Guide sur la fédération AD FS avec Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Comprendre la fédération AD FS, le SSO, les relations d’approbation et la sécurité, puis découvrir la migration d’AD FS vers Microsoft Entra ID et les problèmes de dépannage courants.

Automatically translated with AI from the original post. Read the English original

Cover: Fix Microsoft Entra ID Conditional Access and Identity Debt

La fédération avec Active Directory Federation Services (AD FS) joue un rôle central dans la manière dont les organisations modernes gèrent l’identité numérique et l’authentification unique (SSO). À mesure que les entreprises se développent et que leurs besoins évoluent, notamment avec l’essor des applications cloud et des plateformes de collaboration, comprendre AD FS est plus essentiel que jamais. Ce guide présente ce que fait AD FS, sa place dans l’écosystème Microsoft et les raisons pour lesquelles le passage à des solutions avancées comme Entra ID et Azure AD transforme le paysage de l’authentification en entreprise.

Des concepts fondamentaux, comme l’identité fédérée, aux stratégies de migration détaillées et aux bonnes pratiques de sécurité, vous obtiendrez une vue d’ensemble complète du fonctionnement d’AD FS, ainsi que les points à connaître lorsque vous planifiez un passage vers une identité cloud moderne. Que vous dépanniez une configuration existante ou que vous conceviez une nouvelle approche, cette ressource vous aidera à prendre des décisions éclairées et à garder une authentification solide.

Les fondamentaux d’Active Directory Federation Services

Active Directory Federation Services (AD FS) occupe une place centrale dans la manière dont de nombreuses organisations relient entre eux différents systèmes d’authentification, en particulier lorsqu’elles disposent d’un ensemble hétérogène de ressources sur site et de services cloud. Le concept de base est simple : l’identité fédérée permet aux utilisateurs d’accéder à des applications situées en dehors de leur environnement d’origine avec leurs identifiants habituels. Il s’agit de faire tomber les cloisons numériques entre organisations et services, afin de rendre l’accès plus sûr et plus fluide pour tous.

Imaginez que vous ayez des partenaires, des fournisseurs ou des équipes à distance qui doivent travailler sur vos systèmes, sans que vous souhaitiez leur remettre une série de noms d’utilisateur et de mots de passe supplémentaires. AD FS intervient en créant des « ponts de confiance » permettant à ces utilisateurs de se connecter comme s’ils se trouvaient chez eux. C’est la réponse de Microsoft à la vieille question « comment partager des ressources sans renoncer à la sécurité ? », appuyée sur un socle technique solide, avec les standards SAML et OAuth.

Si vous débutez tout juste dans l’univers de la fédération d’identité, ou si vous gérez les relations d’approbation de domaines depuis des années, cette section pose les bases. Nous verrons ce que fait réellement AD FS, pourquoi il reste pertinent et comment il a évolué avec les réalités cloud et hybrides des entreprises. Les détails feront l’objet des parties suivantes, mais retenez dès maintenant qu’AD FS est votre point de départ pour une authentification sécurisée, franchissant les frontières, dans les environnements largement fondés sur Microsoft.

Qu’est-ce que la fédération Active Directory et comment fonctionne-t-elle ?

Active Directory Federation Services (AD FS) est un outil développé par Microsoft, conçu pour permettre une authentification sécurisée et transparente au-delà des frontières organisationnelles et des domaines. Au cœur de son fonctionnement, AD FS met en œuvre l’« identité fédérée », ce qui signifie que vos utilisateurs peuvent accéder à des systèmes, des applications ou des services qui ne sont pas gérés par votre domaine, tout en utilisant leurs identifiants habituels. Ainsi, personne n’a besoin de mémoriser une dizaine de mots de passe ni de jongler avec plusieurs connexions pour faire son travail.

Comment procède-t-il ? AD FS s’appuie sur des protocoles standards du secteur, comme SAML (Security Assertion Markup Language) et OAuth, pour établir des relations de confiance, souvent appelées « approbations fédérées », entre votre organisation (le fournisseur d’identité) et toute application externe ou tout partenaire (les parties de confiance). La mécanique repose sur l’authentification basée sur les revendications : après avoir vérifié l’utilisateur, AD FS émet un « jeton de sécurité » contenant des revendications (en substance, des informations sur l’identité et les droits de l’utilisateur). L’application cible vérifie le jeton et laisse entrer l’utilisateur si tout est conforme.

Historiquement, AD FS a permis aux grandes entreprises de déployer l’authentification unique (SSO) pour les applications sur site comme pour les ressources cloud, telles qu’Office 365. À l’époque, avant que des annuaires natifs du cloud comme Entra ID ne se généralisent, AD FS faisait le lien pour garantir une authentification fluide, y compris au-delà des frontières de l’entreprise. Aujourd’hui, il reste un composant fondamental des architectures hybrides, même si beaucoup d’organisations préparent désormais leur trajectoire vers des solutions d’identité cloud, pour gagner en souplesse et en sécurité.

Composants principaux de l’architecture AD FS

Serveur de fédération : le moteur principal d’AD FS, qui authentifie les utilisateurs, émet les jetons basés sur les revendications et gère les relations de confiance avec les parties de confiance.
Web Application Proxy (WAP) : Joue le rôle de passerelle en offrant un accès proxy sécurisé aux utilisateurs externes et en protégeant les serveurs de fédération contre toute exposition directe à Internet.
Fournisseur de revendications : Fournit les données d’identité des utilisateurs, souvent extraites d’Active Directory, afin de alimenter la génération des jetons et l’émission des revendications.
Approbation de partie utilisatrice : Représente les applications ou systèmes externes qui consomment et valident les jetons AD FS ; elle définit la manière dont les revendications sont transformées et les utilisateurs autorisés.
Contrôleur de domaine : Authentifie les utilisateurs auprès d’Active Directory et vérifie leurs identifiants avant l’émission d’un jeton.

Flux d’authentification AD FS et approbation fédérée expliqués

En matière d’authentification unique et d’accès sécurisé, AD FS se distingue en rendant l’authentification simple pour les utilisateurs finaux, même lorsque l’infrastructure sous-jacente est tout sauf simple. Son fondement réside dans la manière dont AD FS gère les flux d’authentification et l’approbation fédérée. Il s’agit de transférer en toute sécurité et efficacement les identifiants, les jetons et les revendications, depuis le moment où un utilisateur tente de se connecter jusqu’à celui où il accède réellement à l’application ou à la ressource visée.

C’est là que les détails des protocoles (tels que SAML, WS-Federation et OAuth) prennent tout leur sens. Le processus est rapide : validation des identifiants, émission des revendications, transformation des attributs et envoi des jetons appropriés aux systèmes concernés. Tout au long de ce parcours, les relations d’approbation fédérées garantissent aux organisations situées de part et d’autre de l’échange qu’elles savent précisément qui franchit la porte numérique.

Nous allons ensuite détailler, étape par étape, le parcours typique d’authentification AD FS, puis expliquer comment l’approbation fédérée se configure afin que deux organisations totalement distinctes puissent autoriser un accès sécurisé inter-entreprises sans en perdre le sommeil. Maîtriser ces concepts permet aux professionnels de l’IT et aux équipes de sécurité de mettre en place une fédération sécurisée, comme de résoudre plus tard les problèmes d’accès tenaces ou de revendications.

Comprendre les flux d’authentification ADFS

Accès de l’utilisateur à l’application : L’utilisateur tente d’ouvrir une application fédérée. S’il se trouve à l’extérieur, la requête passe d’abord par le Web Application Proxy ; les requêtes internes vont directement vers AD FS.
Envoi de la demande d’authentification : La partie utilisatrice de l’application redirige le navigateur de l’utilisateur vers le serveur AD FS avec une demande d’authentification, précisant la ressource à laquelle il souhaite accéder.
Validation des identifiants : AD FS invite l’utilisateur à se connecter (au moyen des identifiants Windows, d’un formulaire, de l’authentification multifacteur ou d’un certificat) et vérifie ces informations auprès du contrôleur de domaine Active Directory.
Création des revendications : Une fois la validation effectuée, AD FS crée un jeton basé sur les revendications. Ce jeton contient des attributs relatifs à l’utilisateur, comme son nom d’utilisateur, son appartenance à des groupes ou son adresse e-mail, selon des règles préconfigurées.
Émission du jeton : Le jeton de revendications est signé de manière sécurisée par AD FS, puis renvoyé au navigateur de l’utilisateur.
Validation du jeton par l’application : Le navigateur transmet le jeton à l’application cible, qui en vérifie l’authenticité à l’aide de la partie publique du certificat d’AD FS.
Accès accordé : Si le jeton, les revendications et les règles sont conformes, l’application laisse enfin entrer l’utilisateur, sans lui demander un nouveau mot de passe.

Ce flux pas à pas fonctionne pour une authentification unique classique, que les utilisateurs soient internes ou qu’ils se connectent via un partenaire fédéré. Une logique similaire s’applique à OAuth (très répandu chez les applications SaaS), ce qui permet à AD FS de gérer un large éventail de scénarios et de protocoles d’authentification.

Établir une approbation fédérée entre organisations

Mettre en place une approbation fédérée dans AD FS consiste à créer une relation dans laquelle deux organisations acceptent mutuellement les jetons d’authentification de l’autre. Techniquement, cela implique de configurer chaque côté pour reconnaître l’autre comme fournisseur de revendications ou partie utilisatrice de confiance. Des certificats SSL sont échangés pour sécuriser la communication, et des stratégies d’approbation personnalisées définissent les revendications acceptées et la manière dont les identités des utilisateurs sont mises en correspondance.

Une configuration correcte de l’approbation constitue le socle d’une authentification unique sécurisée et fluide pour les partenaires commerciaux, les fournisseurs ou les filiales, permettant la collaboration sans affaiblir les exigences de sécurité de l’organisation.

Considérations de sécurité et bonnes pratiques pour le déploiement d’AD FS

Dès qu’il est question de fédération et de SSO, la sécurité devient une priorité absolue : une seule compromission ou une relation de confiance mal configurée peut rapidement se propager. Avec AD FS, l’objectif est de protéger l’ensemble du circuit d’émission des jetons, de garantir que seules les personnes autorisées puissent s’authentifier, et de tenir les attaquants éloignés de vos ressources les plus sensibles.

Le paysage des menaces comprend aussi bien l’hameçonnage d’identifiants et le vol de jetons que les attaques par déni de service et les tentatives de force brute. Il faut des défenses solides à chaque étape : des stratégies d’authentification rigoureuses, des flux de jetons chiffrés, une application régulière des correctifs et une surveillance en temps réel. Ce type de sécurité en couches ne se contente pas de tenir les pirates à distance ; il aide également les organisations à respecter leurs exigences d’audit et de gouvernance.

Dans les sections suivantes, nous détaillerons des défenses concrètes pour AD FS, nous identifierons les vecteurs d’attaque les plus courants ainsi que les stratégies d’atténuation associées, et nous résumerons les bonnes pratiques éprouvées en matière de configuration sécurisée, d’audit continu et d’intégration aux programmes plus larges de sécurité et de gouvernance. Si vous recherchez des stratégies pratiques de réduction des risques, y compris les enseignements tirés des environnements Entra ID et Azure de Microsoft, poursuivez votre lecture. Et si vous souhaitez comprendre comment l’identité, l’accès conditionnel et la gouvernance fonctionnent ensemble dans le cloud, consultez cet épisode sur la stratégie de sécurité de l’identité pour des informations plus approfondies.

Sécuriser l’émission des jetons et l’authentification dans AD FS

Appliquer des stratégies strictes pour les mots de passe et les identifiants : Définissez des mots de passe complexes et des règles d’expiration strictes afin de réduire l’exposition aux identifiants faibles.
Activer l’authentification multifacteur (MFA) : Ajoutez une deuxième étape de vérification (code envoyé sur téléphone ou jeton matériel) pour bloquer les connexions non autorisées, même si un mot de passe a été compromis.
Utiliser des canaux de jetons sécurisés et chiffrés : Exigez SSL/TLS pour tous les échanges de jetons, et assurez-vous que les jetons sont signés et chiffrés afin d’empêcher toute altération ou écoute.
Limiter la durée de vie des jetons : Utilisez des jetons à courte durée de vie pour réduire la fenêtre d’attaque en cas de vol ou de rejeu d’un jeton.

Pour mieux comprendre comment se prémunir contre les attaques qui contournent même la MFA, comme les abus de consentement OAuth, consultez ces contrôles essentiels pour sécuriser Entra ID.

Principales considérations de sécurité et atténuation des menaces

Hameçonnage d’identifiants : Formez les utilisateurs à reconnaître les tentatives d’hameçonnage, et exigez la MFA pour protéger chaque connexion.
Rejeu et vol de jetons : Utilisez des durées de vie courtes et une validation continue des jetons pour limiter les dégâts liés à l’interception de jetons.
Attaques par déni de service (DoS) : Déployez les serveurs AD FS et proxy en haute disponibilité et limitez leur exposition aux réseaux non fiables.
Gestion des correctifs : Mettez régulièrement à jour AD FS et l’ensemble des systèmes dépendants afin de corriger les vulnérabilités avant qu’un attaquant ne les exploite.
Audit et surveillance : Mettez en place une journalisation et une supervision robustes pour détecter rapidement les activités suspectes ; pour une approche Zero Trust plus large, consultez cet épisode de podcast consacré au Zero Trust.

Bonnes pratiques de déploiement et de surveillance d’AD FS

Redondance et équilibrage de charge : Déployez plusieurs serveurs de fédération et serveurs proxy pour éliminer les points de défaillance uniques et supporter des volumes d’utilisateurs importants.
Surveillance continue : Exploitez les journaux d’audit, la supervision des événements et les alertes en temps réel pour signaler rapidement les comportements suspects.
Audits de sécurité réguliers : Vérifiez les configurations et les relations de confiance afin de détecter les dérives ou les lacunes, et suivez l’évolution des bonnes pratiques.
Intégration aux plateformes de sécurité cloud : Connectez les journaux et événements AD FS à des outils SIEM comme Microsoft Sentinel ou Microsoft Purview Audit pour une détection unifiée des risques et un reporting de conformité.
Gestion du cycle de vie : Mettez régulièrement à jour les jetons, les certificats et les paramètres de stratégie afin de réduire la « dette d’identité » et le risque technique.

Limites d’AD FS et problèmes de dépannage dans les organisations modernes

Si AD FS a longtemps permis à de nombreuses organisations de connecter systèmes et utilisateurs, cette technologie présente aujourd’hui plusieurs inconvénients techniques. Si vous avez géré une infrastructure AD FS, vous connaissez la chanson : coûts de maintenance, relations d’approbation complexes, mises à jour qui surviennent toujours au pire moment. Ajoutez à cela des environnements cloud en forte croissance, et les anciennes méthodes commencent à paraître sérieusement datées.

Ces limites ne sont pas uniquement techniques : elles peuvent se traduire en risques métier. Pensez à la fiabilité de l’authentification, à la facilité de mise à l’échelle et à la rapidité avec laquelle vous pouvez vous adapter lorsqu’une nouvelle exigence SaaS se présente. Ce sont précisément ces points de friction qui incitent de plus en plus d’équipes à se tourner vers des identités cloud comme Entra ID. Mais avant tout changement majeur, il est indispensable de connaître les points de vigilance et de savoir quoi faire lorsque quelque chose tombe en panne dans votre environnement AD FS.

Nous allons maintenant examiner les principales limites qui freinent AD FS dans les entreprises d’aujourd’hui, puis détailler des étapes de dépannage concrètes pour les incidents les plus susceptibles de remonter au service d’assistance. Maîtriser ces bases peut vous faire gagner un temps précieux et renforcer votre confiance, que vous assuriez le maintien en service ou que vous prépariez une migration.

Principales limites d’AD FS pour l’authentification en entreprise

Charge de maintenance élevée : les déploiements AD FS exigent une application continue des correctifs, une surveillance et une maintenance matérielle, ce qui fait grimper les coûts opérationnels.
Intégration cloud limitée : l’AD FS historique ne peut pas rivaliser avec les intégrations natives et approfondies avec les SaaS ou la sécurité cloud native proposées par Entra ID ou Azure AD.
Configuration complexe : la mise en place de scénarios multiforêts ou inter-domaines multiplie les éléments à gérer et les risques d’erreur de configuration.
Difficultés de mise à l’échelle : la croissance du nombre d’utilisateurs ou le besoin d’accès mondiaux nécessitent souvent des serveurs supplémentaires et des configurations réseau sophistiquées.

Résoudre les problèmes courants d’AD FS

Échecs d’authentification : vérifiez les autorisations du compte de service, la connectivité aux contrôleurs de domaine et les tentatives de connexion échouées dans les journaux d’événements AD FS (l’ID d’événement 364 signale des problèmes d’émission de jetons).
Erreurs d’émission de jetons : examinez les règles de revendications et la configuration des certificats, car des certificats non concordants ou expirés sont souvent à l’origine des échecs.
Parties de confiance mal configurées : vérifiez les points de terminaison, les relations d’approbation et les transformations de revendications pour garantir un mappage correct entre les systèmes.
Verrouillages de comptes ou problèmes de mot de passe : assurez-vous que la synchronisation des mots de passe et les stratégies de comptes sont cohérentes entre les forêts et les domaines.
Surveiller les journaux AD FS : exploitez les ID d’événements pertinents (comme 100 pour une émission de jeton réussie ou la série 300 pour les problèmes de configuration) afin d’identifier rapidement les causes profondes.

Migrer d’AD FS vers Entra ID et l’avenir de la fédération

Pour les organisations qui conservent un pied dans l’AD FS historique tout en s’engageant dans le cloud, la voie à suivre se précise. Les solutions d’identité cloud comme Azure AD et Entra ID offrent une authentification robuste, souple et plus sécurisée pour les charges de travail modernes, y compris pour ces vieilles applications capricieuses qui ne reposaient jusqu’alors que sur AD FS. Le secteur évolue dans cette direction pour de bonnes raisons : moins de contraintes matérielles, des modèles de confiance plus simples et une posture de sécurité conçue pour faire face aux menaces changeantes et aux exigences de conformité.

Mais passer d’AD FS ne se fait pas d’un simple claquement de doigts. Migrer vers Entra ID (la nouvelle marque regroupant les services d’identité Microsoft) implique de repenser les relations d’approbation, l’intégration des applications et la manière dont des stratégies comme l’accès conditionnel et la gouvernance fonctionneront dans le nouvel environnement. Menée correctement, cette démarche améliore la satisfaction des utilisateurs et renforce la cohérence des contrôles, aussi bien dans le cloud que sur site.

Vous trouverez ci-dessous une comparaison directe entre AD FS et l’identité cloud, ainsi que des stratégies éprouvées pour une transition progressive qui ne perturbera pas les utilisateurs et n’ouvrira pas de nouvelles failles de sécurité. Si vous souhaitez un aperçu des enjeux de risque et de gouvernance liés à l’accès conditionnel dans Entra ID, ce plongeon approfondi dans les boucles de sécurité de l’identité constitue également un excellent point de départ.

AD FS face à l’identité cloud avec Azure AD et Entra ID

Limites d’AD FS : exigences matérielles sur site, correctifs à appliquer, gestion complexe des relations d’approbation et des règles de revendications, intégration cloud et SaaS native limitée, réaction plus lente aux menaces de sécurité émergentes.
Avantages d’Azure AD et d’Entra ID : intégration native à Microsoft 365, mise en place simplifiée, accès conditionnel intégré, intégration rapide des SaaS, application cohérente des stratégies et protection renforcée des identités pour les charges de travail cloud.
Moteurs stratégiques de la migration : réduction des coûts de maintenance, gestion simplifiée, accès évolutif et modèles de sécurité pilotés par les stratégies, capables de s’adapter à la croissance de l’entreprise.

Pour comprendre comment les exceptions et autorisations accumulées créent une « dette d’identité », et comment une gouvernance appropriée dans Entra ID transforme la sécurité des identités cloud, consultez ce podcast sur l’identité comme plan de contrôle.

Stratégies de migration pour une transition sans heurt de AD FS vers Entra ID

Découverte : inventoriez l’ensemble des approbations de tiers de confiance, des règles de revendications et des applications intégrées liées à AD FS ; cartographiez les dépendances et identifiez les charges de travail prêtes pour la migration.
Planification : concevez un plan de migration par étapes, en configurant Entra ID et en validant les connecteurs cloud pour une cohabitation hybride si nécessaire.
Cohabitation : faites fonctionner AD FS en parallèle d’Entra ID, en basculant progressivement les applications vers une authentification auprès d’Azure AD, tout en surveillant l’expérience utilisateur et les journaux d’accès.
Bascule : migrez les utilisateurs et les dernières charges de travail vers Entra ID, supprimez les anciennes approbations et règles personnalisées, puis mettez hors service l’infrastructure AD FS sur site une fois la validation terminée.
Optimisation après migration : revoyez les stratégies d’accès conditionnel, le provisionnement des utilisateurs et les rapports dans Entra ID pour boucler la boucle et pérenniser vos pratiques en matière d’identité.

À écouter également

Si vous vous intéressez à la fédération ADFS avec Entra ID, ces épisodes apportent un éclairage pratique sur l’architecture, la sécurité, la gouvernance et la mise en œuvre :

Microsoft AI Agent Harness – Simply Explained — Comprendre l’orchestration, les garde-fous, l’évaluation et des flux de travail IA fiables.
Microsoft Defender XDR – Simply Explained — Relier les décisions liées à l’identité et à l’IA à la surveillance et à la réponse en matière de sécurité.
Microsoft Teams Governance – The Illusion of Control — Découvrir comment la gouvernance, la propriété et les stratégies réduisent le risque opérationnel.
Azure Virtual Network – Simply Explained — Comprendre le contexte d’architecture qui sous-tend la connectivité cloud.