PHS, PTA ou fédération : choisir son authentification hybride et sortir d'AD FS
Dans un environnement hybride, la façon dont Entra ID vérifie les mots de passe n'est pas un détail d'architecture : elle détermine la résilience du service, la surface d'attaque sur site et certaines capacités de détection. Beaucoup d'organisations conservent AD FS par habitude, alors que les raisons qui l'ont justifié ont souvent disparu.
Les trois méthodes
- Synchronisation du hachage de mot de passe (PHS) : Entra Connect synchronise un dérivé du hachage du mot de passe Active Directory. Entra ID vérifie lui-même les mots de passe, sans dépendance à l'infrastructure sur site.
- Authentification directe (PTA) : Entra ID transmet la vérification à des agents installés sur site, qui la valident auprès des contrôleurs de domaine.
- Fédération (le plus souvent AD FS) : l'authentification est entièrement déléguée au fournisseur d'identité sur site, qui émet des jetons signés acceptés par Entra ID.
Comparer sur des critères concrets
Résilience. Avec PHS, une panne du site principal ou une attaque par rançongiciel sur l'Active Directory n'empêche pas les utilisateurs de se connecter aux services cloud. Avec PTA ou la fédération, l'indisponibilité des agents ou des serveurs AD FS bloque les connexions.
Surface d'attaque. Les serveurs AD FS et les agents PTA sont des actifs de niveau 0 : un attaquant qui contrôle AD FS et sa clé de signature peut forger des jetons pour n'importe quel utilisateur fédéré, MFA comprise, sans laisser de trace d'authentification dans Entra ID. PHS ne supprime pas l'importance du serveur Entra Connect, mais n'ajoute pas ce type de composant exposé.
Détection. La détection des identifiants divulgués d'Entra ID Protection nécessite PHS. La protection intelligente contre le verrouillage et la détection des risques à la connexion fonctionnent pleinement lorsque l'authentification a lieu dans Entra ID.
Contraintes réelles de la fédération. Elle reste nécessaire dans quelques cas : exigence réglementaire stricte de non-synchronisation, scénarios d'authentification très spécifiques. La plupart des besoins historiques (carte à puce, MFA, restrictions horaires) ont aujourd'hui un équivalent natif dans Entra ID.
Notre position d'audit. Sauf contrainte documentée, PHS est le choix par défaut. Même lorsque PTA ou la fédération restent en place, activer PHS en parallèle fournit une solution de repli et active la détection des identifiants divulgués.
Préparer la sortie d'AD FS
Le travail commence par un inventaire, pas par la bascule :
- lister toutes les approbations de partie de confiance d'AD FS : Microsoft 365 n'est souvent pas la seule application ; le rapport d'activité des applications AD FS dans Entra ID aide à évaluer leur migration ;
- analyser les règles de revendication et les règles d'autorisation, pour identifier ce qui devra être reproduit dans l'accès conditionnel ;
- vérifier comment est réalisée la MFA aujourd'hui (sur AD FS ou dans Entra ID) et préparer sa reprise dans Entra ID ;
- contrôler la jonction hybride des appareils, qui peut dépendre d'AD FS dans les configurations anciennes ;
- activer PHS et vérifier que la synchronisation des hachages est complète.
Basculer progressivement avec le déploiement intermédiaire
Le déploiement intermédiaire (staged rollout) permet de faire passer des groupes d'utilisateurs en authentification gérée par le cloud, PHS ou PTA, alors que le domaine reste fédéré. On commence par un groupe pilote, on observe les connexions, on traite les incidents, puis on élargit par vagues. Le dispositif comporte des limites (types de groupes pris en charge, nombre de groupes, certains scénarios non couverts) : vérifiez-les dans la documentation en vigueur.
Une fois tous les utilisateurs validés, le domaine est converti de fédéré en géré, via l'assistant Entra Connect ou Microsoft Graph PowerShell. Il faut ensuite migrer les applications restantes vers Entra ID, puis seulement décommissionner AD FS : supprimer l'approbation avec Entra ID, arrêter les serveurs, archiver les journaux et retirer les certificats de signature.
Les points d'attention après la bascule
Avec PHS, certains états du compte sur site ne sont pas reflétés instantanément : un compte désactivé est pris en compte au cycle de synchronisation suivant, et l'expiration du mot de passe Active Directory n'est pas appliquée par défaut dans le cloud. Ces comportements doivent être connus et, si nécessaire, compensés par des paramètres ou des procédures adaptés, notamment pour les départs urgents.
Ce qu'un audit vérifie
- La méthode d'authentification en place pour chaque domaine et la justification d'une éventuelle fédération.
- L'activation de PHS, y compris comme solution de repli.
- Le durcissement des serveurs AD FS ou des agents PTA, traités comme actifs de niveau 0.
- L'inventaire des applications encore dépendantes d'AD FS.
- Le comportement des comptes désactivés et des mots de passe expirés dans le cloud.
- La procédure de départ urgent, incluant la révocation des sessions cloud.