Restreindre l'accès des utilisateurs à Acrobat Sign à l'aide de plages d'adresses IP autorisées

Contrôlez qui peut accéder à Acrobat Sign en autorisant uniquement les plages d’adresses IP approuvées pour les utilisateurs de compte et les intégrations.

Les plages d’adresses IP autorisées permettent aux administrateurs de limiter l’accès à Adobe Acrobat Sign aux réseaux approuvés uniquement. En autorisant les demandes provenant d’adresses IP connues et en refusant toutes les autres, vous pouvez réduire les accès non autorisés et appliquer des politiques de sécurité cohérentes dans votre organisation. Ce contrôle s’applique avant l’authentification utilisateur et aide à protéger les environnements réglementés et les rôles critiques. Ce paramètre n’affecte pas les destinataires de l’accord.

Pourquoi utiliser des listes d’adresses IP autorisées

Les plages d’adresses IP autorisées agissent comme une porte qui bloque par défaut pour Acrobat Sign. Un utilisateur ou une intégration ne peut se connecter à l’application web ou appeler l’API que lorsque la demande provient d’une adresse IP figurant dans votre liste autorisée.

• Réduisez les accès non autorisés en limitant les connexions aux réseaux d’entreprise connus.
• Appliquez une politique d’accès cohérente à tous les utilisateurs du compte.
• Associez-la à l’authentification unique (SSO) et à l’authentification multifacteur (MFA) pour une sécurité multicouche. 

Avant de commencer

• Travaillez avec votre équipe réseau pour collecter les plages d’adresses IP exactes dont vous avez besoin. Utilisez la notation CIDR (par exemple, 203.0.113.0/24).
• Prévoyez d’ajouter d’abord les réseaux d’administrateurs pour ne pas vous bloquer l’accès.
• Tenez compte de l’accès à distance, d’urgence ou des partenaires et incluez ces plages si nécessaire.
• Déterminez si vous avez l’intention d’utiliser des applications tierces (Salesforce, etc.) ou les applications mobiles Acrobat Sign (du point de vue de l’expéditeur).

Configuration

Disponibilité :

• Acrobat Standard et Acrobat Pro : non pris en charge
• Acrobat Sign Solutions : pris en charge
• Acrobat Sign pour le gouvernement : non pris en charge

Portée de l’accès

• Interface utilisateur web : les demandes provenant d’adresses IP en dehors de la liste autorisée sont refusées avec le message : « Impossible d’accéder à votre compte depuis cet ordinateur. Veuillez contacter le service d’assistance. »
• API : accès autorisé uniquement lorsque le paramètre « Autoriser ces adresses IP à accéder au système via l’API » est activé ; s’il est désactivé, les appels d’API sont refusés, même depuis les adresses IP répertoriées.
• Applications certifiées : les intégrations majeures (par exemple, Microsoft, Salesforce) sont autorisées par défaut.
  • Les applications mobiles Acrobat Sign relèvent de la portée des applications certifiées et sont impactées par les contrôles qui autorisent ou refusent l'accès au service Acrobat Sign.
    Notez que seule la connexion à Acrobat Sign en tant qu'utilisateur est impactée. Les destinataires ne le sont pas.

Portée de la configuration :

• La fonctionnalité Plages d’adresses IP autorisées peut être configurée au niveau des comptes et des groupes. 
  • L’accès des utilisateurs est défini par leur groupe principal lorsque les paramètres au niveau du groupe sont appliqués.
• Les intégrations (Microsoft Dynamics, Salesforce et autres) sont autorisées par défaut.

Il existe trois paramètres qui déterminent si les restrictions IP s'appliquent à l'accès navigateur, aux demandes API et aux clients basés sur l'API tels que les applications mobiles et les intégrations.

1. Autoriser l’accès au système uniquement aux adresses IP répertoriées ci-dessous : active les limites d’adresses IP et déverrouille la configuration de la liste des plages d’adresses IP.
   • Si aucune plage d’adresses IP n’est répertoriée lorsque les configurations de page sont enregistrées, cette option se désélectionne automatiquement et la fonctionnalité est désactivée.
   • Si cette option n’est pas activée, les restrictions d’adresses IP ne sont pas appliquées et n’importe quelle adresse IP peut tenter d’accéder au compte via l’authentification de l’utilisateur.
   • Lorsque vous définissez une ou plusieurs plages d'adresses IP, seules les tentatives d'authentification pour se connecter à l'interface utilisateur Acrobat Sign depuis ces adresses sont autorisées.
2. Uniquement autoriser ces adresses IP à accéder au système via l’API : accorde explicitement l’accès à l’API à partir des plages d’adresses IP répertoriées.
   • Cette option nécessite que les restrictions d'adresses IP soient activées.
   • Lorsqu’elle est activée, seules les connexions API provenant des adresses IP répertoriées sont autorisées à se connecter.
   • Si cette option n'est pas activée, les demandes API sont refusées, même lorsque la demande provient d'une adresse IP autorisée.
3. Toujours autoriser l’accès via l’API à partir des adresses IP de l’application partenaire certifiée : permet aux applications certifiées de contourner les restrictions d’adresse IP des API.
   • Cette option nécessite que l'accès API soit activé.
   • Lorsqu'elle est activée, les restrictions IP ne sont pas appliquées pour les applications certifiées, y compris les applications mobiles Acrobat Sign.
   • Les applications de partenaires certifiés incluent les intégrations développées par Acrobat Sign telles que Salesforce et SharePoint.

Pour appliquer les restrictions d’adresses IP de manière cohérente pour l’accès via un navigateur, les applications mobiles et les intégrations, l’accès API doit être activé et le contournement des applications certifiées ne doit pas être autorisé.

Comment configurer une plage d’adresses IP autorisées

Coordonnez-vous avec votre équipe réseau pour obtenir les plages d’adresses IP CIDR avant d’essayer de configurer la liste autorisée.
Assurez-vous d’autoriser d’abord la plage d’adresses IP à partir de laquelle vous travaillez actuellement.

Toutes les plages d’adresses IP configurées sont répertoriées sous l’ensemble de commandes dans une liste déroulante. Deux notations CIDR au maximum sont exposées à la fois, sauf si vous sélectionnez une nouvelle option de pagination via l’icône Autres options.

Gérez les plages d’adresses IP autorisées :

Bonnes pratiques

• Traitez la liste autorisée comme une politique de refus par défaut : seules les plages connues doivent être ajoutées.
• Incluez des plages de contingence pour les rôles critiques, si la politique le permet.
• Si vous activez ce changement après le déploiement aux utilisateurs finaux, communiquez-le à l’avance afin qu’ils sachent comment demander l’accès s’ils sont bloqués.
• Si vous restreignez l’accès API, examinez si les applications certifiées doivent contourner les restrictions IP en fonction de votre utilisation et de vos exigences de sécurité.

Gestion et maintenance

• Révisez et mettez à jour les plages lorsque les réseaux changent (nouveaux bureaux, changements de VPN, FAI ou sortie cloud).
• Gardez une source de vérité documentée pour les plages approuvées.
• Effectuez un test avec un petit groupe d’utilisateurs avant de déployer à un public plus large.
• Si des utilisateurs sont bloqués, vérifiez leur adresse IP publique actuelle et ajoutez la plage correcte, ou désactivez temporairement le contrôle et réactivez-le après correction.

Impact et limites

• La restriction de l’accès via des plages d’adresses IP limite considérablement la prise en charge pour les utilisateurs distants, à moins que leurs réseaux ou plages de sortie VPN ne soient inclus.
• Ce contrôle affecte l’accès à l’application web et à l’API.
• Les intégrations sont autorisées par défaut, sauf configuration contraire explicite via l’assistance Acrobat Sign.
• Il est possible de configurer le compte de manière à bloquer tout accès externe. Planifiez et testez soigneusement.