Authentification unique et identités externes

Single Sign-On (SSO) permet à un utilisateur de s’authentifier une seule fois et d’accéder à plusieurs applications sans saisir à nouveau ses identifiants pour chacune d’elles. Entra ID joue le rôle de fournisseur d’identité central (IdP) : après la connexion à la plateforme d’identité Microsoft, des jetons sont émis pour accorder l’accès à toute application enregistrée que l’utilisateur est autorisé à utiliser. Le SSO renforce la sécurité en réduisant la lassitude liée aux mots de passe et la multiplication des identifiants propres à chaque application.

Entra ID prend en charge deux protocoles SSO principaux. OpenID Connect (OIDC) est la norme moderne fondée sur OAuth 2.0, utilisée par les propres applications de Microsoft et par la plupart des nouvelles applications SaaS ; elle émet des jetons Web JSON (JWT). SAML 2.0 est un protocole plus ancien fondé sur XML, encore requis par de nombreuses applications d’entreprise existantes, et pris en charge par des milliers d’applications préintégrées dans la galerie d’applications Entra ID.

Entra ID fournit une galerie d’applications proposant des intégrations SSO prêtes à l’emploi pour plus de 3 000 applications SaaS, notamment Salesforce, ServiceNow, GitHub Enterprise, AWS, Zoom et bien d’autres. L’ajout d’une application depuis la galerie configure automatiquement les métadonnées SSO, ce qui réduit considérablement le temps d’intégration. Pour les applications absentes de la galerie, vous pouvez configurer manuellement les paramètres de fédération SAML ou OIDC.

Le portail My Apps (myapps.microsoft.com) est un portail web en libre-service où les utilisateurs voient toutes les applications d’entreprise auxquelles ils ont été autorisés à accéder et peuvent les lancer d’un simple clic. Les administrateurs IT contrôlent les applications affichées et les utilisateurs qui peuvent les voir. Si les fonctionnalités en libre-service sont activées, les utilisateurs peuvent également gérer leurs appartenances à des groupes et leurs demandes d’accès depuis ce portail.

Entra ID B2B (Business-to-Business) vous permet d’inviter des partenaires externes, des contractuels et des fournisseurs dans votre locataire en tant qu’utilisateurs invités. Les invités s’authentifient avec le fournisseur d’identité de leur propre organisation (un autre locataire Entra ID, Google ou tout fournisseur SAML/OIDC), puis reçoivent un jeton d’accès à vos ressources. Vous contrôlez précisément les applications, groupes et ressources auxquels les invités peuvent accéder grâce aux stratégies RBAC et Conditional Access standard.

Lorsque vous invitez un utilisateur externe, celui-ci reçoit une invitation par e-mail contenant un lien d’acceptation. Après avoir cliqué sur ce lien, il s’authentifie avec ses propres identifiants (et non avec un nouveau mot de passe dans votre locataire), puis Entra ID crée dans votre annuaire un objet utilisateur invité qui le représente. À partir de ce moment, les administrateurs attribuent des rôles et des appartenances à des groupes à l’utilisateur invité comme ils le feraient pour un utilisateur interne, mais l’invité continue de s’authentifier auprès de son organisation d’origine.

Entra External ID for customers (anciennement Azure AD B2C) est un service d’identité distinct destiné aux applications destinées aux consommateurs. Il permet aux clients de s’inscrire et de se connecter avec leur adresse e-mail, leur numéro de téléphone ou leurs comptes sociaux (Google, Facebook, Apple). Contrairement à B2B, qui se fédère avec des identités organisationnelles existantes, B2C crée et gère les comptes d’identité des clients et prend en charge des millions d’utilisateurs avec des expériences de connexion personnalisées aux couleurs de votre marque.

Le choix entre B2B et B2C dépend de l’identité des utilisateurs. B2B s’adresse aux partenaires commerciaux et aux employés d’autres organisations qui disposent déjà d’une identité d’entreprise avec laquelle ils s’authentifient. B2C s’adresse aux consommateurs finaux qui ne disposent pas d’une identité organisationnelle : ils s’inscrivent avec une adresse e-mail ou un compte social. Les utilisateurs B2B apparaissent dans votre locataire comme des invités ; les utilisateurs B2C sont stockés dans le propre annuaire du locataire B2C.

Entra ID prend en charge la fédération directe avec des fournisseurs d’identité externes SAML ou WS-Fed. Cette fonctionnalité est utile lorsqu’une organisation partenaire utilise un IdP non Microsoft tel qu’Okta, Ping Identity ou AD FS. Après la configuration de la fédération, tous les utilisateurs du domaine du partenaire peuvent se connecter à vos applications avec leur propre IdP, sans devoir recevoir d’invitations individuelles — une solution idéale pour les partenariats importants comptant de nombreux utilisateurs.

Les paramètres d’accès inter-locataires (XTAP) d’Entra ID vous offrent un contrôle précis sur la collaboration entrante et sortante avec des locataires partenaires spécifiques. Vous pouvez configurer des stratégies propres à chaque locataire afin de faire confiance — ou non — aux déclarations MFA du partenaire et à l’état de conformité de ses appareils, évitant ainsi aux invités de refaire MFA lorsqu’ils l’ont déjà satisfaite dans leur locataire d’origine. XTAP remplace les anciennes listes d’autorisation et de refus B2B.

Entra ID permet de supprimer entièrement les mots de passe grâce à l’authentification sans mot de passe. Les options comprennent : Windows Hello for Business (données biométriques ou PIN liés à un appareil), les clés de sécurité FIDO2 (clés matérielles USB/NFC de YubiKey, entre autres) et l’application Microsoft Authenticator avec la connexion par téléphone (correspondance de numéros). Les méthodes sans mot de passe sont à la fois plus sûres que les mots de passe et plus pratiques pour les utilisateurs ; elles réduisent le principal vecteur d’attaque des prises de contrôle de comptes.

Vérifiez votre compréhension des concepts Microsoft Azure Fundamentals (AZ-900) abordés dans cette leçon.

Dans cette leçon, vous avez appris que le SSO avec Entra ID permet aux utilisateurs de s’authentifier une seule fois et d’accéder à plusieurs applications, que le B2B invite des partenaires externes en tant qu’utilisateurs invités qui s’authentifient avec leur propre IdP, et que le B2C gère les comptes d’identité des consommateurs avec la prise en charge de la connexion via des comptes sociaux. Nous allons maintenant étudier les outils de sécurité Azure, en commençant par Microsoft Defender for Cloud.