Azure Active Directory

Introduction

Azure Active Directory (Azure AD ou AAD) est un service de gestion simplifiée d’annuaire d’entreprise hébergé dans le Cloud Microsoft. Des utilisateurs et groupes peuvent y être créés ou répliqués, mais la gestion d’un objet de stratégie de groupe ou d’une unité d’organisation n’est pas possible. Un des avantages non négligeables est que le salarié va pouvoir s’authentifier sur les portails Azure (ou Azure PowerShell/CLI) avec son compte d’utilisateur du domaine et son mot de passe associé. De plus, une entreprise peut fournir à ses partenaires et clients un accès contrôlé à des ressources de son système d’information.

Les services Cloud Microsoft disponibles sur Internet (Office 365, Microsoft Azure, Dynamics…) basent leur authentification sur un compte AAD.

Il permet aux salariés d’une entreprise de se connecter et d’accéder aux ressources telles que des applications SaaS, mais aussi des ressources internes telles que les applications situées sur votre réseau d’entreprise et intranet.

Chaque nouvel abonnement fournit un AAD dédié, nommé répertoire par défaut. C’est le tenant (ou locataire en français), qui est la représentation des identités de votre entreprise dans le Cloud Azure. Le tenant est donc une instance de l’AAD.

Celui-ci peut accueillir des comptes Microsoft lors de la création de l’abonnement, ainsi que des comptes professionnels. Un abonnement Azure comprend obligatoirement une relation d’approbation avec Azure AD. Un abonnement fait confiance à une instance de l’Azure AD (donc à un tenant) pour authentifier les utilisateurs, les services et les appareils. 

Plusieurs...

Utilisateur

Un utilisateur hébergé dans l’AAD peut être défini suivant trois possibilités :

Il est ainsi possible d’inviter un utilisateur à devenir membre de notre annuaire (ceux ne possédant pas un compte @philoucho06hotmail.onmicrosoft.com dans notre exemple). Voici la procédure :

Si le courriel spécifié est de type professionnel (user@nomdevotreentreprise.com par exemple), l’utilisateur peut d’ores et déjà se connecter au portail Azure (https://portal.azure.com).

Si le courriel est de type personnel (@gmail.com, free.fr, etc…), alors l’utilisateur devra convertir son adresse électronique en compte Microsoft. Pour y parvenir, ouvrez le lien https://account.microsoft.com/account?lang=fr-ca et suivez la procédure en cliquant sur Créer un compte Microsoft.

Après avoir cliqué sur le bouton Accept...

Azure RBAC

Azure dispose de plusieurs rôles intégrés parmi lesquels vous pouvez choisir vos niveaux d’accès. Vous pouvez attribuer ces rôles à différents niveaux : abonnement, groupe de ressources, ressources, etc. Par défaut, la personne qui crée un abonnement Azure peut attribuer à d’autres utilisateurs un accès d’administration à ce dernier.

Il est nécessaire de connaître les trois rôles (propriétaire, contributeur et lecteur) les plus couramment utilisés pour attribuer des accès aux ressources Azure (cf. chapitre Le Cloud public Microsoft).

La liste des rôles intégrés (ou built-in) est disponible ici : https://learn.microsoft.com/fr-fr/azure/role-based-access-control/built-in-roles

Pour ajouter l’utilisateur invité précédemment en tant que propriétaire d’un groupe de ressources, suivez la procédure ci-après :

L’utilisateur a maintenant accès à une partie de votre abonnement Azure, en l’occurrence un seul groupe de ressources, et peut y créer, y modifier et y supprimer des ressources, ou bien octroyer des droits à...

Tenant

Afin d’expliquer simplement ce qu’est un tenant, nous allons résumer les différents composants liés à Azure. Le contrôle d’accès dans Azure s’envisage tout d’abord dans une perspective de facturation et de frontière. Le propriétaire actuel d’un abonnement est l’administrateur de compte, un de ses droits étant la gestion de la facturation. Un abonnement permet à la fois de limiter la facturation, et d’assurer une frontière de sécurité, puisque l’administrateur ne peut travailler que sur un abonnement à la fois. Chaque abonnement dispose d’une relation privilégiée avec une instance d’Azure AD. Cela signifie concrètement que l’abonnement s’appuie sur un répertoire qui authentifie les utilisateurs et services. Plusieurs abonnements peuvent être liés au même répertoire Azure AD, mais chaque abonnement ne peut être lié qu’à un seul répertoire. 

Dans Azure AD, un client est locataire (tenant) de son abonnement Azure et représente une entreprise dans sa globalité. Lorsque celle-ci souscrit à l’offre Cloud de Microsoft, qu’il s’agisse d’Office 365, Dynamics ou encore Azure, une instance dédiée lui est attribuée. Ce tenant stocke les objets du système d’information de l’entreprise, tels que des groupes, des utilisateurs et des applications. Il est indépendant des autres tenants des autres entreprises et ne peut porter le même nom.

L’entreprise peut aussi publier son application métier via son tenant, et ainsi permettre à ses salariés de l’utiliser en tant que membres de l’Azure AD. Cette opération n’est pas facturée par Microsoft....

Identités managées

La gestion des secrets, des mots de passe, des certificats et des clés utilisés pour sécuriser la communication entre les composants d’une application constitue un défi courant pour les développeurs. Les identités managées permettent aux développeurs de ne plus avoir à gérer ces informations d’identification.

Une identité managée est simplement un compte de service créé et géré par l’Azure AD et qui représente une ressource Azure (ou On-Premise).

Les développeurs peuvent stocker les secrets dans Azure Key Vault mais les applicatifs nécessitent un moyen d’accéder au coffre. Les identités managées permettent aux applications de se connecter à des ressources prenant en charge l’authentification Azure Active Directory. Les applications peuvent utiliser des identités managées pour obtenir des jetons Azure AD sans avoir à gérer les informations d’identification.

Avec les identités managées, l’administrateur n’a pas besoin de gérer les informations d’identification, il n’a pas accès à celles-ci.

Il existe deux types d’identités managées :

Éditions

Azure Active Directory propose quatre éditions, chacune apportant un ensemble de fonctionnalités à une entreprise en fonction de sa taille et de ses besoins :

Les trois éditions suivantes sont uniquement disponibles si l’entreprise est détentrice d’un contrat Entreprise ou membre du programme licence en volume Open ou Cloud Solution Provider :

Azure AD Connect

Azure AD Connect est un logiciel gratuit fourni en téléchargement par Microsoft pour permettre à l’administrateur de synchroniser des objets de son Active Directory local dans Azure AD. Il s’installe donc dans votre domaine Active Directory On-Premise, au plus proche d’un contrôleur de domaine mais pas sur ce dernier. Grâce à ce logiciel, l’authentification sur le portail Azure, ou l’utilisation des scripts (Azure PowerShell, Azure CLI) est rendue possible avec le nom d’utilisateur et le mot de passe de domaine Active Directory (compte professionnel) du salarié. L’accès à des services IaaS (par exemple une machine virtuelle Windows Server 2019) ou un service PaaS (gestion d’un blob dans un compte de stockage) est aussi possible via ce type de compte.

Azure AD Connect est livré avec trois composants :

Il existe trois types de réplication des utilisateurs et groupes pris en charge par l’AAD Connect, chacun s’excluant mutuellement :

Azure MFA

L’authentification est l’étape qui permet de vérifier l’identité d’une entité (personne, ordinateur...) afin de lui donner accès à des ressources locales (fichiers, applications...) ou Cloud (Apps).

Traditionnellement, un administrateur s’authentifie sur une ressource grâce à son nom d’utilisateur et son mot de passe. Azure Multi-Factor Authentication (MFA) propose d’ajouter une vérification supplémentaire par le biais d’un smartphone ou d’un moyen biométrique pour valider l’accès à une ressource Cloud.

La phase de vérification fait intervenir un protocole d’authentification. L’authentification simple se base sur un seul élément (exemple : mot de passe) pour authentifier une personne.

L’authentification forte, elle, repose sur au moins deux facteurs parmi ceux-ci :

Trois types de vérification sont supportés par le service MFA :

Vous pouvez utiliser des paramètres de sécurité par défaut pour activer l’authentification multifacteur pour tous les utilisateurs de votre tenant AAD. Même si des paramètres de sécurité par défaut ne sont pas activés pour l’authentification multifacteur, les utilisateurs auxquels est attribué le rôle Administrateur général Azure...

Points essentiels à retenir

Nous avons résumé, puis classé par ordre alphabétique, les principaux sujets de ce chapitre. Ainsi, le lecteur pourra se servir de ce mémento comme d’un pense-bête.

Azure Active Directory

Azure AD Connect

MFA

Tenant