Pass-Through Authentication

Définition

Le Pass-Through Authentication (PTA) est une méthode d'authentification hybride de Microsoft Entra ID permettant de valider les tentatives de connexion des utilisateurs directement contre l'Active Directory on-premises, sans jamais synchroniser ni stocker de hachage de mot de passe dans le cloud, contrairement à la Password Hash Synchronization qui réplique une version hachée du mot de passe vers le tenant. Techniquement, le PTA s'appuie sur un ou plusieurs agents légers installés sur des serveurs joints au domaine on-premises, établissant une connexion sortante persistante vers Entra ID sans nécessiter l'ouverture de ports entrants sur le pare-feu de l'organisation ; chaque tentative de connexion cloud est transmise en temps réel via ce canal à l'agent, qui la soumet directement au contrôleur de domaine local pour validation avant de retourner le résultat au service cloud. Cette architecture présente l'avantage de préserver une cohérence stricte et immédiate avec les politiques de sécurité on-premises, notamment les heures de connexion autorisées et le statut de verrouillage d'un compte, sans délai de synchronisation lié à la réplication périodique des hachages. La disponibilité de l'authentification cloud dépend cependant directement de celle des agents PTA et de l'infrastructure Active Directory on-premises, un point de défaillance à considérer dans l'architecture de résilience globale de l'organisation, contrairement au PHS qui permet une authentification cloud indépendante en cas d'indisponibilité de l'environnement local.