Fournisseur d’identité Azure Active Directory

1. Introduction

Microsoft, voulant moderniser et sécuriser l’identité, offre une nouvelle gamme/famille de produits qui permet aux entreprises et clients de simplifier et de sécuriser la gestion de leur identité.

Microsoft Entra est essentiellement basé sur des fonctionnalités provenant d’Azure Active Directory telles que la gestion du cycle de vie des identités ou encore la protection des identités dites « Managed Identities ». Cependant, Microsoft Entra embarque aussi deux nouveaux produits qui sont :

Comme on peut le voir sur le schéma suivant, Microsoft Entra va permettre une souplesse au niveau de la gestion, une modernisation au niveau de la sécurité et une facilité au niveau de la gouvernance et du cycle de vie de l’identité. Microsoft Entra embarque plusieurs fonctionnalités permettant aux identités d’être mieux gérées de manière centralisée et efficiente.

Comme son nom l’indique, il faut voir cette famille de produits comme un point d’entrée permettant de donner aux utilisateurs la possibilité de consommer les services et applications de l’entreprise de manière simplifiée et sécurisée.

Do more with less, ceci rejoint la nouvelle stratégie de Microsoft évoquée lors des Ignites en octobre 2022 à Seattle : faire plus avec le moins d’investissement et de produits possible.

Microsoft Entra permet aux entreprises de :

1. Azure Active Directory

C’est la pièce centrale de cette suite. Azure Active Directory, comme vous le savez, permet de gérer l’identité de tous les utilisateurs du système d’information. Cette identité peut être hébergée dans le cloud ou alors étendue depuis un annuaire Active Directory local.

Azure Active Directory est le pilier de toute la stratégie de sécurité cloud Microsoft, : cette brique gère les identités mais aussi les accès aux ressources et la sécurité avec les principes du Zero Trust.

Le schéma ci-dessous présente Azure AD avec une identité étendue depuis un annuaire Active Directory local, permettant alors de synchroniser ses utilisateurs dans Azure AD afin qu’ils puissent profiter des services cloud :

2. Azure...

1. Présentation d’Azure Active Directory

L’annuaire Active Directory de Microsoft, aujourd’hui mondialement connu, permet de stocker des informations (utilisateurs, ordinateurs, groupes, unités d’organisation) et fournit un moyen d’authentification centralisé aux ressources au sein d’un système d’information.

Azure Active Directory est aussi un annuaire, mais sa particularité est d’être basé sur le cloud Azure de Microsoft. Il est également capable de contenir plusieurs informations comme :

Contrairement à un annuaire Active Directory classique, Azure AD permet aux utilisateurs de posséder une identité dans le cloud afin qu’ils puissent consommer des ressources cloud telles que Microsoft 365, des services cloud ou encore des applications en mode SaaS.

Un annuaire Azure AD permet de distinguer un locataire (tenant) dans le cloud ; chaque annuaire Azure AD est bien entendu distinct et indépendant.

L’annuaire Azure AD permet aux utilisateurs de s’authentifier auprès des services cloud Microsoft et non Microsoft. Prenons l’exemple de EMS, cette suite se base sur Azure AD, point central de cette brique, car pour qu’un utilisateur puisse s’enregistrer au niveau du service AIP, il doit disposer d’une identité dans Azure AD.

Autre exemple avec Microsoft 365 : afin qu’un utilisateur puisse consommer le service Exchange Online, disposer d’une adresse et envoyer des e-mails, il est obligé de posséder...

1. Différences entre AD DS et Azure Active Directory

Active Directory Domain Services est bien différent d’Azure Active Directory. AD DS est l’annuaire que nous connaissons tous, qui existe depuis très longtemps au sein des entreprises et dont la principale tâche est de stocker des objets tels que des utilisateurs, des groupes, des ordinateurs, des imprimantes.

Ces objets peuvent être regroupés dans des UO (Unité Organisationnelle) qui, elles-mêmes, permettent d’appliquer des GPO (Group Policy Object) afin de fixer des paramètres utilisateurs ou ordinateurs, ou encore restreindre certaines actions afin de protéger le système d’information.

Cet annuaire permet donc aux utilisateurs, ordinateurs, d’accéder aux ressources de l’entreprise via une authentification. Chaque domaine Active Directory est géré par, au moins, un contrôleur de domaine, afin de garantir la disponibilité du service.

Azure Active Directory est un annuaire qui permet également de stocker des informations comme des utilisateurs, ordinateurs. En revanche, il n’est pas capable de gérer des UO. Il est également impossible de le configurer via des contrôleurs de domaine.

Azure Active Directory offre aux utilisateurs membres d’un Active Directory local la possibilité de posséder une identité dans le cloud via une extension. Grâce à cela, ils pourront consommer des ressources internes via l’Active Directory local et des services cloud.

Azure Active...

1. Scénarios d’usage

Pourquoi étendre son Active Directory vers Azure Active Directory ?

Plusieurs scénarios utilisant des services connus du grand public par leur nom ou par leurs usages sont applicables à cette architecture d’identité hybride étendue vers le cloud Microsoft Azure Active Directory.

Nous allons ici décrire quelques exemples de scénarios.

1. Préparation du bac à sable

Dans cette section, nous allons préparer le bac à sable qui va vous permettre de suivre et d’effectuer toutes les actions présentes dans ces pages.

Le bac à sable comporte plusieurs parties :