Authentification pour les identités hybrides

Il existe deux types d’authentification lors de l’utilisation du modèle d’identité hybride :

• Authentification gérée. Azure AD gère le processus d’authentification à l’aide d’une version de hachage stockée localement du mot de passe ou envoie les informations d’identification à un agent logiciel local à authentifier par l’AD DS local.
• Authentification fédérée. Azure AD redirige l’ordinateur client demandant l’authentification vers un autre fournisseur d’identité.

Authentification gérée

Il existe deux types d’authentification gérée :

• Synchronisation de hachage de mot de passe (PHS). Azure AD effectue l’authentification elle-même.
• Authentification de passage (PTA). Azure AD a AD DS effectuer l’authentification.

Synchronisation de hachage de mot de passe (PHS)

Avec PHS, synchronisez vos comptes d’utilisateurs AD DS avec Microsoft 365 et gérez vos utilisateurs sur place. Les hachages de mots de passe utilisateur (et non les mots de passe eux-mêmes) sont synchronisés de votre AD DS à Azure AD afin que les utilisateurs aient le même mot de passe sur place et dans le cloud. C’est la façon la plus simple d’activer l’authentification des identités AD DS dans Azure AD.

Lorsque les mots de passe sont modifiés ou réinitialisés sur place, les nouveaux hachages de mots de passe sont synchronisés avec Azure AD afin que vos utilisateurs puissent toujours utiliser le même mot de passe pour les ressources cloud et les ressources locales. Les mots de passe utilisateur ne sont jamais envoyés à Azure AD ou stockés dans Azure AD en texte clair. Certaines fonctionnalités premium d’Azure AD, telles que la protection de l’identité, nécessitent phs quelle que soit la méthode d’authentification sélectionnée.

Authentification de passage (PTA)

PTA fournit une validation de mot de passe simple pour les services d’authentification Azure AD à l’aide d’un agent logiciel fonctionnant sur un ou plusieurs serveurs locaux pour valider les utilisateurs directement avec votre AD DS. Avec PTA, vous synchronisez les comptes d’utilisateurs AD DS avec Microsoft 365 et gérez vos utilisateurs sur place.

PTA permet à vos utilisateurs de se connecter aux ressources et applications microsoft 365 et locaux à l’aide de leur compte local et de leur mot de passe. Cette configuration valide les mots de passe des utilisateurs directement contre votre AD DS local sans stocker les hachages de mot de passe dans Azure AD.

PTA est également destiné aux organisations ayant une obligation de sécurité d’appliquer immédiatement les états de compte d’utilisateur locaux, les stratégies de mot de passe et les heures d’ouverture de session.

Authentification fédérée

L’authentification fédérée s’adresse principalement aux grandes entreprises ayant des exigences d’authentification plus complexes. Les identités AD DS sont synchronisées avec Microsoft 365 et les comptes utilisateurs sont gérés localement. Avec l’authentification fédérée, les utilisateurs ont le même mot de passe sur place et dans le cloud et ils n’ont pas à se connecter à nouveau pour utiliser Microsoft 365.

L’authentification fédérée peut prendre en charge des exigences d’authentification supplémentaires, telles que l’authentification par carte à puce ou une authentification multifacteur tierce et est généralement requise lorsque les organisations ont une exigence d’authentification non prise en charge par Azure AD. Si votre organisation utilise une solution de fédération tierce, vous pouvez configurer la connexion avec cette solution pour Microsoft 365 à condition que la solution de fédération tierce soit compatible avec Azure AD.