{"id":886388,"date":"2026-09-29T16:44:43","date_gmt":"2026-09-29T16:44:43","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-configurer-le-sso-avec-azure-ad-pour-les-applications-metier\/"},"modified":"2026-09-29T16:44:44","modified_gmt":"2026-09-29T16:44:44","slug":"comment-configurer-le-sso-avec-azure-ad-pour-les-applications-metier","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-configurer-le-sso-avec-azure-ad-pour-les-applications-metier\/","title":{"rendered":"Comment configurer le SSO avec Azure AD pour les applications m\u00e9tier"},"content":{"rendered":"<p>L&rsquo;authentification unique (SSO) via Azure AD (d\u00e9sormais appel\u00e9 Microsoft Entra ID) permet aux utilisateurs de se connecter une seule fois avec leurs identifiants Azure AD pour acc\u00e9der aux applications internes et m\u00e9tier (LOB). Ils n&rsquo;ont donc plus besoin de m\u00e9moriser plusieurs noms d&rsquo;utilisateur ni de r\u00e9p\u00e9ter les connexions. R\u00e9sultat\u00a0: une meilleure UX (exp\u00e9rience utilisateur), une s\u00e9curit\u00e9 renforc\u00e9e et un contr\u00f4le d&rsquo;acc\u00e8s plus efficace dans les environnements hybrides et cloud.<\/p>\n<p>Le SSO Azure prend en charge un large \u00e9ventail de types d&rsquo;applications, aussi bien modernes qu&rsquo;anciennes. Voici les sc\u00e9narios d&rsquo;applications m\u00e9tier les plus courants\u00a0:<\/p>\n<ul>\n<li>Applications web internes (h\u00e9berg\u00e9es sur IIS, bas\u00e9es sur .NET)<\/li>\n<li>Applications SaaS personnalis\u00e9es<\/li>\n<li>Applications sur site expos\u00e9es via Azure AD Application Proxy<\/li>\n<li>Applications h\u00e9rit\u00e9es n\u00e9cessitant une authentification unique bas\u00e9e sur les en-t\u00eates ou sur un formulaire<\/li>\n<\/ul>\n<p>Ce guide vous accompagne pas \u00e0 pas dans la configuration du <strong>SSO Azure<\/strong> pour ces applications.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Cliquez sur une \u00e9tape pour y acc\u00e9der directement<\/strong><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-1\"><strong>\u00c9tape 1\u00a0: enregistrer l&rsquo;application m\u00e9tier dans Azure AD<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-2\"><strong>\u00c9tape 2\u00a0: configurer les options SSO selon le type d&rsquo;application<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-3\"><strong>\u00c9tape 3\u00a0: mettre en place Azure AD Application Proxy (pour les applications sur site)<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-4\"><strong>\u00c9tape 4\u00a0: configurer le comportement des jetons SSO sur les appareils clients<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-5\"><strong>\u00c9tape 5\u00a0: appliquer les politiques via GPO<\/strong><\/a><\/td>\n<\/tr>\n<tr>\n<td style=\"text-align: center\"><a href=\"#step-6\"><strong>\u00c9tape 6\u00a0: automatiser l&rsquo;acc\u00e8s et la validation des jetons avec PowerShell<\/strong><\/a><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Les \u00e9tapes pour g\u00e9rer l&rsquo;authentification unique (SSO) avec Azure AD pour les applications m\u00e9tier (LOB)<\/h2>\n<p>Pour \u00e9viter les probl\u00e8mes de configuration et garantir un d\u00e9ploiement sans accroc, assurez-vous que les pr\u00e9requis suivants sont r\u00e9unis avant de commencer\u00a0:<\/p>\n<p>\ud83d\udccc <strong>Pr\u00e9requis g\u00e9n\u00e9raux\u00a0:<\/strong><\/p>\n<ul>\n<li>Un tenant Azure AD avec une licence Premium P1 (n\u00e9cessaire pour Application Proxy ou l&rsquo;acc\u00e8s conditionnel)<\/li>\n<li>Une application m\u00e9tier h\u00e9berg\u00e9e sur site ou dans Azure<\/li>\n<li>Des terminaux joints au domaine ou joints \u00e0 Azure AD<\/li>\n<li>Un acc\u00e8s administrateur au portail Azure et au serveur d&rsquo;applications<\/li>\n<\/ul>\n<h3 id=\"step-1\">\u00c9tape 1\u00a0: enregistrer l&rsquo;application m\u00e9tier dans Azure AD<\/h3>\n<p>Cette \u00e9tape cr\u00e9e une identit\u00e9 pour votre application dans Azure AD afin qu&rsquo;elle puisse \u00eatre g\u00e9r\u00e9e de fa\u00e7on s\u00e9curis\u00e9e. Une fois l&rsquo;enregistrement effectu\u00e9, Azure AD reconna\u00eet l&rsquo;application et peut lui d\u00e9livrer des jetons.<\/p>\n<ol>\n<li>Ouvrez le <a href=\"https:\/\/portal.azure.com\" target=\"_blank\" rel=\"noopener\"><strong>portail Azure<\/strong><\/a>.<\/li>\n<li>Allez dans <strong>Azure Active Directory &gt; App registrations &gt; New registration<\/strong>.<\/li>\n<li>Saisissez un nom pour l&rsquo;application.<\/li>\n<li>D\u00e9finissez l&rsquo;<strong>URI de redirection <\/strong>(par exemple <a href=\"https:\/\/app.domain.com\/auth\/callback\" target=\"_blank\" rel=\"noopener\">https:\/\/app.domain.com\/auth\/callback<\/a>) (voir le point n\u00b0 1 de la section <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/li>\n<li>Cliquez sur <strong>Register<\/strong>.<\/li>\n<li>Apr\u00e8s l&rsquo;enregistrement\u00a0:\n<ul style=\"list-style-type: disc\">\n<li>Copiez l&rsquo;<strong>Application (client) ID<\/strong>.<\/li>\n<li>Dans <strong>Authentication<\/strong>, choisissez la plateforme et saisissez votre URI de redirection.<\/li>\n<li>Dans <strong>API permissions<\/strong>, ajoutez les autorisations Microsoft Graph suivantes\u00a0: <strong>openid<\/strong>, <strong>profile<\/strong> et <strong>email<\/strong>.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>\ud83d\udca1 <span style=\"font-size: 14pt\">Qu&rsquo;est-ce qu&rsquo;une application LOB dans Azure\u00a0?<\/span><\/h4>\n<p>Une application m\u00e9tier (LOB, Line-of-Business) est une application personnalis\u00e9e ou interne, con\u00e7ue sp\u00e9cifiquement pour les besoins d&rsquo;une entreprise. Elle est souvent d\u00e9velopp\u00e9e en interne et n&rsquo;est pas rendue publique.<\/p>\n<h3 id=\"step-2\">\u00c9tape 2\u00a0: configurer les options SSO selon le type d&rsquo;application<\/h3>\n<p>Chaque application prend en charge une m\u00e9thode d&rsquo;authentification diff\u00e9rente (<a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/quest-ce-que-saml-et-comment-fonctionne-t-il\/\">SAML<\/a>, <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/oauth-quest-ce-que-cest\/\">OAuth2<\/a> ou OIDC). Cette \u00e9tape indique \u00e0 Azure AD laquelle utiliser pour que les utilisateurs puissent se connecter sans probl\u00e8me.<\/p>\n<h4>Pour les applications modernes (OIDC ou SAML)<\/h4>\n<ol>\n<li>Allez dans <strong>Azure Active Directory &gt; Enterprise Applications &gt; [Votre application] &gt; Single sign-on<\/strong>.<\/li>\n<li>Choisissez\u00a0:\n<ul style=\"list-style-type: disc\">\n<li><strong>SAML <\/strong>pour les applications compatibles SAML 2.0<\/li>\n<li><strong>OIDC <\/strong>(<a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-openid-connect\/\">OpenID Connect<\/a>) pour les applications con\u00e7ues avec des fournisseurs d&rsquo;identit\u00e9 modernes<\/li>\n<\/ul>\n<\/li>\n<li>Renseignez les champs requis\u00a0:\n<ul style=\"list-style-type: disc\">\n<li><strong>Identifier (Entity ID)<\/strong><\/li>\n<li><strong>Reply URL (Assertion Consumer Service)<\/strong><\/li>\n<li><strong>Sign-on URL<\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>(Voir le point n\u00b0 2 de la section <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/p>\n<ol start=\"4\">\n<li>Attribuez des utilisateurs ou des groupes dans l&rsquo;onglet <strong>Users and Groups<\/strong>.<\/li>\n<\/ol>\n<h4>Pour les applications h\u00e9rit\u00e9es ou bas\u00e9es sur les en-t\u00eates<\/h4>\n<p>Utilisez <strong>Azure AD Application Proxy <\/strong>avec pr\u00e9authentification (voir l&rsquo;\u00e9tape 3).<\/p>\n<h4>\ud83d\udca1 <span style=\"font-size: 14pt\">Qu&rsquo;est-ce que le SSO dans Azure\u00a0?<\/span><\/h4>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/hybrid\/connect\/how-to-connect-sso\" target=\"_blank\" rel=\"noopener\">L&rsquo;authentification unique (SSO) dans Azure<\/a> est une fonction qui permet aux utilisateurs d&rsquo;acc\u00e9der \u00e0 plusieurs applications avec une seule connexion. Elle simplifie l&rsquo;authentification et renforce la s\u00e9curit\u00e9 en centralisant la gestion des identit\u00e9s.<\/p>\n<h3 id=\"step-3\">\u00c9tape 3\u00a0: mettre en place Azure AD Application Proxy (pour les applications sur site)<\/h3>\n<p>Si votre application est h\u00e9berg\u00e9e sur site, Azure AD ne peut pas l&rsquo;atteindre directement. Application Proxy fait office de tunnel s\u00e9curis\u00e9 entre Azure et votre r\u00e9seau interne. (Voir le point n\u00b0 3 de la section <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>Un Windows Server 2016 ou version ult\u00e9rieure \u00e0 l&rsquo;int\u00e9rieur du r\u00e9seau<\/li>\n<li>Application Proxy Connector install\u00e9 sur ce serveur<\/li>\n<\/ul>\n<p>Instructions\u00a0:<\/p>\n<ol>\n<li>T\u00e9l\u00e9chargez ou installez l&rsquo;<a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/app-proxy\/application-proxy-connectors\" target=\"_blank\" rel=\"noopener\"><strong>Application Proxy Connector depuis Azure<\/strong><\/a>.<\/li>\n<li>Connectez-vous avec un compte Azure AD Global Admin.<\/li>\n<li>Dans le portail Azure, allez dans <strong>Azure AD &gt;<\/strong> <strong>Enterprise Applications &gt; + Add &gt; On-premises application<\/strong>.<\/li>\n<li>Saisissez\u00a0:\n<ul style=\"list-style-type: disc\">\n<li><strong>Internal URL &#8211; <a href=\"http:\/\/internalapp.local\" target=\"_blank\" rel=\"noopener\">http:\/\/internalapp.local<\/a><\/strong><\/li>\n<li><strong>External URL<\/strong> &#8211; <a href=\"https:\/\/app-tenant.msappproxy.net\" target=\"_blank\" rel=\"noopener\">https:\/\/app-tenant.msappproxy.net<\/a><\/li>\n<li>Activez la <strong>pr\u00e9authentification <\/strong>via Azure AD<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h4>V\u00e9rifier la connexion<\/h4>\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, tapez <strong>cmd<\/strong> et appuyez sur <strong>Entr\u00e9e <\/strong>pour ouvrir l&rsquo;invite de commande.<\/li>\n<li>Ex\u00e9cutez\u00a0: <strong>netstat -ano | findstr :443<\/strong><\/li>\n<\/ol>\n<h3 id=\"step-4\">\u00c9tape 4\u00a0: configurer le comportement des jetons SSO sur les appareils clients<\/h3>\n<p>Les appareils clients doivent savoir comment g\u00e9rer les jetons SSO\u00a0: comment les demander, les stocker et les actualiser lorsque c&rsquo;est n\u00e9cessaire. Cette \u00e9tape vous explique comment configurer le comportement des jetons SSO sur les appareils clients.<\/p>\n<h4>Activer le SSO fluide et l&rsquo;authentification directe<\/h4>\n<ol>\n<li>Configurez <strong>Azure AD Connect<\/strong>, activez le <strong>SSO fluide (Seamless SSO)<\/strong> et, si vous le souhaitez, l&rsquo;<strong>authentification directe (Pass-through Authentication, PTA)<\/strong>.<\/li>\n<li>V\u00e9rifiez la configuration dans PowerShell\u00a0: <strong>Get-AzureADSSOStatus<\/strong><\/li>\n<\/ol>\n<h4>V\u00e9rification du registre (mise en cache des jetons SSO c\u00f4t\u00e9 client)<\/h4>\n<ol>\n<li>V\u00e9rifiez les param\u00e8tres des jetons dans\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>HKEY_CURRENT_USER\\Software\\Microsoft\\Office\\16.0\\Common\\Identity<\/strong><\/p>\n<p>Des cl\u00e9s comme <strong>EnableADAL<\/strong> ou <strong>Version<\/strong> peuvent influer sur le comportement de l&rsquo;authentification moderne dans les applications int\u00e9gr\u00e9es \u00e0 Office.<\/p>\n<h4>V\u00e9rification via CMD (invite de commande) (pr\u00e9sence du jeton)<\/h4>\n<ol>\n<li>Pour inspecter ou r\u00e9initialiser les tickets Kerberos, ex\u00e9cutez\u00a0: <strong>klist<\/strong><\/li>\n<\/ol>\n<p>Utilisez <strong>klist purge<\/strong> pour supprimer les anciens tickets Kerberos en cas de probl\u00e8me.<\/p>\n<h3 id=\"step-5\">\u00c9tape 5\u00a0: appliquer les politiques via GPO<\/h3>\n<p>Pour garantir la coh\u00e9rence sur l&rsquo;ensemble de vos appareils, utilisez la strat\u00e9gie de groupe afin de contr\u00f4ler le comportement de Kerberos, la dur\u00e9e de vie des jetons et la compatibilit\u00e9 des navigateurs. (Voir le point n\u00b0 4 de la section <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/p>\n<h4>Configurer les politiques Kerberos<\/h4>\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, tapez <strong>gpedit<\/strong>.msc et appuyez sur <strong>Entr\u00e9e <\/strong>pour ouvrir l&rsquo;<strong>\u00e9diteur d&rsquo;objets de strat\u00e9gie de groupe<\/strong>.<\/li>\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>Configuration ordinateur &gt; Mod\u00e8les d&rsquo;administration &gt; Syst\u00e8me &gt; Kerberos<\/strong><\/p>\n<p>\ud83d\udccc Assurez-vous que la synchronisation horaire et les param\u00e8tres Kerberos sont coh\u00e9rents avec vos politiques d&rsquo;authentification.<\/p>\n<h4>Pour les applications web (SSO via le navigateur)<\/h4>\n<ol>\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>Configuration utilisateur &gt; Mod\u00e8les d&rsquo;administration &gt; Composants Windows &gt; Internet Explorer &gt; Panneau de configuration Internet &gt; Page S\u00e9curit\u00e9 &gt; Zone Intranet local<\/strong><\/p>\n<ol start=\"2\">\n<li>Ajoutez l&rsquo;URL de l&rsquo;application aux sites de confiance avec PowerShell\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><code><strong>Set-ItemProperty -Path \"HKCU:\\Software\\Microsoft\\Windows\\<br \/>\nCurrentVersion\\Internet Settings\\ZoneMap\\Domains\\app.domain.com\" -Name https -Value 1<\/strong><\/code><\/p>\n<ol start=\"3\">\n<li>Utilisez les mod\u00e8les de politique de navigateur pour imposer le SSO dans Edge ou Chrome.<\/li>\n<\/ol>\n<h3 id=\"step-6\">\u00c9tape 6\u00a0: automatiser l&rsquo;acc\u00e8s et la validation des jetons avec PowerShell<\/h3>\n<p>PowerShell est votre bo\u00eete \u00e0 outils pour valider les jetons, automatiser les acc\u00e8s et v\u00e9rifier que votre configuration fonctionne comme pr\u00e9vu.<\/p>\n<p><strong>\ud83d\udccc Pr\u00e9requis\u00a0:<\/strong><\/p>\n<ul>\n<li>PowerShell install\u00e9<\/li>\n<li>Acc\u00e8s \u00e0 l&rsquo;API Microsoft Graph (facultatif pour l&rsquo;automatisation)<\/li>\n<\/ul>\n<p>Instructions\u00a0:<\/p>\n<ol>\n<li>Appuyez sur <strong>Win + S<\/strong>, recherchez <strong>PowerShell<\/strong> et s\u00e9lectionnez <strong>Windows PowerShell <\/strong>dans les r\u00e9sultats.<\/li>\n<li>Ex\u00e9cutez ce script pour demander un jeton manuellement\u00a0: (voir le point n\u00b0 5 de la section <strong>\u26a0\ufe0f <\/strong><a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/li>\n<\/ol>\n<table>\n<tbody>\n<tr>\n<td><code><strong>$tenantId = \"your-tenant-id\"<br \/>\n<\/strong><strong>$clientId = \"app-client-id\"<br \/>\n<\/strong><strong>$clientSecret = \"your-client-secret\"<br \/>\n<\/strong><strong>$scope = \"https:\/\/graph.microsoft.com\/.default\"<\/strong><strong>$body = @{<\/strong><\/code><\/p>\n<p style=\"padding-left: 80px\"><code><strong>client_id = $clientId<br \/>\n<\/strong><strong>scope = $scope<br \/>\n<\/strong><strong>client_secret = $clientSecret<br \/>\n<\/strong><strong>grant_type = \"client_credentials\"<\/strong><\/code><\/p>\n<p><code><strong>}<\/strong><\/code><br \/>\n<code><strong>$tokenResponse = Invoke-RestMethod -Uri \"https:\/\/login.microsoftonline.com\/$tenantId\/oauth2\/v2.0\/token\" -Method POST -Body $body<\/strong><\/code><br \/>\n<code><strong>$token = $tokenResponse.access_token<\/strong><\/code><br \/>\n<code><strong>$token<\/strong><\/code><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Cela confirme que la communication entre applications et l&rsquo;acc\u00e8s des comptes de service fonctionnent correctement.<\/p>\n<h2 id=\"things-to-look-out-for\"><strong>\u26a0\ufe0f Points de vigilance<\/strong><\/h2>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Risques<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Cons\u00e9quences possibles<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Correctifs<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Enregistrer l&rsquo;application avec un URI de redirection ou un type de plateforme erron\u00e9<\/td>\n<td>Les utilisateurs ne pourront pas s&rsquo;authentifier et les demandes de jetons \u00e9choueront.<\/td>\n<td>Modifiez l&rsquo;enregistrement de l&rsquo;application\u00a0: <strong>Azure AD &gt; App registrations &gt; [App] &gt; Authentication<\/strong><\/td>\n<\/tr>\n<tr>\n<td>2. Attribuer des m\u00e9tadonn\u00e9es SAML\/OIDC incorrectes ou incompl\u00e8tes<\/td>\n<td>La n\u00e9gociation SSO \u00e9choue, ce qui entra\u00eene des \u00e9checs de connexion.<\/td>\n<td>Mettez \u00e0 jour ou t\u00e9l\u00e9versez de nouveau les m\u00e9tadonn\u00e9es correctes dans <strong>Enterprise Applications &gt; Single sign-on<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>3. Omettre la configuration d&rsquo;Application Proxy pour les applications sur site<\/td>\n<td>Azure AD ne peut pas atteindre l&rsquo;application et le SSO ne fonctionne pas depuis l&rsquo;ext\u00e9rieur.<\/td>\n<td>Installez Application Proxy Connector et configurez la publication de l&rsquo;application.<\/td>\n<\/tr>\n<tr>\n<td>4. \u00c9craser des param\u00e8tres GPO existants lors de l&rsquo;application des politiques<\/td>\n<td>Perturbe le comportement des navigateurs ou de l&rsquo;authentification d\u00e9j\u00e0 en place sur les terminaux<\/td>\n<td>Exportez les GPO existants avant toute modification\u00a0; revenez en arri\u00e8re gr\u00e2ce \u00e0 la sauvegarde ou au contr\u00f4le de version des GPO.<\/td>\n<\/tr>\n<tr>\n<td>5. Utiliser une syntaxe PowerShell ou des identifiants incorrects pour tester les jetons<\/td>\n<td>Le test du jeton \u00e9choue ou renvoie des erreurs trompeuses.<\/td>\n<td>V\u00e9rifiez les param\u00e8tres et les secrets avant d&rsquo;ex\u00e9cuter le script\u00a0; testez d&rsquo;abord dans l&rsquo;environnement de d\u00e9veloppement.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Points compl\u00e9mentaires \u00e0 envisager<\/h2>\n<p>Voici quelques recommandations pour renforcer, s\u00e9curiser et maintenir votre configuration SSO avec Azure AD pour les applications m\u00e9tier\u00a0:<\/p>\n<h3>Imposer la MFA (authentification forte) et la confiance des appareils (acc\u00e8s conditionnel)<\/h3>\n<p>Utilisez l&rsquo;acc\u00e8s conditionnel pour exiger la <a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/mfa-authentification-forte\/\">MFA (authentification forte)<\/a> et n&rsquo;autoriser l&rsquo;acc\u00e8s qu&rsquo;\u00e0 partir d&rsquo;appareils approuv\u00e9s ou conformes. Cela ajoute une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire et aide \u00e0 emp\u00eacher les acc\u00e8s non autoris\u00e9s, m\u00eame si des identifiants ou des jetons sont d\u00e9rob\u00e9s.<\/p>\n<p>\ud83d\udca1 <strong>Conseil<\/strong>\u00a0: lisez <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-configurer-des-politiques-dacces-conditionnel-dans-azure-ad\/\"><em>Comment configurer les politiques d&rsquo;acc\u00e8s conditionnel dans Azure AD<\/em><\/a>.<\/p>\n<h3>Contr\u00f4ler les autorisations avec les r\u00f4les d&rsquo;application<\/h3>\n<p>Plut\u00f4t que d&rsquo;accorder le m\u00eame niveau d&rsquo;acc\u00e8s \u00e0 tout le monde, utilisez les r\u00f4les d&rsquo;application (App roles) pour d\u00e9finir ce que les utilisateurs peuvent faire dans l&rsquo;application m\u00e9tier. Attribuez des r\u00f4les tels qu&rsquo;Admin, \u00c9diteur ou Lecteur afin d&rsquo;appliquer le principe du moindre privil\u00e8ge et de r\u00e9duire les risques de s\u00e9curit\u00e9.<\/p>\n<h3>Surveiller la sant\u00e9 du SSO<\/h3>\n<p>Utilisez les journaux de connexion Azure AD pour savoir qui a acc\u00e9d\u00e9 \u00e0 quelle application et quand, suivre les taux de r\u00e9ussite et d&rsquo;\u00e9chec des connexions et de la MFA (authentification forte), et rep\u00e9rer les probl\u00e8mes de s\u00e9curit\u00e9 potentiels. C&rsquo;est un atout pour les audits, le d\u00e9pannage et le respect des exigences de conformit\u00e9.<\/p>\n<h3>Assurer la compatibilit\u00e9 SSO via Intune<\/h3>\n<p>Si vous utilisez Microsoft Intune pour g\u00e9rer vos appareils, d\u00e9ployez des profils de configuration afin d&rsquo;appliquer les param\u00e8tres de navigateur, les politiques propres aux applications et les r\u00e8gles de conformit\u00e9 des appareils. Vous garantissez ainsi une exp\u00e9rience SSO fluide et homog\u00e8ne sur tous les appareils inscrits.<\/p>\n<h2>D\u00e9pannage<\/h2>\n<p>Voici les probl\u00e8mes les plus fr\u00e9quents lors de la configuration du SSO avec Azure AD pour les applications m\u00e9tier, leurs causes et les solutions \u00e0 appliquer\u00a0:<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center\"><strong>Probl\u00e8me<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Cause<\/strong><\/td>\n<td style=\"text-align: center\"><strong>Solution<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Le SSO \u00e9choue c\u00f4t\u00e9 client<\/td>\n<td>L&rsquo;horloge de l&rsquo;appareil est d\u00e9synchronis\u00e9e, ou les tickets Kerberos ont expir\u00e9 ou sont corrompus.<\/td>\n<td>Synchronisez l&rsquo;heure syst\u00e8me et utilisez <strong>klist purge<\/strong> pour supprimer et actualiser les tickets Kerberos.<\/td>\n<\/tr>\n<tr>\n<td>L&rsquo;application renvoie une erreur 403<\/td>\n<td>L&rsquo;utilisateur n&rsquo;a pas \u00e9t\u00e9 affect\u00e9 \u00e0 l&rsquo;application dans Azure AD.<\/td>\n<td>Allez dans<strong> Enterprise Applications &gt; [Votre application] &gt; Users and Groups<\/strong>, puis attribuez l&rsquo;utilisateur ou le groupe.<\/td>\n<\/tr>\n<tr>\n<td>Aucun jeton n&rsquo;est d\u00e9livr\u00e9<\/td>\n<td>URI de redirection ou secret client incorrect dans l&rsquo;enregistrement de l&rsquo;application.<\/td>\n<td>V\u00e9rifiez l&rsquo;URI de redirection et le secret client dans <strong>App registrations &gt; Authentication \/ Certificates &amp; secrets<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>L&rsquo;application ne prend pas en charge SAML ni OIDC<\/td>\n<td>Il s&rsquo;agit d&rsquo;une application h\u00e9rit\u00e9e qui ne g\u00e8re pas les protocoles d&rsquo;authentification modernes.<\/td>\n<td>Utilisez Azure AD Application Proxy avec un SSO bas\u00e9 sur les en-t\u00eates pour permettre un acc\u00e8s s\u00e9curis\u00e9 via la pr\u00e9authentification Azure AD.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Les services NinjaOne<\/h2>\n<p>NinjaOne accompagne les d\u00e9ploiements et la surveillance du SSO dans les environnements clients\u00a0:<\/p>\n<h3>Validation \u00e0 distance<\/h3>\n<p>Ex\u00e9cution \u00e0 distance de scripts PowerShell pour v\u00e9rifier la pr\u00e9sence du cache de jetons, les cl\u00e9s de registre et l&rsquo;acc\u00e8s r\u00e9seau.<\/p>\n<h3>D\u00e9ploiement de politiques<\/h3>\n<p>Diffusion de configurations \u00e9quivalentes aux GPO pour imposer la compatibilit\u00e9 des navigateurs et les param\u00e8tres d&rsquo;authentification Kerberos.<\/p>\n<h3>Alertes SSO<\/h3>\n<p>Alertes en cas de changement d&rsquo;\u00e9tat d&rsquo;un appareil ou d&rsquo;une application li\u00e9 au SSO ou \u00e0 l&rsquo;expiration d&rsquo;un jeton.<\/p>\n<h3>\u00c9tiquetage SSO<\/h3>\n<p>\u00c9tiquetage des appareils et des utilisateurs selon leur statut de configuration SSO, pour faciliter les audits, le suivi de la conformit\u00e9 et la visibilit\u00e9 sur la sant\u00e9 de l&rsquo;environnement.<\/p>\n<h3>Rem\u00e9diation automatique<\/h3>\n<p>Automatisation de la rem\u00e9diation des politiques sur les terminaux qui \u00e9chouent aux contr\u00f4les pr\u00e9alables au SSO.<\/p>\n<p>Ces outils permettent aux <a href=\"https:\/\/www.ninjaone.com\/fr\/msp\/quest-ce-quun-msp\/\">MSP<\/a> d&rsquo;offrir des exp\u00e9riences SSO s\u00e9curis\u00e9es et homog\u00e8nes sur l&rsquo;ensemble des parcs clients, tout en r\u00e9duisant la charge op\u00e9rationnelle.<\/p>\n<p>\ud83d\udca1 <strong>Conseil<\/strong>\u00a0: lisez \u00e9galement <a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/enable-sso\/\"><em>Activer le SSO<\/em><\/a><em>.<\/em><\/p>\n<h2>Configurer le SSO avec Azure AD pour les applications m\u00e9tier\u00a0: acc\u00e8s simplifi\u00e9 et s\u00e9curit\u00e9 renforc\u00e9e<\/h2>\n<p>Le SSO avec Azure AD aide les entreprises \u00e0 moderniser leur contr\u00f4le d&rsquo;acc\u00e8s tout en simplifiant l&rsquo;exp\u00e9rience utilisateur pour les applications internes et m\u00e9tier. Azure AD prend en charge aussi bien les applications cloud modernes que les anciens services web sur site, ce qui vous laisse la souplesse n\u00e9cessaire pour s\u00e9curiser tout ce dont votre environnement a besoin.<\/p>\n<p>Ce guide a couvert tout ce qu&rsquo;il faut pour d\u00e9marrer\u00a0: l&rsquo;enregistrement de votre application dans Azure AD, la mise en place de l&rsquo;authentification SAML, OIDC ou via proxy, ainsi que le durcissement des param\u00e8tres clients gr\u00e2ce \u00e0 la strat\u00e9gie de groupe, \u00e0 PowerShell et aux modifications du registre. Il a \u00e9galement montr\u00e9 comment NinjaOne renforce et surveille les environnements SSO pour les MSP.<\/p>\n<p><strong>Sujets connexes\u00a0:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comparaison-entre-saml-et-sso-quelle-est-la-difference\/\">SAML et SSO\u00a0: quelle diff\u00e9rence\u00a0?<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/azure-ad-connect-de-quoi-sagit-il-et-comment-le-configurer\/\">Azure AD Connect\u00a0: qu&rsquo;est-ce que c&rsquo;est et comment le configurer<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/videos\/data-management\/integrating-on-premises-and-cloud-with-microsoft-entra-hybrid-join\/\">Int\u00e9grer le sur site et le cloud avec la jointure hybride Microsoft Entra<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/hybrid-azure-ad-join\/\">Int\u00e9grer le sur site et le cloud avec la jointure hybride Azure AD<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/authentification-active-directory-tout-ce-quil-faut-savoir\/\">L&rsquo;authentification Active Directory\u00a0: tour d&rsquo;horizon complet<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">Int\u00e9gration du SSO et de SCIM dans NinjaOne<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/cout-d-un-logiciel-de-sso-tarification-des-logiciels-de-sso\/\">Combien co\u00fbte un logiciel SSO\u00a0? Tarification du SSO<\/a><\/li>\n<\/ul>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p>NinjaOne prend en charge la configuration du SSO avec Azure AD pour les applications m\u00e9tier. Plus pr\u00e9cis\u00e9ment\u00a0:<\/p>\n<ul>\n<li>NinjaOne propose une configuration SAML\/SSO avec Azure AD<\/li>\n<li>Le processus consiste \u00e0 cr\u00e9er une Enterprise Application dans Azure AD<\/li>\n<li>Vous pouvez mettre en place l&rsquo;authentification unique (SSO) avec Azure Active Directory<\/li>\n<li>Cette configuration permet de\u00a0:\n<ul>\n<li>mapper les attributs utilisateur<\/li>\n<li>configurer les correspondances de groupes<\/li>\n<li>activer le contournement conditionnel de la MFA (authentification forte)<\/li>\n<li>prendre en charge les comptes de techniciens et d&rsquo;utilisateurs finaux<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Les \u00e9tapes cl\u00e9s sont les suivantes\u00a0:<\/p>\n<ol>\n<li>Cr\u00e9er une Enterprise Application dans Azure AD<\/li>\n<li>Configurer les param\u00e8tres SAML<\/li>\n<li>Mapper les attributs et les r\u00f4les utilisateur<\/li>\n<li>D\u00e9finir les correspondances de groupes<\/li>\n<li>Configurer, si besoin, le contournement de la MFA (authentification forte)<\/li>\n<\/ol>\n<p>La documentation fournit des instructions d\u00e9taill\u00e9es pour mettre en place le SSO, y compris des consignes sp\u00e9cifiques \u00e0 l&rsquo;int\u00e9gration avec Azure AD. Les administrateurs peuvent activer le SSO pour les techniciens comme pour les utilisateurs finaux, avec un contr\u00f4le pr\u00e9cis sur les acc\u00e8s et l&rsquo;authentification.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>L&rsquo;authentification unique (SSO) via Azure AD (d\u00e9sormais appel\u00e9 Microsoft Entra ID) permet aux utilisateurs de se connecter une seule fois avec leurs identifiants Azure AD pour acc\u00e9der aux applications internes et m\u00e9tier (LOB). Ils n&rsquo;ont donc plus besoin de m\u00e9moriser plusieurs noms d&rsquo;utilisateur ni de r\u00e9p\u00e9ter les connexions. R\u00e9sultat\u00a0: une meilleure UX (exp\u00e9rience utilisateur), une [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":532557,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355],"tags":[],"class_list":["post-886388","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886388","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=886388"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886388\/revisions"}],"predecessor-version":[{"id":886389,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886388\/revisions\/886389"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/532557"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=886388"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=886388"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=886388"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}