Qu'est-ce qu'un profil d'authentification ?

Un profil d'authentification est un objet de configuration d'Versa qui définit la manière dont les utilisateurs ou les périphériques sont authentifiés : la méthode utilisée (LDAP, RADIUS, SAML, répertoire « Versa » ou authentification par certificat), le comportement de mise en cache, ainsi que la durée de validité des sessions et des cookies. Les règles d'authentification y font référence, et les portails et passerelles Secure Access y font directement appel pour déterminer qui a accès au réseau.

Points clés à retenir

• Définit la méthode d'authentification, le mode de mise en cache et la durée de validité de la session.
• Prend en charge les protocoles LDAP, RADIUS, SAML, l'annuaire « Versa » et l'authentification par certificat.
• Les règles d'authentification et les politiques NGFW font référence à un profil configuré.
• SASE Les portails et passerelles d'accès sécurisés associent directement un profil.
• Les locataires définissent un profil par défaut, avec des règles spécifiques par domaine de messagerie.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · Profils d’authentification et Versa · FAQ

Pourquoi les profils d'authentification sont-ils importants ?

Chaque décision d'accès dans un déploiement d'Versa commence par l'identification de la personne qui en fait la demande. Un profil d'authentification transforme la « vérification de cet utilisateur » en une procédure concrète et reproductible : quel annuaire ou fournisseur d'identité consulter, pendant combien de temps faire confiance à la réponse avant de procéder à une nouvelle vérification, et que se passe-t-il en cas d'échec de la vérification ? Sans cela, l'authentification devrait être codée en dur pour chaque règle ou chaque appareil, sans cohérence au niveau des sessions, du cache ou des cookies au sein de l'organisation.

Son importance tient également au fait qu’un seul modèle couvre toutes les surfaces d’accès. Un même objet de profil sous-tend la politique d’identification des utilisateurs du pare-feu de nouvelle génération (NGFW), les règles d’authentification des utilisateurs et des appareils de SSE, ainsi que les portails et passerelles d’accès sécurisé d’ SASE . Ainsi, l’équipe de sécurité définit une seule fois les sources d’identité (LDAP, SAML, RADIUS, répertoire d’ Versa ou certificats) et les réutilise partout où des décisions d’accès sont prises, plutôt que de devoir réimplémenter l’intégration des répertoires pour chaque fonctionnalité.

Qu'est-ce qu'un profil d'authentification ?

Un profil d'authentification est un objet nommé vers lequel pointe une méthode d'authentification, et auquel se réfèrent à leur tour les règles ou politiques d'authentification. Sa configuration s'effectue en plusieurs étapes : définir la source d'identité (un serveur LDAP, un fournisseur d'identité SAML, un serveur RADIUS ou un profil d'authentification par certificat), l'intégrer dans une méthode d'authentification, puis construire le profil d'authentification autour de cette méthode, en ajoutant un délai d'expiration du cache et – dans le cas du SSE – un délai d'expiration du cookie ainsi qu'un mode de mise en cache.

Les paramètres de cache et de cookies déterminent la durée pendant laquelle une authentification réussie est considérée comme valide avant que l'utilisateur ne doive s'authentifier à nouveau : la durée de validité par défaut du cache est de 10 minutes, et celle du cookie SSE est de 720 minutes ; cette dernière prévaut sur la durée de validité du cache une fois configurée. Un locataire peut définir un profil d'authentification par défaut pour ses utilisateurs, avec des profils supplémentaires attribués par domaine de messagerie pour les organisations qui gèrent l'identité de manière fédérée selon les domaines.

Types de profils d'authentification

Cinq sources d’identité prennent en charge un profil d’authentification. LDAP effectue une validation par rapport à Active Directory ou à un serveur OpenLDAP, en utilisant les identifiants de connexion et un DN de base pour délimiter la recherche. RADIUS vérifie les identifiants par rapport à un serveur RADIUS externe ; Versa prend en charge un profil RADIUS par entreprise. SAML s’associe à un fournisseur d’identité externe – Okta, Microsoft Entra ID, Google IAM, PingIdentity ou Office 365 – pour permettre une authentification unique via un navigateur. Versa Directory procède à l’authentification par rapport à une liste d’utilisateurs et de groupes téléchargée localement, un seul profil étant autorisé par entreprise. Les profils basés sur des certificats (appareil et utilisateur) valident un certificat présenté lors de l’enregistrement d’un client SASE ou de la connexion à la passerelle, à la place d’un mot de passe.

La plupart des entreprises combinent plusieurs types : il est courant d'associer un profil LDAP ou SAML à un profil basé sur un certificat, car Versa permet à l'authentification par certificat de fonctionner en parallèle de l'authentification par annuaire ou fédérée, plutôt que de la remplacer.

Profils d'authentification et Versa

Les profils d’authentification interviennent dans trois domaines de la plateforme. Dans les politiques utilisateur et groupe du NGFW, un profil associe une méthode d’authentification (SAML, Kerberos, LDAP, RADIUS, certificat ou base de données locale) à des règles d’identification des utilisateurs qui déterminent si le trafic doit être authentifié avant l’application de la politique. Dans SSE, les profils d’authentification des utilisateurs et des appareils définissent le profil d’authentification par défaut pour les clients SSE d’un locataire, avec des dérogations par domaine pour les organisations qui acheminent différents domaines de messagerie vers différents fournisseurs d’identité.

Dans le cadre de l'accès à distance via « SASE », l'authentification par certificat pour les clients « SASE » affiche la chaîne complète de bout en bout : un profil d'authentification par certificat alimente une méthode d'authentification, cette méthode est rattachée à un profil d'authentification, et ce profil est ensuite associé à la fois au portail Secure Access et à la passerelle Secure Access. Ainsi, le même contrôle d'identité régit l'enregistrement du client et chaque connexion ultérieure à la passerelle.

Questions fréquentes

Quelles méthodes d'authentification un profil d'authentification peut-il utiliser ?

Un profil d'authentification peut s'appuyer sur LDAP, RADIUS, SAML, Versa Directory ou une authentification par certificat utilisant des certificats de périphérique ou d'utilisateur. Les versions ultérieures permettent de combiner l'authentification par certificat avec un profil LDAP ou SAML au sein d'une même entreprise, de sorte que les deux contrôles puissent s'appliquer.

Quelle est la différence entre un profil d'authentification et une méthode d'authentification ?

Une méthode d'authentification englobe une seule source d'identité : un profil de serveur LDAP, un profil SAML, un profil d'authentification par certificat, etc. Un profil d'authentification est l'objet de niveau supérieur auquel les règles et politiques d'authentification font effectivement référence ; il renvoie à une ou plusieurs méthodes.

Combien de temps dure une session d'authentification sur Versa avant qu'une nouvelle vérification ne soit effectuée ?

Cela dépend des paramètres d'expiration du cache et des cookies du profil. La durée d'expiration par défaut du cache est de 10 minutes ; celle des cookies SSE est de 720 minutes et, une fois configurée, elle prévaut sur la durée d'expiration du cache pour déterminer la durée pendant laquelle une session est considérée comme valide avant une nouvelle authentification.

Un locataire peut-il utiliser différents profils d'authentification pour différents utilisateurs ?

Oui. Un locataire définit un profil d'authentification par défaut pour les utilisateurs et les appareils de ses clients SSE, et peut définir des profils supplémentaires par domaine de messagerie. Ainsi, les utilisateurs de différents domaines s'authentifient auprès de différentes sources d'identité (LDAP, SAML ou autres) au sein du même locataire.

Un profil d'authentification fonctionne-t-il avec l'authentification par certificat ?

Oui. Les profils d’authentification par certificat valident un certificat d’appareil ou d’utilisateur présenté lors de l’enregistrement d’un client SASE ou d’une connexion à la passerelle. De plus, Versa prend en charge l’association de profils d’authentification par certificat avec des profils LDAP ou SAML au sein d’une même entreprise, plutôt que de les considérer comme des options d’authentification mutuellement exclusives.

En savoir plus sur les profils d'authentification

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez aux profils d'authentification, voici quelques informations qui pourraient vous intéresser.