Tester l'accès conditionnel sans se verrouiller : mode Rapport seul et outil What If
Une stratégie d'accès conditionnel mal ciblée peut bloquer des milliers d'utilisateurs, ou pire, tous les administrateurs du locataire. C'est souvent cette crainte qui explique des stratégies laissées désactivées pendant des mois. Entra ID fournit pourtant les outils pour tester avant d'appliquer : encore faut-il les utiliser avec méthode.
Pourquoi tester systématiquement
L'accès conditionnel évalue chaque connexion au regard de l'ensemble des stratégies actives. Les effets se cumulent : une nouvelle stratégie peut sembler anodine isolément et bloquer un scénario que personne n'avait anticipé, comme un compte de service, une application ancienne ou un partenaire externe. Tester n'est donc pas une précaution superflue, c'est la condition pour pouvoir appliquer des stratégies ambitieuses sans reculer au premier incident.
Le mode Rapport seul
Une stratégie en mode Rapport seul est évaluée à chaque connexion, mais ses contrôles ne sont pas appliqués. Le résultat est enregistré dans les journaux de connexion, dans un onglet dédié, avec l'un des états suivants : réussite, échec, action utilisateur requise ou non appliquée. On sait ainsi, sur des connexions réelles, qui aurait été bloqué ou invité à une MFA.
Quelques précautions :
- laissez la stratégie en Rapport seul suffisamment longtemps pour couvrir les cycles d'activité : fins de mois, astreintes, déplacements ;
- une stratégie exigeant un appareil conforme peut, même en Rapport seul, provoquer des invites de sélection de certificat sur certaines plateformes ; vérifiez la documentation Microsoft à jour ;
- les stratégies gérées par Microsoft sont d'abord déployées en Rapport seul : examinez-les plutôt que de les laisser basculer sans analyse.
L'outil What If
L'outil What If simule une connexion à partir de paramètres que vous choisissez : utilisateur, application, adresse IP, plateforme, application cliente, niveau de risque. Il indique quelles stratégies s'appliqueraient, lesquelles ne s'appliqueraient pas, et pourquoi. C'est l'outil idéal pour vérifier une exclusion, comprendre un blocage signalé par un utilisateur ou contrôler qu'un compte d'urgence n'est couvert par aucune stratégie bloquante.
Il a toutefois ses limites : il simule une situation théorique et ne reproduit pas tous les signaux d'une connexion réelle. Il complète le mode Rapport seul, il ne le remplace pas.
Le classeur Insights et rapports
Pour analyser l'impact d'une stratégie à grande échelle, le classeur Insights et rapports d'accès conditionnel agrège les résultats par stratégie : nombre d'utilisateurs concernés, applications touchées, répartition des résultats. Il nécessite d'envoyer les journaux de connexion vers un espace de travail Log Analytics, ce qui a un coût de stockage à anticiper. C'est lui qui permet de répondre à la question clé avant l'activation : combien d'utilisateurs seraient bloqués, et lesquels ?
Un déploiement par étapes
- Créer la stratégie en Rapport seul, avec les exclusions nécessaires dès le départ, en particulier les comptes d'urgence.
- Analyser les résultats pendant une à plusieurs semaines, et traiter chaque échec : exclusion justifiée, correction de configuration ou accompagnement des utilisateurs.
- Activer pour un groupe pilote représentatif, comprenant des membres de l'équipe informatique.
- Étendre par vagues, en surveillant les journaux et les appels au support.
- Documenter la stratégie : objectif, périmètre, exclusions et responsable.
Comptes d'urgence. Avant toute activation, vérifiez avec l'outil What If que vos comptes « bris de glace » ne sont concernés par aucune stratégie susceptible de les bloquer. C'est la seule garantie de pouvoir corriger une erreur de configuration sans ouvrir un ticket chez Microsoft.
Ce qu'un audit vérifie
- Le nombre de stratégies restées en Rapport seul ou désactivées depuis longtemps, sans décision.
- L'exclusion effective des comptes d'urgence de toutes les stratégies bloquantes.
- L'envoi des journaux de connexion vers un espace Log Analytics permettant l'analyse d'impact.
- La documentation des exclusions et leur révision périodique.
- L'existence d'un processus de déploiement progressif pour les nouvelles stratégies.