📘 Authentification Microsoft 365 & Protocoles

🧭 Vue d’ensemble

Microsoft 365 (via Azure AD / Entra ID) prend en charge plusieurs méthodes d'authentification. Chaque méthode repose sur des protocoles spécifiques selon qu'elle concerne une authentification utilisateur, applicative, ou multifactorielle.

🔐 Méthodes d’Authentification et Protocoles

Méthode	Type	Protocoles	Détails
Application (app-only)	Machine-to-Machine	OAuth2 (Client Credentials)	Client_id + secret ou certificat
Mot de passe seul	Utilisateur	OAuth2 + Password Grant	Déconseillé sans MFA
SMS / Appel téléphonique	MFA Utilisateur	OAuth2 + Azure MFA	Second facteur
App mobile Authenticator	MFA Utilisateur	OAuth2 + TOTP ou Push	App Microsoft
FIDO2 (clé / biométrie)	Passwordless	FIDO2 (WebAuthn + CTAP) + OAuth2	Sans mot de passe
Carte à puce / certificat (CBA)	Utilisateur	TLS + X.509 + CBA/ADFS	Authentification par certificat
Windows Hello for Business	Passwordless	FIDO2, Kerberos, OAuth2	SSO + biométrie
Security Key (Yubikey)	Utilisateur	FIDO2 (WebAuthn)	Authentification forte

🔄 Schéma Textuel

Utilisateur → Application (Outlook, WebApp) → Redirection vers Azure AD
      |
      └→ Azure AD demande authentification :
             ├─ Password
             ├─ Password + MFA
             ├─ FIDO2
             ├─ Certificat
             └─ App-only OAuth2

Azure AD → délivre un Token (JWT) → Application → Microsoft 365 APIs

📌 Protocoles utilisés

Protocole	Rôle
OAuth2	Authentification / Autorisation
OIDC	Extension OAuth2 pour l’identité
FIDO2 / WebAuthn	Authentification forte sans mot de passe
TLS + X.509	Authentification par certificat
TOTP / Push	Facteur secondaire via Authenticator

✅ Recommandations

Besoin	Méthode recommandée
Authentification utilisateur sécurisée	FIDO2 ou MFA
Sans mot de passe	FIDO2 ou Windows Hello
Service-to-service	OAuth2 client credentials
Environnement entreprise avec certificats	CBA (Certificate-Based Authentication)

📎 À retenir

🔐 FIDO2 = clé privée locale + clé publique côté serveur
📲 MFA = SMS, App mobile, Appel vocal, TOTP
🤖 App-only = OAuth2 client credentials pour automatisation
💳 CBA = authentification par certificat utilisateur