Évaluation continue de l’accès universel

L’évaluation de l’accès continu universel (CAE) est une fonctionnalité de plateforme d’accès sécurisé global qui fonctionne avec Microsoft Entra ID pour garantir que l’accès à la périphérie d’accès sécurisé global est validé chaque fois qu’une connexion à une nouvelle ressource d’application est établie. Universal CAE protège les jetons d'accès de Global Secure Access contre le vol et la relecture. Universal CAE révoque et revalide l'accès au réseau en temps quasi réel chaque fois que Entra ID détecte des changements dans l'identité. La CAE traditionnelle de Entra ID exige que chaque charge de travail adopte des bibliothèques spéciales et se limite aux applications de première main. La CAE universelle étend les avantages de la CAE à toute application à laquelle on accède par Global Secure Access, sans qu'il soit nécessaire que l'application soit consciente de la CAE.

Avantages de la CAE universelle

Voici quelques exemples de la façon dont la CAE universelle profite à votre organisation lorsque Entra ID détecte un changement d'identité et déclenche la CAE en temps quasi réel :

  • Accès privé : la session de l'utilisateur via Bureau à distance, l'accès aux serveurs de fichiers et l'accès à toutes les ressources privées protégées par l'accès privé est interrompu, ce qui réduit le risque d'exfiltration des données par un employé sortant ou une activité interne malveillante.
  • Accès à Internet : l'accès de l'utilisateur à toutes les ressources Internet, y compris les services susceptibles de contenir des données de l'entreprise, tels que les services de partage de fichiers non-Microsoft et les outils de collaboration de l'entreprise, est interrompu, ce qui réduit le risque d'exfiltration de données par un employé quittant l'entreprise.
  • Services Microsoft : si de nombreux services Microsoft utilisent déjà CAE en mode natif, certaines applications ne le font pas. Avec Universal CAE, l'accès de l'utilisateur aux applications Microsoft est interrompu, même si l'application est consciente de l'existence de CAE.
  • Vous pouvez exiger que vos utilisateurs se trouvent sur des réseaux spécifiques avant qu’ils ne soient autorisés à se connecter aux services avec Accès sécurisé global, ce qui empêche le déplacement vers un autre réseau, même après l’authentification initiale du tunnel. Dans ce scénario, lorsque l’utilisateur modifie les réseaux, l’accès réseau via l’accès sécurisé global est réauthentifié et les stratégies d’accès conditionnel basées sur l’emplacement sont réévaluées.
  • Le mode facultatif Strict Enforcement, configuré dans l’accès conditionnel, protège contre le vol et la réutilisation des jetons d’accès Global Secure Access. Si le rejeu du jeton est tenté à partir d'une adresse IP différente de l'adresse IP d'origine utilisée lors de l'authentification, l'accès au réseau est bloqué.

Fonctionnement

Global Secure Access s'appuie sur les jetons d'accès Entra ID pour s'authentifier auprès des tunnels de service (trafic Microsoft, accès Internet et profils de transfert de trafic d'accès privé). Les jetons d’accès sont valides pendant 60 à 90 minutes. Avant l’expiration du jeton d’accès, le client Accès sécurisé global utilise le jeton d’actualisation Entra ID pour obtenir un nouveau jeton d’accès.

Conformément à la spécification OAuth2, les jetons d'accès sont valables jusqu'à leur expiration. Par exemple, lorsque vous désactivez un compte d’utilisateur, l’ID Entra invalide immédiatement les jetons d’actualisation, mais l’expiration des jetons d’accès sécurisé global prend jusqu’à 90 minutes.

Avec Universal CAE, les changements d'identité des utilisateurs sont communiqués à Global Secure Access en temps quasi réel. Même si le jeton d'accès est encore valide, Global Secure Access renvoie à l'utilisateur final un défi de réclamations spéciales, qui l'oblige à se réauthentifier. Si l’utilisateur ne parvient pas à relever le défi d’authentification entra ID, l’accès réseau via l’accès sécurisé global est bloqué. Le CAE universel raccourcit le délai entre le changement d'état du compte Entra ID et l'obligation pour l'utilisateur de se réauthentifier, ce qui réduit le risque d'exfiltration de données par un employé qui quitte l'entreprise.

Signaux Microsoft Entra ID qui déclenchent la réauthentification Universal CAE

Universal CAE prend en charge les signaux suivants liés à l’utilisateur :

  • Le compte d’utilisateur est supprimé ou désactivé
  • Le mot de passe d’un utilisateur a été modifié ou réinitialisé
  • L'authentification multifacteur est activée pour l'utilisateur
  • Un administrateur révoque explicitement tous les jetons d’actualisation d’un utilisateur
  • Risque d’utilisateur élevé détecté par Protection Microsoft Entra ID

Universal CAE prend en charge les signaux suivants liés à l’appareil :

  • L’appareil à partir duquel l’accès GSA est en cours d’exécution est supprimé ou désactivé
  • L’appareil à partir duquel l’accès GSA est en cours d’exécution est détecté comme étant dans l’état non conforme

Lorsque Global Secure Access reçoit l’événement de sécurité, l’utilisateur doit se réauthentifier via une notification contextuelle dans le client GSA. Si l’utilisateur n’est pas ré-authentifié dans les 2 minutes, tous les tunnels GSA sont déconnectés et la connectivité réseau aux applications est supprimée. La connectivité est restaurée lors de la réauthentification réussie.

Important

Les signaux de conformité des appareils et de risque utilisateur sont conçus pour être utilisés conjointement avec la stratégie Entra d’accès conditionnel correspondante. Lorsqu’elle est utilisée sans la stratégie d’accès conditionnel correspondante, la réauthentification est silencieuse et il n’existe aucun mécanisme permettant d’agir sur l’événement CAE. Les exemples de stratégie sont les suivants :

  • Tous les utilisateurs -> Toutes les ressources Internet avec accès global sécurisé -> Exiger un appareil conforme
  • Tous les utilisateurs -> Toutes les ressources -> Risque utilisateur = Élevé -> Exiger une correction des risques

Mode d’application stricte

Avec le mode de mise en conformité strict, Universal CAE arrête immédiatement l’accès si l’adresse IP détectée par le fournisseur de ressources n’est pas autorisée par la stratégie d’accès conditionnel. Cette option constitue le niveau de sécurité le plus élevé de l’application des règles de localisation de CAE. Elle nécessite que les administrateurs comprennent le routage des demandes d’authentification et d’accès dans leur environnement réseau. Lorsque l’application stricte est activée, l’accès aux services d’accès sécurisé global est possible uniquement lorsque vos utilisateurs se connectent au service Global Secure Access à partir de plages d’adresses IP autorisées par votre organisation.

Désactivation du CAE universel

Vous pouvez utiliser l’accès conditionnel Microsoft Entra ID pour contrôler le comportement de CAE dans votre locataire. Par défaut, la CAE est activée pour toutes les applications qui la prennent en charge. Vous pouvez désactiver CAE dans votre locataire Microsoft Entra ID, ce qui désactive CAE pour tous les services, y compris Global Secure Access. Pour désactiver CAE dans votre espace client, suivez les étapes de la documentation sur l'accès conditionnel.

Remarque

Universal CAE est opportuniste, sauf si vous activez le mode d'application stricte facultatif dans l'accès conditionnel et que vous l'appliquez aux identités de charge de travail de Global Secure Access. Par défaut, les clients d’accès sécurisé global pris en charge tentent d’obtenir un jeton d’accès CAE à partir de l’ID Entra. Si le jeton CAE ne peut pas être obtenu à partir de l’ID Entra (par exemple, en raison de la version du client non prise en charge), un jeton d’accès standard est émis. Avec le comportement de secours, il ne devrait pas être nécessaire de désactiver Universal CAE.

Limitations connues

Pour plus d’informations sur les problèmes connus et les limitations, consultez les limitations connues pour l’accès sécurisé global.

Contenu connexe

  • Dernière mise à jour :