Enrôler les utilisateurs avec une clé de sécurité FIDO2

Une clé de sécurité FIDO2 est un petit appareil physique, comme une YubiKey ou une clé Token2. Après avoir saisi votre mot de passe Windows, vous utilisez la clé pour confirmer votre identité : branchez-la sur un port USB et touchez-la, ou approchez-la d’un lecteur NFC. Selon les paramètres de votre organisation, vous devrez peut-être aussi saisir le code PIN de la clé.

Vous pouvez utiliser votre clé de sécurité pour :

• vous connecter à votre ordinateur Windows, en local ou via le Bureau à distance

• valider les demandes d’élévation UAC

• vous connecter via RemoteApp et RD Gateway

• accéder aux applications web et cloud que votre organisation protège avec UserLock

Votre clé fonctionne aussi lorsque votre ordinateur est hors ligne.

Vous pouvez enrôler une méthode de secours au cas où vous perdriez ou oublieriez votre clé : une seconde clé de sécurité, une application d’authentification ou des codes de récupération. Vous ne pouvez pas utiliser une clé de sécurité en même temps que l’application UserLock Push ou un jeton HOTP.

• Une clé de sécurité fournie ou approuvée par votre équipe informatique.

• Vos identifiants de domaine.

• Si vous utilisez déjà une autre méthode MFA, comme l’application UserLock Push, demandez d’abord à votre administrateur de réinitialiser votre configuration MFA.

• Pour vous connecter via le Bureau à distance, utilisez mstsc.exe ou Windows App.

• Prévoyez une méthode de secours : voir Ajouter une clé de sécurité de secours.

1. Insérez la clé de sécurité dans un port USB de l’ordinateur, ou tenez-vous prêt à l’approcher du lecteur NFC.

2. Connectez-vous avec vos identifiants Windows.

3. Sélectionnez Clé de sécurité. Ne sélectionnez pas Jeton USB, qui est réservé aux jetons HOTP.

   

4. Si vous utilisez un lecteur NFC, approchez votre clé du lecteur lorsque ce message s’affiche : « Insérez ou approchez votre clé de sécurité... ».

5. Si la clé n’a pas encore de code PIN, une fenêtre vous demande d’en créer un. Si elle en a déjà un, saisissez-le. Le code PIN est obligatoire pour les connexions hors ligne.

   

   

6. Lorsque vous y êtes invité, touchez la clé USB pour confirmer. En NFC, vous n’avez pas besoin de toucher la clé : laissez-la sur le lecteur jusqu’à la fin de l’enrôlement, et approchez-la de nouveau uniquement si cela vous est demandé.

7. UserLock confirme l’enrôlement. La clé de sécurité est désormais votre méthode MFA.

Vous pouvez enregistrer plusieurs clés de sécurité, en général une clé principale et une clé de secours, pour qu’une clé perdue ou endommagée ne vous bloque pas l’accès. Pendant l’enrôlement, une fois la première clé enregistrée, la carte Clé de sécurité reste disponible avec le badge Ajouter une autre clé de sécurité.

1. Insérez ou approchez la seconde clé, puis sélectionnez de nouveau la carte.

2. Définissez ou saisissez le code PIN de la seconde clé, puis touchez la clé USB pour confirmer, ou laissez la clé NFC sur le lecteur jusqu’à la fin de l’enrôlement.

Une fois l’enrôlement effectué, la MFA par clé de sécurité se déclenche automatiquement à la connexion.

1. Saisissez vos identifiants Windows.

2. La fenêtre de la clé de sécurité s’affiche automatiquement. Vérifiez que la clé est insérée ou posée sur le lecteur NFC. Pour les sessions RDP, sélectionnez Clé de sécurité : une fenêtre de l’hôte s’ouvre alors pour choisir la clé de sécurité à utiliser.

   

3. Saisissez le code PIN de la clé si on vous le demande, puis touchez la clé USB pour confirmer. En NFC, laissez la clé sur le lecteur jusqu’à la fin de la procédure.

   • Si plusieurs clés de sécurité sont branchées, touchez celle que vous voulez utiliser.

   • Si votre clé NFC était déjà posée sur le lecteur, il vous est demandé de la retirer puis de l’approcher de nouveau (Approchez de nouveau votre clé de sécurité du lecteur). Chaque connexion nécessite de présenter de nouveau la clé.

Vous êtes connecté.

Si vous avez besoin d’un autre moyen de vérifier votre identité, sélectionnez Annuler dans la fenêtre pour ouvrir le menu Choisissez comment vérifier votre identité. Vous pouvez y choisir Clé de sécurité, Saisir un code (si vous avez enrôlé une application d’authentification ou des codes de récupération) ou Demander de l’aide (si votre administrateur a activé cette option).

Si votre ordinateur ne peut pas joindre le réseau de votre organisation, vous pouvez quand même vous connecter avec votre clé de sécurité :

• La connexion hors ligne ne fonctionne que sur un ordinateur où vous vous êtes déjà connecté en ligne avec cette clé.

• Le code PIN de la clé vous est toujours demandé.

Si vous utilisez plusieurs ordinateurs, connectez-vous une fois sur chacun d’eux lorsqu’ils sont reliés au réseau de votre organisation.

Clé de sécurité perdue ou volée. Si vous perdez une clé, contactez immédiatement votre administrateur. Une fois que votre administrateur a réinitialisé votre configuration MFA, enrôlez de nouveau toutes vos clés, y compris votre clé de secours.

Vous devez changer le code PIN de votre clé. Certaines clés sont fournies avec un code PIN temporaire à changer lors de la première utilisation. Saisissez le code PIN actuel, puis choisissez et confirmez un nouveau code PIN.

Votre nouveau code PIN est refusé. Certaines clés appliquent leurs propres règles de complexité du code PIN (par exemple, pas de suite comme 123456, pas de chiffres répétés, ou une longueur minimale). Choisissez un autre code PIN conforme aux règles du fabricant.

« Cette clé de sécurité est déjà enrôlée pour votre compte. » La clé utilisée est déjà enregistrée sur votre compte. Utilisez une autre clé pour ajouter une clé de secours.

Le code PIN est bloqué. Trop de saisies erronées du code PIN peuvent bloquer la clé temporairement ou définitivement. Pour lever un blocage temporaire, débranchez puis rebranchez la clé, ou retirez-la du lecteur puis approchez-la de nouveau. Un blocage définitif impose de réinitialiser la clé aux paramètres d’usine, ce qui efface ses identifiants. Contactez votre administrateur pour qu’il réinitialise votre configuration MFA, puis enrôlez de nouveau la clé.

La fenêtre ne s’affiche pas en RDP / RemoteApp. Vérifiez que vous vous connectez avec Connexion Bureau à distance (mstsc.exe) ou Windows App. Si la fenêtre ne s’affiche toujours pas, contactez votre administrateur.