Installer Windows PowerShell pour l’authentification unique

Avant d’ajouter ou de convertir un domaine en tant que domaine d’authentification unique, vous pouvez exécuter un projet pilote. L’exécution d’un déploiement par étapes de l’authentification unique n’est pas possible actuellement ; tous les utilisateurs sont fédérés en même temps. Toutefois, vous pouvez exécuter un projet pilote d’authentification unique avec un ensemble d’utilisateurs de production provenant de votre forêt Active Directory de production.

Les utilisateurs de ce projet pilote doivent tester minutieusement divers scénarios d’authentification unique afin de vérifier que l’authentification unique (et le déploiement d’AD FS 2.0) est correctement configurée et prête pour un déploiement à l’échelle de l’organisation. À des fins de test, demandez aux utilisateurs d’accéder à Office 365 à partir de navigateurs et d’applications clientes (telles que Microsoft Office 2010) dans les environnements suivants :

• À partir d’un ordinateur joint au domaine
  
• À partir d’un ordinateur non joint au domaine au sein du réseau de l’entreprise
  
• À partir d’un ordinateur itinérant joint au domaine et hors du réseau de l’entreprise
  
• À partir des différents systèmes d’exploitation que vous utilisez dans votre société
  
• À partir d’un ordinateur personnel
  
• À partir d’une borne Internet (navigateur uniquement)
  
• À partir d’un smartphone (par exemple, smartphone utilisant Microsoft Exchange ActiveSync)
  

Pour en savoir plus, voir Comment tester l’authentification unique dans une forêt d’utilisateurs de production.

Retour au début

1. Ouvrez l’Microsoft Online Services Module.

2. Exécutez $cred=Get-Credential. Lorsque cette cmdlet vous invite à indiquer vos informations d’identification de compte d’administration Office 365, faites-le.

3. Exécutez Connect-MsolService -Credential $cred. Cette cmdlet vous connecte à Office 365. La création d’un contexte qui vous connecte à Office 365 est requise avant l’exécution d’une des cmdlets supplémentaires installées par l’outil.

4. Exécutez Set-MsolAdfscontext -Computer <Serveur principal AD FS 2.0>, où <Serveur principal AD FS 2.0> est le nom de domaine complet du serveur principal AD FS 2.0. Cette cmdlet crée un contexte de connexion à AD FS 2.0.

   Remarque :
   Si vous avez installé l’Microsoft Online Services Module sur le serveur AD FS 2.0 principal, vous n’avez pas à exécuter cette cmdlet.

5. Exécutez New-MsolFederatedDomain -DomainName <domaine>, où <domaine> correspond au domaine à ajouter et à activer pour l’authentification unique. Cette applet de commande ajoute un domaine de niveau supérieur ou un sous-domaine qui sera configuré pour l'authentification fédérée. .

   Remarque :
   Après avoir utilisé l'applet de commande New-MsolFederatedDomain pour ajouter un domaine de niveau supérieur, vous ne pouvez pas utiliser l'applet de commande New-MsolDomain pour ajouter des domaines standard (non fédérés).

6. Sur la base des résultats de l’applet de commande New-MsolFederatedDomain, contactez votre bureau d’enregistrement de domaines pour qu’il crée l’enregistrement DNS requis. Cette opération permet de vérifier que vous êtes propriétaire du domaine. Notez que la propagation de cette opération peut prendre jusqu’à 15 minutes selon votre bureau d’enregistrement. La propagation des modifications sur le système peut prendre jusqu’à 72 heures. Pour plus d’informations, voir Vérifier un domaine auprès d'un bureau d'enregistrement de noms de domaineregistrar.

7. Exécutez à nouveau la commande New-MsolFederatedDomain en indiquant le même nom de domaine pour achever le processus.

Lorsque vous convertissez un domaine existant en domaine d’authentification unique, chaque utilisateur ayant une licence devient simultanément un utilisateur fédéré, autorisé à utiliser ses informations d’identification d’entreprise Active Directory existantes (nom d’utilisateur et mot de passe) pour accéder aux services Office 365. Le déploiement par étapes de l’authentification unique n’est pas possible pour l’instant. Toutefois, vous pouvez expérimenter l’authentification unique sur un ensemble d’utilisateurs de votre forêt Active Directory de production. Pour plus d’informations, voir Exécuter un projet pilote pour tester l'authentification unique avant de la configurer (facultatif).

Remarque :
Il est préférable d’effectuer la conversion lorsque la plupart des utilisateurs sont absents, par exemple le week-end, afin de réduire l’impact de cette opération.

Pour convertir un domaine existant en domaine à authentification unique, procédez comme suit.

1. Ouvrez l’Microsoft Online Services Module.

2. Exécutez $cred=Get-Credential. Lorsque cette cmdlet vous invite à indiquer vos informations d’identification de compte d’administration Office 365, faites-le.

3. Exécutez Connect-MsolService -Credential $cred. Cette cmdlet vous connecte à Office 365. La création d’un contexte qui vous connecte à Office 365 est requise avant l’exécution d’une des cmdlets supplémentaires installées par l’outil.

4. Exécutez Set-MsolAdfscontext -Computer <Serveur principal AD FS 2.0>, où <Serveur principal AD FS 2.0> est le nom de domaine complet du serveur principal AD FS 2.0. Cette cmdlet crée un contexte de connexion à AD FS 2.0.

   Remarque :
   Si vous avez installé l’Microsoft Online Services Module sur le serveur AD FS 2.0 principal, vous n’avez pas à exécuter cette cmdlet.

5. Exécutez la commande Convert-MsolDomainToFederated -DomainName <domaine>, où <domaine> correspond au domaine à convertir. Cette cmdlet permet de convertir le domaine à authentification standard en domaine à authentification unique.

Remarque :
Pour vérifier que la conversion a bien fonctionné, comparez les paramètres du serveur AD FS 2.0 et ceux d’Office 365 en exécutant Get-MsolFederationProperty -DomainName <domaine>, où <domaine> correspond au domaine dont vous voulez consulter les paramètres. S’ils ne correspondent pas, vous pouvez exécuter Update-MsolFederatedDomain -DomainName <domaine> pour les synchroniser.