Comment mettre en place la MFA

Un déploiement MFA bien préparé protège vos comptes sans bloquer les utilisateurs ni submerger votre support informatique. Cette page vous guide en six étapes :

1. Vérifier les prérequis

   • L’agent Station UserLock est installé sur chaque poste de travail et serveur à protéger.

   • Les agents peuvent joindre le serveur UserLock. Voir Communication et protocoles requis et Appliquer les prérequis du pare-feu.

2. Préparer : choisissez les méthodes à proposer et prévoyez l’accompagnement des utilisateurs qui auront besoin d’aide.

3. Informer : indiquez aux utilisateurs quand et comment s’inscrire.

4. Appliquer : créez la stratégie d’accès MFA et testez-la sur un groupe pilote.

5. Assurer le suivi : suivez les inscriptions et aidez les utilisateurs bloqués.

6. Renforcer : protégez les comptes à privilèges, les connexions depuis l’extérieur et les ouvertures de session hors ligne, puis étendez la MFA à d’autres connexions.

Faites ces choix avant de créer la stratégie d’accès MFA :

• Ne proposez que les méthodes nécessaires. Moins de choix, c’est moins de demandes de support. Les utilisateurs choisissent leur méthode lors de l’inscription, et en changer ensuite nécessite une réinitialisation de la MFA. Voir Configurer vos méthodes MFA.

• Laissez les utilisateurs reporter leur inscription de quelques jours. Activez l'option pour permettre d’ignorer la configuration dans la stratégie MFA. Cela évite les blocages et laisse à l’équipe informatique le temps d’aider les utilisateurs qui ne sont pas prêts.

• Activez le bouton « Demander de l’aide ». Les utilisateurs peuvent prévenir l’équipe informatique depuis les fenêtres MFA lorsqu’ils ne parviennent pas à s’inscrire ou à se connecter. Voir Bouton « Demander de l’aide ».

• Commencez par un groupe pilote. Appliquez d’abord la MFA à un petit groupe, par exemple l’équipe informatique, pour valider vos paramètres avant de l’appliquer à toute l’organisation.

• Décidez quand les utilisateurs s’inscrivent. Par défaut, les utilisateurs sont invités à s’inscrire à leur prochaine ouverture de session sur un poste de travail, même si leur stratégie MFA n’exige la MFA que pour certaines connexions, comme les connexions depuis l’extérieur. Pour que les utilisateurs ne soient invités à s’inscrire que lorsque leur stratégie exige la MFA, définissez Forcer l’inscription MFA sur un poste de travail sur Non dans les Paramètres avancés.

Indiquez aux utilisateurs :

• Pourquoi la MFA est mise en place.

• Quand ils seront invités à s’inscrire.

• Comment s’inscrire : partagez le guide d’inscription correspondant à leur méthode.

• Ce qu’il faut avoir sous la main à la prochaine connexion : leur téléphone avec l’application, leur jeton ou leur clé de sécurité.

• Quelle méthode supplémentaire inscrire : une deuxième clé de sécurité, une application d’authentification ou des codes de récupération, selon les méthodes que vous activez.

• Où conserver leurs codes de récupération, si vous les activez : dans un gestionnaire de mots de passe ou sur une copie imprimée rangée en lieu sûr, jamais dans une capture d’écran.

• Qui contacter si l’inscription échoue ou s’ils perdent leur appareil.

Pour les utilisateurs qui travaillent en dehors du réseau de l’entreprise, voir Inscrire les utilisateurs distants à la MFA.

1. Dans la console UserLock, accédez à Stratégies d’accès ▸ Ajouter une stratégie.

2. Suivez les étapes de Configurer une stratégie d’accès jusqu’à la sélection du type de stratégie. Lorsque vous sélectionnez les utilisateurs auxquels la stratégie s’applique, sélectionnez votre groupe pilote.

3. Sélectionnez MFA pour ouvrir le formulaire de la stratégie MFA.

4. Définissez Application de la MFA sur Activé.

5. Sous Mode de configuration, sélectionnez Paramètres distincts par type de session pour définir des règles distinctes pour les sessions Station de travail et Serveur.

6. Définissez le Type de connexion pour chaque type de session.

7. Définissez la Fréquence.

8. Si besoin, activez Permettre d’ignorer la configuration pour faciliter l’inscription.

9. Appliquez la stratégie et testez-la avec votre groupe pilote.

Pour la description de chaque paramètre, voir la référence de la stratégie d’accès Authentification multifacteur (MFA).

Après avoir appliqué la stratégie MFA, vérifiez qui s’est inscrit et qui doit encore le faire.

1. Accédez à Environnement ▸ Utilisateurs et ouvrez l’onglet Audités par UserLock.

2. Sélectionnez Filtres.

3. Sous Conditions, sélectionnez Méthode MFA :

   • Pour lister les utilisateurs sans méthode MFA, sélectionnez Aucun.

   • Pour lister les utilisateurs disposant d’une méthode MFA, sélectionnez N’est pas, puis Aucun.

4. Ajoutez d’autres filtres si nécessaire, puis sélectionnez Appliquer.

5. Consultez la colonne Configuration MFA pour voir les méthodes inscrites par chaque utilisateur.

Pour consulter cette liste régulièrement, enregistrez la vue filtrée.

Le rapport Évènements MFA liste toutes les actions liées à la MFA à travers des vues prédéfinies.

1. Accédez à Rapports ▸ Évènements MFA.

2. Sélectionnez la période. Par défaut, il s’agit des 7 derniers jours.

3. Sélectionnez une vue prédéfinie.

4. Ajoutez des Filtres si nécessaire.

Certains utilisateurs restent bloqués, par exemple lorsqu’ils ne parviennent pas à s’inscrire, perdent leur appareil ou le remplacent. Depuis n’importe quelle vue utilisateur de la console, vous pouvez :

• Désactiver la MFA temporairement pour rétablir l’accès, par exemple si l’utilisateur a oublié son appareil. Choisissez la durée la plus courte possible.

• Réinitialiser la configuration MFA lorsque l’utilisateur doit s’inscrire de nouveau, par exemple après la perte ou le remplacement d’un appareil, d’un jeton ou d’une clé de sécurité. L’utilisateur s’inscrit de nouveau à la connexion suivante, y compris pour une éventuelle deuxième clé de sécurité.

Si vous avez activé le bouton « Demander de l’aide », vous êtes averti par pop-up, par e-mail ou dans la console lorsqu’un utilisateur a besoin d’aide. Toutes les demandes figurent dans Activité ▸ Demandes d’aide MFA, où les mêmes actions sont disponibles.

Si des utilisateurs ont du mal à s’inscrire, partagez le guide d’inscription correspondant à leur méthode.

Les comptes administrateur et les comptes de service disposent de droits élevés et représentent le risque le plus important en cas de compromission.

1. Créez une stratégie MFA dédiée aux utilisateurs à privilèges, par groupe, unité d’organisation ou compte.

2. Exigez la MFA à chaque ouverture de session pour tous les types de session.

Les intrusions réseau commencent souvent par des identifiants volés utilisés depuis l’extérieur de l’organisation.

1. Créez une stratégie MFA permanente pour le groupe Tout le monde (Everyone).

2. Dans Type de connexion, sélectionnez De l’extérieur.

3. Définissez la fréquence MFA :

   • Sessions Station de travail : à chaque connexion

   • Autres sessions : une fois par adresse IP (première connexion de la journée)

Toute connexion depuis l’extérieur du réseau exige alors la MFA.

Pour que les utilisateurs restent protégés lorsqu’ils travaillent hors du réseau de l’entreprise :

• Configurez UserLock Anywhere pour que les agents puissent joindre le service UserLock via Internet lorsqu’aucune connexion LAN ou VPN n’est disponible.

• Si possible, permettez aux utilisateurs de se connecter au VPN depuis l’écran de connexion Windows, afin que l’agent joigne le service avant l’authentification. Voir Connect to VPN before logon (en anglais).

• Lorsqu’aucune connexion réseau n’est disponible, exigez la MFA hors ligne :

  1. Accédez à ⚙️ Paramètres serveur ▸ Général.

  2. Repérez Connexions sans UserLock.

  3. Définissez ce paramètre sur Demander la MFA ou Forcer la MFA, selon vos besoins de sécurité.

Les utilisateurs déjà inscrits à la MFA qui se sont connectés au moins une fois en étant reliés au réseau de l’entreprise sont alors invités à valider la MFA, même hors ligne. Avec une clé de sécurité FIDO2, la connexion hors ligne ne fonctionne que sur un ordinateur où l’utilisateur s’est déjà connecté en ligne avec cette clé, et l’utilisateur saisit toujours le code PIN de la clé.

UserLock peut aussi exiger la MFA sur d’autres connexions. Chacune a ses propres prérequis :

• VPN : exigez la MFA pour les connexions VPN via l’agent NPS UserLock.

• Authentification unique (SSo) : exigez la MFA lorsque les utilisateurs se connectent à des applications SaaS et web via le SSO.

• Applications IIS : protégez des applications web comme Outlook Web Access ou RD Web.

• Invites UAC : exigez la MFA lorsque les utilisateurs effectuent des actions qui nécessitent le consentement d’un administrateur.

• RemoteApp : exigez la MFA lorsque les utilisateurs lancent des applications publiées ou s’y reconnectent.

• RD Gateway : sécurisez l’accès Bureau à distance via les serveurs passerelles.