Authentification WiFi Microsoft Entra ID (Azure AD) : Guide d'intégration d'entreprise

Synthèse

Alors que les organisations informatiques d'entreprise migrent leur identité d'entreprise d'Active Directory Domain Services (AD DS) sur site vers Microsoft Entra ID (anciennement Azure Active Directory), les architectes réseau sont confrontés à un défi réseau fondamental : Microsoft Entra ID ne prend pas en charge l'authentification native par protocole RADIUS.

Les réseaux WiFi d'entreprise existants reposent sur la norme 802.1X avec PEAP-MSCHAPv2, interrogeant des instances du service Network Policy Server (NPS) de Windows Server sur site qui valident les empreintes de mot de passe NT LAN Manager (NTLM) par rapport aux contrôleurs de domaine locaux. Entra ID natif dans le cloud n'expose pas de ports d'écoute LDAP (TCP 389) ou RADIUS (UDP 1812), et ne stocke pas non plus d'empreintes de mot de passe NTLM en texte clair ou réversibles pour les comptes cloud uniquement.

Pour sécuriser le WiFi d'entreprise avec Microsoft Entra ID, les organisations doivent moderniser leur couche d'accès. Ce guide technique présente les trois modèles d'architecture éprouvés pour connecter Entra ID aux réseaux WiFi d'entreprise :

1. EAP-TLS natif dans le cloud via Microsoft Cloud PKI et SCEP (recommandé) : Authentification mutuelle par certificat et sans mot de passe, déployée via Microsoft Intune.
2. Cloud RADIUS avec synchronisation d'annuaire Entra ID OAuth / SCIM : Service d'authentification cloud géré qui interroge l'API Microsoft Graph.
3. NPS hybride sur site avec l'extension Azure MFA : Architecture de pont pour les environnements conservant une infrastructure Active Directory locale.

Comparaison architecturale : Méthodes d'authentification WiFi Entra ID

Avant de sélectionner une méthode d'intégration, évaluez les capacités techniques, la posture de sécurité et les exigences d'administration de chaque modèle :

+----------------------------------------------------------------------------------------------------+
|                               Matrice d'architecture WiFi Microsoft Entra ID                       |
+----------------------------------------------------------------------------------------------------+
| Méthode              | Protocole| Type d'identifiant| Empreinte sur site    | Niveau sécurité (0-100)|
+----------------------+----------+------------------+-----------------------+-----------------------+
| 1. Intune SCEP PKI   | EAP-TLS  | CA numériqueX.509| Zéro (100 % Cloud)    | 98/100 (Zero Trust)   |
| 2. Cloud RADIUS API  | EAP-TTLS | Entra ID / SCIM  | Zéro (100 % Cloud)    | 88/100 (Entreprise)   |
| 3. Hybrid NPS + MFA  | PEAPv0   | Nom d'util./Passe| Windows Server & NDES | 68/100 (Risque hérité)|
| 4. Captive Portal SSO| HTTPS/OIDC| Entra ID OAuth  | Zéro (100 % Cloud)    | 85/100 (Invité/BYOD)  |
+----------------------+----------+------------------+-----------------------+-----------------------+

Méthode 1 : EAP-TLS natif dans le cloud via Microsoft Intune SCEP (recommandé)

L'EAP-TLS basé sur des certificats (RFC 5216) représente la référence absolue en matière de sécurité sans fil pour les entreprises. En délivrant des certificats numériques uniques aux terminaux gérés, les organisations éliminent les mots de passe partagés, déjouent les campagnes de phishing visant à voler des identifiants et se conforment aux normes de l'architecture Zero Trust NIST SP 800-207.

+------------------+          +------------------------+          +------------------------+
| Appareil Géré    |          |   Point d'Accès WiFi   |          |  Serveur RADIUS Cloud  |
| (Win 11 / macOS) |          | (Cisco / Meraki/ Aruba)|          |    (Multi-Régions)     |
+------------------+          +------------------------+          +------------------------+
         |                                |                                    |
         | 1. Assoc 802.1X EAP-TLS        |                                    |
         |------------------------------->|                                    |
         |                                | 2. Access-Request RADIUS (UDP 1812)|
         |                                |----------------------------------->|
         |                                |                                    | 3. Valider Chaîne Cert
         |                                |                                    |    & Interroger Graph API
         |                                |                                    |    pour Statut de Compte
         |                                | 4. Access-Accept RADIUS            |
         |                                |    (Attributs VLAN RFC 2868)       |
         |                                |<-----------------------------------|
         | 5. Handshake 4-Way 802.11      |                                    |
         |<------------------------------>|                                    |
         |                                |                                    |
  [ Session Chiffrée Établie (WPA3-Enterprise 192-bit) ]

Flux de déploiement SCEP Intune

1. Configuration de l'Autorité de Certification : Établissez une autorité de certification émettrice à l'aide de Microsoft Cloud PKI dans Microsoft Intune ou d'une PKI cloud intégrée (telle que SCEPman, EZCA ou Cloud RADIUS PKI).
2. Profil de Certificat Approuvé : Déployez les certificats publics de l'autorité de certification racine et intermédiaire sur tous les groupes d'appareils Windows 11, macOS, iOS et Android cibles.
3. Configuration du Profil SCEP :
   • Type de Certificat : Certificat Utilisateur ou Appareil.
   • Format du Nom de l'Objet : CN={{UserName}},OU=WiFi,DC=enterprise,DC=com
   • Nom Alternatif de l'Objet (SAN) : UserPrincipalName = {{UserPrincipalName}} et DNS = {{AADDeviceId}}
   • Utilisation des Clés : Signature numérique, Chiffrement de clé.
   • Fournisseur de Stockage Clé (KSP) : TPM de préférence (impose des clés privées sauvegardées par le matériel).
4. Profil de Configuration WiFi :
   • Type de WiFi : Enterprise.
   • Type d'EAP : EAP-TLS.
   • Confiance du Serveur : Sélectionnez le certificat d'autorité de certification racine approuvé qui a été déployé.
   • Noms de serveur : Saisissez le nom de domaine complet (FQDN) du serveur Cloud RADIUS (par exemple, radius.purple.ai).
   • Identité d'authentification : Certificat utilisateur ou machine.

Méthode 2 : Cloud RADIUS avec authentification Entra ID OAuth et synchronisation d'annuaire SCIM

Pour les organisations qui recherchent une gestion centralisée des annuaires sans gérer d'autorités de certification privées, Cloud RADIUS fournit une passerelle managée entre les contrôleurs sans fil et l'API Microsoft Graph.

Comment Cloud RADIUS s'intègre à Microsoft Entra ID

+--------------------+        +--------------------+        +--------------------+
|  Enterprise WLC /  |        | Cloud RADIUS Engine|        | Microsoft Entra ID |
|   Access Points    |        | (Purple Platform)  |        |  (Graph REST API)  |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          |  1. RADIUS Access-Request   |                             |
          |     (User: alex@corp.com)   |                             |
          |---------------------------->|                             |
          |                             |  2. Graph API Query         |
          |                             |     (Check user enabled,    |
          |                             |      group memberships,     |
          |                             |      conditional access)    |
          |                             |---------------------------->|
          |                             |                             |
          |                             |  3. JSON Response           |
          |                             |     (Status: Active,        |
          |                             |      Groups: [SG-Finance])  |
          |                             |<----------------------------|
          |                             |                             |
          |  4. RADIUS Access-Accept    |                             |
          |     (VLAN ID: 40)           |                             |
          |<----------------------------|                             |

Principaux avantages de Cloud RADIUS

• Zéro matériel sur site : Élimine l'approvisionnement de serveurs physiques, les licences Windows Server et la maintenance annuelle des correctifs du système d'exploitation.
• Synchronisation d'annuaire en temps réel : Si un employé quitte l'entreprise ou est désactivé dans Entra ID, son accès sans fil est immédiatement révoqué sur tous les sites mondiaux.
• Redondance multi-régions : Le routage IP Anycast achemine les demandes d'authentification vers le centre de données géographique présentant la latence la plus faible avec un basculement automatique.

Affectation dynamique de VLAN via les groupes de sécurité Entra ID

L'affectation dynamique de VLAN permet aux administrateurs réseau de diffuser un SSID d'entreprise unique tout en plaçant automatiquement les appareils dans des segments de réseau isolés en fonction des rôles des utilisateurs et de leur appartenance à un service.

+-----------------------------------------------------------------------------------+
|                     Groupe de sécurité Microsoft Entra ID                         |
+-----------------------------------------------------------------------------------+
       |                                |                                   |
       v                                v                                   v
[ SG-WiFi-Executive ]          [ SG-WiFi-Engineering ]            [ SG-WiFi-Contractors ]
       |                                |                                   |
       v                                v                                   v
[ Politique Cloud RADIUS ]     [ Politique Cloud RADIUS ]         [ Politique Cloud RADIUS ]
       |                                |                                   |
       v                                v                                   v
 RADIUS RFC 2868 :              RADIUS RFC 2868 :                  RADIUS RFC 2868 :
 • Tunnel-Type = 13 (VLAN)      • Tunnel-Type = 13 (VLAN)          • Tunnel-Type = 13 (VLAN)
 • Tunnel-Medium-Type = 6       • Tunnel-Medium-Type = 6           • Tunnel-Medium-Type = 6
 • Group-ID = "10"              • Group-ID = "20"                  • Group-ID = "30"
       |                                |                                   |
       v                                v                                   v
 (Corporate Exec VLAN 10)       (Engineering Subnet VLAN 20)       (Contractor DMZ VLAN 30)

Attributs standard RADIUS requis (RFC 2868)

Lorsque le serveur Cloud RADIUS approuve une demande d'authentification, il inclut trois attributs standard dans le paquet Access-Accept :

Authentification unique (SSO) par Captive Portal pour les invités, le BYOD et les prestataires

Pour les visiteurs invités, les fournisseurs et les appareils personnels non gérés des employés (BYOD), le déploiement de certificats 802.1X est souvent peu pratique. Dans ces scénarios, un Captive Portal géré dans le cloud et intégré à Microsoft Entra ID via SAML 2.0 ou OpenID Connect (OIDC) fournit un flux de travail d'intégration sécurisé et audité.

+--------------------+        +--------------------+        +--------------------+
|  Navigateur        |        | Portail de         |        | Passerelle de      |
|  Invité / BYOD     |        | connexion Purple   |        | connexion          |
|                    |        | Captive            |        | Microsoft Entra ID |
+--------------------+        +--------------------+        +--------------------+
          |                             |                             |
          | 1. Requête Web HTTP         |                             |
          |---------------------------->|                             |
          | 2. Redirection vers Splash Page |                           |
          |<----------------------------|                             |
          |                             |                             |
          | 3. Clic "Connexion avec M365"|                            |
          |---------------------------->|                             |
          | 4. Requête d'Auth SAML / OAuth |                          |
          |    (login.microsoftonline.com)                            |
          |---------------------------------------------------------->|
          |                                                           |
          | 5. Défi MFA et Vérification d'Identité (Entra ID)         |
          |<--------------------------------------------------------->|
          |                                                           |
          | 6. Assertion SAML / Token d'ID Émis                       |
          |<----------------------------------------------------------|
          |                                                           |
          | 7. POST du Token vers le Splash Engine                    |
          |---------------------------->|                             |
          |                             | 8. Autoriser le MAC sur le WLC |
          | 9. Accès Internet Accordé   |<----------------------------|
          |<----------------------------|

Avantages de sécurité du SSO pour Captive Portal

• Appliquer l'Accès Conditionnel : Exigez l'authentification multifacteur (MFA) de Microsoft Entra ID et l'acceptation des conditions d'utilisation avant d'accorder l'accès au réseau.
• Expiration Automatisée : Limitez automatiquement la durée d'accès des visiteurs (par exemple, 8 heures) en fonction des profils d'identité des invités.
• Journalisation d'Audit : Conservez des enregistrements de connexion immuables associant les adresses MAC physiques aux adresses e-mail d'entreprise Microsoft Entra ID pour les audits de conformité.

Renforcer la Sécurité du WiFi d'Entreprise : Mode WPA3-Enterprise 192-bit

Lors de la configuration de l'authentification WiFi Microsoft Entra ID, les architectes réseau doivent configurer le WPA3-Enterprise pour se prémunir contre les vecteurs d'attaque radio sophistiqués :

• Mode de Sécurité 192-bit (Suite CNSA) : Implémente le chiffrement GCMP-256 (Galois/Counter Mode Protocol) 256-bit et la dérivation de clé HMAC-SHA-384 384-bit.
• Trames de Gestion Protégées (PMF / IEEE 802.11w) : Empêche les acteurs malveillants d'usurper les adresses MAC des points d'accès pour envoyer de fausses trames de désauthentification et de désassociation.
• Élimination des Algorithmes Obsolètes : Obsolétise complètement les suites WEP, TKIP et WPA2-TKIP non renforcées.

Résolution des Échecs d'Authentification WiFi 802.1X avec Entra ID

Lorsque des appareils clients ne parviennent pas à s'authentifier, consultez ce guide de diagnostic systématique :

1. Échec du handshake EAP-TLS : Autorité de certification (CA) inconnue ou certificat non approuvé

• Symptom: Le client ne parvient pas à se connecter ; le journal RADIUS affiche TLS Alert: unknown_ca (48).
• Cause d'origine: L'appareil client ne fait pas confiance au certificat du serveur RADIUS, ou le serveur RADIUS ne dispose pas de l'AC racine qui a émis le certificat client.
• Résolution:
  1. Confirmez que le profil de certificat approuvé Intune a bien déployé l'AC racine sur l'appareil client.
  2. Dans le profil WiFi Intune, vérifiez que le nom de serveur dans la liste d'autorisation Server Names correspond exactement au Nom commun (CN) ou au Nom alternatif du sujet (SAN) du certificat du serveur RADIUS.
  3. Assurez-vous que la chaîne de certificats complète (AC racine + AC intermédiaires) est importée dans le magasin de certificats approuvés de Cloud RADIUS.

2. RADIUS Access-Reject : Compte utilisateur désactivé ou non-concordance de l'appartenance au groupe

• Symptom: Le serveur RADIUS reçoit la demande mais renvoie Access-Reject avec l'erreur User account not found or disabled.
• Cause d'origine: Le compte utilisateur est désactivé dans Microsoft Entra ID, ou l'utilisateur n'est pas membre du groupe de sécurité Entra autorisé.
• Résolution:
  1. Inspectez l'objet utilisateur dans le centre d'administration Microsoft Entra (entra.microsoft.com) pour vérifier que le statut du compte est actif.
  2. Vérifiez les autorisations de l'application d'entreprise Cloud RADIUS dans Microsoft Entra ID (User.Read.All, GroupMember.Read.All).
  3. Vérifiez la latence de synchronisation de l'annuaire si l'utilisateur a été récemment ajouté à un nouveau groupe de sécurité.

3. L'attribution dynamique de VLAN ne s'applique pas

• Symptom: L'authentification réussit, mais le client reste sur le VLAN natif par défaut au lieu du VLAN de service attribué.
• Cause d'origine: Le contrôleur LAN sans fil (WLC) n'a pas activé la surcharge AAA (AAA Override), ou l'ID du VLAN cible est manquant sur le port trunk du commutateur.
• Résolution:
  1. Sur les contrôleurs Cisco Catalyst / Aruba, activez AAA Override et Allow Dynamic VLANs dans la configuration du WLAN.
  2. Vérifiez que le port du commutateur connecté au point d'accès autorise tous les ID de VLAN dynamiques sur le trunk 802.1Q (switchport trunk allowed vlan add 10,20,30,40).
  3. Confirmez que RADIUS renvoie les trois attributs requis : Tunnel-Type = 13, Tunnel-Medium-Type = 6 et Tunnel-Private-Group-ID = <VLAN_ID>.

Résumé et étapes suivantes

L'intégration de Microsoft Entra ID avec le réseau WiFi d'entreprise crée une couche d'accès réseau robuste et sans mot de passe. En associant la gestion des certificats SCEP de Microsoft Intune à Cloud RADIUS et à l'attribution dynamique de VLAN, les équipes informatiques éliminent la dette technique liée aux infrastructures sur site tout en renforçant leur posture de sécurité zero-trust.

Pour les organisations qui gèrent de grands volumes de visiteurs, de prestataires ou d'appareils personnels (BYOD) aux côtés de leur parc d'entreprise, Purple offre une gestion clé en main de l'accès WiFi cloud, une authentification unique par Captive Portal native SAML/OAuth avec Microsoft Entra ID, ainsi que des analyses réseau en temps réel pour l'ensemble des principaux équipementiers de réseaux sans fil d'entreprise.