Stratégie d’authentification d’identité du terminal
L’authentification des terminaux peut demander une seconde vérification d’identité après une connexion, un déverrouillage ou une connexion à distance sur un terminal géré. L’administrateur peut limiter les utilisateurs ou groupes de gestion des identités autorisés et consulter les succès, échecs, verrouillages et déconnexions. L’activité des comptes décrit les sessions de compte du terminal et ne remplace pas le résultat de cette seconde vérification.
Préparation
- La consultation des enregistrements existants nécessite le droit de consultation des terminaux ; l’export nécessite en plus le droit correspondant. Modifier une politique exige le droit de configuration. Pour un nouvel essai, vérifiez la licence requise, l’inscription et la visibilité du terminal pilote ainsi que sa capacité à recevoir la politique et transmettre les événements.
- Préparez un utilisateur pilote actif de gestion des identités. Vérifiez ses identifiants, son groupe et sa méthode d’authentification selon les exigences de l’organisation. Le périmètre de terminaux de la stratégie et celui des utilisateurs ou groupes autorisés sont distincts : appliquer la stratégie à un terminal n’autorise pas automatiquement tous les utilisateurs.
- L’authentification affecte l’accès au terminal. Choisissez d’abord un terminal Windows pilote maintenable sur place, informez les utilisateurs concernés et confirmez une procédure de rétablissement approuvée ainsi qu’une fenêtre de maintenance. Ne déployez pas sur tous les terminaux sans essai et ne saisissez pas plusieurs fois de mauvais identifiants uniquement pour produire des échecs.
Configurer une stratégie pilote
- Dans la gestion des terminaux, ouvrez Policy, créez ou modifiez une stratégie approuvée, nommez-la et limitez son périmètre aux terminaux pilotes. Avant de modifier une stratégie existante, vérifiez son effet sur les autres terminaux.
- Activez Authentication et sélectionnez Settings. Choisissez les identités autorisées : Allow all users supprime la restriction par utilisateur ou groupe ; sinon, sélectionnez les utilisateurs ou groupes approuvés dans le sélecteur de périmètre. Autoriser tout le monde pour un simple essai peut élargir l’accès et nécessite l’approbation de l’organisation.
- Définissez des valeurs positives pour Maximum Failed Attempts et Lockout Duration (seconds). Les valeurs initiales sont respectivement 5 et 300 ; une stratégie existante peut différer. Tenez compte des exigences de sécurité et du rétablissement, car ces réglages influencent les tentatives suivantes.
- Enregistrez séparément la sélection des utilisateurs ou groupes, les paramètres d’authentification et la stratégie entière. Rouvrez-la pour vérifier les périmètres de terminaux et d’identités, l’activation et les valeurs. L’enregistrement ne prouve pas que le terminal a reçu et appliqué la stratégie.
Lors du changement de périmètre des identités : activer Allow all users efface les utilisateurs et groupes sélectionnés dans les paramètres en cours. Si vous désactivez ensuite cette option, la sélection précédente n’est pas restaurée automatiquement : sélectionnez à nouveau les identités approuvées. Pour abandonner ces modifications, annulez la fenêtre des paramètres d’authentification. Après avoir enregistré ces paramètres, vérifiez et enregistrez aussi la stratégie complète.
Export et dépannage
Export crée un CSV contenant uniquement la page actuelle chargée selon les filtres actifs, et non toutes les pages correspondantes. Pour couvrir toute la période, vérifiez et exportez chaque page séparément. Contrôlez date, filtres et page avant l’export, puis vérifiez le fichier et protégez les données de compte conformément aux règles de l’organisation.
Si le résultat attendu manque, contrôlez la licence et la visibilité de l’administrateur, le périmètre de terminaux, les utilisateurs ou groupes autorisés, l’activation et la réception de la stratégie. Vérifiez ensuite l’invite, la date et les filtres, le fonctionnement du client et la remontée. En cas d’échec, utilisez la raison affichée, par exemple utilisateur non autorisé, compte désactivé ou identifiants erronés. N’autorisez pas tous les utilisateurs et ne supprimez pas l’exigence d’identité pour un simple dépannage.
Mis à jour le