Entra ID
Audit de sécurité Microsoft Entra ID : accès conditionnel, MFA, rôles privilégiés, applications et identités hybrides, avec les points de contrôle à vérifier.
Chaque article part de ce que nous constatons lors de nos audits de locataires et se termine par la liste des vérifications à mener.
Identités managées : les privilèges Graph et Azure que personne ne regarde
Les identités managées suppriment les secrets, pas les privilèges. Comment inventorier leurs autorisations Microsoft Graph et Azure, repérer les chemins d'escalade et appliquer le moindre privilège.
Entra IDProtection des jetons dans l'accès conditionnel : ce qu'elle couvre vraiment
La protection des jetons lie les sessions à l'appareil qui les a obtenues. Périmètre réel, clients et plateformes pris en charge, et déploiement prudent en mode rapport uniquement.
Entra IDPHS, PTA ou fédération : choisir son authentification hybride et sortir d'AD FS
Synchronisation du hachage, authentification directe ou fédération : forces et risques de chaque méthode, puis migration progressive hors d'AD FS grâce au déploiement intermédiaire.
Entra IDConsentement des utilisateurs aux applications : fermer la porte au hameçonnage par consentement
Restreindre le consentement des utilisateurs, s'appuyer sur les éditeurs vérifiés et les autorisations à faible impact, et mettre en place le flux de travail de consentement administrateur.
Entra IDSecrets et certificats des inscriptions d'applications : l'hygiène des informations d'identification
Secrets clients ou certificats, durées de validité, secrets de longue durée, propriétaires des inscriptions d'applications et applications orphelines : les points à maîtriser.
Entra IDPermissions Microsoft Graph à haut risque : pourquoi certaines applications sont Tier 0
RoleManagement.ReadWrite.Directory, AppRoleAssignment.ReadWrite.All, Application.ReadWrite.All, Mail.ReadWrite : ces permissions d'application donnent un contrôle équivalent à celui d'un administrateur général.
Entra IDIdentités managées ou principaux de service à secret : choisir et auditer
Quand utiliser une identité managée plutôt qu'un principal de service à secret, la différence entre identité affectée par le système et par l'utilisateur, et comment auditer leurs droits Azure et Graph.
Entra IDFédération d'identité de charge de travail : supprimer les secrets des pipelines sans ouvrir de brèche
GitHub Actions, Azure DevOps et Kubernetes peuvent s'authentifier auprès d'Entra ID sans secret grâce à OIDC. Le point critique : le périmètre de la revendication subject.
Entra IDParamètres utilisateur par défaut d'Entra ID : ce que chaque utilisateur peut faire sans rôle
Inscrire des applications, créer des groupes ou des locataires, lire l'annuaire, accéder au centre d'administration : revue des permissions par défaut et des réglages à durcir.
Entra IDParamètres de collaboration externe : encadrer les invités dans Entra ID
Restrictions d'accès des invités, droits d'invitation, listes de domaines autorisés ou refusés et code secret à usage unique : les réglages de collaboration externe à revoir.
Entra IDInvités inactifs ou jamais acceptés : détecter, désactiver, supprimer
Utiliser signInActivity et l'état d'invitation pour repérer les comptes invités dormants, puis mettre en place un processus de nettoyage régulier et automatisé.
Entra IDAuthentification par certificat Entra ID : liaisons, affinité et pièges de déploiement
Confiance PKI, liaisons de nom d'utilisateur, affinité forte ou faible et révocation : ce qui fait de l'authentification par certificat une méthode réellement résistante au hameçonnage, ou non.
Entra IDForces d'authentification dans l'accès conditionnel : exiger la bonne MFA au bon endroit
Forces intégrées et personnalisées, MFA résistante au hameçonnage pour les administrateurs, cas des invités et des accès inter-locataires : comment utiliser les forces d'authentification sans se bloquer.
Entra IDFréquence de connexion et session persistante : bien régler les contrôles de session
Fréquence de connexion, session de navigateur persistante, option « Chaque fois » : comment utiliser les contrôles de session de l'accès conditionnel pour réduire le risque sans épuiser les utilisateurs.
Entra IDTester l'accès conditionnel sans se verrouiller : mode Rapport seul et outil What If
Mode Rapport seul, outil What If, classeur Insights et rapports, déploiement par vagues : la méthode pour activer des stratégies d'accès conditionnel sans bloquer l'organisation.
Entra IDJonction des appareils à Entra ID : qui peut joindre, et qui devient administrateur local ?
Les paramètres d'appareils d'Entra ID sont rarement revus : droits de jonction, quota par utilisateur, administrateurs locaux, Windows LAPS et accès aux clés BitLocker.
Entra IDPHS, PTA ou fédération : choisir la méthode d'authentification hybride
Synchronisation du hachage de mot de passe, authentification directe ou fédération : comparaison des trois méthodes sous l'angle de la sécurité, de la résilience et de la détection des identifiants divulgués.
Entra IDQuitter AD FS : migrer vers l'authentification cloud sans rupture de service
Inventaire des approbations de partie de confiance, déploiement échelonné, migration des applications et des règles de revendications, puis démantèlement complet : les étapes d'une sortie d'AD FS maîtrisée.
Entra IDAuthentification unique transparente : protéger le compte AZUREADSSOACC et renouveler sa clé
L'authentification unique transparente repose sur un compte ordinateur dont la clé Kerberos est partagée avec Entra ID. Pourquoi ce compte est sensible, comment renouveler sa clé et quand désactiver la fonctionnalité.
Entra IDEntra Cloud Sync ou Entra Connect Sync : choisir son moteur de synchronisation
Architecture, fonctionnalités, empreinte de sécurité des agents et démarche de migration : les critères pour choisir entre Microsoft Entra Cloud Sync et Microsoft Entra Connect Sync.
Entra IDSoft match et hard match : quand la synchronisation permet de prendre le contrôle d'un compte cloud
Les mécanismes de correspondance entre comptes Active Directory et comptes Entra ID facilitent les migrations, mais peuvent permettre à un attaquant présent sur site de s'emparer d'un compte cloud. Comment ils fonctionnent et comment les verrouiller.
Entra IDFatigue MFA : correspondance des nombres, contexte supplémentaire et au-delà
Le bombardement de notifications push reste une technique efficace contre la MFA classique. Ce que changent la correspondance des nombres et le contexte supplémentaire, comment exploiter les signalements des utilisateurs, et pourquoi viser des méthodes résistantes au hameçonnage.
Entra IDPasse d'accès temporaire : un outil précieux, à encadrer strictement
Le passe d'accès temporaire facilite l'intégration sans mot de passe et la récupération de compte. Usage unique ou multiple, durée de vie, rôles autorisés à l'émettre : les réglages qui évitent d'en faire une porte dérobée.
Entra IDVerrouillage intelligent Entra ID : bien le régler face à la pulvérisation de mots de passe
Seuil, durée, emplacements familiers et interaction avec le verrouillage Active Directory : comment régler le verrouillage intelligent d'Entra ID sans bloquer vos utilisateurs.
Entra IDRestrictions de locataire v2 : empêcher la fuite de données vers d'autres locataires
Comment les restrictions de locataire v2 empêchent vos utilisateurs de se connecter à des locataires tiers depuis vos appareils et votre réseau, et comment les articuler avec les paramètres d'accès interlocataire.
Entra IDRôles personnalisés Entra ID : le moindre privilège quand les rôles intégrés sont trop larges
Quand créer un rôle personnalisé dans Entra ID, comment choisir ses autorisations, le limiter à une unité administrative ou à une application, et quels pièges éviter.
Entra IDComptes d'administration cloud uniquement : séparer l'administration Entra ID de l'annuaire local
Pourquoi les rôles privilégiés Entra ID ne doivent jamais être attribués à des comptes synchronisés, et comment concevoir des comptes d'administration dédiés, sans messagerie et fortement protégés.
Entra IDCinq requêtes KQL utiles sur les journaux de connexion et d'audit Entra ID
Authentification héritée, échecs MFA, pulvérisation de mots de passe, consentements d'applications et modifications de rôles : des requêtes KQL simples pour Log Analytics et Microsoft Sentinel.
Entra IDAuditer les autorisations OAuth déjà accordées dans Entra ID
Autorisations déléguées, consentements pour toute l'organisation, autorisations d'application : comment inventorier ce qui a déjà été accordé aux applications tierces et faire le ménage sans casser la production.
Entra IDApplications d'entreprise : pourquoi activer « Affectation requise »
Par défaut, tout utilisateur du locataire peut obtenir un jeton pour la plupart des applications d'entreprise. Comment l'option « Affectation requise » et l'accès conditionnel restreignent réellement l'accès.
Entra IDParamètres de sécurité par défaut : ce qu'ils protègent, et quand passer à l'accès conditionnel
Ce qu'imposent les paramètres de sécurité par défaut d'Entra ID, leurs limites, et comment les remplacer par des stratégies d'accès conditionnel sans créer de fenêtre d'exposition.
Entra IDÉlévation d'accès Azure : quand l'administrateur général devient maître de tous les abonnements
L'option « Gestion de l'accès pour les ressources Azure » permet à un administrateur général de s'attribuer le rôle Administrateur de l'accès utilisateur à la racine d'Azure. Risque, surveillance et contrôle.
Entra IDDomaines fédérés : une porte dérobée discrète dans Entra ID
Ajout d'un domaine fédéré, modification des paramètres de fédération, certificat de signature supplémentaire : comment un attaquant s'en sert pour persister dans un locataire, et comment le détecter.