Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Activer l'authentification multifactorielle pour AWS Managed Microsoft AD
Vous pouvez activer l'authentification multifactorielle (MFA) pour votre annuaire Microsoft AD AWS géré afin de renforcer la sécurité lorsque vos utilisateurs spécifient leurs informations d'identification AD pour y accéder. Applications Amazon Enterprise prises en charge Lorsque vous activez la MFA, vos utilisateurs saisissent leur nom d'utilisateur et leur mot de passe (premier facteur), comme ils en ont l'habitude, mais ils doivent également saisir un code d'authentification (deuxième facteur) qui leur est fourni par votre solution MFA matérielle ou virtuelle. Ensemble, ces facteurs offrent une sécurité supplémentaire en empêchant l'accès à vos applications d'entreprise Amazon si les utilisateurs ne sont pas en mesure d'indiquer des informations d'identification utilisateur valides et un code MFA valide.
Pour activer l'authentification MFA, vous devez posséder une solution MFA qui est un serveur Remote authentication dial-in user service
RADIUS est un protocole client/serveur standard qui assure l'authentification, l'autorisation et la gestion de la comptabilité afin de permettre aux utilisateurs de se connecter aux services réseau. AWS Managed Microsoft AD inclut un client RADIUS qui se connecte au serveur RADIUS sur lequel vous avez implémenté votre solution MFA. Votre serveur RADIUS valide le nom d'utilisateur et le code secret unique. Si votre serveur RADIUS valide correctement l'utilisateur, AWS Managed Microsoft AD authentifie ensuite l'utilisateur auprès d'Active Directory. Une fois l'authentification Active Directory réussie, les utilisateurs peuvent accéder à l' AWS application. La communication entre le client Microsoft AD RADIUS AWS géré et votre serveur RADIUS nécessite que vous configuriez des groupes AWS de sécurité qui permettent la communication via le port 1812.
Vous pouvez activer l'authentification multifactorielle pour votre annuaire Microsoft AD AWS géré en suivant la procédure suivante. Pour plus d'informations sur la configuration de votre serveur RADIUS pour être utilisé avec AWS Directory Service et MFA, veuillez consulter Prérequis pour l'authentification multifactorielle.
Considérations
Voici quelques considérations relatives à l'authentification multifactorielle pour votre Microsoft AD AWS géré :
L'authentification multifactorielle n'est pas disponible pour Simple AD. Toutefois, l'authentification MFA peut être activée pour votre annuaire AD Connector. Pour plus d’informations, consultez Activer l'authentification multifactorielle pour AD Connector.
Le MFA est une fonctionnalité régionale de Managed AWS Microsoft AD. Si vous utilisez Réplication multi-régions, les procédures suivantes doivent être appliquées séparément dans chaque région. Pour plus d’informations, consultez Caractéristiques mondiales et régionales.
Si vous avez l'intention d'utiliser AWS Managed Microsoft AD pour les communications externes, nous vous recommandons de configurer une passerelle Internet ou une passerelle Internet de traduction d'adresses réseau (NAT) en dehors du AWS réseau pour ces communications.
-
Si vous souhaitez prendre en charge les communications externes entre votre Microsoft AD AWS géré et votre serveur RADIUS hébergé sur le AWS réseau, veuillez contacter AWS Support
.
-
Activer l'authentification multifactorielle pour AWS Managed Microsoft AD
La procédure suivante explique comment activer l'authentification multifactorielle pour AWS Managed Microsoft AD.
-
Identifiez l'adresse IP de votre serveur MFA RADIUS et de votre répertoire AWS Managed Microsoft AD.
-
Modifiez vos groupes de sécurité Virtual Private Cloud (VPC) pour permettre les communications via le port 1812 entre vos points de terminaison IP AWS Microsoft AD gérés et votre serveur MFA RADIUS.
-
Dans le volet de navigation de la console AWS Directory Service
, sélectionnez Directories (Annuaires). -
Choisissez le lien d'ID de répertoire pour votre annuaire Microsoft AD AWS géré.
-
Sur la page Détails de l'annuaire, exécutez l'une des opérations suivantes :
-
Si plusieurs régions apparaissent sous Réplication sur plusieurs régions, sélectionnez la région dans laquelle vous souhaitez activer l'authentification MFA, puis cliquez sur l'onglet Mise en réseau et sécurité. Pour plus d’informations, consultez Régions principales et régions supplémentaires.
-
Si aucune région n'apparaît sous Réplication sur plusieurs régions, choisissez l'onglet Mise en réseau et sécurité.
-
-
Dans la section Authentification multifactorielle, choisissez Actions, puis sélectionnez Activer.
-
Dans la page Activer l'authentification multifactorielle (MFA), indiquez les valeurs suivantes :
- Afficher l'étiquette
-
Indiquez un nom d'étiquette.
- Nom DNS ou adresses IP du serveur RADIUS
-
Adresses IP des points de terminaison de votre serveur RADIUS ou adresse IP de l'équilibreur de charge de votre serveur RADIUS. Vous pouvez entrer plusieurs adresses IP en les séparant par une virgule (par exemple,
192.0.0.0,192.0.0.12).Note
La MFA RADIUS s'applique uniquement pour authentifier l' AWS Management Console accès aux applications et services Amazon Enterprise tels qu'Amazon ou WorkSpaces Amazon QuickSight Chime. Il ne fournit pas de MFA aux charges de travail Windows exécutées sur des instances EC2 ou pour la connexion à une instance EC2. AWS Directory Service ne prend pas en charge l'authentification RADIUS Challenge/Response.
Les utilisateurs doivent disposer de leur code MFA au moment d'entrer leurs noms d'utilisateur et leurs mots de passe. Vous devez également utiliser une solution qui effectue une MFA, out-of-band telle que la vérification du texte par SMS pour l'utilisateur. Dans les solutions out-of-band MFA, vous devez vous assurer de définir la valeur du délai d'expiration RADIUS de manière appropriée pour votre solution. Lorsque vous utilisez une solution out-of-band MFA, la page de connexion invite l'utilisateur à saisir un code MFA. Dans ce cas, les utilisateurs doivent entrer leurs mots de passe dans la zone de mot de passe et dans la zone MFA.
- Port
-
Port que votre serveur RADIUS utilise pour les communications. Votre réseau local doit autoriser le trafic entrant via le port du serveur RADIUS par défaut (UDP:1812) en provenance des serveurs. AWS Directory Service
- Shared secret code
-
Code secret partagé qui a été spécifié lorsque vos points de terminaison RADIUS ont été créés.
- Confirmer le code secret partagé
-
Confirmez le code secret partagé pour vos points de terminaison RADIUS.
- Protocole
-
Sélectionnez le protocole qui a été spécifié lorsque vos points de terminaison RADIUS ont été créés.
- Délai d'attente du serveur (en secondes)
-
Durée, en secondes, d'attente de la réponse du serveur RADIUS. La valeur doit être comprise entre 1 et 50.
Note
Nous vous recommandons de configurer le délai d'attente de votre serveur RADIUS à 20 secondes ou moins. Si le délai d'attente est supérieur à 20 secondes, le système ne peut pas réessayer avec un autre serveur RADIUS, ce qui peut entraîner un échec lié au délai d'attente.
- Nombre maximal de tentatives RADIUS
-
Nombre de tentatives de communication avec le serveur RADIUS. La valeur doit être comprise entre 0 et 10.
L'authentification multifactorielle est disponible lorsque le paramètre RADIUS Status passe à l'état Enabled.
-
Sélectionnez Activer.
Applications Amazon Enterprise prises en charge
Toutes les applications informatiques Amazon Enterprise WorkSpaces, y compris Amazon, Amazon, Amazon WorkDocs WorkMail QuickSight, ainsi que l'accès à AWS IAM Identity Center Managed Microsoft AD et AD Connector avec MFA, AWS Management Console sont prises en charge lors de l'utilisation de AWS Managed Microsoft AD et AD Connector.
Pour plus d'informations sur la configuration de l'accès utilisateur de base aux applications Amazon Enterprise, l'authentification AWS unique et l' AWS Management Console utilisation AWS Directory Service, consultez Permettre l'accès aux AWS applications et aux services etActivation de l'accès à AWS Management Console avec les informations d'identification AD.
Article AWS de blog sur la sécurité connexe
