Comment se connecter aux app M365 avec une passkey externe

Introduction

Microsoft a annoncé la disponibilité générale de l’authentification par navigateur pour les fournisseurs d’identité externes dans Entra ID. Pour les domaines fédérés via WS-Fed ou SAML 2.0, l’étape d’authentification auprès du fournisseur d’identité externe s’exécute désormais dans le navigateur système plutôt que dans une WebView intégrée, ce qui permet d’utiliser des Passkeys et des clés de sécurité FIDO2 émises par ce fournisseur pour se connecter à Outlook, Teams, OneDrive, Word, Excel, PowerPoint et Microsoft To Do sur Android, iOS et macOS géré.

Voir l’article sur la migration SMS et voix vers Passkey ICI, qui signalait que la prise en charge des Passkeys pour les comptes B2B restait à venir. Un chantier distinct comble aussi cette lacune côté invités : depuis début Octobre 2026, les utilisateurs B2B peuvent s’inscrire à une Passkey du tenant ressource pour satisfaire les exigences MFA de ce tenant.

Prérequis

Licences nécessaires

• Microsoft Entra ID, sur un domaine fédéré via WS-Fed ou SAML 2.0.

Rôle d’administrateur

• Un compte avec le rôle Administrateur Global ou des permissions Domain-InternalFederation.ReadWrite.All et Domain.ReadWrite.All, pour modifier la configuration de fédération.

Autres

• Le module Microsoft Graph PowerShell installé.
• Un navigateur système et une application de broker à jour selon la plateforme ciblée : Chrome sur Android, Safari sur iOS et macOS géré, avec Microsoft Authenticator ou Intune Company Portal comme broker.

Étape 1 : Se connecter avec Microsoft Graph PowerShell

Connectez-vous avec le module Microsoft Graph via la commande PowerShell suivante :

Connect-MgGraph -Scopes "Domain-InternalFederation.ReadWrite.All"

Étape 2 : Identifier la configuration de fédération du domaine

Récupérez l’identifiant de configuration du domaine fédéré concerné. Cet identifiant est nécessaire pour l’étape d’activation suivante.

Update-MgDomainFederationConfiguration -DomainId 'domain.com'

Étape 3 : Activer l’authentification par navigateur pour les plateformes souhaitées

Activez la fonctionnalité sur la configuration de fédération identifiée à l’étape 2, en précisant les plateformes concernées parmi Android, iOS et macOS.

Update-MgDomainFederationConfiguration -DomainId 'domain.com' -InternalDomainFederationId '<guid>' -SystemBrowserEnabledOn "Android iOS"

Positionner SystemBrowserEnabledOn sur none désactive la fonctionnalité.

Étape 4 : Vérifier la configuration appliquée

Interrogez à nouveau la configuration pour confirmer que les plateformes souhaitées sont bien activées.

Update-MgDomainFederationConfiguration -DomainId 'domain.com' -InternalDomainFederationId '<guid>'

Valider le résultat

Pour confirmer que la configuration fonctionne, démarrez une connexion depuis une application Microsoft prise en charge sur un appareil éligible. Le navigateur système doit s’ouvrir pour l’étape d’authentification auprès du fournisseur d’identité externe. Une fois cette authentification terminée, un lien de redirection ramène l’utilisateur vers l’application d’origine via le broker.

Plateformes et applications prises en charge

Les applications Microsoft testées et prises en charge pour cette expérience sont Outlook, Teams, OneDrive, Word, Excel, PowerPoint et Microsoft To Do.

Parcours d’authentification

Conclusion

Vous savez maintenant comment activer l’authentification par navigateur pour les fournisseurs d’identité externes, afin de permettre l’usage de Passkeys et de clés FIDO2 émises hors d’Entra ID sur les applications Microsoft 365 mobiles et sur macOS géré.

Sources

Microsoft Learn - Authentification par navigateur pour IdP externes

Microsoft - Techcommunity

Microsoft Learn - Ressource internalDomainFederation

Avez-vous apprécié cet article ? Vous avez des questions, commentaires ou suggestions, n’hésitez pas à m’envoyer un message depuis le formulaire de contact.

N’oubliez pas de nous suivre et de partager cet article.