Accès fournisseurs à distance : MFA, Conditional Access et Cisco

Un accès fournisseur doit expirer par conception

Un technicien externe n'a pas besoin d'un VPN permanent vers tout le réseau. Il lui faut une identité nominative, une période approuvée et un chemin limité vers quelques systèmes. Le contrôle doit survivre au changement d'employé chez le fournisseur, à la fin du contrat et à un incident de sécurité.

MFA et Microsoft Entra Conditional Access améliorent fortement l'authentification, mais ils ne définissent pas les serveurs et ports accessibles après l'ouverture du tunnel. Cette autorisation demeure sur le pare-feu, dans une stratégie de groupe, un filtre VPN, une Dynamic Access Policy ou une décision RADIUS. Une architecture fiable traite séparément identité, session et accès réseau.

Les quatre couches à ne pas confondre

Le piège courant consiste à considérer l'appartenance à un groupe Entra comme une ACL. Le groupe peut produire un claim que Cisco interprète, mais le pare-feu doit encore associer ce résultat à une politique et à des règles réseau. Le refus doit être le comportement par défaut lorsqu'un claim manque, est ambigu ou ne correspond à aucune politique connue.

1. Créer une identité fournisseur gouvernée dans Microsoft Entra ID

Microsoft Entra B2B permet de conserver l'identité dans le locataire du fournisseur tout en appliquant les politiques du locataire ressource. Déterminez explicitement si les preuves MFA du locataire d'origine sont acceptées dans les paramètres inter-locataires. Les méthodes reconnues et les exigences d'authentification peuvent différer selon le type d'identité externe.

Une affectation d'application n'est pas une autorisation réseau. Elle décide seulement si l'identité peut demander une assertion SAML pour cette application.

• Utiliser un compte nominatif par personne; interdire les comptes VPN partagés entre techniciens.
• Attribuer un responsable interne, un fournisseur, un numéro de contrat, une date d'expiration et une méthode de contact d'urgence.
• Activer Assignment required sur l'application d'entreprise Cisco et n'affecter que les groupes fournisseurs approuvés.
• Privilégier l'appartenance directe aux groupes d'accès critiques; Microsoft déconseille de compter sur des groupes imbriqués pour une affectation d'application prévisible.
• Si les licences le permettent, utiliser des access packages ou des revues d'accès récurrentes avec expiration; sinon, planifier une revue manuelle avec propriétaire et échéance.

• Microsoft — Affectation requise et erreur AADSTS50105 ↗
• Microsoft — Gouverner les utilisateurs externes avec Entitlement Management ↗

2. Exiger MFA et déployer Conditional Access sans bloquer la maintenance

Ciblez l'application d'entreprise Cisco avec une politique Conditional Access propre aux fournisseurs. Exigez MFA ou une force d'authentification compatible avec les identités externes retenues. Ajoutez seulement les conditions réellement prises en charge : emplacement, risque de connexion, plateforme ou conformité de l'appareil. Un appareil appartenant au fournisseur n'est pas automatiquement géré par votre locataire.

Placez d'abord la politique en Report-only, inspectez les journaux de connexion et testez un compte de chaque fournisseur et plateforme. Passez ensuite à On par anneaux. Conditional Access exige Microsoft Entra ID P1; les conditions basées sur le risque nécessitent P2. Les fonctions de gouvernance avancées ont leurs propres exigences de licence.

La fréquence de connexion peut forcer une nouvelle authentification à l'échéance, mais elle ne constitue pas une minuterie de coupure pour un tunnel déjà établi. Les limites de session doivent aussi être configurées sur Cisco.

• Article — Passer Conditional Access de Report-only à Enforced →
• Microsoft — MFA et force d'authentification pour les utilisateurs externes ↗
• Microsoft — Contrôles de session Conditional Access ↗

3. Sélectionner une stratégie Cisco par claim SAML

Dans le modèle documenté par Cisco pour FTD et FMC 7.6, Microsoft Entra ID émet un claim nommé cisco_group_policy. Sa valeur doit correspondre exactement au nom d'une Group Policy ajoutée à la politique Remote Access VPN. Le FTD utilise cette valeur pour sélectionner la politique de session.

Dans Entra, une condition de claim peut mapper un groupe fournisseur délimité à une valeur comme GP-VENDOR-HVAC. Dans FMC, cette Group Policy reçoit son bassin d'adresses, ses temporisateurs, ses options Secure Client et surtout son filtre réseau. Le profil de connexion par défaut doit mener vers une politique sans accès utile si le claim attendu n'est pas présent.

Cisco avertit que son exemple FTD/FMC 7.6 suppose qu'un utilisateur ne correspond qu'à un seul groupe utilisé pour cette affectation; plusieurs valeurs peuvent rendre la sélection problématique. Évitez les groupes fournisseurs qui se chevauchent, testez les identités multigroupes et prévoyez un refus explicite en cas d'ambiguïté.

show saml metadata VENDOR-SAML
show vpn-sessiondb anyconnect

# Pendant un test contrôlé seulement; le débogage peut exposer des attributs
debug webvpn saml 255
undebug all

• Cisco — Configurer l'affectation de Group Policy avec Entra ID ↗
• Microsoft — Configurer Cisco Secure Firewall avec Entra ID ↗

4. Exemple fictif : groupes fournisseurs et accès minimaux

L'exemple ci-dessous illustre la logique, pas des données client. Les noms, adresses et ports sont fictifs. Créez les objets et ACL dans FMC, associez chaque filtre à sa Group Policy, puis validez le sens des règles selon la version et le type d'ACL Cisco utilisés.

• Attribuer un bassin d'adresses distinct aux fournisseurs afin de simplifier les règles, les recherches et les alertes.
• Autoriser une destination et un port, puis refuser le reste; ne pas publier un sous-réseau complet par commodité.
• Diriger les protocoles d'administration vers un poste de rebond lorsque la cible ne peut pas être isolée directement.
• Tester une destination autorisée et au moins deux destinations interdites avant la mise en production.

5. DAP, vpn-filter et dACL : trois mécanismes différents

Un vpn-filter est une ACL associée à la Group Policy qui gouverne la session distante. Une Dynamic Access Policy peut faire correspondre des attributs SAML sous la forme aaa.saml.nom, puis continuer, mettre en quarantaine, terminer la session ou appliquer une ACL réseau. Cisco documente aussi les attributs SAML multivalués et leur indexation dans DAP.

Une downloadable ACL, ou dACL, vient d'un serveur d'autorisation RADIUS comme Cisco ISE. Elle est téléchargée dans la réponse RADIUS; Entra ID ne transporte pas directement une dACL dans l'assertion SAML. Pour une architecture SAML pure, utilisez cisco_group_policy, DAP et des ACL gérées dans Cisco. Si ISE/RADIUS assure l'autorisation, concevez et testez ce flux séparément pour les versions FMC/FTD déployées.

Le choix dépend de la gouvernance. Des vpn-filter statiques conviennent à quelques profils stables. DAP aide à combiner des attributs et un refus explicite. ISE devient pertinent lorsque l'organisation centralise déjà l'autorisation RADIUS et la posture, au prix d'une dépendance et d'une licence supplémentaires.

• Cisco — Autorisation SAML pour Remote Access VPN ↗
• Cisco — Cas d'usage Dynamic Access Policy sur FTD ↗
• Cisco — Filtres VPN dans une Group Policy ↗

6. Enfermer la maintenance dans une zone et un poste de rebond

Le moindre privilège réseau réduit l'impact d'un compte valide compromis. Il ne remplace pas le durcissement de la cible : compte local distinct, correctifs, journalisation, sauvegarde de configuration et restrictions propres à l'application restent nécessaires.

• Séparer le bassin VPN fournisseur des postes employés et des réseaux d'administration.
• Limiter l'accès aux cibles, ports et plages horaires approuvés; éviter les règles any-any et le routage latéral.
• Utiliser un poste de rebond renforcé pour RDP, SSH, consoles Web ou outils propriétaires quand la cible ne supporte pas un contrôle fin.
• Contrôler le transfert de fichiers, le presse-papiers, les téléchargements et l'enregistrement de session selon le risque et les obligations contractuelles.
• Décider du split tunneling selon le contexte; documenter les routes et tester les résolutions DNS, les fuites de trafic et le chemin de journalisation.
• Ne jamais exposer directement RDP, SSH, VNC ou une console d'équipement sur Internet pour contourner un problème de VPN.

• Article — Sécuriser les postes d'administration Microsoft 365 →

7. Prévoir la révocation d'une session déjà ouverte

Conditional Access évalue l'authentification et les réauthentifications prises en charge. Retirer un utilisateur d'un groupe Entra, révoquer ses jetons ou le bloquer empêche les prochaines authentifications, mais ne garantit pas qu'un tunnel Cisco déjà établi soit immédiatement coupé. Cisco maintient sa propre session et ses propres temporisateurs.

La procédure d'urgence doit donc exécuter les deux côtés : bloquer la connexion Entra, retirer l'affectation ou l'accès temporaire, révoquer les sessions Entra, puis déconnecter la session Remote Access VPN dans FMC ou sur le pare-feu. Vérifiez ensuite qu'une reconnexion échoue et que les journaux couvrent toute la période.

• Configurer un délai d'inactivité et une durée maximale adaptés aux fenêtres de maintenance.
• Fermer les sessions à la fin d'une intervention sensible plutôt que d'attendre leur expiration.
• Documenter qui peut déconnecter une session lorsque l'équipe réseau n'est pas disponible.
• Révoquer aussi les comptes locaux, clés SSH, certificats ou secrets applicatifs utilisés hors d'Entra.

show vpn-sessiondb anyconnect
vpn-sessiondb logoff name vendor.user

• Microsoft — Révoquer l'accès d'un utilisateur ↗
• Cisco — Surveiller et déconnecter les sessions VPN ↗

8. Journaliser ce qui prouve l'accès, pas seulement la connexion

Synchronisez l'heure, centralisez les journaux et définissez une rétention conforme au risque. Cisco indique que les VPN syslogs sont envoyés au FMC par défaut lorsqu'une configuration VPN existe, mais les niveaux trop verbeux peuvent surcharger la collecte. Validez le débit avant d'activer du débogage en continu.

• Journaux Entra : identité, application, Conditional Access, méthode MFA, adresse source et résultat.
• Événements Cisco : connexion, déconnexion, profil, Group Policy, IP attribuée, durée et échecs AAA/SAML.
• Pare-feu : flux autorisés et refusés du bassin fournisseur vers les destinations internes.
• Poste de rebond et cible : ouverture de session, commandes ou actions d'administration selon les capacités.
• Billet : approbateur, motif, fenêtre, personnes présentes, changements et résultat des validations.

• Cisco — Journaux de dépannage FTD et FMC ↗

9. Déployer avec une matrice de tests et un retour arrière

Commencez avec un fournisseur pilote, une cible non critique et une fenêtre avec accès local au pare-feu. Conservez l'ancien profil seulement comme retour arrière contrôlé, limité dans le temps et non publié aux utilisateurs. Sauvegardez la configuration FMC, exportez la configuration SAML utile et documentez les noms exacts avant le déploiement.

Les guides Cisco cités utilisent notamment FTD/FMC 7.6. SAML est pris en charge pour l'authentification sur FTD à partir de 6.7 et pour l'autorisation à partir de 7.0, mais les écrans, attributs et correctifs changent selon les versions. Vérifiez la matrice de votre version et les avis Cisco avant de reproduire l'exemple.

• Cisco — Authentification SAML sur FTD géré par FMC ↗

Prérequis et licences à budgéter

Confirmez les licences Cisco et Microsoft selon les utilisateurs ciblés, la posture, ISE et les fonctions de gouvernance. Un projet peut fonctionner techniquement en laboratoire tout en étant non conforme aux droits de production.

• Une licence Cisco Secure Client Advantage, Premier ou VPN Only valide pour Remote Access VPN; les fonctions de posture et modules avancés varient selon l'offre.
• Une version FTD/FMC compatible avec SAML, l'autorisation choisie, DAP et les correctifs requis.
• Microsoft Entra ID P1 pour Conditional Access; P2 pour les politiques basées sur le risque.
• Les licences appropriées pour Entitlement Management et Access Reviews si ces fonctions automatisent l'expiration et la recertification.
• Certificats publics, DNS et heure fiables, plus un chemin d'administration hors bande pour le retour arrière.

• Cisco — Fonctionnalités et licences Secure Client 5.x ↗
• Microsoft — Licences Microsoft Entra ↗

Quand demander une conception complète

Faites réviser l'architecture lorsque plusieurs fournisseurs partagent les mêmes systèmes, que les groupes se chevauchent, que les cibles utilisent des protocoles anciens, qu'ISE participe à l'autorisation ou que la production exige un accès hors heures. La revue doit relier identité, réseau, journalisation, contrats et procédure d'urgence.

Un accompagnement ciblé peut produire la matrice d'accès, la stratégie Conditional Access, les Group Policies et filtres Cisco, les tests autorisés/interdits ainsi qu'un retour arrière exécutable. Ce guide aide à cadrer le travail; il ne remplace pas une validation sur vos versions, licences et flux réels.

• Service — Accompagnement en cybersécurité →
• Service — Architecture et modernisation d'infrastructure →