PIM dans Entra ID : en finir avec les rôles d'administration permanents
Dans la plupart des locataires que nous auditons, les administrateurs détiennent leurs rôles en permanence, sept jours sur sept, qu'ils en aient besoin ou non. Privileged Identity Management (PIM) permet de ne rendre ces privilèges disponibles qu'au moment où ils servent. Encore faut-il le configurer correctement.
Le problème des rôles permanents
Un compte qui détient en permanence le rôle d'administrateur général représente une cible de choix : un simple vol de jeton ou de session suffit pour obtenir la maîtrise complète du locataire. Plus le nombre de comptes privilégiés actifs est élevé, plus la surface d'attaque s'étend. L'objectif de PIM est simple : réduire à presque zéro le nombre de privilèges actifs à un instant donné, sans empêcher les équipes de travailler.
PIM fait partie de Microsoft Entra ID P2 (ou d'Entra ID Governance). Chaque utilisateur qui bénéficie de PIM doit disposer de la licence adéquate ; vérifiez les conditions en vigueur pour votre contrat.
Éligible ou actif : la distinction essentielle
PIM distingue deux types d'attribution :
- Éligible : l'utilisateur peut activer le rôle lorsqu'il en a besoin, mais ne le détient pas par défaut ;
- Actif : l'utilisateur détient le rôle en continu, sans action de sa part.
Les deux peuvent être permanentes ou limitées dans le temps. La cible raisonnable est la suivante : des attributions éligibles pour tous les administrateurs humains, des attributions actives réservées aux comptes d'urgence et à quelques identités de service dûment justifiées.
Les paramètres d'activation qui comptent
Chaque rôle possède ses propres paramètres. Ceux par défaut sont rarement adaptés aux rôles les plus sensibles. Points à régler rôle par rôle :
- Durée maximale d'activation : quelques heures suffisent pour la plupart des tâches ; inutile de laisser la valeur maximale.
- Authentification à l'activation : exiger une MFA, ou mieux, un contexte d'authentification relié à une stratégie d'accès conditionnel imposant une méthode résistante au hameçonnage.
- Justification et, le cas échéant, numéro de ticket : utiles pour l'investigation a posteriori.
- Approbation : à réserver aux rôles critiques (administrateur général, administrateur de rôle privilégié, administrateur d'authentification privilégié), avec au moins deux approbateurs disponibles.
- Notifications : alerter les responsables sécurité à chaque activation des rôles les plus élevés.
Comptes d'urgence. Vos deux comptes « bris de glace » doivent rester en attribution active permanente, exclus des exigences d'approbation, et faire l'objet d'une surveillance renforcée. Un PIM mal configuré qui bloque tous les administrateurs est un risque opérationnel réel.
Alertes et revues d'accès
PIM propose des alertes intégrées : rôles attribués en dehors de PIM, trop d'administrateurs généraux, comptes éligibles qui n'activent jamais leur rôle, activations qui ne requièrent pas de MFA. Elles méritent d'être consultées régulièrement, et non découvertes lors d'un incident. Les revues d'accès permettent de faire confirmer périodiquement, par un responsable, que chaque attribution reste justifiée.
PIM pour les groupes
PIM ne se limite pas aux rôles d'annuaire. Avec PIM pour les groupes, l'appartenance à un groupe (ou sa propriété) peut elle-même devenir éligible. C'est utile pour les groupes auxquels sont attribués des rôles, des droits Azure ou l'accès à des applications sensibles. Attention toutefois : si les propriétaires du groupe ne sont pas eux-mêmes encadrés, ils peuvent contourner le dispositif en modifiant l'appartenance directement.
Ce qu'un audit vérifie
- Le nombre d'attributions actives permanentes sur les rôles privilégiés, hors comptes d'urgence.
- Les paramètres d'activation des rôles critiques : durée, MFA ou contexte d'authentification, approbation.
- Les attributions réalisées en dehors de PIM, directement dans l'annuaire.
- L'existence de revues d'accès régulières sur les rôles et groupes privilégiés.
- La maîtrise des propriétaires des groupes gérés par PIM.