Applications d'entreprise : pourquoi activer « Affectation requise »
Masquer une application dans le portail Mes applications ne protège rien. Tant que l'option « Affectation requise » est désactivée, n'importe quel membre du locataire peut s'y connecter. C'est l'un des écarts les plus fréquents que nous relevons, et l'un des plus simples à corriger.
Le comportement par défaut
Chaque application d'entreprise, c'est-à-dire chaque principal de service, possède une propriété « Affectation requise » (appRoleAssignmentRequired). Lorsqu'elle est désactivée, ce qui est le cas par défaut pour de nombreuses applications, Entra ID délivre un jeton à tout utilisateur du locataire qui en fait la demande. L'application peut ensuite appliquer ses propres contrôles, mais ce n'est pas toujours le cas.
Pour une application SAML qui donne accès à un outil RH, un portail financier ou une console d'administration, cela signifie que la seule barrière est souvent le rôle défini dans l'application elle-même. Si celle-ci crée automatiquement les comptes à la première connexion, n'importe quel collaborateur, voire un invité, peut y entrer.
Visibilité et affectation : deux réglages distincts
| Propriété | Effet | Sécurité |
|---|---|---|
| Visible par les utilisateurs | Affiche ou masque la vignette dans Mes applications et le lanceur Microsoft 365. | Aucune : l'application reste accessible par son adresse. |
| Affectation requise | Seuls les utilisateurs et groupes affectés obtiennent un jeton ; les autres reçoivent une erreur. | Réelle : le contrôle est appliqué par Entra ID. |
Lorsque l'affectation est requise, les utilisateurs ne peuvent pas non plus consentir eux-mêmes à l'application : seul un administrateur peut accorder les autorisations.
Outils d'administration. Les applications clientes comme Microsoft Graph PowerShell ou Graph Explorer permettent à tout utilisateur d'interroger l'annuaire. En activant l'affectation requise sur leurs principaux de service, vous réservez ces outils aux personnes qui en ont besoin. Testez au préalable : certains scripts ou automatisations peuvent en dépendre.
Mettre en place les affectations
- Inventorier les applications d'entreprise pour lesquelles l'affectation n'est pas requise, en commençant par les applications SAML et OIDC intégrées par l'organisation.
- Identifier les populations légitimes avec le propriétaire métier, en s'appuyant sur les journaux de connexion de l'application.
- Affecter des groupes plutôt que des utilisateurs individuels : la gestion suit alors le cycle de vie des groupes. L'affectation de groupes nécessite une licence Entra ID P1 ou supérieure ; vérifiez les conditions actuelles.
- Activer l'option, puis surveiller les échecs de connexion liés à l'absence d'affectation dans les jours qui suivent.
L'affectation requise concerne les connexions des utilisateurs. Elle ne limite pas une application qui s'authentifie en son nom propre avec ses autorisations d'application ; celles-ci relèvent de l'audit des autorisations.
Compléter avec l'accès conditionnel
L'affectation répond à la question « qui peut accéder ». L'accès conditionnel répond à « dans quelles conditions ». Les deux se complètent :
- exiger une méthode résistante au hameçonnage ou un appareil conforme pour les applications sensibles ;
- bloquer l'accès des invités aux applications qui ne leur sont pas destinées ;
- imposer une fréquence de connexion plus courte pour les consoles d'administration.
Une stratégie ciblant « Toutes les ressources » reste la meilleure base, les stratégies par application venant renforcer les cas sensibles.
Ce qu'un audit vérifie
- La liste des applications d'entreprise sans affectation requise, et leur sensibilité.
- La nature des affectations : groupes ou utilisateurs individuels, invités compris.
- La restriction des outils clients d'accès à l'annuaire.
- La couverture des applications sensibles par l'accès conditionnel.
- L'existence d'un propriétaire pour chaque application.