Arrivées, mutations, départs : le cycle de vie des comptes Entra ID sous contrôle
Chaque audit d'annuaire révèle la même chose : des comptes de personnes parties depuis des mois, parfois encore actifs. Le problème n'est pas technique, c'est un processus qui n'est pas relié aux ressources humaines. Entra ID fournit pourtant de quoi le détecter et l'automatiser.
Les symptômes d'un cycle de vie défaillant
- comptes inactifs : aucune connexion depuis 90 jours ou plus, mais toujours activés ;
- désactivés mais licenciés : le compte est bloqué, la licence continue d'être payée ;
- mutations non traitées : l'utilisateur garde les groupes et rôles de son ancien poste ;
- invités orphelins : comptes externes dont l'invitant est parti ou le projet terminé, voire invitations jamais acceptées.
Chacun de ces cas représente un risque (compte réactivable, mot de passe jamais changé) ou un coût direct.
Mesurer l'inactivité avec signInActivity
La propriété signInActivity des utilisateurs expose la dernière connexion interactive, non interactive et réussie. Sa lecture via Microsoft Graph nécessite une licence Entra ID P1 ou supérieure. Tenez compte des deux types de connexion : un compte peut ne plus ouvrir de session interactive tout en utilisant encore un jeton.
Connect-MgGraph -Scopes "User.Read.All","AuditLog.Read.All"
$seuil = (Get-Date).AddDays(-90)
Get-MgUser -All -Property DisplayName,UserPrincipalName,AccountEnabled,SignInActivity |
Where-Object { $_.AccountEnabled -and $_.SignInActivity.LastSuccessfulSignInDateTime -lt $seuil } |
Select-Object DisplayName,UserPrincipalName,@{n='Derniere';e={$_.SignInActivity.LastSuccessfulSignInDateTime}}
Un compte jamais connecté n'a pas de date : traitez-le séparément plutôt que de l'exclure silencieusement.
Automatiser avec les workflows de cycle de vie
Les workflows de cycle de vie (Entra ID Governance) exécutent des tâches déclenchées par des attributs comme employeeHireDate ou employeeLeaveDateTime : générer un Temporary Access Pass avant l'arrivée, envoyer un e-mail au responsable, retirer les groupes et licences, désactiver puis supprimer le compte après le départ. Des modèles couvrent les scénarios arrivée, mutation et départ. Leur efficacité dépend d'une chose : des attributs RH fiables, idéalement alimentés par un provisionnement depuis le SIRH.
Conseil. Sans source RH fiable, commencez par un rapprochement mensuel entre la liste des départs et les comptes actifs. C'est rudimentaire, mais c'est une preuve.
Les invités, angle mort fréquent
Les invités échappent souvent au processus des départs, puisqu'ils ne figurent dans aucun SIRH. Les revues d'accès peuvent cibler les invités inactifs, et la gestion des droits d'utilisation permet de supprimer automatiquement un invité à l'expiration de son dernier accès. À défaut, un nettoyage périodique des invitations non acceptées depuis plusieurs mois est un minimum.
Les preuves pour ISO 27001 et NIS2
L'annexe A d'ISO/IEC 27001:2022 traite de la gestion des identités et des droits d'accès, et la directive NIS2 cite le contrôle d'accès et la sécurité des ressources humaines parmi les mesures attendues. Concrètement, l'auditeur demandera :
- la procédure écrite d'arrivée, de mutation et de départ ;
- un échantillon de départs récents avec la date de désactivation correspondante ;
- le rapport des comptes inactifs et les actions menées ;
- la preuve du traitement des comptes invités.