Boîte de dialogue : Ajouter ou modifier la première méthode d’authentification

Spécifiez l’algorithme de signature utilisé pour sécuriser le certificat à l’aide du chiffrement.

Spécifiez le type de certificat en identifiant le magasin dans lequel il se trouve.

Cette option restreint l’utilisation des certificats d’ordinateurs à ceux marqués en tant que certificats d’intégrité. Les certificats d’intégrité sont publiés par une autorité de certification pour la prise en charge d’un déploiement à Protection d’accès réseau (NAP, Network Access Protection). La Protection d’accès réseau vous permet de définir et d’appliquer des stratégies d’intégrité de sorte que les ordinateurs qui ne répondent pas aux critères des stratégies réseau (tels que ceux qui ne sont pas dotés de logiciel antivirus ou des mises à jour logicielles les plus récentes) soient moins susceptibles d’accéder à votre réseau. Pour implémenter NAP, vous devez configurer les paramètres NAP sur les ordinateurs serveurs et clients. La Gestion des clients NAP, composant logiciel enfichable MMC (Microsoft Management Console), facilite la configuration des paramètres NAP sur les ordinateurs clients. Pour plus d’informations, voir l’aide du composant logiciel enfichable NAP. Pour utiliser cette méthode, il est nécessaire qu’un serveur soit configuré dans le domaine.

Lorsque vous activez le mappage certificat-compte IPsec, les protocoles IKE (Internet Key Exchange) et AuthIP (Authenticated IP) associent (mappent) un certificat d’ordinateur à un compte d’ordinateur dans un domaine ou une forêt Active Directory, puis ils récupèrent un jeton d’accès qui inclut la liste des groupes de sécurité d’ordinateurs. Ce processus garantit que le certificat proposé par l’homologue IPsec correspond à un compte d’ordinateur actif dans le domaine et que le certificat est l’un de ceux que doit utiliser l’ordinateur.

Le mappage certificat-compte peut être utilisé uniquement pour les comptes d’ordinateurs qui appartiennent à la même forêt que celle de l’ordinateur qui effectue le mappage. Cela procure une authentification renforcée, comparé à la simple acceptation de toute chaîne de certificat valide. Vous pouvez par exemple utiliser cette fonctionnalité afin de limiter l’accès aux ordinateurs qui appartiennent à la même forêt. Le mappage certificat-compte ne garantit toutefois pas qu’un ordinateur approuvé spécifique est autorisé à bénéficier d’un accès IPsec.

Le mappage certificat-compte est particulièrement utile si les certificats proviennent d’une infrastructure à clé publique qui n’est pas intégrée à votre déploiement des services de domaine Active Directory (AD DS, Active Directory Domain Services), par exemple dans le cas où des partenaires commerciaux obtiennent leurs certificats auprès de fournisseurs non-Microsoft. Vous pouvez configurer la méthode d’authentification de stratégie IPsec de façon à mapper les certificats à un compte d’ordinateur de domaine pour une autorité de certification racine spécifique. Vous pouvez également mapper tous les certificats provenant d’une autorité de certification émettrice à un seul compte d’ordinateur. Cela permet d’utiliser l’authentification de certificat IKE afin de limiter les forêts disposant d’un accès IPsec dans un environnement où il existe de nombreuses forêts et où chacune d’elles effectue une inscription automatique sous une même autorité de certification racine interne. Si le processus de mappage certificat-compte n’est pas effectué correctement, l’authentification échoue et les connexions protégées IPsec sont bloquées.