Configurer le comportement de connexion à l’aide de la découverte de domaine d’accueil

• La dernière préversion des cmdlets Azure AD PowerShell.

Nous allons utiliser des applets de commande PowerShell Azure AD dans le cadre de quelques scénarios, dont les suivants :

Nous allons utiliser Microsoft Graph pour parcourir quelques scénarios, notamment :

Dans les exemples suivants, vous créez, mettez à jour, liez et supprimez des stratégies de découverte de domaine d’accueil sur des principaux de service d’application dans Microsoft Entra ID.

1. Avant de commencer, exécutez la commande Connect pour vous connecter à votre compte d'administrateur Microsoft Entra ID :

   Connect-AzureAD -Confirm
   

2. Exécutez la commande suivante pour afficher toutes les stratégies dans votre organisation :

   Get-AzureADPolicy
   

Si aucun résultat n’est retourné, cela signifie qu’aucune stratégie n’est créée dans votre locataire.

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"AccelerateToFederatedDomain`":true}}") -DisplayName BasicAutoAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

POST /policies/homeRealmDiscoveryPolicies

"HomeRealmDiscoveryPolicy": {
    "AccelerateToFederatedDomain": true
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"AccelerateToFederatedDomain`":true, `"PreferredDomain`":`"federated.example.edu`"}}") 
    -DisplayName MultiDomainAutoAccelerationPolicy 
    -Type HomeRealmDiscoveryPolicy

POST /policies/homeRealmDiscoveryPolicies

"HomeRealmDiscoveryPolicy": {
    "AccelerateToFederatedDomain": true,
    "PreferredDomain": [
      "federated.example.edu"
    ]
}

New-AzureADPolicy 
    -Definition @("{`"HomeRealmDiscoveryPolicy`":{`"AllowCloudPasswordValidation`":true}}") 
    -DisplayName EnableDirectAuthPolicy 
    -Type HomeRealmDiscoveryPolicy

POST /policies/homeRealmDiscoveryPolicies

"EnableDirectAuthPolicy": {
    "AllowCloudPasswordValidation": true
}

Pour afficher votre nouvelle stratégie et obtenir son ID d’objet, exécutez la commande ci-après :

Get-AzureADPolicy

Pour appliquer une stratégie de découverte du domaine d’accueil après l’avoir créée, vous pouvez l’affecter à plusieurs principaux de service d’application.

Rechercher le principal de service pour affecter la stratégie

Vous avez besoin de l’ID d’objet des principaux de service auxquels vous souhaitez affecter la stratégie. Il existe plusieurs façons de rechercher l’ID d’objet des principaux de service.

Vous pouvez utiliser le Centre d’administration Microsoft Entra ou interroger Microsoft Graph. Vous pouvez également accéder à l’outil Afficheur Graph et vous connecter à votre compte Microsoft Entra ID pour voir tous les principaux de service de votre organisation.

Étant donné que vous utilisez PowerShell, vous pouvez utiliser la cmdlet suivante pour répertorier les principaux de service et leurs identifiants.

Get-AzureADServicePrincipal

Affecter la stratégie à votre principal de service

Une fois que vous avez l’ID d’objet du principal de service de l’application pour laquelle vous souhaitez configurer l’accélération automatique, exécutez la commande suivante. Cette commande associe la stratégie de découverte du domaine d’accueil que vous avez créée à l’étape 1 au principal de service que vous avez localisé à l’étape 2.

Add-AzureADServicePrincipalPolicy 
    -Id <ObjectID of the Service Principal> 
    -RefObjectId <ObjectId of the Policy>

Vous pouvez répéter cette commande pour chaque principal de service auquel vous souhaitez ajouter la stratégie.

Dans le cas où une stratégie HomeRealmDiscovery est déjà attribuée à une application, vous ne pouvez pas en ajouter une deuxième. Dans ce cas, modifiez la définition de la stratégie de découverte de domaine d’accueil affectée à l’application pour ajouter d’autres paramètres.

Vérifier à quels principaux de services votre stratégie HRD est affectée

Pour déterminer les applications pour lesquelles la stratégie de découverte du domaine d’accueil est configurée, utilisez l’applet de commande Get-AzureADPolicyAppliedObject. Passez-lui l’ID d’objet de la stratégie sur laquelle porte la vérification.

Get-AzureADPolicyAppliedObject -id <ObjectId of the Policy>

Testez l’application pour vérifier que la nouvelle stratégie fonctionne.

répertorier les applications pour lesquelles une stratégie de découverte du domaine d’accueil est configurée

1. Répertorier toutes les stratégies créées dans votre organisation

   Get-AzureADPolicy
   

Notez l’ID d’objet de la stratégie dont vous souhaitez répertorier les affectations.

2. Répertorier les principaux de service auxquels la stratégie est affectée

   Get-AzureADPolicyAppliedObject -id <ObjectId of the Policy>
   

Supprimer une stratégie de découverte du domaine d’accueil dans une application

1. Obtenir l’ID d’objet

   Utilisez l’exemple précédent pour obtenir l’ID d’objet de la stratégie et celui du principal de service d’application dont vous souhaitez la supprimer.

2. Supprimer l’affectation de stratégie du principal de service d’application

   Remove-AzureADServicePrincipalPolicy -id <ObjectId of the Service Principal>  -PolicyId <ObjectId of the policy>
   

3. Vérifier la suppression en listant les principaux de service auxquels la stratégie est affectée

   Get-AzureADPolicyAppliedObject -id <ObjectId of the Policy>
   

Configuration de stratégie via l’Explorateur graphique

Depuis la fenêtre de l’Afficheur Microsoft Graph :

1. Connectez-vous avec l’un des rôles listés dans la section des prérequis.

2. Obtenez le consentement à l’autorisation Policy.ReadWrite.ApplicationConfiguration.

3. Utilisez la stratégie de découverte de l’accueil de domaine pour créer une stratégie.

4. POST la nouvelle politique ou PATCH pour la mise à jour d'une stratégie existante.

   PATCH /policies/homeRealmDiscoveryPolicies/{id}
       {
           "definition": [
           "{\"HomeRealmDiscoveryPolicy\":
           {\"AccelerateToFederatedDomain\":true,
           \"PreferredDomain\":\"federated.example.edu\",
           \"AlternateIdLogin\":{\"Enabled\":true}}}"
       ],
           "displayName": "Home Realm Discovery auto acceleration",
           "isOrganizationDefault": true
       }
   

5. Pour afficher votre nouvelle politique, exécutez la requête suivante :

   GET /policies/homeRealmDiscoveryPolicies/{id}
   

6. Pour affecter la nouvelle stratégie à une application :

   POST /servicePrincipals/{id}/homeRealmDiscoveryPolicies/$ref
   

   Ou,

   POST /servicePrincipals(appId='{appId}')/homeRealmDiscoveryPolicies/$ref
   

7. Répertorier les principaux de service auxquels la stratégie est affectée

   GET /policies/homeRealmDiscoveryPolicies/{ObjectId of the policy}/appliesTo
   

8. Pour supprimer la stratégie HRD que vous avez créée, exécutez la requête :

   DELETE /policies/homeRealmDiscoveryPolicies/{id}
   

9. Supprimer l’affectation de la stratégie du principal de service

   DELETE /servicePrincipals/{id}/homeRealmDiscoveryPolicies/{policyId}/$ref
   

   ou

   DELETE /servicePrincipals(appId='{appId}')/homeRealmDiscoveryPolicies/{policyId}/$ref
   

10. Vérifier la suppression en listant les principaux de service auxquels la stratégie est affectée

    GET /policies/homeRealmDiscoveryPolicies/{ObjectId of the policy}/appliesTo