Type de ressource ValidatingDomains

Espace de noms: microsoft.graph

Définit les types de domaines auxquels s’applique la validation du jeton fédéré. La propriété ValidatingDomains de la ressource federatedTokenValidationPolicy utilise ce type.

Cet objet est un type abstrait dont dérivent les ressources suivantes :

Remarque

Dans le cadre de la stratégie de sécurité par défaut de Microsoft, les connexions fédérées inter-domaines sont bloquées afin de réduire le risque d’emprunt d’identité inter-royaumes. Lorsque rootDomains est configuré sur une valeur autre que none, Microsoft Entra applique la validation de correspondance de domaine, en veillant à ce que les jetons fédérés soient acceptés uniquement lorsque le domaine de l’émetteur de jetons s’aligne sur le domaine UPN de l’utilisateur ou sur un autre domaine de validation explicitement configuré.

Bien que Microsoft recommande de maintenir l’application de la correspondance de domaine, les administrateurs peuvent configurer intentionnellement une stratégie moins restrictive si nécessaire.

Propriétés

Propriété Type Description
rootDomains rootDomains Définit les types de domaines auxquels la validation s’applique. Les valeurs possibles sont les suivantes :
  • none: désactivez complètement la validation inter-domaines. Aucune correspondance de domaine racine n’a lieu. Ce n’est pas l’option la plus sûre. Microsoft Entra ID ne vérifie pas que le domaine de connexion correspond à un domaine attendu pour l’authentification. Par conséquent, les organisations perdent une couche supplémentaire de validation de domaine qui peut aider à détecter les problèmes de configuration ou les identités inattendues. Si un fournisseur d’identité fédéré (IdP) est compromis ou malveillant, il peut s’authentifier en tant qu’utilisateurs en dehors de l’étendue de son domaine prévu, en étendant l’impact d’un seul domaine à l’ensemble du locataire. Les clients qui utilisent ce paramètre sont encouragés à s’appuyer sur des contrôles tels que l’authentification multifacteur, l’accès conditionnel, les fournisseurs d’identité approuvés et les stratégies d’autorisation des applications pour protéger l’accès.
  • all (par défaut) : nécessite une correspondance de domaine pour tous les domaines ; Les utilisateurs sont autorisés à se connecter uniquement si leur domaine correspond.
  • allFederated: bloque la connexion si le domaine de l’utilisateur est fédéré (par exemple, lorsque l’utilisateur vient d’un autre domaine fédéré), mais autorise la connexion si le domaine de l’utilisateur est géré.
  • allManaged: bloque la connexion si le domaine de l’utilisateur est géré, mais autorise la connexion pour les utilisateurs à partir de domaines fédérés.
  • enumerated: bloque la connexion si le domaine de l’utilisateur figure dans la liste des domaines énumérés spécifiée.
  • allManagedAndEnumeratedFederated: bloque la connexion pour tous les domaines gérés et bloque les domaines fédérés inclus dans la liste des domaines énumérés.
  • unknownFutureValue: valeur sentinelle d’énumération évolutive. Ne pas utiliser.

Relations

Aucun.

Représentation JSON

La représentation JSON suivante montre le type de ressource.

{
  "@odata.type": "#microsoft.graph.validatingDomains",
  "rootDomains": "String"
}
  • Dernière mise à jour :