Stratégies d’accès conditionnel pour Windows 365 Link

Remarque

Avec la publication de la mise à jour qualité de décembre de Windows 365 Link version 26100.7462, les utilisateurs peuvent désormais être invités à effectuer des demandes d’authentification interactives supplémentaires après la connexion sur l’appareil. Cela signifie que les étapes ci-dessous pour s’assurer qu’il existe une stratégie d’accès conditionnel MFA sur l’action utilisateur d’inscrire ou de joindre des appareils ne sont plus obligatoires pour l’utilisation de Windows 365 Link dans votre environnement s’ils sont à cette version ou à une version supérieure. Ces étapes restent une bonne pratique recommandée et Microsoft encourage vivement les clients à implémenter la stratégie d’accès conditionnel sur l’action de l’utilisateur d’inscrire ou de joindre des appareils, même si tous les appareils Windows 365 Link de votre environnement sont à la version 26100.7462 ou ultérieure.

Dans le cadre de la configuration de l’environnement de votre organisation pour prendre en charge Windows 365 Link, vous devez vous assurer que vos stratégies d’accès conditionnel prennent en charge à la fois la connexion via et la connexion à partir des appareils Windows 365 Link. Si l’accès conditionnel est utilisé pour protéger les ressources utilisées pour accéder aux PC cloud Windows 365 comme décrit dans Définir des stratégies d’accès conditionnel pour Windows 365, une autre stratégie d’accès conditionnel doit également être utilisée pour protéger l’action de l’utilisateur qui inscrit ou joint des appareils. L’échec de la création de cette deuxième stratégie peut entraîner l’échec de l’authentification de Windows 365 Link.

Pour déterminer si vous avez besoin d’une stratégie d’action utilisateur, procédez comme suit :

  1. Vérifiez si des stratégies sont déclenchées lors de la connexion aux ressources Windows 365.
  2. Créez une stratégie d’action utilisateur avec les mêmes contrôles d’accès.

Les appareils Windows 365 PC Cloud s’authentifient en deux étapes consécutives :

  1. Connexion interactive : lorsque l’utilisateur se connecte sur l’écran de connexion Windows 365 Link, il peut déclencher l’application de stratégies d’accès conditionnel aux actions Inscrire ou Joindre des appareils. Les utilisateurs peuvent voir des messages ou être mis au défi d’utiliser des méthodes d’authentification multifactorielles plus fortes. Cette étape génère le jeton utilisé dans la deuxième étape.

  2. Connexions non interactives à des ressources de PC cloud à l’aide de l’authentification unique : cette étape peut déclencher des stratégies d’accès conditionnel si elles sont appliquées à des ressources telles que Windows 365, Windows Cloud Login et Toutes les ressources. Les utilisateurs ne peuvent pas être invités ou mis au défi à ce stade. Si une authentification plus forte est nécessaire, la connexion est interrompue et l’utilisateur reçoit une erreur indiquant qu’une fenêtre interactive ne peut pas être affichée.

Passer en revue les stratégies existantes

Vous pouvez utiliser l’outil What if pour déterminer si des stratégies d’accès conditionnel sont appliquées aux ressources Windows 365 appropriées pendant la phase de connexion non interactive. Cela inclut une stratégie qui est appliquée à Toutes les ressources (anciennement Toutes les applications cloud).

  1. Se connecter au centre d’administration Microsoft EntraProtection>>Stratégies>d’accès> conditionnel Whatif.
  2. Pour l’identité de l’utilisateur ou de la charge de travail , sélectionnez un utilisateur avec lequel effectuer le test.
  3. Pour Applications cloud, actions ou contexte d’authentification, sélectionnez N’importe quelle application cloud.
  4. Pour Sélectionner le type de cible , laissez l’application cloud sélectionnée.
  5. Sélectionnez Sélectionner des applications , puis sélectionnez les ressources suivantes, si elles sont disponibles :
    • Windows 365 (ID d’application 0af06dc6-e4b5-4f28-818e-e78e62d137a5).
    • Azure Virtual Desktop (ID d’application 9cdead84-a844-4324-93f2-b2e6bb768d07).
    • Windows Cloud Login (ID d’application 270efc09-cd0d-444b-a71f-39af4910ec45).
  6. Sélectionnez What If.

Passez en revue chacune des stratégies qui s’appliquent et déterminez les contrôles d’accès utilisés pour accorder l’accès à ces ressources et paramètres de session. Notez ces stratégies à utiliser lors de la création des stratégies d’action utilisateur dans la section suivante.

Créer une stratégie d’accès conditionnel pour la phase de connexion interactive

À l’aide des informations que vous avez recueillies à partir de l’outil d’évaluation de scénarios dans la section précédente, vous pouvez maintenant créer une stratégie d’accès conditionnel pour exiger les mêmes contrôles pour la phase de connexion.

  1. Se connecter au Centre d’administration Microsoft EntraProtection>>Stratégies>d’accès> conditionnelNouvelle stratégie
  2. Donnez un nom à votre stratégie. Envisagez d’utiliser une norme pertinente pour les noms de stratégie.
  3. Sous Attributions>d’utilisateurs, sélectionnez 0 utilisateurs et groupes sélectionnés.
  4. Sous Inclure, sélectionnez Tous les utilisateurs ou sélectionnez un groupe d’utilisateurs qui se connecteront via des appareils Windows 365 Link.
  5. Sous Exclure, sélectionnez Utilisateurs et groupes> pour sélectionner les comptes d’accès d’urgence ou de bris de glace de votre organisation.
  6. Sous Actionsde l’utilisateurde ressources> cibles, sélectionnez Inscrire ou joindre des appareils.
  7. SousOctroi de contrôles >d’accès, utilisez les mêmes contrôles que ceux détectés précédemment à l’aide de l’outil What If.
  8. Confirmez vos paramètres et définissez Activer la stratégie sur Rapport uniquement.
  9. Sélectionnez Créer.
  10. Après avoir confirmé les paramètres à l’aide du mode Rapport uniquement, modifiez le bouton bascule Activer la stratégie de Rapport uniquement à Activé.

Bien que ces étapes soient spécifiquement destinées à l’activation de l’authentification interactive sur les appareils Windows 365 Link, la stratégie d’action de l’utilisateur résultante est également appliquée lorsque les utilisateurs inscrivent ou joignent des appareils à Microsoft Entra ID.

Pour plus d’informations sur la création de stratégies d’accès conditionnel pour l’inscription des appareils, y compris les conflits potentiels, consultez Exiger une authentification multifacteur pour l’inscription des appareils.

Pour plus d’informations sur les actions des utilisateurs avec l’accès conditionnel, consultez Actions de l’utilisateur.

Pour plus d’informations sur la création de stratégies d’accès conditionnel pour les ressources utilisées pour Windows 365, voir Définir des stratégies d’accès conditionnel.

Étapes suivantes

Supprimez l’invite de consentement de l’authentification unique.

  • Dernière mise à jour :