Comprendre les options d’Office 365 et d’Azure Active Directory

Vous pouvez choisir parmi trois principaux modèles d’identité dans Office 365 lorsque vous configurez et gérez des comptes d’utilisateur :

Il est important de prendre soigneusement en compte le modèle d’identité à utiliser pour être opérationnel. Pensez au temps, à la complexité existante et aux coûts. Ces facteurs sont différents pour chaque organisation. Cette rubrique passe en revue ces concepts clés pour chaque modèle d’identité afin de vous aider à choisir l’identité que vous souhaitez utiliser pour votre déploiement.

Vous pouvez également passer à un autre modèle d’identité si vos besoins changent.

 L’identité dans Office 365 pour les entreprises

Identité Cloud

Dans ce modèle, vous créez et gérez des utilisateurs sur le portail Microsoft Office et stockez les comptes dans Azure AD. Azure AD vérifie les mots de passe. Azure AD est le répertoire Cloud utilisé par Office 365. Aucun serveur sur site n’est requis : Microsoft s’occupe de tout gérer pour vous. Lorsque l’identité et l’authentification sont entièrement gérées dans le Cloud, vous pouvez gérer les comptes d’utilisateur et les licences utilisateur via le portail en ligne Microsoft ou les applets de commande Windows PowerShell.

Le graphique suivant récapitule la façon de gérer les utilisateurs dans le modèle d’identité Cloud.

1. L’administrateur se connecte au portail en ligne Microsoft sur la plate-forme Cloud Microsoft pour créer ou gérer des utilisateurs.

2. Les demandes de création ou de gestion sont transmises à Azure AD.

3. S’il s’agit d’une demande de changement, la modification est effectuée et copiée sur le portail Microsoft Office

4. Les nouveaux comptes d’utilisateur et les modifications apportées aux comptes d’utilisateur existants sont copiées sur le portail Microsoft Office.

Dans quels cas utiliser l’identité Cloud ? L’identité Cloud est un bon choix si :

• Vous n’avez pas d’autre répertoire d’utilisateurs sur site.
• Vous disposez d’un répertoire sur site très complexe et vous souhaitez simplement éviter le travail d’intégration.
• Vous disposez d’un répertoire sur site existant, mais vous souhaitez exécuter une version d’essai ou un pilote d’Office 365. Vous pourrez ensuite associer les utilisateurs Cloud aux utilisateurs sur site lorsque vous serez prêt à vous connecter à votre répertoire sur site

Intégration d’Office 365 à un service de répertoire existant

Si vous disposez d’un environnement de répertoire existant sur site, vous pouvez intégrer Office 365 à votre répertoire à l’aide d’une identité synchronisée ou d’une authentification unique (SSO) et d’une identité fédérée pour créer et gérer vos utilisateurs dans Office 365.

Identité synchronisée

Dans ce modèle, vous gérez l’identité de l’utilisateur sur un serveur sur site et synchronisez les comptes et, éventuellement, les mots de passe sur le Cloud. L’utilisateur saisit le même mot de passe sur site et dans le Cloud, et lors de la connexion, le mot de passe est vérifié par Azure AD. Ce modèle utilise un outil de synchronisation de répertoire pour synchroniser l’identité sur site avec Office 365.

Pour configurer le modèle d’identité synchronisée, vous devez disposer d’un répertoire sur site à partir duquel effectuer la synchronisation, et installer un outil de synchronisation de répertoire. Exécutez quelques vérifications de cohérence sur votre répertoire sur site avant de synchroniser les comptes.

Dans quels cas utiliser des identités synchronisées ou fédérées :

Le schéma suivant illustre un scénario d’identité synchronisée avec une synchronisation de mot de passe. L’outil de synchronisation permet de synchroniser vos identités d’utilisateur d’entreprise sur site et dans le Cloud.

1. Installez Azure Active Directory Connect de Microsoft.

2. Créez de nouveaux utilisateurs dans votre répertoire sur site.

3. L’outil de synchronisation vérifie régulièrement dans votre répertoire sur site les nouvelles identités que vous avez créées. Ensuite, il provisionne ces identités dans Azure AD, relie les identités sur site et dans le Cloud, synchronise les mots de passe et les rend visibles par le biais du portail Microsoft Office.

4. Lorsque vous apportez des modifications aux utilisateurs du répertoire sur site, ces modifications sont synchronisées sur Azure AD et mises à votre disposition via le portail Microsoft Office.

Identité fédérée

Ce modèle nécessite une identité synchronisée, mais il connaît une modification : le mot de passe utilisateur est vérifié par le fournisseur d’identité sur site. Le hachage du mot de passe n’a donc pas besoin d’être synchronisé avec Azure AD. Ce modèle utilise Active Directory Federation Services (AD FS) ou un fournisseur d’identité tiers.

Pourquoi utiliser une identité fédérée :

Infrastructure existante

• Si vous avez déjà déployé AD FS pour une autre raison, vous souhaitez probablement l’utiliser également pour Office 365.
• Si vous utilisez déjà un autre fournisseur d’identité, vous pouvez utiliser l’identité fédérée avec Office 365.
• Si vous utilisez Forefront Identity Manager, utilisez l’identité fédérée avec Office 365.

Exigences techniques

• Disposer de plusieurs forêts dans Active Directory Domain Services (AD DS) sur site.
• Disposer d’une solution de carte à puce intégrée sur site.
• Disposer d’une application hybride personnalisée existante, par exemple avec SharePoint ou Microsoft Exchange Server.

Exigences relatives aux politiques

• Exiger un audit de connexion et/ou une désactivation immédiate.
• Exiger une authentification unique (SSO).
• Disposer de restrictions d’authentification par emplacement réseau ou heures de travail.
• Disposer d’autres politiques qui nécessitent une identité fédérée.

Le schéma suivant illustre un scénario d’identité fédérée avec un déploiement hybride sur site et dans le Cloud. Le répertoire sur site dans cet exemple est AD FS. L’outil de synchronisation permet de synchroniser vos identités d’utilisateur d’entreprise sur site et dans le Cloud.

1. Installez Azure Active Directory Connect. L’outil de synchronisation permet de maintenir Azure AD à jour avec les dernières modifications apportées à votre répertoire sur site. Utilisez une installation personnalisée d’Azure AD Connect pour configurer l’authentification unique.

2. Créez de nouveaux utilisateurs dans Active Directory sur site.

3. L’outil de synchronisation vérifie régulièrement dans le serveur Active Directory sur site les nouvelles identités que vous avez créées. Ensuite, il provisionne ces identités dans Azure AD, relie les identités sur site et dans le Cloud et les rend visibles par le biais du portail Microsoft Office.

4. À mesure que des modifications sont apportées à l’identité dans Active Directory sur site, ces modifications sont synchronisées avec Azure AD.

5. Ces modifications sont mises à votre disposition via le portail Microsoft Office.

6. Vos utilisateurs fédérés se connectent avec votre AD FS.

7. AD FS génère un jeton de sécurité et ce jeton est transmis à Azure AD. Le jeton est vérifié et validé, et les utilisateurs sont alors autorisés pour Office 365.