Paramètres des appareils dans Entra ID : jonction, administrateurs locaux, LAPS et ménage
Les paramètres des appareils figurent parmi les pages les moins consultées d'Entra ID. Ils déterminent pourtant qui peut ajouter une machine à l'annuaire, qui en devient administrateur, et comment sont gérés les mots de passe des comptes locaux. Leurs valeurs par défaut privilégient la facilité, rarement la sécurité.
Qui peut joindre et inscrire des appareils
Deux paramètres distincts sont à examiner. Le premier détermine qui peut joindre un appareil à Entra ID : tous les utilisateurs, une sélection ou personne. Le second détermine qui peut inscrire un appareil personnel ou mobile. Par défaut, tous les utilisateurs peuvent faire l'un et l'autre.
Pour la jonction, une restriction à un groupe (équipe poste de travail, comptes de déploiement) est généralement pertinente, surtout si les postes sont provisionnés par Windows Autopilot. Un utilisateur qui joint lui-même un appareil non maîtrisé crée un objet de confiance dans l'annuaire, qui pourra satisfaire certaines conditions d'accès.
Le nombre maximal d'appareils par utilisateur mérite aussi d'être abaissé : la valeur par défaut est généreuse et facilite l'enregistrement d'appareils par un attaquant disposant d'un compte compromis.
Exiger la MFA pour l'inscription
Le paramètre « Exiger l'authentification multifacteur pour inscrire ou joindre des appareils » existe toujours, mais Microsoft recommande désormais de passer par l'accès conditionnel, avec l'action utilisateur « Inscrire ou joindre des appareils ». Cela permet d'exiger une force d'authentification ou un emplacement précis. Les deux mécanismes ne doivent pas être combinés : si vous utilisez l'accès conditionnel, désactivez le paramètre de l'annuaire.
Pourquoi c'est important. Après le vol d'identifiants, l'inscription d'un appareil contrôlé par l'attaquant est une technique connue de persistance : elle peut lui permettre d'obtenir un jeton d'actualisation principal et de satisfaire des stratégies qui exigent simplement un appareil inscrit.
Les administrateurs locaux des appareils joints
Sur un appareil joint à Entra ID, plusieurs populations deviennent administrateurs locaux :
- les titulaires du rôle d'administrateur général ;
- les membres du rôle « Administrateur local de l'appareil joint à Microsoft Entra » ;
- par défaut, l'utilisateur qui a effectué la jonction.
Ce dernier point est le plus problématique : chaque utilisateur qui joint son propre poste en devient administrateur. Un paramètre permet désormais de contrôler ce comportement (tous, sélection ou personne) ; les profils Windows Autopilot peuvent également créer des utilisateurs standard. Quant au rôle d'administrateur local des appareils, il s'applique à tous les appareils joints : s'il est attribué largement, un compte compromis donne un accès administrateur à l'ensemble du parc. Des solutions plus fines existent via Intune, par exemple des stratégies de gestion des groupes locaux ciblées.
Windows LAPS avec Entra ID
Windows LAPS peut sauvegarder le mot de passe du compte administrateur local dans Entra ID plutôt que dans Active Directory. Sa mise en place suppose deux étapes : activer LAPS dans les paramètres des appareils d'Entra ID, puis déployer une stratégie (généralement via Intune) qui précise le compte géré, la complexité, la durée de vie et l'action après utilisation du mot de passe.
Le point à surveiller ensuite est la lecture des mots de passe. Elle est réservée à certains rôles, comme Administrateur d'appareils cloud ou Administrateur Intune, ou à des rôles personnalisés dotés de l'autorisation correspondante. Chaque consultation est journalisée : c'est un événement à suivre. Dans le même esprit, vérifiez si les utilisateurs peuvent récupérer eux-mêmes les clés BitLocker de leurs appareils, un paramètre voisin dans la même page.
Nettoyer les appareils obsolètes
Les appareils inactifs encombrent l'annuaire, faussent les inventaires et constituent des objets de confiance inutiles. L'attribut d'horodatage de la dernière activité permet de les identifier. La démarche que nous recommandons :
- définir un seuil d'inactivité cohérent avec vos cycles d'usage ;
- désactiver d'abord les appareils concernés, plutôt que de les supprimer ;
- attendre une période d'observation pour détecter les erreurs ;
- supprimer ensuite, après avoir vérifié l'impact.
Deux pièges reviennent souvent. Supprimer un appareil supprime les clés de récupération BitLocker stockées avec lui dans Entra ID. Et les appareils joints hybrides doivent être nettoyés côté Active Directory : supprimés seulement dans Entra ID, ils réapparaissent à la synchronisation suivante. Les appareils inscrits dans Autopilot demandent également une attention particulière.
Ce qu'un audit vérifie
- Les populations autorisées à joindre et à inscrire des appareils, et le nombre maximal par utilisateur.
- L'exigence de MFA à l'inscription, via le paramètre ou l'accès conditionnel, sans doublon.
- Les membres du rôle d'administrateur local des appareils joints et le comportement pour l'utilisateur qui joint.
- L'activation de Windows LAPS et les détenteurs du droit de lecture des mots de passe.
- Le paramètre de récupération des clés BitLocker par les utilisateurs.
- Le volume d'appareils obsolètes et l'existence d'une procédure de nettoyage.