Accès conditionnel : Filtre pour appareils

Lorsque les administrateurs créent des stratégies d’accès conditionnel, ils peuvent cibler ou exclure des appareils spécifiques dans leur environnement. Le filtre de condition pour les appareils permet aux administrateurs de cibler des appareils spécifiques. Les administrateurs peuvent utiliser les opérateurs et les propriétés pris en charge pour les filtres d’appareils en plus des autres conditions d’attribution disponibles dans vos stratégies d’accès conditionnel.

Scénarios courants

Il existe plusieurs scénarios dans lesquels les organisations peuvent désormais activer l’utilisation de la condition Filtre pour appareils. Les scénarios suivants offrent des exemples d’utilisation de cette nouvelle condition.

• Restreindre l’accès aux ressources privilégiées. Dans cet exemple, supposons que vous souhaitez autoriser l’accès à l’API Windows Gestion des services Azure à partir d’un utilisateur qui :
  • Dispose d’un rôle privilégié.
  • A réussi l’authentification multifacteur.
  • Se trouve sur un appareil qui dispose de privilèges ou est une station de travail administrateur sécurisée et attesté comme conforme.
  • Dans ce scénario, les organisations créent deux stratégies d’accès conditionnel :
    • Stratégie 1 : tous les utilisateurs disposant d’un rôle d’administrateur, qui accèdent à l’application cloud de l’API Gestion des services Windows Azure, et pour les contrôles d’accès, accordent l’accès, mais nécessitent une authentification multifacteur et exigent que l’appareil soit marqué comme conforme.
    • Stratégie 2 : Tous les utilisateurs disposant d’un administrateur, accédant à l’application cloud de l’API Gestion des services Windows Azure, à l’exclusion d’un filtre pour les appareils utilisant l’expression de règle device.extensionAttribute1 est égal à SAW et pour les contrôles d’accès, Block. Découvrez comment mettre à jour extensionAttributes sur un objet d’appareil Microsoft Entra.
• Bloquer l’accès aux ressources de l’organisation à partir d’appareils exécutant une version de système d’exploitation non prise en charge. Pour cet exemple, supposons que vous souhaitez bloquer l’accès aux ressources d’une version du système d’exploitation Windows antérieure à Windows 10. Pour ce scénario, les organisations créent la stratégie d’accès conditionnel suivante :
  • Tous les utilisateurs, accédant à toutes les ressources, à l’exclusion d’un filtre pour les appareils utilisant device.operatingSystem est égal à Windows et device.operatingSystemVersion démarre Avec « 10.0 » et pour les contrôles d’accès, Bloquer.
• Ne pas exiger l’authentification multifacteur pour des comptes spécifiques sur des appareils spécifiques. Pour cet exemple, supposons que vous ne souhaitez pas exiger l’authentification multifacteur lors de l’utilisation de comptes de service sur des appareils spécifiques tels que des téléphones Teams ou des appareils Surface Hub. Pour ce scénario, les organisations créent les deux stratégies d’accès conditionnel suivantes :
  • Stratégie 1 : tous les utilisateurs qui excluent les comptes de service, accèdent à toutes les ressources et pour les contrôles d’accès, accordent l’accès, mais nécessitent une authentification multifacteur.
  • Stratégie 2 : Sélectionnez des utilisateurs et des groupes et incluez un groupe qui contient uniquement des comptes de service, accédant à toutes les ressources, à l’exclusion d’un filtre pour les appareils utilisant l’expression de règle device.extensionAttribute2 non égal à TeamsPhoneDevice et pour les contrôles d’accès, Bloquer.

Créer une stratégie d’accès conditionnel

Le filtre pour appareils est un contrôle facultatif lors de la création d’une stratégie d’accès conditionnel.

Les étapes suivantes vous aideront à créer deux stratégies d’accès conditionnel pour prendre en charge le premier scénario qui se trouve dans Scénarios courants.

Stratégie 1 : tous les utilisateurs disposant d’un rôle d’administrateur, qui accèdent à l’application cloud de l’API Gestion des services Windows Azure, et pour les contrôles d’accès, accordent l’accès, mais nécessitent une authentification multifacteur et exigent que l’appareil soit marqué comme conforme.

1. Connectez-vous au Centre d’administration de Microsoft Entra en tant qu’administrateur d’accès conditionnel.
2. Accédez à Protection>Accès conditionnel>Stratégies.
3. Sélectionnez Nouvelle stratégie.
4. Donnez un nom à votre stratégie. Nous recommandons aux organisations de créer une norme explicite pour les noms de leurs stratégies.
5. Sous Affectations, sélectionnez Utilisateurs ou identités de charge de travail.

   1. Sous Inclure, sélectionnez Rôles d’annuaire, puis tous les rôles avec administrateur dans le nom.

      Avertissement

      Les stratégies d’accès conditionnel prennent en charge les rôles intégrés. Les stratégies d’accès conditionnel ne sont pas appliquées pour d’autres types de rôles, y compris les rôles limités à une étendue d’unité administrative ou les rôles personnalisés.

   2. Sous Exclure, sélectionnez Utilisateurs et groupes, puis choisissez les comptes d’accès d’urgence ou de secours de votre organisation.

   3. Sélectionnez Terminé.

6. Sous Ressources cibles>(anciennement applications cloud)>Inclure>les ressources Select, choisissez l’API Gestion des services Windows Azure, puis sélectionnez Sélectionner.
7. Sous Contrôles d’accès>Accorder, sélectionnez Accorder l’accès, Exiger l’authentification multifacteur et Exiger que l’appareil soit marqué comme conforme, puis choisissez Sélectionner.
8. Confirmez vos paramètres et réglez Activer la stratégie sur Activé.
9. Sélectionnez Créer pour créer votre stratégie.

Stratégie 2 : tous les utilisateurs disposant d’un rôle d’administrateur, accédant à l’application cloud de l’API Windows Gestion des services Azure, à l’exclusion d’un filtre pour les appareils utilisant l’expression de règle device.extensionAttribute1 égale à SAW et pour les contrôles d’accès : bloquer.

1. Sélectionnez Nouvelle stratégie.
2. Donnez un nom à votre stratégie. Nous recommandons aux organisations de créer une norme explicite pour les noms de leurs stratégies.
3. Sous Affectations, sélectionnez Utilisateurs ou identités de charge de travail.

   1. Sous Inclure, sélectionnez rôles d’annuaire, puis tous les rôles avec administrateur dans le nom

      Avertissement

      Les stratégies d’accès conditionnel prennent en charge les rôles intégrés. Les stratégies d’accès conditionnel ne sont pas appliquées pour d’autres types de rôles, y compris les rôles limités à une étendue d’unité administrative ou les rôles personnalisés.

   2. Sous Exclure, sélectionnez Utilisateurs et groupes, puis choisissez les comptes d’accès d’urgence ou de secours de votre organisation.

   3. Sélectionnez Terminé.

4. Sous Ressources cibles>(anciennement applications cloud)>Inclure>les ressources Select, choisissez l’API Gestion des services Windows Azure, puis sélectionnez Sélectionner.
5. Sous Conditions, sélectionnez Filtres pour appareils.
   1. Définissez Configurer sur Oui.
   2. Définissez Appareils correspondant à la règle sur Exclure les appareils filtrés de la stratégie.
   3. Définissez la propriété sur ExtensionAttribute1, l’opérateur sur Equals et la valeur sur SAW.
   4. Sélectionnez Terminé.
6. Sous Contrôles d’accès>Accorder, sélectionnez Bloquer l’accès, puis Sélectionner.
7. Confirmez vos paramètres et réglez Activer la stratégie sur Activé.
8. Sélectionnez Créer pour créer votre stratégie.

Définition de valeurs d’attribut

La définition d’attributs d’extension est possible via l’API Microsoft Graph. Pour plus d’informations sur la définition d’attributs d’appareils, consultez l’article Mettre à jour un appareil.

API Graph Filtre pour appareils

L’API Filtre pour appareils est disponible dans le point de terminaison Microsoft Graph v1.0 et est accessible avec le point de terminaison https://graph.microsoft.com/v1.0/identity/conditionalaccess/policies/. Vous pouvez configurer un filtre pour appareils lors de la création d’une stratégie d’accès conditionnel, ou vous pouvez mettre à jour une stratégie existante pour configurer la condition Filtre pour appareils. Pour mettre à jour une stratégie existante, vous pouvez effectuer un appel de correctif sur le point de terminaison Microsoft Graph v1.0 en ajoutant l’ID de stratégie d’une stratégie existante et en exécutant le corps de la requête suivante. L’exemple ci-dessous illustre la configuration d’une condition Filtre pour appareils excluant les appareils qui ne sont pas marqués comme appareils SAW. La syntaxe de la règle peut être composée de plusieurs expressions. Pour plus d’informations sur la syntaxe, consultez les règles de groupes d’appartenance dynamique dans Microsoft Entra ID.

{
    "conditions": {
        "devices": {
            "deviceFilter": {
                "mode": "exclude",
                "rule": "device.extensionAttribute1 -ne \"SAW\""
            }
        }
    }
}

Opérateurs et propriétés d’appareil pris en charge pour les filtres

Les attributs d’appareil suivants peuvent être utilisés avec la condition Filtre pour appareils dans l’accès conditionnel.

Comportement de la stratégie avec la condition Filtre pour appareils

La condition Filtre pour appareils dans l’accès conditionnel évalue la stratégie en fonction des attributs d’appareil d’un appareil inscrit dans Microsoft Entra ID. Par conséquent, il est important de comprendre dans quelles circonstances la stratégie est appliquée ou non. Le tableau suivant illustre le comportement quand une condition de filtre pour appareils est configurée.

Contenu connexe

• Back to school – Using Boolean algebra correctly in complex filters
• Mettre à jour l’API Graph d’un appareil
• Accès conditionnel : Conditions
• Stratégies d’accès conditionnel courantes