Comptes d'administration cloud uniquement : séparer l'administration Entra ID de l'annuaire local
Dans de nombreux locataires, l'administrateur général est le compte habituel de l'administrateur, synchronisé depuis Active Directory, avec sa boîte aux lettres et sa navigation web. Chacun de ces éléments est une porte d'entrée vers le contrôle total du locataire.
Le risque des comptes synchronisés
Un compte synchronisé depuis Active Directory est géré, au moins en partie, depuis l'annuaire local. Quiconque contrôle ce compte dans AD, ou contrôle AD tout court, peut réinitialiser son mot de passe, modifier ses attributs ou, selon la méthode d'authentification, s'authentifier à sa place. Attribuer un rôle privilégié Entra ID à ce compte revient à étendre au cloud toute compromission de l'environnement local.
Microsoft le recommande explicitement : les comptes détenant des rôles privilégiés dans Entra ID doivent être des comptes cloud uniquement. L'objectif est qu'une compromission d'Active Directory ne se traduise pas automatiquement par une compromission du locataire, et inversement.
Les caractéristiques d'un bon compte d'administration
- Créé directement dans Entra ID, jamais synchronisé ;
- Rattaché au domaine .onmicrosoft.com ou à un domaine géré, jamais à un domaine fédéré, dont l'authentification dépendrait d'un fournisseur d'identité externe ;
- Sans boîte aux lettres ni licence de productivité : pas de courriel, donc pas d'hameçonnage reçu sur ce compte ni de règles de transfert à surveiller ;
- Une licence Entra ID adaptée uniquement si les fonctionnalités de sécurité l'exigent, par exemple l'accès conditionnel ou PIM ;
- Nommé de façon reconnaissable, avec un préfixe ou suffixe convenu, pour qu'il soit facile de le distinguer dans les journaux et les revues d'accès ;
- Nominatif : un compte par administrateur, jamais de compte partagé en dehors des comptes d'urgence.
Rattachement de comptes. La synchronisation peut rattacher un objet local à un compte cloud existant par correspondance d'attributs. Vérifiez que les mécanismes de blocage de la correspondance souple et de la prise de contrôle par correspondance stricte sont activés, afin qu'un compte AD ne puisse pas « absorber » un compte d'administration cloud.
Protéger ces comptes
Un compte séparé mais faiblement protégé n'apporte qu'une partie du bénéfice. Les mesures attendues :
- Méthodes résistantes au hameçonnage : clés FIDO2, clés d'accès ou Windows Hello Entreprise, imposées par une force d'authentification dans l'accès conditionnel.
- Activation juste-à-temps des rôles via PIM, plutôt qu'une attribution permanente.
- Accès conditionnel dédié : fréquence de connexion courte, appareil conforme ou poste d'administration dédié, blocage des emplacements inattendus.
- Protection contre les autres administrateurs : les unités administratives à gestion restreinte empêchent des rôles moins privilégiés de réinitialiser le mot de passe ou les méthodes d'authentification de ces comptes.
- Usage exclusif : ni navigation générale, ni messagerie, ni travail bureautique avec ce compte.
Traiter l'existant
La migration se fait sans rupture : créer les comptes cloud, leur attribuer les rôles en éligible, vérifier qu'ils fonctionnent, puis retirer les rôles des comptes synchronisés. Profitez-en pour réduire le nombre de comptes privilégiés : la séparation révèle souvent des rôles attribués « au cas où ». Les comptes de service synchronisés porteurs de rôles méritent une attention particulière : ils relèvent le plus souvent d'une identité de charge de travail.
Ce qu'un audit vérifie
- Les comptes synchronisés détenant un rôle privilégié, actif ou éligible.
- Les comptes d'administration rattachés à un domaine fédéré.
- La présence de boîtes aux lettres ou de licences de productivité sur les comptes d'administration.
- Les méthodes d'authentification enregistrées et la force d'authentification exigée.
- La configuration de la synchronisation vis-à-vis de la prise de contrôle de comptes cloud.