> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-entra-id.md).
# Authentification basée sur les certificats pour Entra ID
L’authentification basée sur les certificats offre une solide alternative de sécurité pour accéder aux ressources Entra ID. Cet article propose un guide pas à pas pour configurer cette méthode, en utilisant SCEPman comme autorité de certification afin de simplifier la gestion des certificats.
## Activer la CRL de SCEPman
{% content-ref url="/pages/080bc4bb78d88d9aa171fca2d52b223ae6741877" %}
[Activation de la CRL](/fr/gestion-des-certificats/manage-certificates/enabling-crl.md)
{% endcontent-ref %}
Entra ID nécessitera une CRL pour valider les certificats. Veillez à définir les variables d’environnement suivantes dans votre App Service pour que la CRL soit disponible :
[AppConfig:CRL:RequestToken](https://docs.scepman.com/scepman-configuration/application-settings/crl#appconfig-crl-requesttoken)
Définissez ceci sur une chaîne personnalisée qui sera utilisée dans l’URL pour permettre le téléchargement de la CRL.
[AppConfig:CRL:Source](https://docs.scepman.com/scepman-configuration/application-settings/crl#appconfig-crl-source)
C’est la source à partir de laquelle SCEPman génère la CRL. Assurez-vous que cela est défini sur `Stockage`
## Configurer Entra ID
{% stepper %}
{% step %}
### Créer une PKI dans le Centre de sécurité Entra
Dans Entra ID, accédez à **Protection** > **Centre de sécurité** > [**Infrastructure à clé publique**](https://entra.microsoft.com/#view/Microsoft_AAD_IAM/SecurityMenuBlade/~/PublicKeyInfrastructure/menuId/SecurityCenter/fromNav/)**,** cliquez sur *Créer une PKI* et choisissez un nom d’affichage correspondant.
{% endstep %}
{% step %}
### Ajouter une autorité de certification
Accédez à la PKI nouvellement créée et cliquez sur *Ajouter une autorité de certification* pour téléverser le certificat de l’AC de votre instance SCEPman. Ce certificat peut être obtenu depuis sa page d’accueil dans le menu à droite (*Obtenir le certificat de l’AC*).
Pour l’URL de la liste de révocation des certificats, vous pouvez saisir l’URL au format suivant :
```
https://scepman.contoso.com/crl/pem/{YourCrlRequestToken}
```
{% hint style="warning" %}
Veillez à inclure le `/pem/` chemin dans votre URL, car Entra peut rencontrer des problèmes de compatibilité lors de l’utilisation du format DER par défaut.
{% endhint %}
Cela devrait maintenant vous laisser avec une autorité de certification similaire à la suivante :
{% endstep %}
{% step %}
### Activer la CBA dans les méthodes d’authentification
Une fois l’AC en place, nous pouvons continuer et activer l’authentification basée sur les certificats dans **Protection** > **Méthodes d’authentification** > [**Politiques**](https://entra.microsoft.com/#view/Microsoft_AAD_IAM/AuthenticationMethodsMenuBlade/~/AdminAuthMethods/fromNav/)
Accédez à la *authentification basée sur les certificats* stratégie, activez-la et autorisez soit tous les utilisateurs soit des groupes spécifiques à utiliser cette méthode :
{% endstep %}
{% step %}
### Configurer l’authentification basée sur les certificats
Passez à l’onglet *Configurer* et parcourez les options :
**Exiger la validation de la CRL** : ✅
Il s’agit d’un élément essentiel de la sécurité fournie par cette méthode, car la CRL indiquera à Entra ID quels certificats ont été révoqués et ne doivent donc pas être autorisés pour l’authentification.
**Indices de l’émetteur** : ✅
L’activation des indices de l’émetteur n’affichera, lors de l’authentification, que les certificats émis par l’AC configurée.
Conservez les paramètres par défaut pour la liaison d’authentification et passez à la création d’une règle permettant l’autorité de certification créée précédemment :
**Niveau d’authentification**:
Cela définit le niveau de poids de l’authentification utilisant cette AC. Si vous sélectionnez *authentification à facteur unique*, une autre méthode d’authentification peut être nécessaire selon l’application à laquelle on accède.
**Liaison d’affinité**:
La liaison d’affinité définit les détails requis dans le certificat, qui doivent correspondre aux données associées dans l’objet utilisateur pour que l’authentification soit autorisée. Comme SCEPman ne peut actuellement ajouter aucune information de certificat dans l’objet utilisateur, nous recommandons de définir cela sur **Low** sauf si vous configurez manuellement les informations requises.
{% hint style="warning" %}
Les paramètres de niveau d’authentification et de liaison d’affinité dépendent fortement du cas d’usage spécifique et du type de comptes que vous souhaitez protéger avec cette méthode d’authentification. Si vous souhaitez sécuriser des utilisateurs hautement privilégiés, vous devriez envisager d’ajouter manuellement les informations du certificat dans leurs comptes utilisateur afin d’obtenir une forte affinité.
{% endhint %}
{% endstep %}
{% endstepper %}
## Utilisation
Une fois la configuration en place, un utilisateur peut sélectionner *Utiliser un certificat ou une carte à puce*:
Ce qui demandera alors le certificat à utiliser pour l’authentification.
## Ajout manuel du mappage de certificat pour une liaison à forte affinité
Si vous souhaitez activer la CBA uniquement avec une liaison à forte affinité, vous pouvez saisir manuellement les détails du certificat dans les informations autorisées de l’utilisateur.
Accédez aux propriétés des utilisateurs dans Entra ID, modifiez-les, puis modifiez maintenant les **Identifiants utilisateur du certificat**:
Le format requis de ces identifiants dépend des champs qui ont été configurés dans la liaison utilisateur des méthodes d’authentification. Une liste des formats peut être trouvée dans le [documentation Microsoft](https://learn.microsoft.com/en-us/entra/identity/authentication/concept-certificate-based-authentication-certificateuserids#supported-patterns-for-certificate-user-ids).
Exemple pour la *SHA1PublicKey* liaison :
```
X509:9600e49d740011187e5c734bab4a3d5d18d2a87a
```
Cela utilise l’empreinte du certificat pour associer de manière forte l’identité de l’utilisateur.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.scepman.com/fr/deploiement-de-scepman/deployment-guides/scenarios/certificate-based-authentication-for-entra-id.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
