UserLock vs Duo MFA : quelle MFA pour Active Directory sur site ?

Conçu pour les environnements bâtis autour d'Active Directory, UserLock ajoute l'authentification multifacteur (MFA) aux comptes utilisateurs AD existants, au niveau de la couche d'authentification AD. Duo ajoute la MFA via son annuaire cloud, qui conserve une copie synchronisée de vos utilisateurs. Si vous comparez UserLock et Duo, cette différence d'architecture détermine la solution la plus adaptée à votre environnement.

Duo est un choix courant lorsque les identités sont déjà dans Entra ID ou un autre fournisseur d'identité cloud. UserLock s'impose lorsque tout doit rester sur site, dans les environnements isolés (air gap), ou lorsque l'application de règles précises au niveau des sessions est essentielle. Nous comparons ici les deux solutions pour les équipes dont AD reste l'annuaire d'identités principal.

UserLock s'installe sur votre réseau et lit AD directement. Les règles s'appuient sur vos utilisateurs, groupes et unités d'organisation existants. Lorsque vous désactivez un compte ou changez un utilisateur de groupe, UserLock en tient compte immédiatement. Un utilisateur désactivé perd l'accès tout de suite, pas à la prochaine synchronisation. Il n'y a pas de second annuaire à maintenir.

Duo fonctionne dans le cloud. Pour utiliser AD, vous installez le Duo Authentication Proxy sur un serveur de votre réseau. Il lit AD et envoie les informations sur les utilisateurs et les groupes au cloud Duo (les mots de passe ne sont pas copiés). Par défaut, cette synchronisation a lieu deux fois par jour. Vous pouvez activer une fréquence plus élevée ou cliquer sur « Sync Now », mais il s'agit toujours d'une copie à gérer en parallèle d'AD.

Pour un petit parc d'utilisateurs stable, le délai de synchronisation compte peu. Pour les organisations avec beaucoup d'arrivées, de départs et de changements de poste, ou dont les auditeurs demandent en combien de temps un accès est révoqué, il compte.

Duo Legacy AD Protection est le produit Duo le plus proche de UserLock. Il ajoute la MFA aux ouvertures de session Kerberos et NTLM en installant un filtre sur chaque contrôleur de domaine. Sa principale limite concerne les méthodes MFA : il ne prend en charge que Duo Push et l'appel téléphonique, et aucune des deux ne résiste au phishing.

La MFA UserLock fonctionne sans connexion internet. Elle convient aux sites déconnectés, aux réseaux de la défense et du secteur public, et aux environnements isolés. L'administrateur choisit le comportement hors ligne une fois, dans un paramètre global : toujours autoriser la connexion, demander la MFA, forcer la MFA ou toujours refuser. Les utilisateurs déjà enrôlés n'ont rien de plus à configurer.

Duo doit joindre son service cloud sur le port 443 pour authentifier. Un accès hors ligne existe pour Windows Logon, avec des limites :

• L'utilisateur doit d'abord s'authentifier en ligne, puis s'enrôler pour l'accès hors ligne.

• Chaque utilisateur peut enregistrer un seul authentificateur hors ligne : Duo Mobile ou une clé U2F (U2F pour les ouvertures de session locales uniquement).

• Par défaut, cinq utilisateurs peuvent s'enrôler par machine (jusqu'à 50 après configuration).

• Duo indique que l'accès hors ligne en RDP n'est ni officiellement pris en charge ni testé.

C'est là que les deux produits diffèrent le plus. Duo pour Windows Logon applique la MFA à toutes les ouvertures de session interactives, ou au RDP uniquement.

UserLock permet de définir la MFA et les règles d'accès par type de session : poste de travail, serveur, RDP, VPN, IIS et UAC. Vous pouvez exiger la MFA pour les sessions à distance et pas au bureau, ou l'inverse. Vous pouvez aussi :

• Limiter les sessions simultanées par utilisateur, ce qui bloque le partage d'identifiants et complique la réutilisation de jetons de session volés

• Restreindre l'accès par machine, plage d'adresses IP et horaire

• Voir et fermer les sessions actives en temps réel

• Vos identités sont déjà dans Entra ID, Okta ou un autre fournisseur d'identité cloud

• L'essentiel à protéger, ce sont des applications SaaS et cloud

• Vous voulez la confiance des appareils et des politiques basées sur le risque dans le même outil

• Vous utilisez déjà des produits de sécurité Cisco

• Active Directory reste votre annuaire d'identités principal, sur site ou en hybride

• Vous avez besoin de la MFA sur l'ouverture de session Windows, RDP, VPN, RD Gateway ou IIS sans migrer vos identités

• Vos utilisateurs à distance se connectent hors domaine, sans VPN

• Vous gérez des sites hors ligne ou des réseaux isolés

• Vous avez besoin de contrôles au niveau des sessions pour garder une sécurité légère, ou pour la conformité avec des référentiels comme NIS2, ISO 27001, PCI DSS ou HIPAA

Duo affiche Essentials à 3 $ US, Advantage à 6 $ US et Premier à 9 $ US par utilisateur et par mois, avec une offre gratuite jusqu'à 10 utilisateurs. Les licences sont vendues par lots de 10 en dessous de 100 utilisateurs, et par lots de 25 au-delà.

UserLock est un abonnement annuel calculé par utilisateur actif. Voir les tarifs UserLock.

Non. UserLock s'installe sur votre réseau et lit AD directement : pas de proxy à configurer, pas d'annuaire à synchroniser. Les agents se déploient automatiquement sur vos machines.

Oui. L'administrateur définit comment UserLock traite les connexions hors ligne, y compris en exigeant la MFA. Les utilisateurs déjà enrôlés n'ont rien de plus à configurer.

Oui. Duo synchronise les utilisateurs d'AD vers son cloud via le Duo Authentication Proxy. AD reste votre annuaire, mais Duo conserve sa propre copie des utilisateurs et des groupes.

En partie. Duo pour Windows Logon prend en charge l'accès hors ligne pour les utilisateurs enrôlés avec Duo Mobile ou une clé U2F. Chaque utilisateur doit d'abord se connecter en ligne, et le RDP hors ligne n'est pas officiellement pris en charge.

Non. UserLock s'appuie sur AD et utilise vos utilisateurs, groupes et unités d'organisation existants.