Windows Hello for Business en cloud Kerberos trust : UseCloudTrustForOnPremAuth, Entra Kerberos et appareils hybrides

Appareil joint hybride Microsoft Entra

Le TGT partiel est obtenu dès la connexion, ce qui permet une authentification Active Directory immédiate.

1. Geste Windows Hello. LSASS vérifie que le cloud Kerberos trust est activé par stratégie, puis transmet les identifiants à Cloud AP, qui demande un nonce à Entra ID.
2. Signature. Cloud AP signe le nonce avec la clé privée de l'utilisateur et le renvoie à Entra ID.
3. Validation. Entra ID vérifie la signature avec la clé publique enregistrée, puis crée un PRT (jeton d'actualisation principal) et un TGT partiel issu de Microsoft Entra Kerberos.
4. Mise en cache. Cloud AP déchiffre la clé de session avec la clé de transport de l'appareil et la protège avec le TPM s'il existe. LSASS met en cache le PRT et le TGT partiel.
5. Échange. Le fournisseur Kerberos déduit le domaine des métadonnées de la clé Hello, localise un contrôleur de domaine (DClocator) et lui envoie le TGT partiel, qui ne contient que le SID de l'utilisateur, signé par Entra Kerberos. Le contrôleur le vérifie et le KDC renvoie un TGT complet, mis en cache pour les demandes de tickets de service. La session s'ouvre.

Appareil joint à Microsoft Entra (sans domaine)

À la connexion, l'appareil s'authentifie seulement à Entra ID et reçoit son PRT. L'échange avec un contrôleur de domaine n'a lieu qu'à la demande : la première fois qu'une ressource exige Kerberos, le TGT partiel reçu plus tôt est présenté au contrôleur de domaine, qui renvoie un TGT complet.

Étape 1 — Déployer Microsoft Entra Kerberos (une fois par domaine)

Si la connexion sans mot de passe par clé de sécurité vers les ressources locales est déjà déployée, Entra Kerberos l'est aussi : passez à l'étape 2. Sinon, installez le module AzureADHybridAuthenticationManagement sur le serveur Entra Connect, ou sur un serveur disposant de Microsoft.Online.PasswordSynchronization.Rpc.dll, dans une session PowerShell « Exécuter en tant qu'administrateur ». Répétez l'opération dans chaque domaine et chaque forêt qui contient des utilisateurs Entra.

[Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor [Net.SecurityProtocolType]::Tls12
Install-Module -Name AzureADHybridAuthenticationManagement -AllowClobber

# Le domaine Active Directory où l'objet sera créé.
$domain = $env:USERDNSDOMAIN

# Administrateur d'identité hybride (Entra ID), puis administrateur du domaine.
$cloudCred  = Get-Credential
$domainCred = Get-Credential

# Crée l'objet dans Active Directory et le publie dans Entra ID.
Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred

Vérifiez ensuite que l'objet existe des deux côtés :

Get-AzureADKerberosServer -Domain $domain -UserPrincipalName $userPrincipalName -DomainCredential (Get-Credential)

La propriété KeyVersion (côté local) doit être égale à CloudKeyVersion (côté Entra ID). Il en va de même de DomainDnsName et CloudDomainDnsName, de ID et CloudId. Saisissez le compte du domaine au format UPN plutôt que domaine\compte : ce dernier passe par NTLM et échoue.

Étape 2 — Configurer la stratégie

Deux paramètres sont indispensables, un troisième est facultatif mais recommandé. Si la stratégie Windows Hello for Business valable pour tout le locataire est déjà activée et configurée comme vous le souhaitez, il suffit d'activer Use Cloud Trust For On Prem Auth.

Variante avec un profil personnalisé (OMA-URI), chaque valeur de type bool à True, en remplaçant {TenantId} par l'identifiant de votre locataire :

./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/UsePassportForWork
./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/UseCloudTrustForOnPremAuth
./Device/Vendor/MSFT/PassportForWork/{TenantId}/Policies/RequireSecurityDevice

Étape 3 — Inscription

L'inscription démarre dès la connexion de l'utilisateur, si les vérifications de prérequis réussissent : l'utilisateur configure éventuellement un geste biométrique, passe l'authentification multifacteur, puis crée un code PIN conforme à la stratégie de complexité de l'appareil. Une fois l'inscription terminée, le geste est utilisable immédiatement sur un appareil Entra joint. Sur un appareil hybride, la première utilisation du PIN exige une visibilité directe sur un contrôleur de domaine ; ensuite, la connexion en cache fonctionne sans réseau. Entra Connect synchronise ensuite la clé de l'utilisateur vers Active Directory, mais le cloud Kerberos trust n'a pas besoin d'attendre cette synchronisation.

Scénarios non pris en charge

• Bureau à distance ou VDI avec identifiants fournis. Il reste possible avec Remote Credential Guard, ou si un certificat est inscrit dans le conteneur Windows Hello for Business.
• « Exécuter en tant que » avec le cloud Kerberos trust.
• La connexion sur un appareil hybride qui n'a jamais eu de connectivité avec un contrôleur de domaine.
• Les environnements purement locaux, sans Entra ID.

Entretien de l'objet Entra Kerberos

Les clés krbtgt du serveur Entra Kerberos doivent être renouvelées régulièrement, sur le même calendrier que les autres clés krbtgt de vos contrôleurs de domaine, et uniquement avec le module AzureADHybridAuthenticationManagement : un autre outil ne mettrait à jour que le côté local, et Active Directory et Entra ID ne seraient plus synchrones.

Set-AzureADKerberosServer -Domain $domain -CloudCredential $cloudCred -DomainCredential $domainCred -RotateServerKey