Inscrire les utilisateurs distants à la MFA
Permettez aux utilisateurs hors réseau de s’inscrire à la MFA via UserLock Anywhere, un VPN, RD Gateway, des applications IIS ou UserLock VPN Connect.
Les utilisateurs qui travaillent en dehors du réseau de l’entreprise s’inscrivent à la MFA via la connexion qu’ils utilisent. Ils ne peuvent choisir que parmi les méthodes que vous activez : voir Configurer vos méthodes MFA.
Connexion | Début de l’inscription | Méthodes que les utilisateurs peuvent inscrire |
|---|---|---|
Poste de travail depuis l’extérieur (UserLock Anywhere) | À l’ouverture de session Windows | Toutes les méthodes |
Ordinateur portable avec une connexion VPN active | Au déverrouillage de la session | Toutes les méthodes |
UserLock VPN Connect | Au démarrage de la connexion VPN | Notifications Push, Application d’authentification (TOTP) |
Application web IIS | Au premier accès à l’application | Notifications Push, Application d’authentification (TOTP), Clés de sécurité FIDO2 |
RD Gateway | À l’ouverture de la session Bureau à distance | Notifications Push, Application d’authentification (TOTP), Clés de sécurité FIDO2 |
L’application d’authentification (TOTP) inclut les jetons programmables Token2.
Note
Les clés USB (HOTP), comme les YubiKey et les clés HOTP Token2, ne peuvent être inscrites que depuis une session ouverte directement sur l’ordinateur. Les utilisateurs distants peuvent les inscrire depuis un poste de travail hors du réseau ou pendant une connexion VPN, mais pas via RD Gateway, une application web ni UserLock VPN Connect.
L’agent Station UserLock joint le serveur UserLock via l’URL publique de UserLock Anywhere. Si l’utilisateur n’est pas encore inscrit, la fenêtre d’inscription s’affiche à l’ouverture de session Windows.
Prérequis :
L’agent Station UserLock installé sur le poste de travail.
UserLock Anywhere configuré avec une URL publique. Voir Installer et configurer UserLock Anywhere IIS.
Un accès à Internet sur le poste de travail.
Pour inscrire l’utilisateur :
Appliquez une stratégie MFA à l’utilisateur. Voir Créer la stratégie d’accès MFA.
Demandez à l’utilisateur d’ouvrir une session Windows hors du réseau et de suivre le guide d’inscription correspondant à sa méthode.
Si un ordinateur portable de l’entreprise est déjà hors du réseau quand vous activez la MFA, l’utilisateur peut s’inscrire pendant une connexion VPN. L’inscription démarre quand l’utilisateur déverrouille sa session.
Prérequis :
L’agent Station UserLock installé sur l’ordinateur portable.
Une connexion VPN au réseau de l’entreprise.
Une session ouverte directement sur l’ordinateur portable, et non via le Bureau à distance.
Pour inscrire l’utilisateur :
Appliquez une stratégie MFA à l’utilisateur. Voir Créer la stratégie d’accès MFA.
Demandez à l’utilisateur de se connecter au VPN, puis de verrouiller et déverrouiller sa session. Le déverrouillage démarre l’inscription.
Quand un utilisateur se connecte avec UserLock VPN Connect sans être encore inscrit, une fenêtre de navigateur s’ouvre pour le guider dans l’inscription.
Prérequis :
UserLock VPN Connect installé et configuré. Voir Installer UserLock VPN Connect.
Un navigateur web sur l’ordinateur de l’utilisateur.
Pour inscrire l’utilisateur :
Appliquez une stratégie MFA à l’utilisateur. Voir Créer la stratégie d’accès MFA.
Demandez à l’utilisateur de démarrer la connexion VPN dans UserLock VPN Connect et de suivre les étapes dans la fenêtre du navigateur.
Quand un utilisateur ouvre une application web protégée par la MFA UserLock sans être encore inscrit, la page d’inscription s’ouvre dans le navigateur.
Prérequis :
L’agent IIS et l’application UserLock IIS MFA. Voir Applications IIS.
Pour les clés de sécurité FIDO2, une URL publique de l’application MFA IIS dans le domaine du Relying Party ID. Voir Activer les clés de sécurité FIDO2.
Pour inscrire l’utilisateur :
Appliquez une stratégie MFA à l’utilisateur pour les sessions IIS. Voir Créer la stratégie d’accès MFA.
Demandez à l’utilisateur d’ouvrir l’application web et de suivre les étapes d’inscription dans le navigateur.
Quand un utilisateur ouvre une session Bureau à distance via RD Gateway sans être encore inscrit, la fenêtre d’inscription s’affiche à l’ouverture de la session.
Prérequis :
La MFA configurée pour les sessions RD Gateway. Voir RD Gateway.
Un accès Bureau à distance via la passerelle.
Pour les clés de sécurité FIDO2, un hôte de session et un client Bureau à distance qui prennent en charge la redirection des clés de sécurité. Voir FAQ > Clés de sécurité FIDO2.
Pour inscrire l’utilisateur :
Appliquez une stratégie MFA à l’utilisateur. Voir Créer la stratégie d’accès MFA.
Demandez à l’utilisateur de se connecter via RD Gateway et de suivre le guide d’inscription correspondant à sa méthode.