendons à ce que cette combinaison d’avantages rende les clés secrètes synchronisées la meilleure option pour la plupart des utilisateurs et des organisations.
Comment puis-je effectuer un déploiement progressif de clés d'accès synchronisées ?
Vous pouvez utiliser des profils de clé secrète pour étendre le déploiement des clés secrètes synchronisées pour sélectionner des groupes d’utilisateurs. Microsoft recommande des clés secrètes liées aux appareils pour les administrateurs et les utilisateurs hautement privilégiés, ainsi que les clés secrètes synchronisées pour tous les utilisateurs disposant d’autorisations non-administrateur dans votre organisation.
En tant qu’administrateur, puis-je révoquer l’utilisation d’une clé secrète ?
Yes. Les administrateurs peuvent utiliser les méthodes d’authentification par utilisateur ou l’API pour supprimer la clé d’accès à partir du compte d’ID Microsoft Entra d’un utilisateur.
Quelles sont les protections en place pour protéger les comptes d’utilisateur et les appareils lors de l’utilisation de clés secrètes synchronisées ?
Pour inscrire une clé secrète auprès d’un fournisseur de clé secrète, la plupart nécessitent la configuration de l’authentification à deux facteurs. La plupart des fournisseurs de clés secrètes nécessitent également la configuration d’un verrou d’appareil avant qu’une clé secrète puisse être stockée sur l’appareil. Cette expérience est courante dans le gestionnaire de mots de passe Google et le trousseau iCloud, mais peut varier avec d’autres fournisseurs de clé secrète.
Les administrateurs peuvent-ils contrôler les appareils sur lesquels une clé secrète synchronisée est disponible ou empêcher le partage des clés secrètes ?
Aujourd’hui, les administrateurs ne peuvent pas voir ou contrôler exactement quels appareils contiennent une copie d’une clé secrète synchronisée, ni interroger où une clé secrète synchronisée a été synchronisée. Cela reflète une limitation plus large à l’échelle du secteur autour de la visibilité des informations d’identification qui sont synchronisées sur les appareils personnels d’un utilisateur. L’industrie, avec l’Alliance FIDO, travaille activement sur des améliorations dans ce domaine afin de fournir des signaux et des contrôles plus forts pour les parties de confiance. En raison de cela, il est important de sélectionner le modèle de clé secrète approprié en fonction des exigences de sécurité et de conformité : si le contrôle strict des limites de l’appareil est une exigence difficile, les clés secrètes liées à l’appareil sont l’option recommandée. Ces informations d’identification sont liées à un appareil spécifique et ne se synchronisent pas ailleurs. Pour les autres populations d’utilisateurs, les clés secrètes synchronisées sont recommandées. Les clés secrètes synchronisées offrent une résistance forte au hameçonnage, tandis que de nombreuses méthodes traditionnelles n’offrent aucune visibilité de l’appareil et sont sensibles aux attaques par hameçonnage.
Questions fréquentes (FAQ) sur la clé de sécurité de l'authentificateur
Comment Microsoft Authenticator stocke-t-il les clés secrètes sur un appareil ?
Les clés secrètes d’authentificateur sont sauvegardées par le matériel.
Sur iOS, Authenticator stocke la clé privée dans l’enclave sécurisée.
Sur Android, Authenticator utilise l’API système Android Keystore pour stocker en toute sécurité les clés secrètes liées à l’appareil. Le système Android Keystore prend en charge la liaison de matériel de clé au matériel sécurisé d’un appareil Android, dans cet ordre de préférence :
Sur Android, Authenticator stocke uniquement une clé secrète (clé privée) si l’appareil Android a l’une de ces deux options matérielles sécurisées. Si aucune option matérielle n’existe, l’inscription de la clé secrète Authenticator échoue, même si l’attestation est désactivée.
Puis-je restaurer ou synchroniser des clés d’authentification sur un nouvel appareil ?
Les clés secrètes d’authentificateur sont uniquement liées à l’appareil et ne peuvent pas être synchronisées. Pour plus d’informations, consultez Les clés secrètes liées à l’appareil dans Microsoft Authenticator.
Dois-je activer Bluetooth pour effectuer l’authentification inter-appareils ?
Pour utiliser l’authentification inter-appareils avec des clés secrètes dans Authenticator, vous devez activer Bluetooth et disposer d’un accès Internet sur les deux appareils.
Pourquoi la connexion et l’inscription entre appareils échouent-elles avec « L’appareil n’a pas pu se connecter » ?
Assurez-vous que les deux appareils disposent d’un accès Internet et bluetooth activés. Pour l’inscription et l’authentification inter-appareils, les utilisateurs ne peuvent pas utiliser l’inscription ou l’authentification inter-appareils si vous activez l’attestation.
| Platform | URL |
|---|---|
| Android | cable.ua5v.com |
| iOS | cable.auth.comapp-site-association.cdn-apple.comapp-site-association.networking.apple |
Si votre organisation restreint l’utilisation du Bluetooth, vous pouvez autoriser le jumelage Bluetooth exclusivement avec les authentificateurs FIDO2 compatibles avec la clé de passe pour autoriser la connexion et l’inscription de clés secrètes entre appareils.
Puis-je avoir plusieurs clés d’accès dans Authenticator ?
Vous ne pouvez avoir qu’une seule clé secrète pour chaque compte dans Authenticator. Pour le moment, Authenticator prend uniquement en charge les clés d’accès pour Microsoft Entra ID.
Puis-je utiliser la caméra de l’application Authenticator pour analyser le code QR WebAuthn pour l’inscription et l’authentification ?
Vous pouvez utiliser la caméra Authenticator pour l’inscription et l’authentification avec des clés d’accès. Cette option est utile si votre organisation n’envoie pas l’application de caméra système au profil de travail Android.
Puis-je utiliser des clés d’accès dans Authenticator sans connexion Internet ?
Vous ne pouvez pas utiliser de clés d’accès sans connexion Internet. Pour les scénarios utilisant le même appareil, l’appareil mobile qui contient la clé d’accès a besoin d’un accès à Internet. Pour les scénarios utilisant deux appareils, l’appareil avec la clé d’accès et l’appareil secondaire sur lequel vous souhaitez vous connecter ont besoin d’un accès à Internet.
J’ai essayé d’inscrire une clé secrète dans l’application Microsoft Authenticator, mais j’ai reçu une erreur « Impossible d’ajouter la clé secrète » ou « erreur inconnue », que dois-je faire ?
Si vous rencontrez cette erreur, envoyez des commentaires à partir de l’application en accédant au menu principal et en sélectionnant Envoyer des commentaires → Vous rencontrez des problèmes. Une fois soumis, fournissez l’ID de commentaires afin que les journaux d’application d’authentification puissent être examinés.
Je suis sur un appareil Android 14 et j’ai suivi toutes les étapes. Pourquoi ne puis-je pas inscrire des clés secrètes dans l’application Authenticator ?
L’application Authenticator utilise des API Android sur Android 14 ou version ultérieure pour utiliser des clés secrètes. Les fabricants choisissent d’implémenter ou non ces API pour chaque appareil qu’ils fabriquent. Si votre appareil ne prend pas en charge ces API, l’application Authenticator peut ne pas fonctionner pour votre appareil sur Android 14. Pour une expérience optimale, nous vous recommandons de procéder à la mise à niveau vers Android 15.
J’ai stocké ma clé secrète dans l’application Microsoft Authenticator dans mon profil personnel Android et je ne peux pas l’utiliser dans mon profil professionnel ?
Ce comportement n’est pas spécifique à l’application Microsoft Authenticator. Android Work Profile crée intentionnellement deux environnements isolés (personnels et professionnels), et les applications qui participent à l’identité d’entreprise et à la sécurité des appareils doivent s’exécuter à l’intérieur du conteneur de profil professionnel. En raison de ce modèle d’isolation, les applications (y compris Microsoft Authenticator) ne peuvent pas être partagées entre les profils, et une instance distincte est requise pour le profil professionnel. Il s’agit d’une conception de sécurité au niveau de la plateforme, et non d’un choix d’application ou d’une limitation.
Pourquoi suis-je invité à entrer un code confidentiel au lieu de la connexion biométrique sur mon appareil Android ?
Si la connexion biométrique échoue sur un appareil Android, l’application Authenticator vous invite à entrer votre code confidentiel à la place. La prochaine fois que vous vous connectez avec la clé secrète, Authenticator continue de demander le code confidentiel plutôt que la connexion biométrique. Authenticator retente régulièrement la connexion biométrique. Si la connexion biométrique réussit, elle est utilisée pour les connexions suivantes.
Que se passe-t-il pour ma clé de passe après avoir modifié mon code confidentiel ou ma connexion biométrique sur mon appareil Android ?
Votre clé d'accès est invalidée si vous modifiez votre code confidentiel, ou si vous modifiez votre connexion biométrique de l'empreinte digitale à la reconnaissance faciale, ou inversement. Si votre clé secrète est invalidée, vous devez vous connecter à l’aide d’une autre méthode, puis créer une nouvelle clé secrète.
Puis-je me connecter avec une clé secrète dans Authenticator en Chine ?
Les clés secrètes ne sont pas disponibles pour Microsoft Azure gérés par 21Vianet. Sur iOS, vous pouvez vous connecter avec une clé secrète dans Authenticator à d’autres organisations mondiales, telles que lors du voyage. Pour plus d’informations, consultez Télécharger Microsoft Authenticator en Chine.