Jonction des appareils à Entra ID : qui peut joindre, et qui devient administrateur local ?
Les paramètres d'appareils d'Entra ID sont configurés une fois, souvent au moment du premier déploiement Intune, puis oubliés. Ils déterminent pourtant qui peut introduire un appareil dans le locataire, qui en devient administrateur, et qui peut lire les secrets qui protègent ces postes.
Des paramètres souvent laissés par défaut
La page des paramètres d'appareils d'Entra ID regroupe des réglages dont les valeurs par défaut favorisent la simplicité de déploiement : tout utilisateur peut joindre un appareil, l'utilisateur qui joint devient administrateur local, et chacun peut consulter la clé BitLocker de ses propres appareils. Ces choix facilitent le démarrage, mais ne correspondent pas à un poste de travail maîtrisé.
Qui peut joindre et inscrire des appareils
Deux paramètres distincts existent : la jonction à Microsoft Entra, qui fait de l'appareil un poste de l'organisation, et l'inscription, qui enregistre un appareil personnel. Pour la jonction, il est préférable de restreindre le droit à un groupe défini, ou de passer par Windows Autopilot, plutôt que de le laisser à tous les utilisateurs.
- MFA à la jonction : plutôt que le paramètre global du locataire, utilisez l'action utilisateur « Inscrire ou joindre des appareils » dans l'accès conditionnel. Les deux mécanismes ne doivent pas être combinés.
- Nombre maximal d'appareils par utilisateur : la valeur par défaut est élevée. Un quota plus bas limite l'enregistrement massif d'appareils par un compte compromis, un moyen de persistance connu.
- Appareils obsolètes : sans processus de nettoyage, l'annuaire accumule des appareils inactifs qui brouillent l'inventaire et les stratégies de conformité.
Les administrateurs locaux
Lors d'une jonction à Microsoft Entra, plusieurs populations peuvent recevoir les droits d'administrateur local :
| Population | Mécanisme | Recommandation |
|---|---|---|
| Utilisateur qui joint l'appareil | Paramètre d'appareils du locataire | Désactiver, ou utiliser Autopilot avec un compte standard |
| Administrateurs du support | Rôle Administrateur local de l'appareil joint à Microsoft Entra | Attribuer via PIM, en éligible |
| Administrateurs généraux | Paramètre d'appareils du locataire | Ne pas en faire des administrateurs de postes |
| Groupes ciblés | Stratégie de protection de compte Intune | À privilégier pour une gestion fine |
Le rôle d'administrateur local d'appareil s'applique à tous les appareils joints : l'attribuer en permanence revient à donner à un compte de support le contrôle de l'ensemble du parc. Les stratégies Intune de gestion des groupes locaux permettent un ciblage plus précis.
Windows LAPS avec Entra ID
Le compte administrateur local intégré reste nécessaire pour les dépannages. Windows LAPS permet de sauvegarder son mot de passe, unique par poste et renouvelé automatiquement, dans Entra ID. Il faut l'activer dans les paramètres d'appareils puis déployer une stratégie via Intune. La lecture de ces mots de passe est réservée à certains rôles, notamment Administrateur d'appareils cloud et Administrateur Intune ; vérifiez la liste actuelle dans la documentation. Chaque consultation est journalisée : c'est un événement à surveiller, et le mot de passe doit être renouvelé après usage.
Les clés de récupération BitLocker
Les clés BitLocker des appareils joints sont sauvegardées dans Entra ID. Par défaut, le propriétaire d'un appareil peut récupérer sa clé en libre-service. Le paramètre « Empêcher les utilisateurs de récupérer les clés BitLocker de leurs appareils » permet de centraliser cette opération auprès du support. Côté administration, plusieurs rôles intégrés peuvent lire les clés, dont Administrateur d'appareils cloud et Administrateur du support technique : un compte de support compromis donne donc accès à des secrets de chiffrement de disque.
Un rôle modeste en apparence. Administrateur d'appareils cloud n'est pas considéré comme un rôle critique par beaucoup d'équipes. Il permet pourtant de lire les mots de passe LAPS et les clés BitLocker de tout le parc. Traitez-le en conséquence.
Ce qu'un audit vérifie
- Le périmètre des utilisateurs autorisés à joindre et inscrire des appareils, et le quota par utilisateur.
- La méthode d'exigence de la MFA à la jonction : paramètre global ou action utilisateur d'accès conditionnel.
- Les comptes qui deviennent administrateurs locaux, et l'attribution du rôle d'administrateur local d'appareil.
- Le déploiement de Windows LAPS et la liste des comptes autorisés à lire les mots de passe.
- L'accès aux clés BitLocker, en libre-service comme par les rôles d'administration.