Je souhaitais faire cet article depuis quelques temps déjà. Comme pour les autres services disponibles sur le Cloud Microsoft, Azure Virtual Desktop nécessite une sécurité renforcée. Hors de question de laisser un accès ouvert aux applications de l’entreprise avec un simple identifiant / mot de passe.
Dans cet article, nous allons commencer par reprendre quelques bases sur l’accès conditionnel disponible sur Azure AD. Puis nous allons le mettre en oeuvre dans un environnement Azure Virtual Desktop.
Qu’est-ce que l’Accès Conditionnel proposé par Azure AD ?
Tous les environnements informatiques sont quête d’une protection toujours plus efficace pour se prémunir des intrusions extérieures. L’ouverture des architectures IT au travers d’un hébergeur Cloud apporte une plus grande disponibilité de l’information aux utilisateurs, mais occasionne un plus de grand nombre de connexions à distances, et donc de situations à gérer pour la sécurité IT.
Le périmètre de sécurité moderne s’étend désormais au-delà du réseau d’une organisation pour inclure l’identité de l’utilisateur et de l’appareil. Les organisations peuvent utiliser des signaux d’identité dans le cadre de leurs décisions de contrôle d’accès.
Microsoft Doc
Pour cela, Microsoft propose d’intégrer dans le processus d’authentification à Azure AD de nouvelles étapes, sous forme de police :
Signal : pour Azure AD, l’accès conditionnel repose sur un certain nombre de signaux ou paramètres. Ces derniers sont les éléments mêmes qui caractérise la connexion de l’utilisateur, tels que :
- Emplacement (adresse IP)
- Appareil (OS, version, conformité, …)
- Utilisateur Azure AD
- Application interrogée
- IA (Détection des risques en temps réel par Azure AD Identity Protection)
Décision : la décision sera alors le résultat dicté par la police d’accès conditionnel en correspondance avec les signaux. Il est question ici de bloquer l’accès à l’utilisateur, ou de l’autoriser selon les conditions particulières. Ces conditions correspondent à des mesures de sécurité supplémentaires, telles que :
- Exiger une authentification multifacteur (cas plus utilisé)
- Exiger que l’appareil soit marqué comme conforme
- Exiger un appareil joint en hybride à Azure AD
- Exiger une stratégie de protection des applications
Application : apporte une supervision des sessions et des accès utilisateur aux applications en fonction des stratégies d’accès et de session, telles que :
- Empêcher l’exfiltration des données
- Protéger lors du téléchargement
- Empêcher le chargement de fichiers sans label
- Bloquer les programmes malveillants potentiels
- Surveiller les sessions utilisateur pour la conformité
- Bloquer l’accès
Quelles sont les licences nécessaires pour l’accès conditionnel d’Azure AD ?
L’utilisation de l’accès conditionnel d’Azure AD est une composante des licences Azure AD Premium P1. Cela est donc bien différent des offres disponibles pour disposer de l’authentification multifacteur (Challenge MFA).
Vous retrouvez donc le service d’accès conditionnel dans un grand nombre de licences utilisateurs, dont les suivantes :
- Azure AD Premium P1
- Azure AD Premium P2
- Enterprise Mobility + Security E3
- Enterprise Mobility + Security E5
- Microsoft 365 Business Premium
- Microsoft 365 A3
- Microsoft 365 A5
- Microsoft 365 F1
- Microsoft 365 F3
- Microsoft 365 F5 Security
- Microsoft 365 F5 Security + Compliance
Qu’est-ce qu’alors la licence directement renseignée au niveau du tenant ?
Cette information provient des licences assignées aux utilisateurs du tenant. Ce n’est pas à proprement parler d’une licence ou un service du tenant :
Certains services clients ne sont actuellement pas capables de limiter les avantages à des utilisateurs spécifiques. Des efforts doivent être déployés pour limiter les avantages du service aux utilisateurs sous licence.
Doc Microsoft
Autrement dit, une seule licence ayant la fonctionnalité d’accès conditionnel active l’option pour l’ensemble des utilisateurs du même tenant. Seulement, les règles d’utilisation du service exigent que chaque utilisateur soit couvert par une licence disposant de cette fonctionnalité.
Comment l’accès conditionnel est vécu par un utilisateur ?
Une fois l’accès conditionnel mis en place via une police, la sécurité est immédiatement renforcée par l’application de celle-ci. L’image ci-dessous montre en exemple une authentification multifacteur déployée par ce mécanisme pour protéger le portail Azure :
L’absence de réponse entraîne alors un blocage dans le processus d’authentification et donc de l’accès au portail Azure pour l’utilisateur :
En alternative, si l’utilisateur ne peut pas utiliser cette méthode, Il lui est malgré tout possible de continuer le processus d’authentification par une autre mesure disponible dans la double authentification :
Les réussites ou les échecs des connexions d’utilisateurs sont directement visibles dans le journal des connexions de l’utilisateur sur Azure AD :
Un clic sur une authentification affiche alors les détails et l’application de la police utilisée :
Essai I : Absence de règle d’accès conditionnel
Le premier essai que nous allons faire repose sur aucune configuration particulière.
L’accès au service Azure Virtual Desktop se fait en HTML 5 via l’URL officielle. L’accès conditionnel marcherait également avec les applications installées sur le poste en local, comme le client Remote Desktop, disponible ici au téléchargement.
Aucun blocage ni contrainte pour l’utilisateur n’est constaté :
La sécurité y est donc minimale et l’obtention du login et du mot de passe par un tier permet de se connecter à son environnement et d’accéder aux données.
Essai II : Mise en place d’une règle de blocage total
Le second essai nécessite la création d’une police d’accès conditionnel. Connectez-vous au portail d’Azure et rendez-vous dans le service Azure AD avec un compte administrateur adéquat :
Ouvrez le menu de la Sécurité :
Rentrez dans la section d’Accès conditionnel :
Créez votre nouvelle Police :
Saisissez un nom à votre police et sélectionnez votre utilisateur de test :
Cherchez l’application Azure Virtual Desktop dans la section suivante :
Définissez la décision sur Bloquer l’accès :
Activez votre police et validez sa création :
Attendez quelques minutes et retester l’accès à Azure Virtual Desktop sur votre utilisateur. Pour information, l’accès conditionnel d’Azure AD dispose d’une fonction Et Si pour tester vos règles avant de les appliquer :
Quelques minutes plus tard, le test de connexion nous montre que blocage est bien effectif pour cet utilisateur :
Essai III : Mise en place d’une règle pour exiger la MFA
Retournez sur votre accès conditionnel et cliquez sur votre police pour la modifier :
Modifiez la décision pour autoriser l’accès à Azure Virtual Desktop, sous réserve d’un succès au challenge MFA par votre utilisateur de test :
Retentez la connexion à Azure Virtual Desktop avec votre utilisateur de test. La modification MFA de la police est bien prise en compte ici :
Dans mon cas, l’utilisateur est alors invité à enregistrer une ou des méthodes pour le challenge MFA pour poursuivre cette nouvelle opération d’authentification. L’application Microsoft Authenticator est proposée en tant que première méthode du challenge à configurer :
La méthode MFA choisie est immédiatement vérifiée pour éviter un blocage ultérieur :
Essai IV : Mise en place d’une règle pour bloquer la connexion autre qu’au bureau
La restriction ou le blocage d’un service comme Azure Virtual Desktop est possible selon la localisation de l’utilisateur par son adresse IP. Retournez sur votre police pour la modifier comme ceci :
Pensez à créer votre location de confiance, en reprenant votre propre IP publique :
Retentez la connexion de votre utilisateur à AVD et constatez l’absence de blocage ou de challenge MFA :
Un contrôle dans le journal des connexions nous montre bien le processus d’exclusion de la police d’accès conditionnel grâce à mon adresse IP publique, exclue :
Essai V : Mise en place d’une règle pour exiger le challenge MFA toutes les heures
La mémorisation constante du challenge MFA sur une poste peut être considérée comme un risque sécuritaire, spécialement si le poste est en accès libre pour différents utilisateurs.
Retournez sur votre police pour la modifier comme ceci :
Effectuez l’authentification de votre utilisateur et réussissez le challenge MFA :
Validez la présence des icônes et attendez une heure. Une heure plus tard, rafraîchissez votre AVD :
Une MFA est bien redemandée après le délai défini dans la police d’accès conditionnel.
Conclusion :
Grâce à l’accès conditionnel d’Azure AD, il est assez facile de renforcer la sécurité d’Azure Virtual Desktop. Comme toujours, Microsoft rappelle les risques encourus à seulement utiliser un login et mot de passe pour seule sécurité. L’excellente vidéo de Dean nous montre cela en détail :
En espérant que cela a pu vous aider à mieux sécuriser votre environnement Cloud ????
Un commentaire sur “Conditionnez l’accès de votre AVD”