Élévation d'accès Azure : quand l'administrateur général devient maître de tous les abonnements
Entra ID et Azure disposent de modèles d'autorisations distincts : être administrateur général ne donne, en principe, aucun droit sur les abonnements. En principe seulement, car un simple interrupteur permet de franchir la frontière. Mieux vaut savoir qui l'actionne.
Le mécanisme
Dans les propriétés d'Entra ID, l'option « Gestion de l'accès pour les ressources Azure » est accessible à tout administrateur général. Lorsqu'il la passe à « Oui » pour son propre compte, Entra ID lui attribue le rôle Azure Administrateur de l'accès utilisateur à l'étendue racine (/), c'est-à-dire au-dessus de tous les groupes d'administration et de tous les abonnements du locataire.
Ce mécanisme existe pour une bonne raison : reprendre le contrôle d'un abonnement dont plus personne n'est propriétaire, ou obtenir une vue d'ensemble lors de la mise en place des groupes d'administration. Mais ses conséquences sont considérables.
Pourquoi c'est un risque majeur
Le rôle Administrateur de l'accès utilisateur permet d'attribuer n'importe quel rôle Azure à n'importe qui. En quelques minutes, un administrateur général peut donc se donner le rôle Propriétaire sur toutes les ressources : machines virtuelles, coffres de clés, comptes de stockage, bases de données. Si des contrôleurs de domaine ou des serveurs de synchronisation sont hébergés dans Azure, la compromission du locataire Entra ID s'étend à l'annuaire local.
Conséquence directe pour le modèle de sécurité : le rôle d'administrateur général doit être considéré comme équivalent à un contrôle total d'Azure, et protégé à ce titre, même dans une organisation où les équipes Azure et Entra ID sont distinctes.
Persistance. L'attribution à la racine ne disparaît pas d'elle-même. Un administrateur qui oublie de désactiver l'option conserve un accès total à Azure, y compris après avoir perdu son rôle Entra ID. Pour un attaquant, c'est un moyen discret de garder la main.
Détecter l'élévation
L'élévation est journalisée, mais pas là où les équipes regardent habituellement. Les journaux d'activité des abonnements ne la montrent pas. Selon la documentation Microsoft actuelle, elle apparaît :
- dans le journal d'activité de l'annuaire Azure, sous l'opération
Microsoft.Authorization/elevateAccess/action; - dans les journaux d'audit Microsoft Entra, dont l'export vers Log Analytics permet de créer une alerte.
Les emplacements et libellés exacts ont évolué ces dernières années ; vérifiez-les dans la documentation actuelle et testez votre détection en réalisant une élévation contrôlée.
Vérifier et nettoyer les attributions à la racine
Les attributions existantes à l'étendue racine se listent par exemple avec Azure CLI : az role assignment list --scope "/" --role "User Access Administrator". Toute attribution qui ne correspond pas à une intervention en cours doit être retirée ; le plus simple est que le titulaire repasse l'option à « Non ». Le portail Entra propose également, selon les versions, une vue des utilisateurs disposant d'un accès élevé.
Les bonnes pratiques :
- Réserver l'élévation à des cas documentés, avec un ticket et une durée prévue.
- Désactiver l'option dès la fin de l'intervention et contrôler l'absence d'attribution résiduelle.
- Alerter en temps réel sur chaque élévation.
- Réduire le nombre d'administrateurs généraux et les activer via PIM.
- Gérer les accès Azure par des attributions explicites, aux groupes d'administration, plutôt que par l'élévation.
Ce qu'un audit vérifie
- Les attributions présentes à l'étendue racine d'Azure, et leur justification.
- La journalisation et l'alerte sur l'opération d'élévation.
- Le nombre d'administrateurs généraux et leur mode d'attribution.
- La présence de ressources Tier 0 dans Azure : contrôleurs de domaine, serveurs de synchronisation, coffres de clés critiques.
- La procédure encadrant l'usage de l'élévation.