Politiques AD FS

Le programme d’installation ESA définit les règles d’authentification AD FS suivantes :

c:[Type == "http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value == "false"]

=> issue(Type = "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", Value = "http://schemas.microsoft.com/claims/multipleauthn");

c:[Type == "http://schemas.microsoft.com/ws/2012/01/insidecorporatenetwork", Value == "true"]

=> issue(Type = "http://schemas.microsoft.com/ws/2008/06/identity/claims/authenticationmethod", Value = "http://schemas.microsoft.com/claims/multipleauthn");

Les règles ci-dessus activent automatiquement l’authentification à 2 facteurs pour les réseaux internes et externes.

Si vous utilisez une application AD FS tierce qui ne fonctionne pas correctement avec l’authentification à 2 facteurs et que vous souhaitez empêcher des utilisateurs spécifiques d’utiliser l’authentification à 2 facteurs pour accéder à cette application.

1.Ouvrez Windows PowerShell et exécutez la commande suivante. Consultez ensuite la sortie de cette commande pour vérifier que les seules règles d’authentification supplémentaires sont celles répertoriées au début de cette section.

Get-AdfsAdditionalAuthenticationRule

2.Pour supprimer des règles d’authentification supplémentaires, exécutez la commande suivante :

Set-AdfsAdditionalAuthenticationRule -AdditionalAuthenticationRules ' '

3.Ouvrez AD FS Management, cliquez sur Access Control Policies (Stratégies de contrôle d’accès) > Action > Add Access Control Policy (Ajouter une stratégie de contrôle d’accès).

4. Ajoutez les deux règles Permit Users suivantes :

I.Permit Users
from esa_domain\ESA Users groups
and require multi-factor authentication

II.Permit Users

Si le serveur d’authentification est installé en mode Intégration Active Directory, le groupe esa_domain\ESA Users est automatiquement créé lors de l’installation, tandis que esa_domain est remplacé par le nom de domaine du serveur d’authentification.

Si le serveur d’authentification est installé en mode Autonome, vous devez créer un groupe d’utilisateurs et affecter des utilisateurs ESA à ce groupe.

Les deux règles Permit Users ci-dessus permettent de garantir que l’authentification à 2 facteurs n’est requise que pour les utilisateurs appartenant au groupe spécifié. Pour tous les autres utilisateurs, la page d’authentification à 2 facteurs est ignorée.

5.Cliquez sur Relying Party Trusts (Approbations de partie de confiance), puis affectez la politique à la partie de confiance applicable.

˄˅