Configurer l’authentification Windows intégrée

L’authentification Windows intégrée (IWA) permet aux utilisateurs de s’authentifier auprès de MyQ à l’aide de leur identité Windows connectée. MyQ utilise Kerberos lorsque cela est possible et peut recourir à NTLM à défaut, sauf si l’authentification exclusivement via Kerberos est imposée.

Utilisez l’IWA pour les utilisateurs et les postes de travail faisant partie du même domaine Active Directory que le serveur MyQ, ou d’un domaine de confiance. Les utilisateurs situés en dehors de l’environnement de domaine ont besoin d’une autre méthode d’authentification.

Prérequis

• Les services de domaine Active Directory (AD DS) sont disponibles.

• Le serveur MyQ et les ordinateurs clients sont rattachés au même domaine ou à des domaines de confiance.

• Le DNS résout le nom de domaine complet (FQDN) utilisé pour accéder au serveur MyQ.

• L’heure est synchronisée entre les contrôleurs de domaine, le serveur MyQ et les ordinateurs clients.

• Les utilisateurs sont synchronisés avec MyQ.

• Active Directory est configuré comme serveur d’authentification pour les utilisateurs concernés.

• Vous disposez des autorisations nécessaires pour enregistrer un nom principal de service (SPN) dans Active Directory.

Activer l’authentification Windows dans MyQ

1. Accédez à MyQ > Paramètres > Utilisateurs > Authentification d’utilisateur.

2. Activez l’option Se connecter avec l’authentification Windows.

3. Enregistrez les paramètres.

L’authentification Windows devient alors disponible en tant que méthode d’authentification supplémentaire dans l’interface Web MyQ.

Les utilisateurs qui ne sont pas couverts par l’IWA peuvent continuer à utiliser les autres méthodes d’authentification configurées.

Configurer Kerberos

Kerberos est le protocole recommandé pour IWA.

MyQ utilise l’API du serveur HTTP Windows (http.sys) pour l’authentification Windows. Le nom principal du service HTTP (SPN) doit donc être enregistré sur le compte d’ordinateur du serveur MyQ, et non sur un compte de service MyQ distinct.

Le SPN doit correspondre au nom de domaine complet (FQDN) que les utilisateurs utilisent pour accéder à MyQ.

Enregistrer le SPN

Ouvrez l’invite de commande en tant qu’utilisateur disposant des autorisations Active Directory requises, sur un contrôleur de domaine ou sur un autre ordinateur équipé des outils de gestion Active Directory appropriés.

Enregistrez le SPN HTTP :

setspn -S HTTP/myqserver.domain.com MYQSERVER

Remplacez :

• myqserver.domain.com par le nom de domaine complet (FQDN) utilisé pour accéder à MyQ.

• MYQSERVER par le nom de compte de l’ordinateur du serveur MyQ.

Vérifiez les SPN enregistrés :

setspn -L MYQSERVER

Vérifiez que l’entrée requise HTTP/<FQDN> est bien présente.

Si les utilisateurs accèdent à MyQ via un nom d’hôte, un alias ou un nom de domaine complet (FQDN) différent, assurez-vous que la configuration du SPN correspondant correspond bien à l’adresse réellement utilisée par les clients.

Configurer l’authentification via le navigateur

Pour que l’IWA fonctionne dans l’interface Web MyQ, le navigateur doit reconnaître le serveur MyQ comme une destination d’authentification intégrée et être autorisé à envoyer automatiquement les identifiants Windows de l’utilisateur connecté.

Dans les environnements gérés, déployez de manière centralisée les paramètres de navigateur requis à l’aide de la stratégie de groupe, d’une solution MDM ou du mécanisme de règle d’entreprise du navigateur.

Exemple avec Microsoft Edge

Sur un ordinateur client :

1. Ouvrez Options Internet > Avancé > Sécurité et activez l’authentification Windows intégrée.

2. Accédez à Options Internet > Sécurité > Intranet local > Sites > Avancé.

3. Ajoutez le nom de domaine complet (FQDN) du serveur MyQ.

4. Accédez à Intranet local > Niveau personnalisé > Authentification d’utilisateur > Connexion.

5. Sélectionnez Connexion automatique uniquement dans la zone Intranet.

D’autres navigateurs pris en charge peuvent nécessiter leurs propres règles d’authentification intégrée. Reportez-vous à la documentation d’entreprise du fournisseur du navigateur lorsque vous déployez ces paramètres de manière centralisée.

Activer l’authentification unique transparente pour le Client MyQ Desktop

Client MyQ Desktop permet l’authentification d’utilisateur automatique via son profil de configuration.

1. Accédez à MyQ > Paramètres > Client MyQ Desktop.

2. Ouvrez le profil de configuration requis.

3. Dans l’onglet Général, sous Authentification, activez l’authentification unique transparente.

4. Enregistrez le profil.

Lorsque l’authentification unique transparente est activée, le Client MyQ Desktop tente d’authentifier automatiquement l’utilisateur Windows connecté. En fonction des méthodes d’authentification configurées pour l’utilisateur et l’environnement, MyQ peut utiliser l’authentification unique Microsoft Entra ID ou l’authentification Windows intégrée avant de recourir à la connexion manuelle.

Kerberos et NTLM

MyQ tente d’utiliser Kerberos lorsque les conditions requises sont réunies. NTLM peut être utilisé comme repli lorsque Kerberos ne peut pas être appliqué. Kerberos est recommandé pour les déploiements IWA normaux.

Si le protocole NTLM est nécessaire pour des raisons de compatibilité, utilisez NTLMv2. Si votre organisation restreint ou désactive le protocole NTLM via une règle de domaine, vérifiez que Kerberos fonctionne correctement pour MyQ avant d’appliquer cette restriction aux clients concernés.

Imposer l’utilisation de Kerberos pour MyQ

MyQ propose une option de configuration au niveau du serveur permettant d’empêcher le recours au repli NTLM. Ajoutez la ligne suivante au fichier config.ini sur le serveur MyQ :

[Security]
KerberosOnly=true

Ce paramètre affecte l’authentification Windows dans MyQ. Il ne désactive pas NTLM pour les autres applications ou services du domaine Windows.

Redémarrez les services MyQ concernés après avoir modifié les paramètres de configuration avancés, le cas échéant.

Règles à l’échelle du domaine

La stratégie de groupe Windows permet également de contrôler le comportement de Kerberos et de NTLM sur l’ensemble des systèmes joints au domaine.

Les domaines de stratégie courants comprennent :

Les modifications apportées aux règles Kerberos ou NTLM à l’échelle du domaine peuvent affecter d’autres services que MyQ. Veuillez vous coordonner avec vos administrateurs Active Directory ou de sécurité.

Mappage de domaine

Les noms de domaine Windows peuvent être présentés sous différents formats lors de l’authentification.

Par exemple :

• Nom NetBIOS : ACME

• Nom de domaine DNS : acme.example.com

Le domaine reçu lors de l’authentification doit correspondre au domaine configuré pour le serveur d’authentification de l’utilisateur dans MyQ.

Si le client fournit un nom de domaine NetBIOS alors que MyQ est configuré avec le nom de domaine DNS, l’authentification peut échouer. Cela est particulièrement important lorsque le protocole NTLM est utilisé.

MyQ fournit le paramètre de configuration avancée domainsMapping permettant de mapper les variantes de noms de domaine.

Pour connaître la syntaxe de ce paramètre et la procédure de configuration avancée, consultez la section Configuration avancée.

Vérification de l’authentification Windows intégrée

Une fois la configuration effectuée, testez l’authentification Windows intégrée (IWA) à partir d’un poste de travail représentatif appartenant au domaine.

Pour l’interface Web :

1. Connectez-vous à Windows en tant qu’utilisateur MyQ configuré pour s’authentifier via Active Directory.

2. Ouvrez l’interface Web MyQ à l’aide du nom de domaine complet (FQDN) configuré pour Kerberos.

3. Sélectionnez l’option de connexion Authentification Windows.

4. Vérifiez que l’utilisateur est authentifié sans avoir à saisir d’identifiants supplémentaires.

Testez également le Client MyQ Desktop si l’IWA fait partie de la configuration du Client Desktop.

Vérification de l’utilisation de Kerberos ou de NTLM

L’authentification Windows est gérée par Windows et Active Directory. Les journaux MyQ n’indiquent donc pas nécessairement si une authentification IWA individuelle a utilisé Kerberos ou NTLM.

Utilisez les journaux de sécurité de Windows et d’Active Directory pour vérifier le protocole d’authentification.

Les événements Kerberos pertinents sur les contrôleurs de domaine sont notamment les suivants :

• 4768 : demande de ticket d’octroi de ticket

• 4769 : demande de ticket de service Kerberos

• 4771 : Échec de la pré-authentification Kerberos

• 4775 : Échec de l’authentification

• 4624 : Connexion Windows réussie

Les tentatives d’authentification NTLM sont également consignées dans les événements de sécurité Windows.

Ces événements permettent d’identifier l’utilisateur qui s’authentifie et l’ordinateur d’origine, mais ils n’identifient pas nécessairement MyQ comme l’application à l’origine de l’authentification.

Dépannage

Si IWA ne fonctionne pas comme prévu, vérifiez les points suivants.

Repli de Kerberos vers NTLM

Vérifiez que :

• le client accède à MyQ en utilisant le nom de domaine complet (FQDN) attendu,

• le DNS résout correctement ce nom de domaine complet,

• le SPN HTTP correspondant existe,

• le SPN est enregistré sur le compte d’ordinateur du serveur MyQ,

• il n’y a pas de SPN en double dans Active Directory,

• l’heure est synchronisée sur le client, le serveur et les contrôleurs de domaine.

L’authentification Windows ne démarre pas dans le navigateur

Vérifiez que :

• l’authentification Windows intégrée est activée dans le navigateur,

• le serveur MyQ est reconnu comme une destination intranet ou de serveur d’authentification,

• les règles d’entreprise du navigateur autorisent l’authentification Windows automatique pour le nom de domaine complet (FQDN) de MyQ.

Testez la configuration sur un poste de travail appartenant au domaine avant de l’appliquer à l’ensemble de l’environnement.

L’authentification fonctionne pour certains domaines, mais pas pour d’autres

Vérifiez :

• la relation de confiance entre les domaines,

• le serveur d’authentification attribué aux utilisateurs concernés,

• le nom de domaine présenté par Windows lors de l’authentification,

• si les noms de domaine NetBIOS et DNS doivent être mis en correspondance à l’aide de la fonction domainsMapping.

Échec de l’authentification après la désactivation de NTLM

Vérifiez que l’authentification Kerberos aboutit avant d’imposer un comportement Kerberos uniquement ou de désactiver NTLM via la stratégie de domaine.

Vérifiez notamment le DNS, l’enregistrement des SPN, la stratégie de navigateur et la connectivité au domaine.