Groupes dynamiques Entra ID : quand un attribut mal choisi ouvre les portes
Les groupes dynamiques font gagner un temps considérable : l'appartenance suit automatiquement les attributs des comptes. Cette automatisation a un revers. Quiconque peut modifier l'attribut peut, indirectement, obtenir les accès attribués au groupe.
Le principe et sa conséquence
Un groupe dynamique, qui requiert Entra ID P1, évalue une règle sur les attributs des utilisateurs ou des appareils, par exemple user.department -eq "Finance". Le groupe n'est donc pas plus fiable que l'attribut sur lequel il repose. La vraie question à se poser n'est pas « qui est membre ? » mais « qui peut modifier cet attribut ? ».
Les attributs qu'il ne faut pas croire sur parole
- Attributs synchronisés depuis AD : service, société, attributs d'extension. Toute personne qui a délégation d'écriture sur l'objet dans AD, support local compris, peut faire entrer un compte dans le groupe cloud.
- Attributs alimentés par une synchronisation RH : fiables tant que la chaîne est maîtrisée, mais une erreur de saisie ou un compte applicatif compromis suffisent.
- Attributs des invités : l'adresse de messagerie ou le nom affiché d'un invité proviennent en partie de son organisation d'origine ou de l'invitation. Une règle du type
user.mail -contains "partenaire"peut inclure des comptes que vous ne contrôlez pas. - Nom des appareils : pour les règles d'appareils, le nom affiché peut souvent être choisi par l'utilisateur qui inscrit l'appareil.
Réflexe simple. Ajoutez systématiquement (user.userType -eq "Member") aux règles destinées aux collaborateurs internes. Sans cette condition, une règle écrite pour les salariés peut englober des invités dont les attributs correspondent.
Les usages à risque
Un groupe dynamique qui sert à distribuer des licences ou des listes de diffusion ne pose pas de problème majeur. Le risque apparaît lorsqu'il sert à :
- accorder l'accès à des applications sensibles ou à des ressources Azure ;
- exclure des utilisateurs d'une stratégie d'accès conditionnel ;
- cibler une unité administrative, ce qui étend le périmètre d'un administrateur délégué ;
- déployer des configurations Intune permissives.
Les groupes dynamiques ne peuvent pas porter de rôles Entra ID, mais ils peuvent tout à fait mener à des privilèges par ces autres voies.
Le délai de traitement
L'évaluation des règles n'est pas instantanée. Lors d'un départ, un compte peut rester membre d'un groupe dynamique quelque temps après la modification de ses attributs. Les processus de départ ne doivent donc pas compter uniquement sur la mise à jour d'un attribut : la désactivation du compte et la révocation des sessions restent indispensables.
En résumé
Réservez les groupes dynamiques aux accès peu sensibles, ou appuyez-les sur des attributs dont la source est maîtrisée et protégée. N'utilisez jamais une règle dynamique pour une exclusion d'accès conditionnel. Filtrez explicitement le type d'utilisateur, et inventoriez qui peut écrire, dans AD comme dans Entra ID, les attributs sur lesquels reposent vos groupes.