En tant qu'administrateur, vous pouvez obliger les utilisateurs à se connecter avec leur compte Microsoft AAD d'entreprise ou à utiliser l'authentification multifacteur (MFA) pour leur compte personnalisé. Vous pouvez imposer ces types de comptes lors de l'invitation de nouveaux utilisateurs, mais il est également possible de modifier les types de comptes des utilisateurs existants.
Restreindre le type de compte pour les nouveaux utilisateurs
Lors de l'invitation de l'utilisateur, vous disposez de 3 options sous Restriction du type de compte :
Tous
L'utilisateur n'aura aucune restriction de type de compte. Après avoir accepté l'invitation, l'utilisateur peut choisir le type de compte qu'il souhaite utiliser : un compte personnalisé ou un compte lié à son Microsoft AAD. Si l'utilisateur opte pour un compte personnalisé, il lui appartient également de choisir s'il souhaite activer le MFA
Microsoft Azure AD
Avec cette option, vous obligez l'utilisateur à utiliser son compte d'entreprise (Microsoft AAD) pour se connecter. Après avoir accepté l'invitation, l'utilisateur ne pourra sélectionner que le type de compte Microsoft Azure AD (plus d'informations)
Personnalisé avec MFA
Avec cette option, vous obligez l'utilisateur à utiliser uniquement un compte avec MFA activé. L'utilisateur ne pourra pas désactiver MFA. Après avoir accepté l'invitation, l'utilisateur pourra uniquement sélectionner Créer un compte ou Se connecter (plus d'informations)
Microsoft Azure AD est recommandé si cela est possible pour l'utilisateur invité. Le principal avantage de ce type de compte est que si l'utilisateur quitte l'organisation, il perd immédiatement l'accès aux Priva Digital Services dès que son compte AAD d'entreprise est désactivé ou supprimé, sans nécessairement être retiré dans Access Control.
Si Microsoft Azure AD n'est pas possible pour l'utilisateur invité, il est recommandé de l'obliger à créer un compte Custom with MFA pour renforcer la sécurité.
Restreindre le type de compte pour les utilisateurs existants
Il est également possible de modifier le type de compte des utilisateurs existants : accédez à la page d'un utilisateur > cliquez sur les trois points > Modifier le type de compte / Appliquer MFA. Il existe 3 options :
Modifier le type de compte (vers AAD)
Compte personnalisé (avec ou sans MFA) > Microsoft Azure AD
Changer le type de compte (vers MFA)
Compte personnalisé sans MFA > Compte personnalisé avec MFA obligatoire
Appliquer le MFA
Compte personnalisé avec MFA activé par l'utilisateur > Compte personnalisé avec MFA imposé
Lorsque vous modifiez le type de compte (vers AAD/MFA), l'utilisateur recevra une invitation par e-mail pour configurer le nouveau compte (plus d'informations). Le compte actuel sera désactivé dans un délai de 14 jours ou immédiatement, à la discrétion de l'administrateur.
Lorsque vous imposez le MFA à un utilisateur qui a déjà activé le MFA lui-même, cet utilisateur ne pourra plus désactiver le MFA dans son profil. L'utilisateur n'aura pas besoin de configurer un nouveau compte, comme avec l'option « Changer le type de compte » ; seul un e-mail de notification sera envoyé pour l'informer du changement.