Authentification et accès conditionnel pour External ID

S’applique à : Locataires de main-d’œuvre Locataires externes (en savoir plus)

Lorsqu’un utilisateur externe accède à des ressources de votre organisation, le flux d’authentification est déterminé par la méthode de collaboration (collaboration B2B ou connexion directe B2B), le fournisseur d’identité de l’utilisateur (un locataire externe Microsoft Entra, un fournisseur d’identité sociale, etc.), les stratégies d’accès conditionnel et les paramètres d’accès multilocataire configurés à la fois dans le locataire d’origine de l’utilisateur et dans les ressources d’hébergement du locataire.

Cet article décrit le flux d’authentification des utilisateurs externes qui accèdent aux ressources de votre organisation. Les organisations peuvent appliquer plusieurs stratégies d’accès conditionnel à leurs utilisateurs externes au niveau du locataire, de l’application ou de l’utilisateur, de la même façon qu’elles sont appliquées aux employés à plein temps et aux membres de l’organisation.

Flux d’authentification pour les utilisateurs externes de Microsoft Entra

Le diagramme suivant illustre le flux d’authentification lorsqu’une organisation Microsoft Entra partage des ressources avec des utilisateurs d’autres organisations Microsoft Entra. Ce diagramme montre comment les paramètres d’accès multilocataire fonctionnent avec les stratégies d’accès conditionnel, telles que l’authentification multifacteur, pour déterminer si l’utilisateur peut accéder aux ressources. Ce flux s’applique à la collaboration B2B et à la connexion directe B2B, sauf dans les cas indiqués à l’étape 6.

Pour plus d’informations, consultez la section Accès conditionnel pour les utilisateurs externes.

Flux d’authentification pour les utilisateurs externes non-Azure AD

Lorsqu’une organisation Microsoft Entra ID partage des ressources avec des utilisateurs externes dont le fournisseur d’identité n’est pas Microsoft Entra ID, le flux d’authentification varie selon que l’utilisateur s’authentifie auprès d’un fournisseur d’identité ou avec une authentification par code secret à usage unique envoyé par e-mail. Dans les deux cas, le locataire de la ressource identifie la méthode d’authentification à utiliser, puis redirige l’utilisateur vers son fournisseur d’identité ou émet un code secret à usage unique.

Exemple 1 : Flux et jeton d’authentification pour un utilisateur externe non-Azure AD

Le diagramme suivant illustre le flux d’authentification lorsqu’un utilisateur externe se connecte avec un compte d’un fournisseur d’identité non-Azure AD, comme Google, Facebook ou un fournisseur d’identité SAML/WS-Fed fédéré.

Exemple 2 : Flux et jeton d’authentification pour un utilisateur avec un code secret à usage unique

Le diagramme suivant montre le flux lorsque l’authentification par code secret à usage unique envoyé par e-mail est activée et que l’utilisateur externe n’est pas authentifié par d’autres moyens, par exemple Microsoft Entra ID, un compte Microsoft (MSA) ou fournisseur d’identité sociale.

Accès conditionnel pour les utilisateurs externes

Les organisations peuvent appliquer des stratégies d’accès conditionnel pour les utilisateurs externes de la collaboration B2B et de la connexion directe B2B, en procédant de la même façon que pour les salariés à temps plein et les membres de l’organisation. Avec l’introduction des paramètres d’accès inter-locataire, vous pouvez également approuver les revendications MFA et d’appareil des organisations Microsoft Entra externes. Cette section décrit des points importants à prendre en compte pour appliquer un accès conditionnel aux utilisateurs externes à votre organisation.

Affectation de stratégies d’accès conditionnel aux types d’utilisateurs externes

Lors de la configuration d’une stratégie d’accès conditionnel, vous avez un contrôle précis sur les types d’utilisateurs externes auxquels vous souhaitez appliquer la stratégie. Les utilisateurs externes sont catégorisés en fonction de la façon dont ils s’authentifient (en interne ou en externe) et de leur relation avec votre organisation (invité ou membre).

• Utilisateurs invités B2B Collaboration : la plupart des utilisateurs qui sont généralement considérés comme invités tombent dans cette catégorie. Cet utilisateur B2B Collaboration dispose d’un compte dans une organisation Microsoft Entra externe ou un fournisseur d’identité externe (par exemple une identité sociale) et possède des autorisations au niveau de l’invité dans votre organisation. L’objet utilisateur créé dans votre répertoire Microsoft Entra a pour UserType Invité. Cette catégorie inclut les utilisateurs B2B Collaboration qui ont été invités et qui ont utilisé l’inscription en libre-service.
• Utilisateurs membres de B2B Collaboration : cet utilisateur B2B Collaboration dispose d’un compte dans une organisation Microsoft Entra externe ou un fournisseur d’identité externe (par exemple une identité sociale), et possède un accès au niveau du membre aux ressources de votre organisation. Ce scénario est courant dans les organisations qui se composent de plusieurs locataires, où les utilisateurs sont considérés comme faisant partie de l’organisation au sens large et ont besoin d’un accès au niveau du membre aux ressources des autres locataires de l’organisation. L’objet utilisateur créé dans le répertoire ressource Microsoft Entra a pour UserType Membre.
• Utilisateurs de connexion directe B2B : utilisateurs externes qui peuvent accéder à vos ressources via la connexion directe B2B, qui est une connexion mutuelle bidirectionnelle avec une autre organisation Microsoft Entra qui autorise l’accès à certaines applications Microsoft (actuellement, les canaux partagés Microsoft Teams Connect). Les utilisateurs de connexion directe B2B n’ont pas de présence dans votre organisation Microsoft Entra, mais sont plutôt gérés à partir de l’application (par exemple, par le propriétaire du canal partagé Teams).
• Utilisateurs invités locaux : les utilisateurs invités locaux ont des informations d’identification gérées dans votre répertoire. Avant que B2B Collaboration de Microsoft Entra ne soit disponible, il était courant, dans le but de collaborer avec des distributeurs, fournisseurs, prestataires et autres, de configurer pour eux des informations d’identification internes et de les désigner comme invités en définissant l’objet utilisateur UserType sur Invité.
• Utilisateurs du fournisseur de services : les organisations qui servent de fournisseurs de services cloud pour votre organisation (la propriété isServiceProvider dans la configuration spécifique au partenaire Microsoft Graph est vraie).
• Autres utilisateurs externes : s’applique aux utilisateurs qui ne sont pas dans ces catégories, mais qui ne sont pas considérés comme des membres internes de votre organisation, ce qui signifie qu’ils ne s’authentifient pas en interne via Microsoft Entra ID, et l’objet utilisateur créé dans le répertoire Microsoft Entra de ressource n’a pas un UserType de membre.

En savoir plus sur les attributions aux utilisateurs de l’accès conditionnel.

Comparaison des stratégies d’accès conditionnel d’ID externe

Le tableau suivant fournit une comparaison détaillée de la stratégie de sécurité et des options de conformité des ID externes de Microsoft Entra. La stratégie de sécurité et la conformité sont gérées par l’organisation hôte/qui invite dans le cadre de stratégies d’accès conditionnel.

MFA pour les utilisateurs externes de Microsoft Entra

Dans un scénario utilisateurs externes multilocataire Microsoft Entra l’organisation des ressources peut créer des stratégies d’accès conditionnel qui exigent la MFA ou une conformité d’appareil pour tous les utilisateurs invités et externes. En règle générale, un utilisateur B2B Collaboration qui accède à une ressource doit ensuite configurer son MFA Microsoft Entra auprès du locataire de la ressource. Toutefois, Microsoft Entra ID offre désormais la possibilité d’approuver les revendications MFA d’autres locataires Microsoft Entra. L’activation de l’approbation MFA auprès d’un autre locataire simplifie le processus de connexion pour les utilisateurs de la collaboration B2B, et permet l’accès aux utilisateurs de la connexion directe B2B.

Si vous avez configuré vos paramètres d’approbation entrant pour accepter les revendications authentification multifacteur à partir d’un locataire B2B Collaboration ou connexion directe B2B, Microsoft Entra ID vérifie la session d’authentification de l’utilisateur. Si la session contient une revendication indiquant que les stratégies authentification multifacteur ont déjà été remplies dans le locataire d’accueil de l’utilisateur, l’utilisateur reçoit une authentification transparente à votre ressource partagée.

Si l’approbation MFA n’est pas activée, l’expérience utilisateur diffère pour les utilisateurs de la collaboration B2B et les utilisateurs de la connexion directe B2B :

• Utilisateurs B2B Collaboration: si l’organisation de ressources n’active pas l’approbation authentification multifacteur avec le locataire de base de l’utilisateur, l’utilisateur est confronté à un défi authentification multifacteur de l’organisation des ressources. (Le flux est identique au flux MFA pour les utilisateurs externes qui ne sont pas membres d’Azure AD.)

• Utilisateurs connexion directe B2B: si l’organisation de ressources n’active pas l’approbation authentification multifacteur avec le locataire de base de l’utilisateur, l’utilisateur est bloqué pour accéder aux ressources. Si vous souhaitez autoriser la connexion directe B2B à une organisation externe et si vos stratégies d’accès conditionnel nécessitent une authentification MFA, vous devez configurer vos paramètres d’approbation entrante pour permettre l’acceptation des revendications MFA de l’organisation.

Découvrez plus en détail comment configurer les paramètres d’approbation entrante pour MFA.

MFA pour les utilisateurs externes non-Azure AD

Pour les utilisateurs externes non-Azure AD, le locataire de la ressource est toujours responsable de MFA. L’exemple suivant montre un flux authentification multifacteur classique. Ce scénario fonctionne pour n’importe quelle identité, y compris un compte Microsoft (MSA) ou un ID de réseau social. Ce flux s’applique également aux utilisateurs externes Microsoft Entra lorsque vous ne configurez pas les paramètres d’approbation avec leur organisation Microsoft Entra.

1. Un administrateur ou un professionnel de l’information d’une société appelée Fabrikam invite un utilisateur d’une autre société appelée Contoso à utiliser l’application de Fabrikam.

2. L’application Fabrikam est configurée pour exiger la MFA Microsoft Entra lors de l’accès.

3. Lorsque l’utilisateur B2B Collaboration de Contoso tente d’accéder à l’application de Fabrikam, il est invité à répondre à la question de test MFA Microsoft Entra.

4. L’utilisateur invité peut alors configurer son authentification multifacteur Microsoft Entra auprès de Fabrikam et sélectionner les options.

Fabrikam doit disposer de suffisamment de licences Microsoft Entra ID premium qui prennent en charge la MFA Microsoft Entra. L’utilisateur de Contoso consomme alors cette licence de Fabrikam. Pour plus d’informations sur les licences B2B, consultez lemodèle de facturation pour ID externe Microsoft Entra.

Réinitialisation de l’authentification multifacteur (vérification) Microsoft Entra pour les utilisateurs de B2B Collaboration

Les applets de commande PowerShell suivantes sont disponibles pour la vérification ou demandent une inscription MFA auprès des utilisateurs B2B Collaboration.

1. Connectez-vous à Microsoft Entra ID :

   $cred = Get-Credential
   Connect-MsolService -Credential $cred
   

2. Donnez à tous les utilisateurs des méthodes de vérification :

   Get-MsolUser | where { $_.StrongAuthenticationMethods} | select UserPrincipalName, @{n="Methods";e={($_.StrongAuthenticationMethods).MethodType}}
   

   Par exemple :

   Get-MsolUser | where { $_.StrongAuthenticationMethods} | select UserPrincipalName, @{n="Methods";e={($_.StrongAuthenticationMethods).MethodType}}
   

3. Réinitialisez la méthode d’authentification multifacteur Microsoft Entra pour qu’un utilisateur spécifique oblige l’utilisateur B2B Collaboration à définir de nouveau des méthodes de validation, par exemple :

   Reset-MsolStrongAuthenticationMethodByUpn -UserPrincipalName gsamoogle_gmail.com#EXT#@ WoodGroveAzureAD.onmicrosoft.com
   

Stratégies de force d’authentification pour les utilisateurs externes

La force d’authentification est un contrôle d’accès conditionnel qui vous permet de définir une combinaison spécifique de méthodes d’authentification multifacteur (MFA) qu’un utilisateur externe doit suivre pour accéder à vos ressources. Ce contrôle est particulièrement utile pour restreindre l’accès externe aux applications sensibles de votre organisation, car vous pouvez appliquer des méthodes d’authentification spécifiques, telles que des méthodes résistantes au hameçonnage, pour les utilisateurs externes.

Vous avez également la possibilité d’appliquer la force d’authentification aux différents types d’utilisateurs invités ou externes que vous utilisez ou avec lesquels vous collaborez. Cela signifie que vous pouvez appliquer des exigences de force d’authentification propres à votre collaboration B2B, à votre connexion directe B2B et à d’autres scénarios d’accès externe.

Microsoft Entra ID fournit trois forces d’authentification intégrées :

• Force de l’authentification multifacteur
• Force de l’authentification multifacteur sans mot de passe
• Force de l’authentification multifacteur résistante au hameçonnage

Vous pouvez utiliser l’une des forces intégrées ou créer une force d’authentification personnalisée basée sur les méthodes d’authentification que vous souhaitez exiger.

Lorsque vous appliquez une stratégie de force d’authentification aux utilisateurs Microsoft Entra externes, la stratégie fonctionne avec les paramètres d’approbation MFA dans vos paramètres d’accès inter-locataires pour déterminer où et comment l’utilisateur externe doit effectuer la MFA. Un utilisateur Microsoft Entra s’authentifie d’abord à l’aide de son propre compte dans son locataire Microsoft Entra d’origine. Ensuite, lorsque cet utilisateur tente d’accéder à votre ressource, Microsoft Entra ID applique la stratégie d’accès conditionnel de la force d’authentification et vérifie si vous avez activé l’approbation authentification multifacteur.

Dans les scénarios d'utilisateurs externes, les méthodes d'authentification acceptables pour l’exécution de la force d'authentification varient, selon que l'utilisateur effectue l’authentification multifacteur dans son locataire d'origine ou dans le locataire de ressources. Le tableau suivant indique les méthodes acceptables dans chaque locataire. Si un locataire de ressource choisit d’approuver des revendications provenant d’organisations Microsoft Entra externes, seules ces revendications répertoriées dans la colonne « Locataire d’accueil » sont acceptées par le locataire de ressource pour l’exécution de l’authentification multifacteur. Si le locataire de ressources a désactivé l’approbation authentification multifacteur, l’utilisateur externe doit terminer l’authentification multifacteur dans le locataire de ressources à l’aide de l’une des méthodes répertoriées dans la colonne du « Locataire de ressource ».

Tableau 1. Méthodes d’authentification multifacteur de force d’authentification pour les utilisateurs externes

Pour configurer une stratégie d’accès conditionnel qui applique les exigences de force d’authentification aux utilisateurs externes ou aux invités, consultez Accès conditionnel : Exiger une force d’authentification pour les utilisateurs externes.

Flux d’authentification pour les utilisateurs externes de Microsoft Entra

Les stratégies de force d’authentification fonctionnent conjointement avec les paramètres de confiance d’authentification multifacteur dans vos paramètres d’accès inter-locataires pour déterminer où et comment l’utilisateur externe doit effectuer l’authentification multifacteur.

Tout d’abord, un utilisateur Microsoft Entra s’authentifie avec son propre compte dans son locataire d’origine. Ensuite, lorsque cet utilisateur tente d’accéder à votre ressource, Microsoft Entra ID applique la stratégie d’accès conditionnel de force d’authentification et vérifie si vous avez activé l’approbation d’authentification multifacteur.

• Si l’approbation authentification multifacteur est activée, Microsoft Entra ID vérifie la session d’authentification de l’utilisateur pour obtenir une revendication indiquant que l’authentification multifacteur a été remplie dans le locataire de domicile de l’utilisateur. (Consultez Tableau 1 pour les méthodes d’authentification acceptables pour l’exécution de l’authentification multifacteur lorsqu’elles sont terminées dans le locataire de base d’un utilisateur externe.) Si la session contient une revendication indiquant que les stratégies authentification multifacteur ont déjà été remplies dans le locataire domestique de l’utilisateur et que les méthodes répondent aux exigences de force d’authentification, l’utilisateur est autorisé à accéder. Dans le cas contraire, Microsoft Entra ID présente à l’utilisateur un défi pour effectuer l’authentification multifacteur dans le locataire d’origine à l’aide d’une méthode d’authentification acceptable. La méthode MFA doit être activée dans le locataire d’origien et l’utilisateur doit être en mesure de l’inscrire.
• Si l’approbation multifacteur est désactivée, Microsoft Entra ID présente à l’utilisateur un défi pour effectuer l’authentification multifacteur dans le locataire de ressources à l’aide d’une méthode d’authentification acceptable. (Consultez le tableau 1 pour connaître les méthodes d’authentification acceptables pour l’exécution de l’authentification multifacteur par un utilisateur externe.)

Si l’utilisateur ne parvient pas à terminer l’authentification multifacteur ou si une stratégie d’accès conditionnel (telle qu’une stratégie d’appareil conforme) les empêche de s’inscrire, l’accès est bloqué.

Stratégies relatives à la conformité des appareils et à la jonction Microsoft Entra hybride

Les organisations peuvent utiliser des stratégies d’accès conditionnel pour imposer aux utilisateurs que leurs appareils soient managés par Microsoft Intune. De telles stratégies peuvent bloquer l’accès des utilisateurs externes, car un utilisateur externe ne peut pas inscrire son appareil non managé auprès de l’organisation détentrice de la ressource. Les appareils peuvent uniquement être managés par le locataire d’origine d’un utilisateur.

Toutefois, vous pouvez utiliser les paramètres d’approbation des appareils pour débloquer les utilisateurs externes tout en imposant aux appareils d’être managés. Dans vos paramètres d’accès inter-locataires, vous pouvez utiliser des paramètres d’approbation pour approuver les revendications du locataire d’origine d’un utilisateur externe pour déterminer si l’appareil de l’utilisateur répond aux stratégies de conformité des appareils ou s’il est joint à Microsoft Entra Hybride. Vous pouvez activer les paramètres d’approbation des appareils pour toutes les organisations Microsoft Entra ou pour des organisations spécifiques.

Quand les paramètres d’approbation des appareils sont activés, Microsoft Entra recherche une revendication d’appareil dans la session d’authentification d’un utilisateur. Si la session contient une revendication d’appareil indiquant que les stratégies ont déjà été remplies dans le locataire d’accueil de l’utilisateur, l’utilisateur externe reçoit une authentification transparente à votre ressource partagée.

Filtres pour appareils mobiles

Quand vous créez des stratégies d’accès conditionnel pour des utilisateurs externes, vous pouvez évaluer une stratégie en fonction des attributs d’appareil d’un appareil inscrit dans Microsoft Entra ID. À l’aide de la condition filtre pour les appareils, vous pouvez cibler des appareils spécifiques en utilisant les opérateurs et propriétés pris en charge ainsi que les autres conditions d’affectation disponibles dans vos stratégies d’accès conditionnel.

Vous pouvez utiliser les filtres pour appareils mobiles avec des paramètres d’accès interlocataire afin de baser des stratégies sur des appareils managés dans d’autres organisations. Par exemple, supposons que vous souhaitiez bloquer les appareils d’un locataire Microsoft Entra externe en fonction d’un attribut d’appareil spécifique. Vous pouvez effectuer les étapes suivantes pour configurer une stratégie basée sur des attributs d’appareil :

• Configurez vos paramètres d’accès interlocataire pour approuver les revendications d’appareil provenant de cette organisation.
• Affectez l’attribut d’appareil à utiliser pour le filtrage à l’un des attributs d’extension d’appareil pris en charge.
• Créez une stratégie d’accès conditionnel avec un filtre pour appareil mobile qui bloque l’accès aux appareils contenant cet attribut.

Découvrez plus en détail le filtrage des appareils avec l’accès conditionnel.

Stratégies de gestion des applications mobiles

Nous vous déconseillons d’exiger une stratégie de protection d’applications pour les utilisateurs externes. Les contrôles d’octroi d’accès conditionnel, par exemple Exiger des applications clientes approuvées et Exiger des stratégies de protection d’application, nécessitent l’inscription de l’appareil auprès du locataire de la ressource. Ces contrôles peuvent uniquement être appliqués à des appareils iOS et Android. Dans la mesure où l’appareil d’un utilisateur peut uniquement être managé par son locataire d’origine, ces contrôles ne peuvent pas être appliqués aux utilisateurs invités externes.

Accès conditionnel en fonction des emplacements

La stratégie basée sur l’emplacement utilisant des plages d’adresses IP peut être appliquée si l’organisation qui invite est en mesure de créer une plage d’adresses IP approuvées qui définit ses organisations partenaires.

Des stratégies peuvent également être appliquées en fonction des localisations géographiques.

Accès conditionnel en fonction du risque

La stratégie de connexion à risque est appliquée si l’utilisateur invité externe répond au contrôle d’octroi. Par exemple, une organisation peut exiger une authentification multifacteur Microsoft Entra pour une connexion à risque moyen ou élevé. Toutefois, si un utilisateur n’a pas précédemment inscrit pour l’authentification multifacteur Microsoft Entra dans le locataire de ressource, l’utilisateur est bloqué. Cela permet d’empêcher les utilisateurs malveillants d’inscrire leurs propres informations d’identification pour une authentification multifacteur Microsoft Entra s’ils parviennent à compromettre le mot de passe d’un utilisateur légitime.

La stratégie d’utilisateur à risque ne peut pas être résolue dans le locataire de la ressource. Par exemple, si vous avez besoin d’une modification de mot de passe pour les utilisateurs invités externes à haut risque, ils sont bloqués en raison de l’incapacité de réinitialiser les mots de passe dans le répertoire de ressources.

Conditions des applications clientes d’accès conditionnel

Les conditions des applications clientes se comportent de la même façon pour les utilisateurs invités B2B que pour tout autre type d’utilisateur. Par exemple, vous pouvez empêcher des utilisateurs invités d’utiliser des protocoles d’authentification hérités.

Contrôles de session d’accès conditionnel

Les contrôles de session se comportent de la même façon pour les utilisateurs invités B2B que pour tout autre type d’utilisateur.

Protection des ID Microsoft Entra et stratégies de gestion des risques pour les utilisateurs

Protection des ID Microsoft Entra détecte les informations d’identification compromises des utilisateurs Microsoft Entra, et marque les comptes d’utilisateurs susceptibles d’être compromis comme étant « à risque. » En tant que locataire de ressources, vous pouvez appliquer des stratégies de risque utilisateur aux utilisateurs externes pour bloquer les connexions risquées. Pour un utilisateur externe, le risque de l’utilisateur est évalué dans son répertoire de base. Le risque de connexion en temps réel pour ces utilisateurs est évalué dans l’annuaire de ressources lorsqu’ils essaient d’accéder à la ressource. Toutefois, dans la mesure où l’identité d’un utilisateur externe existe dans son répertoire de base, les limitations suivantes s’appliquent :

• Si un utilisateur externe déclenche la stratégie d’utilisateur à risque Protection des ID pour forcer la réinitialisation de mot de passe, il est bloqué, car il ne peut pas réinitialiser son mot de passe dans l’organisation détentrice de la ressource.
• Le rapport des utilisateurs à risque de l’organisation des ressources ne reflète pas les utilisateurs externes, car l’évaluation des risques se produit dans le répertoire de base de l’utilisateur externe.
• Les administrateurs de l’organisation détentrice de la ressource ne peuvent pas ignorer ou corriger le problème posé par un utilisateur externe à risque, car ils n’ont pas accès au répertoire de base de l’utilisateur B2B.

Vous pouvez empêcher les stratégies basées sur les risques d’affecter les utilisateurs externes en créant un groupe dans Microsoft Entra ID qui contient tous les utilisateurs externes de votre organisation. Ajoutez ensuite ce groupe en tant qu’exclusion pour vos stratégies d’accès conditionnel basées sur les risques pour l’utilisateur et les stratégies d’accès conditionnel basées sur les connexions.

Pour plus d’informations, consultez Protection des ID Microsoft Entra et les utilisateurs B2B.

Étapes suivantes

Pour plus d’informations, consultez les articles suivants :

• Stratégies de confiance zéro pour l’autorisation de l’accès invité et de l’accès utilisateur externe B2B
• Protection des ID Microsoft Entra et utilisateurs B2B
• Foire aux questions (FAQ)