Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
L’identité d’un utilisateur PC Cloud définit les services de gestion d’accès qui gèrent cet utilisateur et le PC cloud Cette identité définit :
- Types de PC Cloud accessibles par l’utilisateur.
- Types de ressources PC non cloud auxquelles l’utilisateur a accès.
Un appareil peut également avoir une identité déterminée par son type de jointure à Microsoft Entra ID. Pour un appareil, le type de jointage définit :
- Si l’appareil nécessite une ligne de vision pour un contrôleur de domaine
- Gestion de l’appareil
- Comment les utilisateurs s’authentifient-ils sur l’appareil ?
Types d’identité
Il existe quatre types d’identité :
- Identité hybride : utilisateurs ou appareils créés dans Active Directory local Domain Services, puis synchronisés avec Microsoft Entra ID.
- Identité cloud uniquement : utilisateurs ou appareils créés et qui n’existent que dans Microsoft Entra ID.
- Identité fédérée : utilisateurs créés dans un fournisseur d’identité tiers, autre que Microsoft Entra ID ou les services de domaine Active Directory, puis fédérés avec Microsoft Entra ID.
- Identité externe : utilisateurs créés et gérés en dehors de votre client Microsoft Entra, mais invités dans votre locataire Microsoft Entra pour accéder aux ressources de votre organisation.
Remarque
- Windows 365 prend en charge les identités fédérées lorsque l’authentification unique est activée.
- Windows 365 prend en charge les identités externes lorsque l’authentification unique est activée. Voir identité externe pour toutes les exigences et limitations.
Identité externe
La prise en charge des identités externes vous permet d’inviter des utilisateurs à votre locataire d’ID Entra et de leur fournir des PC cloud. Il existe plusieurs exigences et limitations lors de la fourniture de PC Cloud à des identités externes :
- Configuration requise
- Système d’exploitation du PC cloud : le PC cloud doit exécuter Windows 11 Entreprise, versions 24H2 ou ultérieures avec le Mises à jour cumulatif 2025-09 pour Windows 11 (KB5065789) ou version ultérieure installé.
- Type de jointure Cloud PC : Le PC Cloud doit être joint à Entra.
- Authentification unique : l’authentification unique doit être configurée pour le PC cloud.
- Client application Windows : La prise en charge des identités externes est généralement disponible sur l’application application Windows sur Windows, macOS, iOS, Android ou un navigateur web. Pour plus d’informations, consultez la section Identité de la documentation de l’application application Windows.
- Licence : assurez-vous que les identités externes disposent des droits appropriés pour les logiciels et les services sur le PC cloud. Pour plus d’informations, consultez les conseils sur les licences Windows 365.
- Limitations
Stratégies de configuration des appareils Intune : Les stratégies de configuration des appareils affectées à l’identité externe ne seront pas appliquées au PC cloud de l’utilisateur. Attribuez plutôt des stratégies de configuration d’appareil à l’appareil.
Disponibilité de Windows 365 Government : Windows 365 Government est pris en charge et les utilisateurs peuvent se connecter avec l’application application Windows sur Windows, macOS, iOS et Android.
Invitations intercloud : les utilisateurs inter-cloud ne sont pas pris en charge. Vous ne pouvez fournir des PC cloud qu’aux utilisateurs que vous invitez à partir de fournisseurs d’identité sociale, d’utilisateurs de Microsoft Entra du même cloud Microsoft Azure que l’offre Windows 365 ou d’autres fournisseurs d’identité inscrits dans votre locataire de personnel. Vous ne pouvez pas provisionner de PC cloud pour les utilisateurs que vous invitez à partir de Microsoft Azure géré par 21Vianet.
Protection par jeton : Microsoft Entra présente certaines limitations pour la protection par jeton pour les identités externes. En savoir plus sur la prise en charge de application Windows pour la protection des jetons par plateforme.
Authentification Kerberos : les identités externes ne peuvent pas s’authentifier sur des ressources locales à l’aide des protocoles Kerberos ou NTLM.
Applications Microsoft 365 : Vous pouvez vous connecter à la version de bureau Windows des applications Microsoft 365 uniquement si :
- L’utilisateur invité est un compte basé sur Entra ou un compte Microsoft sous licence Microsoft 365 Apps.
- L’utilisateur invité n’est pas empêché d’accéder aux applications Microsoft 365 par une stratégie d’accès conditionnel à partir de l’organisation d’origine.
Quel que soit le compte invité, vous pouvez accéder aux fichiers Microsoft 365 partagés avec vous à l’aide de l’application Microsoft 365 appropriée dans le navigateur web du PC cloud.
Fournisseurs d’identité : vous pouvez vous connecter en tant qu’identité externe avec n’importe lequel des fournisseurs d’identité répertoriés, sauf pour la connexion par code secret à usage unique. Les clients application Windows suivants ont des limitations supplémentaires :
- iOS, Android : le seul fournisseur d’identité sociale pris en charge avec lequel vous pouvez vous connecter est un compte Microsoft configuré en tant que compte connecté dans l’application Microsoft Authenticator s’exécutant sur le même appareil que le client. Vous ne pouvez pas vous connecter avec Facebook ou Google.
Fédération sans domaine : Windows 365 prend en charge les identités externes par le biais de la fédération SAML IdP sans domaine. Toutefois, ces utilisateurs doivent échanger leur invitation (y compris le
domain_hintparamètre) avant de lancer l’application Windows. Si l’utilisateur se connecte à l’application application Windows, mais n’a pas encore utilisé son invitation à l’IdP SAML sans domaine, il ne peut pas s’authentifier ou accepter l’invitation.
Voir les meilleures pratiques Microsoft Entra B2B pour obtenir des recommandations sur la configuration de votre environnement pour les identités externes et des conseils sur les licences Windows 365.
Types de jointage d’appareil
Vous pouvez choisir parmi deux types de jointage lors de la mise en service d’un PC Cloud :
- Jonction hybride Microsoft Entra : Si vous choisissez ce type de jointure, Windows 365 joint votre PC cloud au domaine Windows Server Active Directory que vous fournissez. Ensuite, si votre organisation est correctement configurée pour la jonction hybride Microsoft Entra, l’appareil est synchronisé avec Microsoft Entra ID.
- Microsoft Entra Join : Si vous choisissez ce type de jointure, Windows 365 joint votre PC cloud directement à Microsoft Entra ID.
Le tableau suivant indique les fonctionnalités ou exigences clés en fonction du type de jointure sélectionné :
| Capacité ou exigence | Jonction Microsoft Entra hybride | Jonction Microsoft Entra |
|---|---|---|
| Abonnement Azure | Obligatoire | Facultatif |
| Réseau virtuel Azure avec une ligne de vision pour le contrôleur de domaine | Obligatoire | Facultatif |
| Type d’identité utilisateur pris en charge pour la connexion | Utilisateurs hybrides uniquement | Utilisateurs hybrides, utilisateurs cloud uniquement ou identités externes |
| Gestion des stratégies | Objets de stratégie de groupe (GPO) ou GM Intune | Intune MDM uniquement |
| Connexion Windows Hello entreprise prise en charge | Oui, et l’appareil de connexion doit être en ligne de vue du contrôleur de domaine via le réseau direct ou un VPN. | Oui |
Authentification
Lorsqu’un utilisateur accède à un PC cloud, il existe trois phases d’authentification distinctes :
- Authentification du service cloud : L’authentification au service Windows 365, qui inclut l’abonnement aux ressources et l’authentification à la passerelle, s’effectue avec Microsoft Entra ID. C’est ici que vous pouvez appliquer les stratégies d’accès conditionnel à Entra ID. C’est également là que vous pouvez fédérer à partir d’Entra ID vers un fournisseur d’identité tiers.
- Authentification de session à distance : authentification sur le PC cloud. Il existe plusieurs façons de s’authentifier à la session à distance, y compris l’authentification unique recommandée (SSO).
- Authentification en session : authentification auprès des applications et des sites web au sein du PC cloud.
Voici une brève comparaison des options d’authentification utilisateur à chaque phase d’authentification :
| Authentification du service cloud | Authentification de session à distance | Authentification en cours de session |
|---|---|---|
|
|
|
Il s’agit d’un sur-ensemble d’options d’authentification par phase d’authentification. Pour obtenir la liste des informations d’identification disponibles sur les différents clients pour chacune des phases d’authentification, comparez les clients entre les plateformes.
Importante
Pour que l’authentification fonctionne correctement, l’ordinateur local de l’utilisateur doit également être en mesure d’accéder aux URL dans la section Clients du bureau à distance de la liste d’URL requise d’Azure Virtual Desktop.
Windows 365 propose l’authentification unique (définie comme une invite d’authentification unique qui peut satisfaire à la fois l’authentification du service Windows 365 et l’authentification PC cloud) dans le cadre du service. Pour plus d’informations, consultez Authentification unique.
Pour plus d’informations sur ces phases d’authentification, consultez les sections suivantes.
Authentification du service cloud
Les utilisateurs doivent s’authentifier auprès Windows service 365 lorsque :
- Ils accèdent à windows.cloud.microsoft.
- Ils naviguent jusqu’à l’URL qui est muée directement sur leur PC Cloud.
- Ils utilisent un client pris en charge pour répertorier leurs PC cloud.
Pour accéder au service Windows 365, les utilisateurs doivent d’abord s’authentifier au service en se connectant avec un compte Microsoft Entra ID.
Authentification multifacteur
Suivez les instructions de la rubrique Définir des stratégies d’accès conditionnel pour découvrir comment appliquer l’authentification multifacteur Microsoft Entra pour vos PC cloud. Cet article vous explique également comment configurer la fréquence à laquelle vos utilisateurs sont invités à entrer leurs informations d’identification.
Authentification sans mot de passe
Les utilisateurs peuvent utiliser n’importe quel type d’authentification pris en charge par Microsoft Entra ID, tels que Windows Hello Entreprise et d’autres options d’authentification sans mot de passe (par exemple, les clés FIDO), pour s’authentifier auprès du service.
Authentification par carte à puce
Pour utiliser une carte à puce pour vous authentifier auprès de Microsoft Entra ID, vous devez d’abord configurer l’authentification basée sur les certificats Microsoft Entra ou configurer AD FS pour l’authentification par certificat utilisateur.
Fournisseurs d’identité tiers
Vous pouvez utiliser des fournisseurs d’identité tiers tant qu’ils se fédérent avec Microsoft Entra ID.
Authentification de session à distance
Si vous n’avez pas encore activé l’authentification unique et que les utilisateurs n’ont pas enregistré leurs informations d’identification localement, ils doivent également s’authentifier sur le PC cloud lors du lancement d’une connexion.
Authentification unique (SSO)
L’authentification unique (SSO) permet à la connexion d’ignorer l’invite d’informations d’identification du PC cloud et de connecter automatiquement l’utilisateur à Windows via l’authentification Microsoft Entra. L’authentification Microsoft Entra offre d’autres avantages, notamment l’authentification sans mot de passe et la prise en charge des fournisseurs d’identité tiers. Pour commencer, passez en revue les étapes de configuration de l’authentification unique.
Importante
L’authentification unique doit être configurée pour les identités externes afin de se connecter au PC cloud. Si l’authentification unique n’est pas configurée, l’utilisateur reste bloqué à l’invite d’authentification de la session à distance.
Sans SSO, le client invite les utilisateurs à entrer leurs informations d’identification de PC cloud pour chaque connexion. La seule façon d’éviter d’être invité est d’enregistrer les informations d’identification dans le client. Nous vous recommandons de ne sauvegarder les informations d’identification que sur des appareils sécurisés pour empêcher d’autres utilisateurs d’accéder à vos ressources.
Authentification en cours de session
Après vous être connecté à votre PC cloud, vous pouvez être invité à vous authentifier au sein de la session. Cette section explique comment utiliser des informations d’identification autres que le nom d’utilisateur et le mot de passe dans ce scénario.
Authentification sans mot de passe en session
Windows 365 prend en charge l’authentification sans mot de passe en session à l’aide de Windows Hello Entreprise ou de dispositifs de sécurité tels que les clés FIDO lors de l’utilisation de l’application Windows App. L’authentification sans mot de passe est activée automatiquement lorsque l’hôte de la session et le PC local utilisent les systèmes d’exploitation suivants :
- Windows 11 Entreprise avec le Mises à jour cumulatif 2022-10 pour Windows 11 (KB5018418) ou version ultérieure installé.
- Windows 10 Entreprise, versions 20H2 ou ultérieures avec la Mises à jour cumulative 2022-10 pour Windows 10 (KB5018410) ou ultérieure installée.
Pour connaître le comportement d’authentification sans mot de passe en session et les exigences relatives aux applications lors de la connexion à partir d’autres clients application Windows, consultez la documentation sur le comportement de redirection de WebAuthn dans la documentation de l’application application Windows
Lorsque cette option est activée, toutes les demandes WebAuthn de la session sont redirigées vers le PC local. Vous pouvez utiliser Windows Hello Entreprise ou des dispositifs de sécurité connectés localement pour effectuer le processus d’authentification.
Pour accéder aux ressources Microsoft Entra avec Windows Hello Entreprise ou des dispositifs de sécurité, vous devez activer la clé de sécurité FIDO2 comme méthode d’authentification pour vos utilisateurs. Pour activer cette méthode, suivez les étapes de la section Activer la méthode de clé de sécurité FIDO2.
Conseil
Sur Windows 11 version 24H2 et ultérieures, les contrôles de confidentialité permettent aux utilisateurs de décider si les clés d’accès peuvent être utilisées par une application ou un site web. Si un utilisateur refuse l’invite de consentement en matière de confidentialité, l’inscription et l’authentification par clé d’accès peuvent ne pas fonctionner dans les sessions de PC cloud. Pour résoudre ce problème, demandez à l’utilisateur de réactiver l’accès par clé d’accès dans Paramètres>de confidentialité & de sécurité>Accès par clé d’accès. Pour plus d’informations, consultez Résoudre les problèmes de consentement de confidentialité de la clé d’accès Windows 11.
Authentification par carte à puce en session
Pour utiliser une carte intelligente dans votre session, veillez à installer les pilotes de carte intelligentes sur le PC cloud et à autoriser la redirection de carte intelligente dans le cadre de la gestion des redirections de périphériques RDP pour les PC cloud. Examinez le tableau comparatif des clients pour vous assurer que votre client prend en charge la redirection de carte à puce.