L'authentification multifacteur (MFA) impose à l'utilisateur final de fournir un second facteur de sécurité — un mot de passe dynamique ou un code de vérification — en plus du nom d'utilisateur et du mot de passe lors de la connexion.
Fonctionnement de l'authentification MFA
Après avoir activé l'authentification MFA pour un réseau d'entreprise ou pour une organisation, le système vérifie deux facteurs de sécurité chaque fois qu'un utilisateur final se connecte :
Premier facteur : le nom d'utilisateur et le mot de passe de l'utilisateur final.
Deuxième facteur : le mot de passe dynamique généré par un dispositif MFA virtuel, ou le code de vérification que l'utilisateur final reçoit par e-mail.
Dispositifs MFA virtuels
L'algorithme TOTP (Time-based One-Time Password) est un protocole d'authentification multifacteur largement adopté. Les applications compatibles avec le protocole TOTP sur un téléphone mobile ou un autre appareil, telles que Google Authenticator et Microsoft Authenticator, sont appelées dispositifs MFA virtuels.
Une fois l'authentification MFA activée et un dispositif MFA virtuel associé par l'utilisateur final, Alibaba Cloud exige que ce dernier saisisse le mot de passe dynamique à six chiffres généré par l'application à chaque connexion. Cette mesure empêche les connexions non autorisées résultant du vol d'un mot de passe.
Un terminal Alibaba Cloud Workspace prend en charge les dispositifs MFA virtuels logiciels. Vous pouvez installer une application TOTP sur un smartphone et l'utiliser comme dispositif MFA virtuel.
Méthodes MFA prises en charge
EDS Enterprise Edition prend en charge les méthodes MFA suivantes. L'étendue d'activation que vous choisissez détermine les méthodes disponibles et les utilisateurs finaux concernés.
Méthode d'authentification | Étendue d'activation prise en charge | Types de client pris en charge | Types de compte pris en charge |
Mot de passe dynamique TOTP | ID d'organisation et réseau d'entreprise | Aucune limite | Aucune limite |
Code de vérification par e-mail | ID d'organisation |
| Comptes de commodité et comptes Active Directory (AD) (une adresse e-mail doit être configurée) |
Activer l'authentification MFA pour un réseau d'entreprise
Activez l'authentification MFA à cette échelle pour exiger un mot de passe dynamique des utilisateurs finaux qui utilisent un réseau d'entreprise spécifique pour se connecter.
Connectez-vous à la console EDS Enterprise.
Dans le volet de navigation de gauche, sélectionnez Networks & Storage > Office Network.
Dans la barre de navigation supérieure, sélectionnez une région.
Sur la page réseau d'entreprise, cliquez sur l'ID de réseau d'entreprise cible.
-
Dans la section Other Information en bas de la page, activez l'interrupteur MFA, puis cliquez sur OK dans la boîte de dialogue de confirmation.
RemarqueAssurez-vous que la vérification de connexion du client et les paramètres SSO sont désactivés.
Une fois l'authentification MFA activée, les utilisateurs finaux doivent saisir un mot de passe dynamique lorsqu'ils utilisent ce réseau d'entreprise pour se connecter à un terminal.
Activer l'authentification MFA pour un ID d'organisation
Activez l'authentification MFA à cette échelle pour exiger un second facteur de sécurité de chaque utilisateur final qui utilise l'ID d'organisation pour se connecter.
Connectez-vous à la console EDS Enterprise.
Dans le volet de navigation de gauche, sélectionnez Users > Logon Settings.
Dans l'onglet Logon Security, définissez MFA sur Enabled.
-
Dans la boîte de dialogue de confirmation, sélectionnez la méthode d'authentification que vous souhaitez utiliser.
-
TOTP
Les utilisateurs finaux saisissent le mot de passe dynamique généré par l'application Alibaba Cloud ou une autre application OTP courante, telle que Google Authenticator.
-
SMS Verification Code
Cette méthode est disponible pour les comptes de commodité et les comptes AD sur les clients de bureau V7.6 ou version ultérieure et les clients mobiles V7.3 ou version ultérieure.
RemarqueLes utilisateurs dont le numéro de téléphone n'est pas configuré ne peuvent pas terminer l'authentification.
-
Email Verification Code
Cette fonctionnalité est disponible pour les comptes de commodité et les comptes AD. Elle est uniquement prise en charge sur les clients de bureau V7.6 ou version ultérieure et les clients mobiles V7.3 ou version ultérieure.
RemarqueLes utilisateurs dont la boîte aux lettres n'est pas configurée ne peuvent pas terminer l'authentification.
-
Une fois l'authentification MFA activée, les utilisateurs finaux doivent saisir le mot de passe dynamique ou le code de vérification requis par la méthode d'authentification sélectionnée lorsqu'ils utilisent cet ID d'organisation pour se connecter à un terminal.
Supprimer un dispositif MFA virtuel
Les utilisateurs finaux associent un dispositif MFA virtuel lors de leur première connexion après l'activation de l'authentification MFA avec des mots de passe dynamiques TOTP. Si un utilisateur final remplace son dispositif MFA virtuel, supprimez le dispositif associé au compte de l'utilisateur final dans la console.
Sélectionnez la procédure correspondant au type de compte de l'utilisateur final.
Compte de commodité
Dans le volet de navigation de gauche, sélectionnez Resources > Cloud Computers.
Dans le volet de navigation de gauche, sélectionnez Users > Users.
Recherchez l'utilisateur cible, cliquez sur l'icône ⋮ dans la colonne Actions. Ensuite, sélectionnez Manage MFA Device.
Dans la boîte de dialogue Manage MFA Device, recherchez le dispositif MFA virtuel que vous souhaitez supprimer, cliquez sur Delete dans la colonne Actions, puis cliquez sur OK.
Compte AD d'entreprise
Après avoir supprimé le dispositif MFA virtuel, l'utilisateur final doit associer à nouveau un dispositif MFA virtuel lors de la prochaine connexion.