Office 365 - Fédération / Federation

Azure AD Connect

En élargissant les services d’infrastructure d’une entreprise à des services comme Azure et Office 365, la gestion et l’authentification des utilisateurs deviennent rapidement des points de discussions avec les responsables de la sécurité et les auditeurs.

Microsoft a développé un mécanisme qui permet de synchroniser les profils, mots de passe, groupes et comptes d’ordinateur contenus dans le répertoire de l’entreprise (Active Directory - AD) avec Azure AD (Office 365). Ce mécanisme, Azure AD Connect, permet d’effectuer une synchronisation selon certains critères comme Domaines, OU, Groupes, … Il va également appliquer les changements de mots de passe effectuer par l’utilisateur au moyen des outils des portails d’Azure et Office 365 dans l’AD de l’entreprise (Password Writeback).

Les administrateurs d’AD n’auront donc pas à se soucier de la création des comptes dans Azure AD car ils y seront créés automatiquement.

Cette synchronisation des profils et mots de passe va permettre une identification simplifiée (SSO) en plus d’apporter une transparence aux utilisateurs dans l’utilisation de services d’infrastructure situés à l’externe.

Il faut retenir que l’utilisation d’Azure AD Connect n’affecte pas le mécanisme d’authentification aux services de Microsoft. L’accès aux services sera toujours assuré par Azure AD. Ce qui peut occasionner des situations embarrassantes comme le fait qu’un utilisateur désactivé dans l’AD de l’entreprise pourra continuer à utiliser les services d’Office 365 ou Azure.

C’est précisément pour éviter ce genre de situation qu’il est préférable de mettre en place la fédération entre l’AD de l’entreprise et Azure AD.

ADFS

ADFS (Active Directory Federation Services) va permettre l’utilisation du répertoire de l’entreprise (AD) pour l’authentification aux services de Microsoft.

ADFS

Le service ADFS qui sera installé sur un serveur dans le réseau de l’entreprise va recevoir les requêtes d’authentification et, après vérification auprès d’un DC, attribuera un jeton (Token) à la requête afin de donner accès à l’utilisateur aux services de Microsoft.

Le service ADFS permet de modifier les modalités d’authentification (claims) et la personnalisation de la page d’accueil lors de l’accès aux services de Microsoft.

Quant au service ADFS Web Application Proxy (ADFS Proxy) il sera installé dans la DMZ. Son rôle étant essentiellement de de ne pas exposer le service ADFS au réseau Internet.