Trop d'administrateurs globaux : appliquer enfin le moindre privilège dans Entra ID
Dans de nombreux locataires, une dizaine de comptes détiennent le rôle d'administrateur général, parfois davantage. Chacun d'eux peut tout modifier, y compris la sécurité elle-même. Réduire ce nombre est l'une des mesures les plus rentables d'un plan de sécurisation.
Comment on en arrive là
Les causes sont presque toujours les mêmes : le prestataire qui a créé le locataire, un administrateur qui « avait besoin de tout » pour une migration, un rôle attribué parce que le bon n'était pas connu, un compte de service créé à la hâte. Personne ne retire ensuite le rôle, car personne ne sait précisément ce qui cesserait de fonctionner.
La recommandation de Microsoft
Microsoft recommande de disposer de moins de cinq administrateurs généraux, et d'au moins deux comptes d'accès d'urgence exclus des stratégies susceptibles de bloquer l'accès. Les autres administrateurs doivent recevoir des rôles plus spécifiques. Idéalement, même les administrateurs généraux restants ne détiennent pas le rôle en permanence mais l'activent à la demande via Privileged Identity Management, ce qui nécessite Entra ID P2 ou Governance.
Faire correspondre tâches et rôles
La démarche consiste à partir des tâches réellement effectuées, et non des personnes :
| Tâche | Rôle intégré adapté |
|---|---|
| Réinitialiser les mots de passe des utilisateurs standard | Administrateur du support technique |
| Créer et gérer des utilisateurs et des groupes | Administrateur d'utilisateurs |
| Gérer les méthodes d'authentification | Administrateur d'authentification |
| Administrer la messagerie | Administrateur Exchange |
| Administrer SharePoint, Teams ou Intune | Administrateur SharePoint, Teams ou Intune |
| Attribuer des licences | Administrateur de licences |
| Consulter la configuration de sécurité | Lecteur de sécurité ou Lecteur général |
| Gérer les stratégies d'accès conditionnel | Administrateur de l'accès conditionnel |
Pour les auditeurs et outils en lecture seule, le rôle Lecteur général couvre la plupart des besoins sans aucun droit de modification.
Attention. Certains rôles moins connus sont presque aussi puissants qu'un administrateur général : administrateur de rôle privilégié, administrateur de l'authentification privilégiée, administrateur d'applications. Ils doivent être traités avec le même niveau d'exigence.
Rôles personnalisés et unités administratives
Lorsque aucun rôle intégré ne convient, les rôles personnalisés (Entra ID P1 minimum) permettent de n'accorder que certaines permissions. Leur périmètre reste toutefois limité à une partie des objets, notamment les applications et certaines opérations sur les utilisateurs : vérifiez les permissions disponibles avant de concevoir un modèle. Les unités administratives complètent le dispositif en limitant un rôle à un sous-ensemble d'utilisateurs, par exemple une filiale ou un site.
Par où commencer
- lister les détenteurs actuels du rôle, y compris via des groupes attribuables à des rôles ;
- interroger chaque détenteur sur ses tâches réelles des trois derniers mois, journaux d'audit à l'appui ;
- attribuer le rôle ciblé, puis retirer l'administrateur général après une période d'observation ;
- séparer comptes d'administration et comptes de bureautique ;
- passer les rôles restants en attribution éligible si la licence le permet.