Guide de Déploiement d'AuthPoint

Vous gérez AuthPoint à partir de WatchGuard Cloud. Il existe deux types de comptes WatchGuard Cloud — Service Provider et Subscriber — chacun avec une vue différente de WatchGuard Cloud.

Si vous avez un compte Service Provider, avant de pouvoir configurer AuthPoint, vous devez aller à la page Inventaire et allouer des licences d'utilisateurs AuthPoint à votre compte. Pour plus d'informations, consultez Allouer des Utilisateurs à Votre Compte.

Vous configurez et gérez AuthPoint depuis la section Configurer les Services de WatchGuard Cloud.

Pour naviguer à l'AuthPoint management UI dans WatchGuard Cloud :

1. Connectez-vous à WatchGuard Cloud à l'adresse http://cloud.watchguard.com/.
   Le Tableau de bord WatchGuard Cloud s'affiche.
2. Dans le menu de navigation, sélectionnez Configurer > Authpoint. Si vous possédez un compte Service Provider, vous devez sélectionner un compte dans le Gestionnaire de Comptes.
   La page Synthèse d’AuthPoint s'affiche.

AuthPoint Gateway est un logiciel léger que vous installez sur votre réseau pour synchroniser les informations des comptes d’utilisateurs entre votre serveur LDAP ou Active Directory et AuthPoint.

La Gateway fonctionne comme un serveur RADIUS et est nécessaire pour l'authentification RADIUS et pour que les utilisateurs synchronisés par LDAP accèdent aux ressources SAML. Vous devez installer la Gateway pour qu'AuthPoint puisse communiquer avec vos clients RADIUS et vos bases de données LDAP.

Avant d'installer la Gateway, vous devez la configurer depuis l'AuthPoint management UI.

Pour configurer et installer AuthPoint Gateway :

1. Dans le menu de navigation AuthPoint, sélectionnez Gateway.
2. Cliquez sur Ajouter une Gateway.

3. Dans la zone de texte Nom, tapez un nom descriptif pour la Gateway.

4. Cliquez sur Enregistrer.
5. Sur la page Gateway, au bas de la tuile de votre Gateway, cliquez sur Clé d'Enregistrement.

6. Dans la boîte de dialogue Clé d'Enregistrement de la Gateway, copiez la clé d'enregistrement. Vous avez besoin de cette valeur pour installer la Gateway.

   La clé d'enregistrement de la Gateway est une clé à usage unique. Si l'installation de la Gateway échoue, vous devez générer une nouvelle clé à utiliser pour l'installation.

7. Dans le menu de navigation, sélectionnez Téléchargements.
8. Dans la section Programme d'Installation de la Gateway, cliquez sur Télécharger.

9. Exécutez le programme d'installation de la Gateway téléchargé depuis n'importe quel point de votre réseau ayant accès à Internet et pouvant se connecter à vos clients RADIUS et serveur(s) LDAP.
   
   La boîte de dialogue Configuration de WatchGuard AuthPoint Gateway s'affiche.
10. Dans la zone de texte Clé d'Enregistrement de la Gateway, saisissez ou collez la clé d'enregistrement de la Gateway copiée à partir d'AuthPoint.
11. Cliquez sur Installer.

12. Cliquez sur Terminer.

13. Dans l'AuthPoint management UI, sur la page Gateway, vérifiez l'icône circulaire à côté du nom de votre Gateway. Une icône verte indique que la Gateway est correctement installée et qu'elle peut communiquer avec AuthPoint.

    Si l'installation de la Gateway échoue, vous devez générer une nouvelle clé d'enregistrement à utiliser pour l'installation. Pour plus d'informations, consultez Clé d'Enregistrement de la Gateway.

Les identités externes se connectent aux bases de données des utilisateurs pour obtenir des informations sur les comptes d'utilisateurs et valider les mots de passe. Pour synchroniser les utilisateurs à partir d'une base de données d'utilisateurs externe, vous devez ajouter une identité externe.

Dans cet exemple, nous vous indiquons les étapes de synchronisation des utilisateurs à partir d'Active Directory ou d'une base de données LDAP (Lightweight Directory Access Protocol). Pour apprendre à créer une identité externe de manière à synchroniser les utilisateurs Azure Active Directory, consultez la section Synchroniser des Utilisateurs à partir d'Azure Active Directory.

Pour ajouter une identité externe à partir d'AuthPoint management UI :

1. Sélectionnez Identités Externes.
2. Dans la liste déroulante Choisir un Type d'Identité Externe sélectionnez LDAP. Cliquez sur Ajouter une Identité Externe.

3. Dans la zone de texte Nom, tapez un nom descriptif pour l'identité externe.
4. Dans la zone de texte Base de Recherche LDAP saisissez votre base de données LDAP. Dans cet exemple, le domaine est exemple.com donc nous entrons dc=exemple,dc=com. Astuce !Le format standard pour la configuration de la base de recherche est : .

   Pour plus d'informations sur la syntaxe LDAP et sur la façon d'utiliser une base de recherche pour limiter les répertoires sur le serveur d'authentification où l'identité externe peut rechercher des utilisateurs, consultez Trouver Votre Base de Recherche Active Directory.

5. Dans les zones de texte Compte Système et Phrase Secrète, saisissez les informations d'identification d'un utilisateur qui a le droit d'effectuer des recherches LDAP et des liaisons. Si cet utilisateur ne figure pas dans le dossier Utilisateurs par défaut, activez l'option et saisissez le nom unique de l'utilisateur. Astuce ! Le format standard pour le nom unique d'un utilisateur est : cn=<nom de l'utilisateur>,ou=<nom de l'unité d'organisation>,dc=<première partie du nom de serveur unique>,dc=<toute partie du nom de serveur unique qui apparait après le point>.

   Dans cet exemple, nous avons un utilisateur nommé administrateur qui se trouve dans une OU appelée AuthPoint (pas le dossier Utilisateurs par défaut). Nous devons donc activer l'option et saisir le nom unique de notre utilisateur ainsi : CN=administrateur, OU=AuthPoint, DC=exemple, DC=com.

   Si l'utilisateur se trouve dans le dossier Utilisateurs et que le nom d'utilisateur est différent du nom de compte (sAMAccountName), vous devez saisir le nom de compte dans la zone de texte Compte Système.

6. Dans la liste déroulante Intervalle de Synchronisation, indiquez à quelle fréquence vous souhaitez synchroniser la base de données LDAP. Si vous sélectionnez Toutes les 24 heures, vous devez également spécifier à quelle heure la synchronisation commence chaque jour.
7. Pour Type, choisissez s'il s'agit d'un serveur Active Directory ou d'un autre type de base de données LDAP. Pour les autres bases de données, vous devez spécifier chaque valeur d'attribut. Vous n'avez pas à faire cela pour Active Directory car les valeurs d’attributs sont connues.
8. Dans la zone de texte Domaine, saisissez votre nom de domaine LDAP.
9. S'il ne s'agit pas d'un serveur Active Directory, saisissez une valeur pour chaque attribut.

   Si vos utilisateurs Active Directory utilisent ADFS, vous devez conserver la valeur sAMAccountName par défaut pour l'attribut lié à la connexion de l'utilisateur.

10. Dans la zone de texte Adresse du Serveur, entrez l'adresse IP de votre serveur LDAP.
11. Dans la zone de texte Port du serveur, entrez le port de votre serveur.

12. (Facultatif) Pour ajouter une adresse redondante à votre identité externe, cliquez sur Ajouter une Adresse Redondante puis saisissez une adresse et un port différents pour la même base de données LDAP.
13. Cliquez sur Enregistrer.

Ensuite, vous devez ajouter votre identité externe à la configuration de votre AuthPoint Gateway. Après cela, vous pourrez tester la connexion à votre base de données LDAP.

1. Dans le menu de navigation, sélectionnez Gateway.
2. Cliquez sur le Nom de votre Gateway.
3. Dans la section LDAP, dans la liste Sélectionner une identité externe LDAP, sélectionnez votre serveur LDAP ou Active Directory.

4. Cliquez sur Enregistrer.
5. Dans le menu de navigation, sélectionnez Identités Externes.
6. À côté de l'identité externe que vous avez ajoutée pour votre base de données LDAP, cliquez sur et sélectionnez Vérifier la Connexion.

AuthPoint est maintenant connecté à votre base de données LDAP. Vous pouvez créer une requête pour synchroniser les utilisateurs, mais avant cela, nous vous recommandons d'ajouter des ressources pour toutes les applications et services pour lesquels vous souhaitez exiger une authentification.

Dans AuthPoint, les ressources sont les applications que vous protégez avec AuthPoint. Lorsque vous ajoutez une ressource, vous fournissez les informations requises pour qu'AuthPoint puisse se connecter à cette ressource.

Lorsque vous ajoutez et configurez une ressource dans AuthPoint, une authentification est requise pour se connecter à cette ressource. Pour chaque ressource, les utilisateurs doivent être membres d'un groupe qui a une stratégie d'authentification qui inclut cette ressource afin de s'authentifier et de se connecter.

Des utilisateurs non membres de groupes possédant une stratégie d'authentification sur une ressource donnée ne peuvent pas s'authentifier pour s'y connecter.

Consultez les Guides d'Intégration AuthPoint pour plus d'informations sur la configuration de l'authentification avec des services et applications tiers spécifiques.

Après avoir ajouté et configuré les ressources dans AuthPoint, vous devez créer des groupes pour vos utilisateurs. Dans AuthPoint, les groupes vous permettent de définir les ressources auxquelles vos utilisateurs ont accès. Vous ajoutez les utilisateurs dans des groupes dans AuthPoint, puis vous ajoutez les groupes aux stratégies d'authentification spécifiant les ressources sur lesquelles les utilisateurs peuvent s'authentifier.

Vous devez ajouter au moins un groupe avant de pouvoir ajouter des stratégies d'authentification ou ajouter des utilisateurs à AuthPoint.

Pour synchroniser des groupes externes d'Active Directory ou d'Azure Active Directory, vous devez ajouter une identité externe et créer une synchronisation de groupe avec l'option Créer de nouveaux groupes synchronisés activée. Cette rubrique est abordée dans la section Étape 9 — Synchroniser les utilisateurs de votre base de données LDAP.

Pour ajouter un groupe à AuthPoint, dans l'AuthPoint management UI :

1. Dans le menu de navigation, sélectionnez Groupes.
2. Cliquez sur Ajouter un Groupe.

3. Dans la section Nouveau Groupe, dans la zone de texte Nom, entrez un nom descriptif pour le groupe.
4. (Facultatif) Dans la zone de texte Description, entrez la description du groupe.

5. Cliquez sur Enregistrer.
   Votre groupe est listé sur la page Groupes.

Les objets de stratégie sont les composants d'une stratégie configurables individuellement, tels que les emplacements réseau. Vous pouvez configurer les objets de stratégie avant de les ajouter aux stratégies d'authentification.

Vous pouvez configurer ces types d'objets de stratégie :

Emplacements Réseau (précédemment « emplacements sûrs »)

Les objets de stratégie d'emplacement réseau vous permettent de spécifier une liste d'adresses IP. Vous pouvez ensuite configurer des stratégies d'authentification s'appliquant uniquement lorsque les utilisateurs s'authentifient à partir des adresses IP dans l'emplacement réseau spécifié. Vous pouvez procéder ainsi si vous souhaitez autoriser les utilisateurs à se connecter sans MFA lorsqu'ils se trouvent au bureau.

Planification Horaire

Les objets de stratégie de planification horaire vous permettent de spécifier les dates et heures auxquelles les stratégies d'authentification s'appliquent aux authentifications des utilisateurs. Lorsque vous ajoutez une planification horaire à une stratégie d'authentification, la stratégie s'applique uniquement lorsqu'un utilisateur s'authentifie pendant la planification horaire spécifiée.

Lorsque vous ajoutez un objet de stratégie à une stratégie d'authentification, la stratégie s'applique uniquement aux authentifications d'utilisateur correspondant aux conditions de l'authentification et des objets de stratégie. À titre d'exemple, si vous ajoutez un emplacement réseau spécifique à une stratégie, celle-ci ne s'applique qu'aux authentifications des utilisateurs qui en proviennent.

Nous vous recommandons de créer une deuxième stratégie sans objet de stratégie pour ces groupes et ces ressources. Les utilisateurs disposant uniquement d'une stratégie comprenant un objet de stratégie n'ont pas accès à la ressource lorsque les conditions de l'objet de stratégie ne s'appliquent pas à l'authentification (car ils ne disposent d'aucune stratégie applicable et non car leur authentification est refusée).

• Les utilisateurs qui ont uniquement une stratégie qui inclut un emplacement réseau n'ont pas accès à la ressource lorsqu'ils s'authentifient en dehors de cet emplacement réseau.
• Les utilisateurs disposant uniquement d'une stratégie de planification horaire ne se voient pas octroyer l'accès lorsqu'ils s'authentifient hors des créneaux de la planification horaire.

Si vous possédez deux stratégies (une avec un objet de stratégie et l'autre sans), attribuez une priorité plus élevée à la stratégie comprenant l'objet de stratégie. Pour plus d'informations, consultez À propos de l'Ordre de Priorité des Stratégies.

Après avoir ajouté toutes vos ressources et groupes dans AuthPoint, vous devez configurer les stratégies d'authentification. Les stratégies d'authentification spécifient les ressources sur lesquelles les utilisateurs d'AuthPoint peuvent s'authentifier ainsi que les méthodes d'authentification à leur disposition (Push, QR code et OTP).

Lorsque vous configurez une stratégie d'authentification, spécifiez :

• Si la stratégie autorise ou refuse les authentifications.
• Les méthodes d'authentification requises.
• Les ressources auxquelles s'applique la stratégie.
• Les groupes d'utilisateurs auxquels s'applique la stratégie.
• Les objets de stratégie s'appliquant aux authentifications.

Un utilisateur non membre d'un groupe possédant une stratégie d'authentification sur une ressource donnée ne peut pas s'authentifier pour s'y connecter.

Lorsque vous configurez des stratégies, assurez-vous de respecter les exigences et les recommandations suivantes :

• Vous devez configurer au moins un groupe avant de configurer les stratégies d'authentification.
• Pour l'authentification RADIUS et l'authentification de base (ECP Enhanced Client or Proxy), les stratégies possédant un emplacement réseau ne s'appliquent pas, car AuthPoint ne dispose pas de l'adresse IP de l'utilisateur final ni de l'adresse IP d'origine.
• Les stratégies comprenant des emplacements réseau Les objets de stratégie d'emplacement réseau sont une liste d'adresses IP que vous configurez. s'appliquent uniquement aux authentifications des utilisateurs provenant de cet emplacement réseau. Les utilisateurs disposant uniquement d'une stratégie incluant un emplacement réseau ne peuvent pas accéder à la ressource lorsqu'ils s'authentifient hors de cet emplacement réseau. Cela est dû au fait qu'ils ne disposent d'aucune stratégie applicable et non car leur authentification est refusée.
• Si vous configurez des objets de stratégie Les objets de stratégie sont des composants configurables individuellement d'une stratégie tels que les emplacements réseau., nous vous recommandons de créer une deuxième stratégie sans objet de stratégie pour ces groupes et ces ressources. Attribuez une priorité plus élevée à la stratégie possédant les objets de stratégie.
• Si vous activez les méthodes d'authentification push et OTP dans une stratégie, les ressources RADIUS associées à cette dernière utilisent les notifications push pour authentifier les utilisateurs.
• Vous devez activer la méthode d'authentification push pour les stratégies comprenant des ressources RADIUS MS-CHAPv2.
• Les ressources RADIUS ne prennent pas en charge l'authentification par QR code.

Pour configurer une stratégie d'authentification :

1. Sélectionnez Stratégies d'Authentification.
2. Cliquez sur Ajouter une Stratégie.

3. Saisissez le nom de la stratégie.
4. Dans la liste déroulante Sélectionnez les options d'authentification, sélectionnez une option pour spécifier s'il est nécessaire d'exiger l'authentification MFA ou de refuser les authentifications pour cette stratégie.
   • Options d'authentification — Exige la MFA lorsque les utilisateurs des groupes associés à cette stratégie s'authentifient sur les ressources associées à celle-ci.
   • Authentification non autorisée — Refuse les authentifications lorsque les utilisateurs des groupes associés à cette stratégie tentent de s'authentifier sur les ressources associées à cette stratégie

5. Si vous exigez la MFA pour cette stratégie, sélectionnez la case à cocher correspondant à chaque option d'authentification que les utilisateurs peuvent sélectionner lorsqu'ils s'authentifient. Pour plus d'informations sur les méthodes d'authentification, consultez À propos de l'Authentification.

   Si vous activez les méthodes d'authentification push et OTP dans une stratégie, les ressources RADIUS associées à cette dernière utilisent les notifications push pour authentifier les utilisateurs.

   L'authentification par QR code n'est pas prise en charge pour les ressources RADIUS.

6. Pour les stratégies comprenant une ressource Office 365, si vous exigez une authentification pour un périphérique ou une ressource appartenant à votre domaine Office 365 mais ne pouvant pas utiliser la MFA tel qu'une imprimante, sélectionnez la case à cocher Authentification de Base. L'authentification de base est également appelée Enhanced Client or Proxy (ECP).
7. Dans la liste déroulante Groupes, sélectionnez les groupes auxquels s'applique cette stratégie. Vous pouvez sélectionner plusieurs groupes. Pour configurer cette stratégie de manière à l'appliquer à tous les groupes, sélectionnez Tous les Groupes.
8. Dans la liste déroulante Ressources, sélectionnez les ressources auxquelles cette stratégie s'applique. Pour configurer cette stratégie afin qu'elle s'applique à toutes les ressources, sélectionnez Toutes les Ressources.

9. Dans la liste déroulante Objets de stratégie, sélectionnez les objets de stratégie s'appliquant à cette stratégie. Pour plus d'informations sur les objets de stratégie, consultez À propos des Objets de Stratégie.

10. Cliquez sur Enregistrer.
    Votre stratégie est créée et ajoutée à la fin de la liste des stratégies.

    Après avoir créé une nouvelle stratégie, nous vous recommandons de réviser l'ordre des stratégies. AuthPoint ajoute toujours les nouvelles stratégies à la fin de la liste des stratégies.

Pour synchroniser les utilisateurs d'une base de données LDAP, vous devez créer une requête pour l'identité externe que vous avez ajoutée. Les requêtes que vous ajoutez à une identité externe spécifient les utilisateurs à synchroniser à partir de votre base de données Active Directory ou LDAP. Elles extraient les informations des utilisateurs dans la base de données et créent les utilisateurs AuthPoint correspondant aux utilisateurs de la requête.

Il y a deux façons d'extraire des utilisateurs :

• Synchronisation de Groupe — Sélectionnez les groupes LDAP dont vous souhaitez synchroniser les utilisateurs et AuthPoint crée la requête pour vous.
• Requêtes Avancées — Créez vos propres requêtes LDAP pour spécifier les groupes ou utilisateurs à synchroniser.

Dans cet exemple, nous montrons les étapes à suivre pour la fonction de synchronisation de groupe.

Avant de continuer, assurez-vous que chaque compte d'utilisateur possède une adresse e-mail valide. Si l'adresse e-mail d'un compte d’utilisateur n'est pas correcte, l'utilisateur ne peut pas recevoir l’e-mail lui permettant de définir un mot de passe et d'activer un jeton.

Si les groupes LDAP sélectionnés ont plus d'utilisateurs que ne le permettent vos licences, la synchronisation ne crée que le nombre d'utilisateurs permis par votre licence.

Les utilisateurs LDAP qui n'ont pas de nom d'utilisateur ou d'adresse e-mail ne sont pas inclus dans la synchronisation.

Pour synchroniser des groupes LDAP :

1. Sélectionnez Identités Externes.
2. À côté de votre identité externe, cliquez sur et sélectionnez Synchronisation de Groupe.

3. Sur la page Synchronisation de Groupe, cliquez sur Ajouter un Nouveau Groupe à Synchroniser.

4. Dans la fenêtre Ajouter une Synchronisation de Groupe, dans la liste déroulante Sélectionner les Groupes LDAP à partir desquels Synchroniser les Utilisateurs, sélectionnez les groupes LDAP à partir desquels vous souhaitez synchroniser des utilisateurs. Vous pouvez sélectionner plusieurs groupes.

5. Dans la liste déroulante Sélectionner un Groupe AuthPoint pour y Ajouter des Utilisateurs, sélectionnez le groupe AuthPoint auquel vous souhaitez ajouter les utilisateurs.

   Pour chaque synchronisation de groupe, tous les utilisateurs sont ajoutés au même groupe AuthPoint. Pour ajouter des utilisateurs à plusieurs groupes AuthPoint, vous devez créer une synchronisation de groupe distincte pour chaque groupe LDAP qui contient les utilisateurs que vous voulez dans un goupe AuthPoint différent.

6. Pour créer de nouveaux groupes dans AuthPoint en fonction des groupes Active Directory à partir desquels vous synchronisez les utilisateurs, activez l'option Créer de nouveaux groupes synchronisés. Si vous activez cette option, les utilisateurs sont synchronisés selon les nouveaux groupes en fonction de leur appartenance aux groupes de la base de données LDAP, en plus du groupe AuthPoint sélectionné.

   L'option Créer de nouveaux groupes synchronisés est uniquement disponible pour Active Directory et Azure Active Directory.

   Pour voir et utiliser cette option, vous devez installer la version 6.1 ou une version ultérieure de AuthPoint Gateway.

7. Cliquez sur Enregistrer.
   La fenêtre Ajouter une Synchronisation de Groupe se ferme.

Après avoir ajouté une requête pour trouver vos utilisateurs (manuellement ou avec la synchronisation de groupe), AuthPoint se synchronise avec votre base de données Active Directory ou LDAP au prochain intervalle de synchronisation Ceci est défini dans la liste déroulante Intervalle de synchronisation sur la page de Configuration LDAP de votre identité externe. et crée un compte d'utilisateur AuthPoint pour chaque utilisateur identifié par la requête.

Pour lancer une synchronisation immédiatement, sur la page Identités Externes, à côté de votre identité externe, cliquez sur et sélectionnez Démarrer la Synchronisation.

Les comptes d'utilisateur créés apparaissent sur la page Utilisateurs avec une icône de statut Activé verte à côté du nom d'utilisateur. L'icône d'état Activé indique que l'utilisateur a été créé et qu'il est actuellement actif (non bloqué). Vous pouvez identifier les utilisateurs synchronisés à partir d'une identité externe par la balise LDAP dans la colonne Type dans la liste des utilisateurs.

Chaque utilisateur reçoit un e-mail pour activer son jeton dans l'application mobile AuthPoint. Lorsqu'un utilisateur active son jeton, les informations relatives au jeton s'affichent dans la colonne Jeton avec une icône d'état Activé verte à côté du jeton.

Les utilisateurs synchronisés à partir d'une identité externe utilisent leur mot de passe existant pour l'authentification. Ils ne reçoivent pas d'email pour définir un mot de passe AuthPoint.

Si vous avez activé l'option Créer de nouveaux groupes synchronisés, les groupes synchronisés sont créés dans AuthPoint. Les groupes nouvellement créés figurent sur la page Groupes. Vous pouvez identifier les groupes synchronisés à partir d'Active Directory par la balise LDAP dans la colonne Type de la liste des groupes.

Si vous modifiez le nom d'un groupe synchronisé dans Active Directory, le nom du groupe synchronisé dans AuthPoint est automatiquement mis à jour en conséquence. Il est impossible de modifier les groupes synchronisés dans AuthPoint.

Si vous supprimez le groupe dans Active Directory ou si vous supprimez la synchronisation de groupe, le groupe synchronisé n'est pas supprimé dans AuthPoint. Vous devez supprimer manuellement le groupe synchronisé dans AuthPoint.