Méthode d’authentification par clés d’accès (FIDO2) dans Microsoft Entra ID

By Mirko Peters · 2026-08-24

Apprenez à mettre en œuvre l’authentification FIDO2 par clés d’accès dans Entra ID. Préparez-vous à ce que les clés d’accès deviennent l’expérience de connexion par défaut grâce à cette méthode d’authentification puissante.

Automatically translated with AI from the original post. Read the English original

Clés d’accès (FIDO2) : définition

Les clés d’accès sont des identifiants d’authentification modernes, résistants à l’hameçonnage, fondés sur la norme FIDO2. Elles remplacent les mots de passe par des paires de clés cryptographiques. Une clé d’accès se compose d’une clé privée conservée sur l’appareil de l’utilisateur et d’une clé publique stockée par le service. Lors de la connexion, le service demande à l’appareil de prouver qu’il possède la clé privée, ce qui permet une authentification sécurisée et sans mot de passe.

Brève explication

Les clés d’accès FIDO2 simplifient et renforcent l’authentification en supprimant les secrets partagés (mots de passe) et en recourant à la cryptographie à clé publique. Elles sont liées à l’appareil de l’utilisateur et protégées par les méthodes de déverrouillage de celui-ci, comme la biométrie (empreinte digitale, reconnaissance faciale) ou un code PIN local. Comme l’authentification repose sur des assertions cryptographiques plutôt que sur des mots de passe saisis par l’utilisateur, les clés d’accès résistent à l’hameçonnage, aux attaques par rejeu et au bourrage d’identifiants. Des solutions comme Microsoft Entra prennent en charge les clés d’accès pour offrir des connexions fluides et sécurisées sur les applications web et mobiles, tout en permettant, si vous le souhaitez, la synchronisation des clés entre appareils via des fonctionnalités de plateformes cloud de confiance.

Dans le paysage actuel de la sécurité numérique, des méthodes d’authentification robustes sont indispensables pour protéger les actifs de l’organisation et les identités des utilisateurs. Cet article examine la mise en œuvre et les avantages des clés d’accès, plus précisément de l’authentification FIDO2, au sein de Microsoft Entra ID. Nous verrons ce que sont les clés d’accès, le fonctionnement de FIDO2 et les bénéfices concrets qu’elles apportent pour renforcer la posture de sécurité et simplifier l’expérience de connexion des utilisateurs.

Clés d’accès Microsoft Entra : 9 faits surprenants sur les clés d’accès (FIDO2)

• Les clés d’accès ne sont pas de simples « mots de passe forts » : elles reposent sur une cryptographie à clé publique, si bien que le serveur ne stocke qu’une clé publique, la clé privée ne quittant jamais votre appareil.
• Elles résistent intrinsèquement à l’hameçonnage : WebAuthn/FIDO2 lie les identifiants à l’origine du site, de sorte qu’un faux site ne peut pas obtenir de données d’authentification utilisables.
• Les clés d’accès peuvent se synchroniser entre vos appareils via la sauvegarde cloud de la plateforme (trousseau iCloud d’Apple, Gestionnaire de mots de passe Google, compte Microsoft), ce qui permet la récupération, mais cela introduit une nouvelle surface de confiance vis-à-vis du fournisseur cloud.
• Vous pouvez disposer de plusieurs clés d’accès par compte et par appareil ; il est recommandé d’en créer plusieurs pour la sauvegarde et l’accès multi-appareils plutôt que de dépendre d’un seul identifiant.
• Les clés d’accès fonctionnent avec une vérification biométrique ou un code PIN de l’appareil, mais ne transmettent aucune donnée biométrique : l’appareil vous vérifie localement et signe les défis avec la clé privée.
• Elles prennent en charge à la fois les authentificateurs de plateforme (intégrés aux téléphones et ordinateurs portables) et les authentificateurs itinérants (clés de sécurité USB/NFC), ce qui rend possibles des stratégies multiplateformes pour les déploiements de clés d’accès Microsoft Entra.
• L’attestation de clé d’accès peut révéler des informations sur le modèle de l’appareil aux parties utilisatrices, sauf si une attestation anonymisée est utilisée : les choix de confidentialité comptent lors de la mise en œuvre.
• La migration des utilisateurs hors des mots de passe peut réduire fortement les prises de contrôle de comptes, mais les organisations ont encore besoin de procédures de secours (récupération de compte, authentificateurs alternatifs) pour éviter les blocages en cas de perte d’un appareil.
• L’adoption des clés d’accès contribue à respecter les référentiels réglementaires et de sécurité : l’authentification FIDO2 est reconnue comme une authentification forte résistante à l’hameçonnage et peut simplifier la conformité lorsqu’elle est intégrée à Microsoft Entra ID.

Comprendre les clés d’accès et FIDO2

Qu’est-ce qu’une clé d’accès ?

Les passkeys représentent une évolution majeure des technologies d’authentification, conçue pour offrir une alternative plus sûre et plus simple à utiliser que les mots de passe traditionnels. Sur le fond, les passkeys sont des identifiants cryptographiques qui permettent aux utilisateurs de se connecter à des sites web et à des applications sans avoir à mémoriser une suite de caractères. Le processus d’authentification repose sur la cryptographie à clé publique : une paire unique de clés cryptographiques est générée pour chaque compte en ligne. L’une des clés, la clé publique, est conservée par le fournisseur de services (par exemple Microsoft Entra ID), tandis que l’autre, la clé privée, reste en lieu sûr sur l’appareil de l’utilisateur ou dans un authentificateur sécurisé. Lorsqu’un utilisateur tente de se connecter, le service demande à l’appareil de prouver qu’il possède la clé privée, une vérification effectuée de manière cryptographique sans jamais transmettre la clé privée elle-même. Cette conception intrinsèque rend les passkeys nettement plus résistantes à l’hameçonnage et aux autres attaques fondées sur les identifiants, ce qui élève le niveau de protection de l’identité numérique. Les utilisateurs peuvent enregistrer une passkey sur différents appareils, des smartphones aux clés de sécurité FIDO2 dédiées, ce qui offre une méthode d’authentification souple et résiliente.

Présentation de l’authentification FIDO2

L’authentification FIDO2 est le standard ouvert fondamental sur lequel repose le concept de passkeys. Développé par la FIDO Alliance en collaboration avec le World Wide Web Consortium (W3C), FIDO2 définit un ensemble de protocoles qui permettent une authentification forte et résistante à l’hameçonnage sur le web. Ce standard s’appuie sur WebAuthn, une API web, et sur CTAP2, un protocole entre le client et l’authentificateur, afin de sécuriser les échanges entre l’appareil de l’utilisateur (l’authentificateur) et le service en ligne. Lorsqu’une organisation décide d’activer les passkeys dans Microsoft Entra ID, elle active en pratique l’authentification FIDO2. Les utilisateurs peuvent ainsi enregistrer une passkey à partir d’une clé de sécurité FIDO2 ou d’un appareil faisant office d’authentificateur. Le processus consiste pour l’utilisateur à créer une passkey, qui devient alors soit une méthode d’authentification principale, soit un composant robuste de l’authentification multifacteur. L’architecture garantit que les clés privées ne quittent jamais l’authentificateur, ce qui constitue une barrière redoutable contre les menaces courantes et fixe une nouvelle référence en matière de sécurité d’authentification. Microsoft Entra ID prend pleinement en charge FIDO2 et permet aux administrateurs d’activer les passkeys comme option de connexion robuste.

Avantages de l’utilisation des passkeys

L’adoption des passkeys dans Microsoft Entra ID apporte de nombreux avantages convaincants, centrés principalement sur une sécurité renforcée et une expérience utilisateur améliorée. Cette évolution constitue une étape proactive vers un avenir sans mot de passe, et offre une solution concrète et efficace pour la gestion des identités moderne. Les organisations peuvent également mettre en œuvre les passkeys comme facteur robuste d’authentification multifacteur, ce qui renforce leur posture de sécurité globale. La possibilité d’enregistrer des passkeys directement dans Microsoft Entra ID, souvent via l’application Microsoft Authenticator ou une clé de sécurité FIDO2 dédiée, simplifie le déploiement et la gestion pour les administrateurs Entra.

Passkeys Microsoft Entra : avantages et inconvénients

Avantages

• Authentification résistante à l’hameçonnage : les passkeys utilisent une cryptographie à clé publique liée à l’appareil, ce qui empêche le vol d’identifiants par hameçonnage.
• Expérience simple : la connexion s’effectue souvent via la biométrie de la plateforme ou un code PIN, ce qui simplifie les parcours de connexion par rapport aux mots de passe.
• Synchronisation entre appareils : de nombreuses implémentations (y compris celles intégrées à des services comme Passkeys Microsoft Entra) peuvent synchroniser les identifiants entre les appareils de l’utilisateur pour plus de confort.
• Réduction de la charge de gestion des mots de passe : plus besoin de créer, de mémoriser ou de réinitialiser des mots de passe, ce qui allège les coûts de support et les frictions pour les utilisateurs.
• Confidentialité renforcée : seule l’origine de la partie utade (relying party) est révélée à l’authentificateur ; les identifiants ne peuvent pas être réutilisés d’un site à l’autre.
• Transition compatible avec l’existant : peut être adoptée en parallèle des méthodes d’authentification existantes, ce qui permet un déploiement progressif.

Inconvénients

• Dépendance aux appareils et complexité de la récupération : si un utilisateur perd tous ses appareils ou l’accès à la synchronisation, la récupération du compte peut être plus complexe qu’une réinitialisation de mot de passe.
• Compatibilité inter-plateformes variable : même si la situation s’améliore, tous les navigateurs, plateformes ou services ne prennent pas encore en charge les parcours de passkeys de manière identique.
• Complexité de mise en œuvre : une intégration correcte avec le cycle de vie des comptes, la récupération et le provisionnement multi-appareils exige une conception et un développement rigoureux.
• Stratégies d’entreprise et conformité : les organisations peuvent devoir mettre à jour leurs stratégies de gouvernance des identités, de gestion des appareils et de conformité pour généraliser l’usage des passkeys.
• Formation des utilisateurs nécessaire : certains utilisateurs peuvent méconnaître ce concept et avoir besoin d’un accompagnement sur l’utilisation des appareils et les options de récupération.

FIDO2 : avantages et inconvénients

Avantages

• Authentification cryptographique robuste : FIDO2 repose sur des identifiants à clé publique, par nature résistants au hameçonnage et aux attaques par rejeu.
• Fondé sur des standards et interopérable : largement pris en charge par les grandes plateformes, les navigateurs et les clés de sécurité, ce qui assure une large compatibilité au sein de l’écosystème.
• Souplesse des authentificateurs : prise en charge des authentificateurs de plateforme (intégrés aux appareils) et des authentificateurs itinérants (clés de sécurité), ce qui offre des choix de déploiement.
• Posture de sécurité améliorée : réduit la dépendance aux mots de passe et limite les conséquences d’une fuite de base d’identifiants, puisque les serveurs ne stockent que des clés publiques.
• Préparation à l’entreprise : FIDO2 peut s’intégrer aux fournisseurs d’identité d’entreprise et se combiner à des solutions comme Microsoft Entra pour imposer des stratégies d’authentification plus strictes.

Inconvénients

• Effort de déploiement et d’intégration : l’intégration de FIDO2 aux systèmes existants, à l’authentification unique et aux applications héritées peut nécessiter un développement et des tests conséquents.
• Exigences matérielles côté utilisateur : certains utilisateurs peuvent devoir acheter des clés itinérantes ou disposer d’appareils compatibles pour utiliser les authentificateurs de plateforme.
• Défis de la récupération de compte : mettre en place des processus de récupération sécurisés et simples, sans réintroduire de méthodes d’authentification faibles, reste difficile.
• Charge opérationnelle : la gestion des jetons matériels, le provisionnement, la gestion des jetons perdus et les stratégies de cycle de vie ajoutent des tâches opérationnelles pour l’informatique.
• Expérience utilisateur fragmentée : les différences d’implémentation de l’interface FIDO2 selon les navigateurs et les plateformes peuvent entraîner des expériences incohérentes d’un appareil à l’autre.

Configurer les passkeys dans Microsoft Entra ID

Comment enregistrer une passkey

Pour enregistrer une passkey dans Microsoft Entra ID, les utilisateurs peuvent recourir à différentes méthodes, l’application Microsoft Authenticator étant l’option principale pour les passkeys synchronisées. La procédure commence généralement par l’accès à la page informations de sécurité de l’utilisateur, ou par des invites spécifiques affichées lors d’une tentative de connexion. Une fois lancée, l’utilisateur est guidé pour créer une passkey, ce qui implique souvent une vérification biométrique ou la saisie d’un code PIN sur son appareil. Cette action génère de manière sécurisée la paire de clés cryptographiques : la clé publique est enregistrée auprès de Microsoft Entra ID, tandis que la clé privée reste sur l’appareil de l’utilisateur ou dans un fournisseur de passkeys sécurisé. Pour les utilisateurs de clés de sécurité FIDO2, l’enregistrement consiste à connecter la clé physique et à suivre les instructions à l’écran pour établir le profil de passkey. Les administrateurs Entra peuvent superviser les stratégies d’enregistrement des passkeys, afin de permettre aux utilisateurs de les enregistrer facilement et de renforcer leurs capacités d’authentification résistante au hameçonnage.

Activer les passkeys dans Authenticator

L'activation des passkeys dans Microsoft Authenticator est une étape essentielle pour les organisations qui souhaitent offrir une expérience de connexion fluide et sécurisée. Les administrateurs Entra peuvent configurer des stratégies dans le Centre d’administration Microsoft Entra afin de permettre aux utilisateurs d’enregistrer directement une passkey synchronisée depuis l’application Authenticator. Il suffit pour cela d’accéder au volet des méthodes d’authentification, où les paramètres spécifiques à FIDO2 et aux passkeys peuvent être gérés. Une fois l’option activée, les utilisateurs verront la possibilité de créer une passkey dans les paramètres de leur application Authenticator, généralement sous la section « Informations de sécurité ». Ils peuvent ainsi enregistrer une passkey synchronisée, utilisable ensuite sur plusieurs appareils pour se connecter aux applications Microsoft Entra. Cette approche renforce considérablement les stratégies d’authentification multifacteur et rapproche les organisations d’un avenir sans mot de passe, comme le soulignent les ressources de Microsoft Learn.

Faire des passkeys la méthode d’authentification par défaut

Pour les organisations déterminées à renforcer leur posture de sécurité et à adopter un environnement véritablement sans mot de passe, faire des passkeys la méthode d’authentification par défaut dans Microsoft Entra ID est l’objectif ultime. Les administrateurs Entra, ou les personnes disposant du rôle Administrateur de stratégies d’authentification, peuvent configurer des stratégies d’authentification pour donner la priorité aux passkeys par rapport aux mots de passe traditionnels. Il s’agit de définir les passkeys comme méthode privilégiée dans le Centre d’administration Microsoft Entra, afin que les utilisateurs soient invités à utiliser leur passkey pour se connecter chaque fois que possible. Une approche progressive peut être nécessaire pour s’assurer que les utilisateurs sont prêts, mais la possibilité de faire des passkeys la méthode d’authentification par défaut renforce nettement l’authentification résistante à l’hameçonnage, réduit la dépendance aux méthodes moins sécurisées et simplifie l’expérience utilisateur. Ce changement stratégique illustre les mises à jour de sécurité et les avancées continues de Microsoft Entra ID vers un écosystème de gestion des identités plus sûr et plus efficace.

Liste de contrôle : configurer les passkeys Microsoft Entra

Utilisez cette liste de contrôle pour planifier, déployer et valider les passkeys dans Microsoft Entra ID (Microsoft Entra Passkeys).

Prérequis

• Vérifiez que le locataire Azure AD / Microsoft Entra ID est actif et que vous disposez des privilèges d’administrateur général ou d’administrateur d’identité.
• Vérifiez que votre abonnement et vos licences prennent en charge l’authentification sans mot de passe et les fonctionnalités FIDO2/passkey.
• Assurez-vous que les appareils et navigateurs utilisés par les utilisateurs prennent en charge les passkeys/FIDO2 (Windows, macOS, iOS, Android récents et navigateurs basés sur Chromium).
• Confirmez que l’organisation dispose d’un plan d’adoption de l’authentification sans mot de passe documenté et d’une stratégie de communication.

Préparer Microsoft Entra ID

• Accédez au Centre d’administration Microsoft Entra et localisez Méthodes d’authentification > Stratégies.
• Activez la méthode d’authentification Passkey (FIDO2) et définissez-la sur Autorisée ou Obligatoire pour les utilisateurs ou groupes ciblés.
• Configurez les restrictions utilisateur et appareil (ancres de confiance, authentificateur de plateforme ou authentificateur itinérant) selon les besoins.
• Examinez les stratégies d’authentification héritées afin de limiter les conflits et de privilégier les flux sans mot de passe.

Configurer l’accès conditionnel et les paramètres de sécurité

• Mettez à jour les stratégies d’accès conditionnel pour autoriser ou exiger la connexion sans mot de passe lorsque c’est pertinent.
• Ajoutez des contrôles d’accès basés sur les risques (Azure AD Identity Protection) en parallèle du déploiement des passkeys.
• Testez les stratégies en mode création de rapports uniquement avant de les appliquer.

Intégration et enregistrement des utilisateurs

• Rédigez un guide pas à pas pour l’enregistrement des passkeys (inscription via Windows Hello, invites de la plateforme ou du navigateur, ou clés de sécurité externes).
• Fournissez des captures d’écran et des instructions pour les appareils connus sur les plateformes courantes (Windows, macOS, iOS, Android).
• Définissez une stratégie concernant les passkeys multiples par utilisateur ainsi que le processus de sauvegarde et de récupération.
• Lancez un pilote auprès d’un petit groupe d’utilisateurs et recueillez leurs retours.

Tests et validation

• Vérifiez l’enregistrement et la connexion réussis des utilisateurs pilotes sur les plateformes et navigateurs pris en charge.
• Testez les scénarios SSO, les invites MFA et le comportement de l’accès conditionnel avec les passkeys.
• Vérifiez que les méthodes de connexion de secours (MFA secondaire, récupération de compte) fonctionnent et sont sécurisées.
• Surveillez les journaux de connexion et les rapports d’utilisation des méthodes d’authentification dans Microsoft Entra.

Déploiement et formation

• Communiquez aux utilisateurs le calendrier de déploiement, les avantages et les ressources d’assistance.
• Fournissez aux équipes support informatique des procédures opérationnelles pour les scénarios courants d’enregistrement et de panne.
• Appliquez les stratégies par phases, en étendant progressivement le périmètre des groupes pilotes à l’ensemble de l’organisation.

Surveillance et maintenance

• Examinez régulièrement les journaux de connexion Microsoft Entra et les rapports de méthodes d’authentification afin de détecter les anomalies.
• Suivez les indicateurs d’adoption et les tickets de support liés aux passkeys.
• Maintenez la documentation à jour pour les évolutions de systèmes d’exploitation et de navigateurs qui affectent le comportement des clés d’accès.
• Passez régulièrement en revue et mettez à jour les stratégies d’accès conditionnel et de méthodes d’authentification.

Dépannage et restauration

• Documentez les erreurs courantes (compatibilité des appareils, invites des navigateurs, échecs d’inscription) ainsi que leurs solutions.
• Prévoyez des processus clairs de récupération de compte et d’accès d’urgence pour les utilisateurs qui perdent l’accès à leurs clés d’accès.
• En cas de problème critique, soyez prêts à revenir sur l’application de la méthode d’authentification et à communiquer les étapes de restauration.

Considérations de sécurité et de conformité

• Assurez-vous que le déploiement des clés d’accès est conforme aux stratégies de sécurité et aux exigences de conformité de l’organisation.
• Vérifiez que le stockage des clés d’accès et les méthodes d’attestation répondent aux normes de l’entreprise.
• Consultez les recommandations de sécurité des fournisseurs tiers d’authentificateurs et d’appareils.

Suivre cette liste de contrôle contribuera à garantir une adoption réussie et sécurisée de Microsoft Entra Passkeys au sein de votre organisation.

Types de clés d’accès et leurs fonctionnalités

Présentation des clés d’accès synchronisées

Les clés d’accès synchronisées représentent une avancée majeure en matière de simplicité d’utilisation et d’accessibilité au sein de l’écosystème des clés d’accès, en particulier dans Microsoft Entra ID. Ces clés sont conçues pour se synchroniser sur les différents appareils d’un utilisateur, offrant une expérience de connexion fluide sans compromettre la solidité de l’authentification FIDO2. Lorsqu’un utilisateur crée une clé d’accès sur un appareil, celle-ci peut être répliquée de manière sécurisée sur d’autres appareils authentifiés, via un fournisseur de clés d’accès sécurisé, souvent intégré directement au système d’exploitation ou à un gestionnaire de mots de passe dédié. Par exemple, l’activation des clés d’accès synchronisées via l’application Microsoft Authenticator permet à un utilisateur d’enregistrer une clé d’accès une seule fois, puis de l’utiliser pour se connecter à Microsoft Entra ID depuis son téléphone, sa tablette ou son PC, à condition que les appareils soient liés au même compte. Cette capacité renforce considérablement l’intérêt des clés d’accès comme méthode d’authentification par défaut, et rapproche les organisations d’un avenir véritablement sans mot de passe, en garantissant aux utilisateurs un accès permanent à leurs identifiants d’authentification résistants à l’hameçonnage.

Différents types de clés d’accès disponibles

Au-delà des clés d’accès synchronisées, il est essentiel que les administrateurs Entra comprennent les différentes formes que peut prendre une clé d’accès afin de gérer efficacement les méthodes d’authentification dans Microsoft Entra ID. La principale distinction porte sur les clés d’accès synchronisées et les clés d’accès liées à un appareil. Les deux types reposent sur la norme FIDO2 pour une authentification résistante à l’hameçonnage, mais leurs stratégies de déploiement et de gestion diffèrent. Une organisation peut choisir d’activer les clés d’accès synchronisées pour le confort général des utilisateurs, tout en exigeant des clés d’accès liées à un appareil pour les comptes hautement privilégiés ou pour des exigences de conformité spécifiques, ce qui permet de bâtir une stratégie d’authentification souple et robuste. Cette approche globale garantit à l’organisation la possibilité d’enregistrer des clés d’accès adaptées à des besoins de sécurité variés et aux préférences des utilisateurs.

Utilisation des clés de sécurité FIDO2

Les clés de sécurité FIDO2 constituent une méthode très sécurisée et distincte d’utilisation des clés d’accès, en agissant comme des authentificateurs matériels dédiés à l’authentification FIDO2 dans Microsoft Entra ID. Ces appareils physiques, généralement de petits jetons USB, génèrent et stockent la clé privée de manière sécurisée dans leur matériel résistant à la falsification. Lorsqu’un utilisateur doit se connecter à Microsoft Entra ID, il lui suffit d’insérer la clé de sécurité FIDO2 et de suivre les invites, impliquant souvent un code PIN ou une vérification biométrique directement sur la clé.

Cela ajoute une couche de sécurité supplémentaire : la clé privée ne quitte jamais le matériel, ce qui la rend immunisée contre de nombreuses attaques logicielles. Les administrateurs Entra peuvent activer les clés d’accès (passkeys) spécifiquement via des clés de sécurité FIDO2, ce qui constitue une option d’authentification multifacteur robuste, fortement recommandée pour les rôles critiques ou les environnements où la sécurité maximale est primordiale. La procédure d’enregistrement d’une clé d’accès à l’aide d’une clé de sécurité FIDO2 est simple et offre aux utilisateurs une méthode d’authentification puissante et résistante à l’hameçonnage.

Erreurs courantes concernant les clés de sécurité FIDO2

Les clés de sécurité FIDO2 sont des outils d’authentification robustes, souvent utilisés avec des plateformes comme les Passkeys Microsoft Entra. Voici les erreurs courantes et la manière de les éviter.

• Croire qu’une clé remplace entièrement la récupération de compte : Beaucoup pensent qu’une clé FIDO2 suffit à couvrir tous les scénarios de récupération. Si vous perdez la clé et que vous n’avez pas activé de méthodes de récupération de secours (clés de secours, codes de récupération ou passkeys gérées par la plateforme, comme les Passkeys Microsoft Entra), vous pouvez être bloqué hors de votre compte.
• Ne pas enregistrer de clés ou de méthodes de secours : N’enregistrer qu’une seule clé de sécurité est risqué. Ajoutez toujours au moins une clé de secours et activez des options de récupération secondaires pour éviter toute perte d’accès au compte.
• Confondre clés FIDO2 et jetons OTP matériels : Les clés FIDO2 utilisent la cryptographie à clé publique et résistent à l’hameçonnage, contrairement à de nombreux jetons à mot de passe à usage unique (OTP). Traitez-les différemment dans les processus et la documentation.
• Attendre une compatibilité universelle sans vérification : Tous les sites et toutes les plateformes ne prennent pas en charge chaque fonctionnalité FIDO2. Vérifiez la prise en charge par le navigateur, la plateforme et le service, en particulier lors de l’intégration à des services d’identité comme les Passkeys Microsoft Entra.
• Stocker ou étiqueter les clés de secours de manière peu sécurisée : Ranger une clé de secours à un endroit évident ou la marquer « clé de sécurité » compromet la sécurité. Conservez les clés de réserve dans des emplacements sûrs et discrets.
• Négliger les mises à jour du micrologiciel et les recommandations du fabricant : Certaines clés reçoivent des mises à jour ou présentent des problèmes connus. Ignorer les avis des fabricants est risqué : suivez les préconisations de maintenance et les délais de remplacement.
• Partager une même clé entre plusieurs utilisateurs : Les clés sont généralement liées à l’identité d’un seul utilisateur. Partager une clé nuit à la responsabilité individuelle et peut ne pas respecter les exigences d’audit et de conformité.
• Confondre clés résidentes et clés non résidentes : Les identifiants résidents (détectables) sont stockés sur la clé, tandis que les identifiants non résidents reposent sur le serveur. Choisir le mauvais type pour votre cas d’usage peut affecter la portabilité et les options de récupération.
• Supposer que la possession physique équivaut à un accès sans restriction : Une clé volée peut rester protégée par un code PIN ou une biométrie sur l’appareil, mais considérer qu’elle est sûre sans activer ces protections est une erreur. Activez systématiquement le code PIN ou la biométrie disponibles et envisagez des stratégies de verrouillage des appareils.
• Négliger la formation des utilisateurs et les processus opérationnels : Déployer des clés sans formation entraîne des usages inappropriés, des pertes de clés et une charge accrue pour le support. Prévoyez un accompagnement clair à l’intégration, des procédures en cas de perte de clé et des conseils d’intégration (par exemple, utiliser les Passkeys Microsoft Entra pour fluidifier l’expérience utilisateur).

Utiliser les Passkeys Entra sous Windows

Intégrer les passkeys à Windows Hello Entreprise

L’intégration des passkeys Entra à Windows Hello Entreprise offre une synergie puissante pour renforcer la sécurité et simplifier la connexion sur les appareils Windows. Lorsqu’une organisation décide d’activer les passkeys dans Microsoft Entra ID, en particulier via Windows Hello Entreprise, les utilisateurs bénéficient de passkeys liées à l’appareil, qui s’appuient sur l’authentification biométrique ou par code PIN déjà intégrée à leur environnement Windows. Pour utiliser la passkey lors de la connexion, il suffit donc aux utilisateurs de s’authentifier avec leur méthode Windows Hello habituelle, comme une empreinte digitale, une reconnaissance faciale ou un code PIN. Cette intégration offre une méthode d’authentification fluide et hautement résistante à l’hameçonnage, car la clé privée de la passkey ne quitte jamais l’appareil et est protégée par le matériel sécurisé de Windows Hello Entreprise. Les administrateurs Entra peuvent configurer des stratégies pour autoriser cette intégration, ce qui permet aux utilisateurs d’enregistrer facilement une passkey et de profiter d’un avenir véritablement sans mot de passe directement depuis leurs appareils Windows.

Accéder aux Passkeys Entra sous Windows

L'accès aux clés d'accès Entra sur les appareils Windows se veut un processus simple et sécurisé, qu'il s'agisse de clés d'accès synchronisées ou de clés d'accès liées à l'appareil via Windows Hello Entreprise. Pour les clés d'accès synchronisées, les utilisateurs ayant activé les clés d'accès dans Microsoft Authenticator ou dans un autre fournisseur de clés d'accès retrouveront leur profil de clé d'accès directement disponible sur leur appareil Windows, ce qui leur permet de se connecter aux applications Microsoft Entra en toute simplicité. Lorsqu'une authentification est demandée, Windows propose d'utiliser la clé d'accès, ce qui nécessite souvent une simple confirmation ou une vérification biométrique. Pour ceux qui utilisent Windows Hello Entreprise, l'accès est encore plus intégré, puisque la clé d'accès est directement liée à l'élément sécurisé de l'appareil. Cela permet aux utilisateurs de se connecter à Microsoft Entra ID et à d'autres services en s'authentifiant simplement avec Windows Hello, offrant une expérience de connexion cohérente et hautement sécurisée dans l'ensemble de leur écosystème Windows, et renforçant considérablement leurs capacités d'authentification résistante au hameçonnage.

Mises à jour de sécurité et bonnes pratiques

Pour garantir le niveau de sécurité le plus élevé et un fonctionnement optimal des clés d'accès Entra sous Windows, le respect des mises à jour de sécurité et des bonnes pratiques est essentiel. Les administrateurs Entra doivent veiller à maintenir à jour les systèmes d'exploitation Windows, l'application Microsoft Authenticator et le micrologiciel de toute clé de sécurité FIDO2, afin de bénéficier des dernières améliorations de sécurité et corrections de bogues. Il est utile de revoir et de mettre à jour régulièrement les stratégies d'authentification dans le Centre d'administration Microsoft Entra, afin que l'inscription et l'utilisation des clés d'accès soient conformes aux exigences de sécurité de l'organisation. Sensibiliser les utilisateurs à la création sécurisée d'une clé d'accès, à la différence entre clés d'accès synchronisées et clés d'accès liées à l'appareil, ainsi qu'à l'importance de protéger leurs appareils, est tout aussi indispensable. Microsoft Learn propose de nombreuses ressources sur ces mises à jour de sécurité et ces bonnes pratiques, qui aident les organisations à construire une stratégie d'authentification sans mot de passe et résiliente au sein de leur environnement Microsoft Entra ID.

Dépannage et assistance

Problèmes courants liés aux clés d'accès

Lors du déploiement et de la gestion des clés d'accès dans Microsoft Entra ID, les administrateurs Entra comme les utilisateurs peuvent rencontrer quelques problèmes courants qui nécessitent un dépannage. Une difficulté fréquente consiste à garantir que les utilisateurs puissent enregistrer une clé d'accès avec succès, en particulier si la compatibilité des appareils ou la configuration des stratégies ne sont pas correctement alignées. Les utilisateurs peuvent rencontrer des difficultés si leur clé de sécurité FIDO2 n'est pas reconnue ou si elle entre en conflit avec des méthodes d'authentification existantes. Un autre problème courant concerne la non-synchronisation des clés d'accès synchronisées sur tous les appareils prévus, souvent en raison de problèmes de connectivité ou de paramètres incorrects du fournisseur de clés d'accès. En outre, les utilisateurs peuvent supprimer par inadvertance leur profil de clé d'accès, ou rencontrer des difficultés lorsqu'ils tentent de définir les clés d'accès comme méthode d'authentification par défaut si les options de secours ne sont pas correctement configurées. Comprendre ces obstacles potentiels est la première étape pour les résoudre efficacement et préserver une expérience sans mot de passe fluide.

Comment activer et cibler les clés d'accès

Activer et cibler efficacement les clés d'accès dans Microsoft Entra ID est une tâche administrative critique, qui exige une configuration rigoureuse dans le Centre d'administration Microsoft Entra. Les administrateurs Entra, ou les personnes disposant du rôle Administrateur de stratégies d'authentification, doivent accéder au volet des méthodes d'authentification pour activer les clés d'accès au sein de leur organisation. Cela implique de sélectionner Clé de sécurité FIDO2 ou d'autoriser les utilisateurs à enregistrer une clé d'accès synchronisée via l'application Microsoft Authenticator. Cibler des groupes d'utilisateurs spécifiques pour le déploiement des clés d'accès est une bonne pratique, qui permet un déploiement progressif et garantit que les utilisateurs appropriés peuvent créer une clé d'accès. Cela peut être réalisé en affectant des stratégies à des groupes d'utilisateurs précis, afin que seules les personnes autorisées puissent enregistrer des clés d'accès et les utiliser comme méthode d'authentification principale ou multifacteur. Un ciblage approprié facilite la transition vers un environnement sans mot de passe et s'inscrit dans les mises à jour de sécurité de l'organisation.

Obtenir de l'aide pour la configuration des clés d'accès

Pour les administrateurs Entra et les utilisateurs qui ont besoin d’aide pour configurer les clés d’accès, plusieurs ressources sont disponibles pour assurer une transition sans heurt vers cette méthode d’authentification résistante à l’hameçonnage. Microsoft Learn propose une documentation complète et des tutoriels qui détaillent chaque étape du processus, de l’activation des clés d’accès dans Microsoft Entra ID au dépannage des problèmes courants. Le Centre d’administration Microsoft Entra fournit une aide contextuelle et des guides pour configurer les stratégies d’authentification et gérer l’inscription des clés d’accès. Par ailleurs, les canaux de support Microsoft sont disponibles pour les problèmes plus complexes, avec une assistance experte pour la configuration et la maintenance des clés d’accès dans Microsoft Entra. Exploiter ces ressources peut aider les organisations à surmonter les difficultés, à activer efficacement les clés d’accès synchronisées et à faire des clés d’accès la méthode d’authentification par défaut, renforçant ainsi de manière significative leur posture de sécurité et adoptant une expérience de connexion moderne et sans mot de passe.

Questions fréquentes

profil de clé d’accès : création et gestion d’un profil de clé d’accès

Entra passkey sur Windows : activation et utilisation d’Entra passkey sur les appareils Windows

fonctionnement des clés d’accès : comment les clés d’accès fonctionnent sur plusieurs appareils et les clés d’accès synchronisées

Qu’est-ce qu’une clé d’accès Microsoft Entra et en quoi diffère-t-elle d’une clé d’accès FIDO2 ?

Une clé d’accès Microsoft Entra est un identifiant moderne et résistant à l’hameçonnage, stocké soit sur un appareil, soit auprès d’un fournisseur cloud de clés d’accès, et géré via Microsoft Entra ID. Elle utilise une cryptographie à clé publique similaire à celle d’une clé d’accès FIDO2, mais elle est intégrée aux fonctionnalités de Microsoft 365 et de Entra pour permettre la connexion par clé d’accès et la synchronisation dans le cloud entre appareils.

Comment activer la connexion par clé d’accès pour mon organisation ?

Pour activer la connexion par clé d’accès, vous devez créer un profil de clé d’accès dans Microsoft Entra, configurer ces profils afin de définir la stratégie (notamment l’autorisation ou non des clés d’accès synchronisées) et, si vous le souhaitez, intégrer Microsoft Intune pour appliquer des contrôles sur les appareils. Les administrateurs décident si les clés d’accès deviendront l’expérience d’authentification par défaut ou resteront facultatives.

Que signifie « autoriser les clés d’accès synchronisées » et comment le configurer ?

« Autoriser les clés d’accès synchronisées » est un choix de stratégie qui permet aux utilisateurs de stocker leurs clés d’accès auprès d’un fournisseur cloud de clés d’accès afin de les utiliser sur plusieurs appareils. Pour le configurer, activez cette option dans le profil de clé d’accès, en veillant à ce que les utilisateurs soient invités à enregistrer une clé d’accès et à ce que le fournisseur cloud de clés d’accès soit pris en charge.

Les utilisateurs peuvent-ils enregistrer une clé d’accès directement ou sont-ils invités à le faire ?

Les utilisateurs peuvent enregistrer une clé d’accès directement via les paramètres de sécurité de leur compte Microsoft Entra, ou être invités à le faire pendant les flux de connexion lorsque l’organisation impose les clés d’accès comme expérience d’authentification par défaut, ou lorsque le profil de clé d’accès déclenche une invite d’enregistrement.

Comment fonctionnent les clés d’accès sous Windows, et Microsoft Entra prend-il en charge Windows Hello ?

Sous Windows, les clés d’accès s’appuient sur Windows Hello comme authentificateur. Avec Entra passkey sur Windows, l’appareil peut générer une clé d’accès liée stockée dans le TPM ou auprès d’un fournisseur cloud de clés d’accès, et Microsoft Entra ID permet d’utiliser Windows Hello pour créer et utiliser des clés d’accès d’authentificateur.

Qu’est-ce que les clés d’accès liées et où les clés d’accès sont-elles stockées ?

Les clés d’accès liées sont associées à l’authentificateur d’un appareil précis (comme Windows Hello) et sont généralement stockées dans un espace sécurisé matériel (TPM). Les clés d’accès synchronisées, ou clés d’accès stockées dans le cloud, sont conservées auprès du fournisseur cloud de clés d’accès associé au compte Microsoft Entra de l’utilisateur.

Comment créer un profil de clé d’accès et peut-il être limité à plusieurs stratégies ?

Vous créez un profil de clé d’accès dans le portail Microsoft Entra en sélectionnant les méthodes et les paramètres d’authentification. Les profils de clé d’accès peuvent être limités à plusieurs groupes ou environnements : vous pouvez ainsi créer des profils à portée limitée, voire trois profils distincts, afin d’appliquer des règles différentes selon les populations d’utilisateurs.

Que faire si les utilisateurs ne peuvent pas enregistrer une clé d’accès ?

Si les utilisateurs ne peuvent pas enregistrer une clé d’accès, vérifiez que le profil de clé d’accès permettant l’enregistrement est attribué à leur compte, contrôlez que leurs appareils répondent aux exigences (par exemple Windows Hello ou un authentificateur compatible), confirmez que les paramètres du fournisseur cloud de clés d’accès et de Microsoft Entra ID autorisent l’enregistrement direct de la clé d’accès, et assurez-vous qu’aucune stratégie de configuration des appareils Microsoft Intune ne bloque les fonctionnalités d’authentificateur.

Les clés d’accès deviendront-elles l’expérience d’authentification par défaut dans Microsoft Entra ?

Microsoft a indiqué que les clés d’accès deviendraient l’expérience d’authentification par défaut pour de nombreux utilisateurs. Les administrateurs peuvent anticiper cette évolution en définissant les clés d’accès comme méthode principale dans le profil de clé d’accès, de sorte que l’authentification par clé d’accès par défaut s’applique conformément à la stratégie de leur organisation.

Comment fonctionnent les clés d’accès synchronisées dans Microsoft Entra avec plusieurs appareils et les applications Microsoft 365 ?

Les clés d’accès synchronisées permettent de synchroniser les clés d’accès d’un utilisateur via un fournisseur cloud de clés d’accès, afin qu’il puisse se connecter sur plusieurs appareils. Lorsqu’il utilise les applications Microsoft 365, la connexion par clé d’accès est gérée par Microsoft Entra ID et par le fournisseur cloud. Les utilisateurs peuvent ainsi utiliser leurs clés d’accès pour Microsoft 365 sans les réenregistrer sur chaque appareil.

Puis-je imposer l’utilisation des clés d’accès, et à quel niveau de précision la stratégie peut-elle être définie ?

Oui, vous pouvez imposer l’utilisation des clés d’accès en configurant des stratégies dans les profils de clé d’accès et dans l’accès conditionnel de Microsoft Entra ID. Les stratégies peuvent être très précises : les profils de clé d’accès à portée délimitée permettent d’imposer les clés d’accès à des utilisateurs, à des groupes ou à des scénarios spécifiques, et même de restreindre les authentificateurs ou les fournisseurs cloud de clés d’accès autorisés.

Quelle est la différence entre le protocole client-authentificateur et la connexion par clé d’accès ?

Le protocole client-authentificateur (CTAP) est un protocole technique utilisé par les authentificateurs pour communiquer avec les clients (navigateurs et appareils). La connexion par clé d’accès, en revanche, désigne le processus d’authentification que vit l’utilisateur final au moyen d’une clé d’accès. CTAP sous-tend les clés d’accès FIDO2 et les clés d’accès des authentificateurs utilisées dans les flux de connexion par clé d’accès.

Comment consulter les clés d’accès et les gérer pour les utilisateurs dans Microsoft Entra ?

Les administrateurs peuvent consulter l’état d’enregistrement des clés d’accès et les gérer via les méthodes d’authentification et les rapports de Microsoft Entra ID. Les utilisateurs peuvent voir leurs clés d’accès dans les paramètres de sécurité de leur compte Microsoft Entra, où ils peuvent enregistrer une clé d’accès ou supprimer une clé d’accès stockée sur l’appareil ou chez le fournisseur cloud.

Les clés d’accès sont-elles prises en charge par Microsoft Entra ID, et quels authentificateurs sont compatibles ?

Oui, Microsoft Entra ID prend en charge les clés d’accès grâce aux normes FIDO2. De nombreux authentificateurs sont compatibles, notamment Windows Hello, les authentificateurs de plateforme et les clés de sécurité externes. En s’appuyant sur ces normes, Microsoft Entra ID prend en charge à la fois les clés d’accès liées à un appareil et les identifiants synchronisés dans le cloud.

Que se passe-t-il si la clé d’accès d’un utilisateur est déjà enregistrée sur un autre appareil ?

Si une clé d’accès est déjà enregistrée sur un autre appareil et que l’utilisateur souhaite l’utiliser ailleurs, il doit soit utiliser des clés d’accès synchronisées (si elles sont autorisées), soit enregistrer une nouvelle clé d’accès sur le nouvel appareil. Les administrateurs doivent prendre en compte les scénarios multi-appareils lors de la configuration des profils de clé d’accès et des options de synchronisation dans le cloud.

Intune peut-il servir à gérer les appareils qui utilisent des clés d’accès et Windows Hello ?

Oui, Microsoft Intune peut gérer la conformité et la configuration des appareils qui utilisent des clés d’accès et Windows Hello. Les stratégies Intune permettent de s’assurer que les exigences de sécurité des appareils sont respectées avant d’autoriser la connexion par clé d’accès, et elles peuvent être combinées aux paramètres Entra de clés d’accès sous Windows pour un déploiement cohérent.

Comment prendre en charge les clés d’accès pour plusieurs applications et services de mon organisation ?

Pour prendre en charge les clés d’accès dans plusieurs applications, assurez-vous que ces applications sont fédérées ou intégrées à Microsoft Entra ID, activez la connexion par clé d’accès dans vos paramètres d’authentification, puis créez des profils de clé d’accès précisant si les utilisateurs peuvent utiliser leurs clés d’accès pour plusieurs applications et services Microsoft 365.

Qu’est-ce qu’un fournisseur cloud de clés d’accès et en avez-vous besoin ?

Un fournisseur cloud de clés d’accès stocke et synchronise les clés d’accès sur l’ensemble des appareils d’un utilisateur. Son utilisation est facultative, mais recommandée si vous souhaitez que les utilisateurs emploient des clés d’accès synchronisées sur plusieurs appareils, plutôt que des clés d’accès liées uniquement à un seul appareil.