Paramètres de sécurité par défaut : ce qu'ils protègent, et quand passer à l'accès conditionnel
Les paramètres de sécurité par défaut apportent en un clic une protection de base à un locataire. C'est bien mieux que rien, mais c'est un socle rigide. Tôt ou tard, une exception devient nécessaire, et la tentation est grande de les désactiver sans rien mettre à la place.
Ce que les paramètres de sécurité par défaut imposent
Les paramètres de sécurité par défaut sont un ensemble de protections préconfigurées par Microsoft, disponibles sans licence supplémentaire. Ils sont activés sur les locataires récents ; sur les locataires plus anciens, leur état dépend de l'historique. Une fois actifs, ils imposent notamment :
- l'inscription à la MFA pour tous les utilisateurs, dans un délai limité après leur première connexion, principalement avec l'application Microsoft Authenticator ;
- la MFA à chaque connexion pour les détenteurs des principaux rôles d'administration ;
- la MFA lorsque c'est jugé nécessaire pour les autres utilisateurs, selon des critères déterminés par Microsoft ;
- le blocage de l'authentification héritée ;
- la MFA pour les activités privilégiées, comme l'accès aux outils de gestion Azure.
Le détail exact évolue ; consultez la documentation Microsoft pour la liste à jour des rôles et comportements couverts.
Leurs limites
Le principe même des paramètres par défaut, tout ou rien, crée des limites vite atteintes :
| Besoin | Paramètres par défaut | Accès conditionnel |
|---|---|---|
| Exclure des comptes d'urgence | Impossible | Possible, par exclusion ciblée |
| Exiger une méthode résistante au hameçonnage | Non | Oui, via les forces d'authentification |
| Exiger un appareil conforme | Non | Oui |
| Tenir compte du risque de connexion | Non configurable | Oui, avec Entra ID Protection |
| Traiter différemment les invités ou les emplacements | Non | Oui |
Les paramètres par défaut et les stratégies d'accès conditionnel ne peuvent pas coexister : il faut désactiver les premiers pour activer les secondes.
Quand les remplacer
Pour une petite structure sans licence Entra ID P1, les paramètres par défaut restent le meilleur choix disponible : ne les désactivez pas sans alternative. Le remplacement se justifie dès que l'organisation dispose des licences nécessaires à l'accès conditionnel et a besoin d'un contrôle plus fin. Vérifiez les licences requises dans la documentation actuelle.
Le piège le plus courant. Nous rencontrons régulièrement des locataires où les paramètres par défaut ont été désactivés pour régler un problème ponctuel, sans aucune stratégie d'accès conditionnel en place. Le locataire se retrouve alors sans MFA imposée et avec l'authentification héritée ouverte.
Réussir la transition
- Créer deux comptes d'urgence cloud uniquement, exclus des stratégies, et surveillés.
- Construire les stratégies équivalentes en mode rapport seul : MFA pour tous, méthode résistante au hameçonnage pour les administrateurs, blocage de l'authentification héritée, protection de la gestion Azure.
- Analyser l'impact dans les journaux de connexion et les classeurs d'accès conditionnel.
- Basculer dans la même intervention : désactiver les paramètres par défaut puis activer immédiatement les stratégies, pour ne laisser aucune fenêtre sans protection.
- Vérifier par des connexions de test, notamment d'un compte non administrateur et d'un client hérité.
Examinez aussi les stratégies gérées par Microsoft qui peuvent apparaître dans votre locataire : elles servent de point de départ, pas de politique complète.
Ce qu'un audit vérifie
- L'état des paramètres de sécurité par défaut et la présence de stratégies d'accès conditionnel actives.
- L'absence de période ou de périmètre sans MFA imposée.
- Le blocage effectif de l'authentification héritée.
- L'existence et l'exclusion correcte des comptes d'urgence.
- L'adéquation entre licences disponibles et mécanisme de protection retenu.