Partager via

Exigez la conformité des appareils avec l'accès conditionnel

Microsoft Intune et Microsoft Entra collaborent pour sécuriser votre organisation via des stratégies de conformité des appareils et l’accès conditionnel. Les stratégies de conformité des appareils garantissent que les appareils utilisateur répondent aux exigences de configuration minimale. Ces exigences peuvent être imposées lorsque des utilisateurs accèdent aux services protégés par des stratégies d’accès conditionnel.

Certaines organisations peuvent ne pas être prêtes à exiger la conformité des appareils pour tous les utilisateurs. Ces organisations peuvent plutôt choisir de déployer les stratégies suivantes :

Exclusions d’utilisateurs

Les stratégies d’accès conditionnel sont des outils puissants. Nous vous recommandons d’exclure les comptes suivants de vos stratégies :

  • Accès d’urgence ou comptes break-glass pour empêcher le verrouillage en raison d’une configuration incorrecte de la stratégie. Dans le scénario peu probable où tous les administrateurs sont verrouillés, votre compte d’administration d’accès d’urgence peut être utilisé pour se connecter et récupérer l’accès.
  • Comptes de service et principaux de service, tels que le compte Microsoft Entra Connect Sync. Les comptes de service sont des comptes non interactifs qui ne sont pas liés à un utilisateur spécifique. Ils sont généralement utilisés par les services principaux pour autoriser l’accès programmatique aux applications, mais ils sont également utilisés pour se connecter aux systèmes à des fins administratives. Les appels effectués par les principaux de service ne sont pas bloqués par les stratégies d’accès conditionnel délimitées aux utilisateurs. Utilisez l’accès conditionnel pour les identités de charge de travail pour définir des stratégies qui ciblent des principaux de service.

Déploiement de modèle

Les organisations peuvent déployer cette stratégie en suivant les étapes décrites ci-dessous ou à l’aide des modèles d’accès conditionnel.

Créer une stratégie d’accès conditionnel

Les étapes suivantes permettent de créer une stratégie d’accès conditionnel pour exiger que les appareils accédant aux ressources soient marqués comme conformes aux stratégies de conformité Intune de votre organisation.

Avertissement

Sans stratégie de conformité créée dans Microsoft Intune, cette stratégie d’accès conditionnel ne fonctionnera pas comme prévu. Créez d’abord une stratégie de conformité et vérifiez que vous disposez d’au moins un appareil conforme avant de continuer.

  1. Connectez-vous au Centre d’administration Microsoft Entra en tant qu’administrateur d’accès conditionnel au moins.
  2. Accédez à Entra ID>Accès conditionnel>Stratégies.
  3. Sélectionnez Nouvelle stratégie.
  4. Donnez un nom à votre stratégie. Nous recommandons aux organisations de créer une norme explicite pour les noms de leurs stratégies.
  5. Sous Affectations, sélectionnez Utilisateurs ou identités de charge de travail.
    1. Sous Inclure, sélectionnez Tous les utilisateurs
    2. Sous Exclure :
      1. Sélectionner des utilisateurs et des groupes
        1. Choisissez les comptes d’accès d’urgence ou de secours de votre organisation.
        2. Si vous utilisez des solutions d’identité hybride comme Microsoft Entra Connect ou Microsoft Entra Connect Cloud Sync, sélectionnez rôles d’annuaire, puis sélectionnez Comptes de synchronisation d’annuaires
  6. Sous Ressources cibles>(anciennement applications cloud)>Inclure, sélectionnez Toutes les ressources (anciennement « Toutes les applications cloud ») .
  7. Sous Contrôles> d’accèsGrant.
    1. Sélectionnez Exiger que l’appareil soit marqué comme conforme.
    2. Sélectionnez.
  8. Confirmez vos paramètres et définissez Politique activée en Mode rapport uniquement.
  9. Sélectionnez Créer pour créer pour activer votre stratégie.

Après avoir confirmé vos paramètres à l’aide de l’impact de la stratégie ou du mode Rapport uniquement, déplacez le bouton bascule Activer la stratégie de rapport uniquement vers Activé.

Remarque

Vous pouvez inscrire vos nouveaux appareils à Intune même si vous sélectionnez Exiger que l’appareil soit marqué comme conforme pour tous les utilisateurs et toutes les ressources (anciennement « Toutes les applications cloud ») à l’aide des étapes précédentes. Le contrôle "Exiger que l’appareil soit marqué comme conforme" ne bloque pas l’inscription à Intune.

De même, l’appareil Exiger que l’appareil soit marqué comme conforme ne bloque pas l’accès de l’application Microsoft Authenticator à l’étendue UserAuthenticationMethod.Read. Authenticator a besoin d’accéder à l’étendue UserAuthenticationMethod.Read pendant l’inscription d’Authenticator pour déterminer les informations d’identification qu’un utilisateur peut configurer. Authenticator a besoin d’accéder à UserAuthenticationMethod.ReadWrite pour inscrire les informations d’identification, ce qui ne contourne pas l’appareil Exiger que l’appareil soit marqué comme une vérification conforme .

Comportement connu

Sur iOS, Android, macOS et certains navigateurs web non-Microsoft, Microsoft Entra ID identifie l’appareil à l’aide d’un certificat client approvisionné lorsque l’appareil est inscrit auprès de l’ID Microsoft Entra. Lorsqu’un utilisateur se connecte pour la première fois via le navigateur, l’utilisateur est invité à sélectionner le certificat. L’utilisateur final doit sélectionner ce certificat pour pouvoir continuer à utiliser le navigateur.

Scénarios B2B

Pour les organisations avec lesquelles vous avez une relation de confiance, vous pourriez faire confiance à leurs déclarations de conformité des appareils. Pour configurer ce paramètre, consultez l’article Gérer les paramètres d’accès entre locataires pour B2B Collaboration.

Activation d’abonnement

Les organisations qui utilisent la fonctionnalité d’activation d’abonnement pour permettre aux utilisateurs de passer d’une version de Windows à une autre peuvent exclure le Windows Store pour Entreprises, AppID 45a330b1-b1ec-4cc1-9161-9f03992aa49f de leur stratégie de conformité des appareils.

Contenu connexe

  • Last updated on