Gestion des appareils

Introduction

Comme les utilisateurs, les appareils et applications doivent être gérés. Cette gestion doit être bien entendu sécurisée, mobile pour offrir plus de productivité aux utilisateurs de son entreprise, et industrielle afin d’offrir aux équipes informatiques de bons outils de travail pour l’administration ou encore le dépannage.

Le but est d’offrir un monde mobile et sécurisé, comme le dit si bien le PDG de Microsoft "Cloud First - Mobile first" ; bien entendu, qui dit cloud et monde mobile, dit forcément problématiques de sécurité à traiter. Azure Active Directory comme évoqué précédemment, fait partie de la suite EMS Enterprise Mobility + Security et de Microsoft Entra qui va permettre aux entreprises de gérer leurs utilisateurs, leurs appareils (stations de travail, téléphones mobiles) de manière centralisée et sécurisée tout en offrant de la mobilité.

Bien évidemment, pour avoir de la gestion globale au niveau des appareils, il faudra aussi aborder la partie Microsoft Intune. Dans cet ouvrage, nous allons couvrir uniquement la partie Azure Active Directory/Microsoft Entra.

Comme vous le savez sans doute, dans Active Directory, il est possible de joindre des machines Windows, ce qui veut dire que si la machine est jointe au domaine, celle-ci aura accès aux ressources du domaine et va bénéficier de toutes les politiques de sécurité liées à ce domaine Active Directory. Nous allons voir la même approche côté cloud avec Azure Active Directory.

Inscription d’appareils - Azure AD Registration

L’inscription d’un appareil dans Azure Active Directory est ce qu’on appelle en anglais l’Azure Active Directory Device Registration. Elle permet de gérer le périphérique durant tout son cycle de vie. Afin de pouvoir enregistrer un appareil dans Azure Active Directory, il est nécessaire de fournir une identité d’utilisateur déjà présente dans l’annuaire Azure Active Directory.

Ce scénario permet aux entreprises de répondre aux problématiques du BYOD (Bring Your Own Device) et ainsi d’accepter les périphériques personnels des utilisateurs, Windows 10, 11 par exemple, ou un téléphone mobile iOs ou Android. Ils accèdent ainsi aux applications de l’entreprise de manière sécurisée, car grâce à cette inscription dans Azure Active Directory, l’entreprise peut contrôler le niveau de sécurité de ces appareils.

Il est important de rappeler qu’il n’est pas nécessaire d’avoir un compte professionnel pour se connecter sur un appareil enregistré dans Azure Active Directory.

Systèmes d’exploitation pris en charge par les inscriptions des appareils dans Azure AD :

Jonction d’appareils - Azure AD Join

Joindre un appareil dans Azure Active Directory est ce qu’on appelle en anglais l’Azure Active Directory Azure AD Joined Devices. Il s’agit d’une suite logique à l’inscription d’appareils ; elle en offre tous les avantages et permet en outre d’ajouter des comptes utilisateurs Azure Active Directory au sein des utilisateurs locaux de la machine, afin qu’ils puissent ouvrir une session Windows sans utiliser leur compte personnel par exemple.

Les avantages supplémentaires offerts par la jonction d’appareils dans Azure Active Directory (Azure AD Join) sont les suivants :

La jonction d’appareils dans Azure Active Directory est destinée aux entreprises qui souhaitent s’affranchir d’infrastructures on-premise telles qu’un Active Directory local et qui utilisent leurs services depuis le cloud, notamment la partie identité. Nous verrons ultérieurement que cette jonction d’appareils dans Azure Active Directory fonctionne en full cloud ou en mode hybride.

Systèmes d’exploitation supportant l’Azure Active Directory Joined :

Une fois leurs appareils joints dans Azure AD, les utilisateurs peuvent se connecter de plusieurs façons à leurs machines :

Pour quel scénario avons-nous besoin de l’Azure...

Appareils hybrides dans Azure Active Directory

Nous avons traité jusqu’à présent l’inscription (device registration) et la jonction d’appareils (Azure AD Join), dans le cloud. Comme évoqué précédemment, ces scénarios sont faits pour les entreprises qui souhaitent déplacer leur infrastructure vers le cloud, notamment la partie identité avec Azure Active Directory. En revanche, quelle solution proposer à une entreprise souhaitant conserver son système d’identité (Active Directory local) et profiter des services Azure Active Directory ?

Dans ce cas, Microsoft propose à ces entreprises la possibilité d’hybrider la jonction de leurs appareils, c’est-à-dire d’avoir la possibilité de joindre une machine Windows 10 ou 11 par exemple à un domaine Active Directory et à Azure Active Directory en même temps.

Les jetons PRT

Les jetons PRT (Primary Refresh Token) permettent aux utilisateurs d’avoir du SSO sur les applications utilisées au niveau des appareils Windows, iOS ou Android qui sont dans Azure Active Directory.

Les token PRT sont émis en fonction de deux scénarios :

Un jeton PRT contient les informations suivantes :

On peut voir cela dans les logs Azure Active Directory :

Il est possible de voir la présence du token PRT dans une machine Windows 10/11 par exemple avec la commande suivante :

Dsregcmd /status 

On peut voir ici le token PRT présent sur ma machine :

Il est également important de rappeler que dans le cadre d’une machine jointe à Azure AD via Azure AD joined ou Azure AD hybrid joined, le token PRT est émis lors de l’ouverture de session Windows, c’est-à-dire quand l’utilisateur se connecte avec son identifiant + mot de passe dans sa session Windows.

Ce token a une durée de validité...