Connexion à Active Directory

Lorsque la passerelle est connectée à Active Directory, l’accès dépend de l’appartenance à un groupe de l’annuaire. Un employé dont le compte est désactivé perd son accès sans autre intervention.

Connexion à l’annuaire

1. Choisissez un groupe d’accès

   Créez un groupe dans Active Directory ou choisissez un groupe existant pour les personnes qui auront accès au VPN. Les membres des groupes imbriqués sont également inclus.

2. Choisissez un groupe d’opérateurs

   Les membres de ce groupe peuvent se connecter à la console avec leur compte de domaine.

3. Configurez la connexion dans la console

   Sur Windows Server joint au domaine, la passerelle utilise le compte de l’ordinateur, sans mot de passe à fournir. Sur Linux, un compte de service avec des droits en lecture seule et une connexion sécurisée à l’annuaire (LDAPS ou StartTLS) sont nécessaires.

4. Testez la connexion

   Lancez le test de connexion dans la console et vérifiez que le nombre de membres du groupe semble correct.

Qui peut accéder au VPN

• L’appartenance à un groupe ne crée pas automatiquement de profil. Le profil est créé lorsque l’ordinateur d’un membre du groupe en fait la demande via Group Policy, ou lorsque vous le générez dans la console.
• La passerelle se synchronise avec l’annuaire à quelques minutes d’intervalle. Vous pouvez aussi lancer une synchronisation depuis la console.

Départ d’un employé

Désactivez le compte dans Active Directory ou retirez-le du groupe d’accès, comme vous le faites aujourd’hui. À la prochaine synchronisation, tous les appareils de l’employé seront révoqués et il ne pourra plus se connecter.

Pour retirer l’accès immédiatement, révoquez l’appareil dans la console. La révocation manuelle prend effet immédiatement.

Protections contre les révocations accidentelles

• Si l’annuaire est indisponible, aucun accès n’est révoqué. La console affiche une alerte et la synchronisation reprend lorsque l’annuaire est de nouveau disponible.
• Si l’annuaire renvoie un groupe vide, aucun accès n’est révoqué et la console affiche une alerte.
• Si une synchronisation doit révoquer une proportion particulièrement importante des appareils, aucun appareil n’est révoqué tant qu’un opérateur n’a pas confirmé la révocation dans la console.