Pass-through Microsoft Entra : analyse technique approfondie
Cet article est une présentation du fonctionnement de pass-through Microsoft Entra. Pour en savoir plus sur la sécurité et accéder à d’autres détails techniques, consultez l’article Présentation approfondie des fonctions de sécurité.
Comment fonctionne pass-through Microsoft Entra ?
Remarque
Comme condition préalable au fonctionnement de pass-through, les utilisateurs doivent être configurés dans Microsoft Entra ID à partir d'Active Directory sur site à l'aide de Microsoft Entra Connect. La fonctionnalité Authentification directe ne s’applique pas aux utilisateurs « cloud uniquement ».
Lorsqu'un utilisateur tente de se connecter à une application sécurisée par Microsoft Entra ID et si le pass-through est activé sur le locataire, les étapes suivantes se produisent :
- L'utilisateur tente d’accéder à une application, par exemple, Outlook Web App.
- Si l'utilisateur n'est pas déjà connecté, il est redirigé vers la page de connexion de l'utilisateur Microsoft Entra ID.
- L'utilisateur saisit son nom d'utilisateur sur la page de connexion Microsoft Entra, puis sélectionne le bouton Suivant.
- L'utilisateur saisit son mot de passe sur la page de connexion Microsoft Entra, puis sélectionne le bouton Connexion.
- Microsoft Entra ID, dès réception de la requête de connexion, place le nom d'utilisateur et le mot de passe (chiffrés à l'aide de la clé publique des agents d'authentification) dans une file d'attente.
- Un agent d’authentification local récupère le nom d’utilisateur et le mot de passe chiffré à partir de la file d’attente. Notez que l’agent n’interroge pas fréquemment les requêtes à partir de la file d’attente, mais qu’il les récupère via une connexion permanente établie au préalable.
- L’agent déchiffre le mot de passe à l’aide de sa clé privée.
- L’agent valide le nom d’utilisateur et le mot de passe par rapport à votre annuaire Active Directory à l’aide des API Windows standard, un mécanisme similaire à celui utilisé par les services de fédération Active Directory (AD FS). Le nom d'utilisateur peut être soit le nom d'utilisateur par défaut sur site, généralement
userPrincipalName
, soit un autre attribut configuré dans Microsoft Entra Connect (appeléAlternate ID
). - Le contrôleur de domaine Active Directory sur site évalue la demande et retourne la réponse appropriée (succès, échec, mot de passe expiré ou utilisateur verrouillé) à l’agent.
- L’agent d’authentification renvoie à son tour cette réponse à Microsoft Entra ID.
- Microsoft Entra ID évalue la réponse et répond à l'utilisateur de manière appropriée. Par exemple, Microsoft Entra ID connecte immédiatement l'utilisateur ou requête une authentification multifacteur Microsoft Entra.
- Si l’utilisateur parvient à se connecter, il peut accéder à l’application.
Le schéma suivant illustre tous les composants et les étapes impliquées dans ce processus :
Étapes suivantes
- Limitations actuelles : Découvrez les scénarios pris en charge et ceux qui ne le sont pas.
- Démarrage rapide : soyez opérationnel sur l'authentification pass-through Microsoft Entra.
- Migrez vos applications vers Microsoft Entra ID : Ressources pour vous aider à migrer l’accès aux applications et l’authentification vers Microsoft Entra ID.
- Verrouillage intelligent : configurez la fonctionnalité Verrouillage intelligent sur votre locataire pour protéger les comptes d’utilisateur.
- Forum aux questions : obtenez des réponses aux questions fréquemment posées.
- Résoudre les problèmes : apprenez à résoudre les problèmes courants liés à la fonctionnalité d’authentification directe.
- Présentation approfondie de la sécurité : obtenez des informations techniques détaillées sur la fonctionnalité d’authentification directe.
- Adhésion hybride Microsoft Entra : configurez la fonctionnalité de jointure hybride Microsoft Entra sur votre locataire pour l’authentification unique sur vos ressources cloud et sur site.
- SSO transparent Microsoft Entra : apprenez-en davantage sur cette fonctionnalité complémentaire.
- UserVoice : utilisez le forum Microsoft Entra pour déposer de nouvelles demandes de fonctionnalités.
Commentaires
https://aka.ms/ContentUserFeedback.
Prochainement : Tout au long de l'année 2024, nous supprimerons progressivement les GitHub Issues en tant que mécanisme de retour d'information pour le contenu et nous les remplacerons par un nouveau système de retour d'information. Pour plus d’informations, voir:Soumettre et afficher des commentaires pour