Forces d'authentification dans l'accès conditionnel : exiger la bonne MFA au bon endroit
Exiger « la MFA » ne dit rien de la méthode utilisée : un SMS et une clé de sécurité FIDO2 satisfont le même contrôle. Les forces d'authentification permettent à l'accès conditionnel de préciser quelles méthodes sont acceptables, et d'imposer une MFA résistante au hameçonnage là où elle compte le plus.
Les forces intégrées
Entra ID fournit trois forces d'authentification prédéfinies, qui ne peuvent pas être modifiées :
| Force | Principe |
|---|---|
| Force de l'authentification multifacteur | Toute combinaison de méthodes qui satisfait la MFA, y compris SMS ou appel vocal. |
| Force de la MFA sans mot de passe | Méthodes sans mot de passe, comme Microsoft Authenticator en connexion par téléphone, Windows Hello Entreprise ou les clés d'accès. |
| Force de la MFA résistante au hameçonnage | Méthodes liées à l'origine : clés d'accès FIDO2, Windows Hello Entreprise, informations d'identification de plateforme, authentification par certificat multifacteur. |
La liste exacte des méthodes incluses évolue avec l'arrivée de nouvelles méthodes ; vérifiez la documentation Microsoft actuelle.
Les forces personnalisées
Une force personnalisée permet de choisir précisément les combinaisons autorisées. Les options avancées permettent de restreindre les clés FIDO2 à certains modèles par leur identifiant AAGUID, ou l'authentification par certificat à certains émetteurs ou identifiants de stratégie. C'est utile pour n'accepter, pour les administrateurs, que les clés matérielles fournies par l'organisation.
Exiger une MFA résistante au hameçonnage pour les administrateurs
Le cas d'usage prioritaire consiste à cibler les rôles d'administration dans une stratégie d'accès conditionnel et à exiger la force résistante au hameçonnage. Pour réussir le déploiement :
- Vérifier que chaque administrateur a enregistré une méthode éligible avant l'application ;
- Utiliser le Passe d'accès temporaire pour amorcer l'enregistrement d'une clé d'accès sans dépendre d'une méthode plus faible ;
- Démarrer en mode rapport seul et analyser les connexions qui échoueraient ;
- Exclure les comptes d'urgence, protégés par ailleurs ;
- Combiner avec PIM : un contexte d'authentification exigeant la force résistante au hameçonnage à l'activation des rôles les plus élevés.
Cibler les rôles ne suffit pas toujours. Une stratégie ciblant les rôles d'annuaire ne s'applique aux attributions éligibles de PIM qu'une fois le rôle activé. Protéger aussi les comptes d'administration dédiés par un groupe, ou exiger la force dès l'activation, évite qu'une session obtenue avec une méthode faible serve à activer un rôle.
Invités et accès inter-locataires
Pour un invité B2B, la MFA peut être effectuée dans votre locataire ou dans son locataire d'origine. Les méthodes résistantes au hameçonnage ne peuvent pas être enregistrées par un invité dans votre locataire : pour qu'un invité satisfasse une telle force, vous devez faire confiance, dans les paramètres d'accès inter-locataires, à la MFA effectuée dans son locataire d'origine, et celui-ci doit utiliser une méthode adaptée. Les invités qui s'authentifient par code secret à usage unique ou par compte Microsoft personnel ne peuvent généralement pas y répondre. Vérifiez la documentation Microsoft actuelle sur les méthodes prises en charge pour les utilisateurs externes.
Erreurs fréquentes
- Combiner dans une même stratégie « Exiger l'authentification multifacteur » et « Exiger la force d'authentification », ce qui n'est pas possible : il faut choisir ;
- Imposer une force à tous les utilisateurs sans campagne d'enregistrement préalable ;
- Oublier les appareils partagés ou les postes où les méthodes résistantes au hameçonnage ne sont pas disponibles.
Dans les locataires que nous auditons, la MFA des administrateurs repose encore souvent sur des notifications push, voire le SMS.
Ce qu'un audit vérifie
- Les stratégies exigeant une force résistante au hameçonnage pour les rôles privilégiés, et leur état.
- Les méthodes réellement enregistrées par les administrateurs.
- Le contenu des forces personnalisées et les restrictions par AAGUID ou émetteur.
- La confiance inter-locataires accordée à la MFA des locataires partenaires.
- Les exclusions et leur justification.