Paramètres utilisateur par défaut d'Entra ID : ce que chaque utilisateur peut faire sans rôle

Où se trouvent ces paramètres

L'essentiel se règle dans les paramètres utilisateur d'Entra ID, et techniquement dans la stratégie d'autorisation du locataire, qui porte les permissions par défaut du rôle utilisateur. Les paramètres de groupes et d'appareils complètent le tableau. Les valeurs par défaut peuvent évoluer ; vérifiez la documentation Microsoft actuelle et comparez avec votre configuration réelle.

Inscription d'applications

Par défaut, tout utilisateur peut inscrire des applications. L'inscription elle-même n'accorde pas de permissions sur vos données, mais elle crée des objets dont l'utilisateur devient propriétaire, souvent sans suivi. Ces applications servent parfois de point d'appui pour des scénarios d'hameçonnage internes ou de persistance.

La recommandation courante est de désactiver ce paramètre et de confier l'inscription au rôle Développeur d'applications, attribué aux personnes qui en ont besoin, ou à un processus de demande.

Création de groupes et de locataires

• Groupes de sécurité : les utilisateurs peuvent en créer par défaut. Selon votre organisation, réservez cette capacité aux administrateurs ou aux équipes concernées.
• Groupes Microsoft 365 : leur création est gouvernée par un paramètre de groupes distinct, qui permet de la limiter aux membres d'un groupe désigné. Chaque groupe crée aussi une boîte partagée, un site SharePoint et souvent une équipe.
• Création de locataires : par défaut, un utilisateur peut créer un nouveau locataire dont il devient administrateur général, hors de toute gouvernance. Le paramètre de restriction mérite d'être activé.

Lecture de l'annuaire

Par défaut, un utilisateur peut lire les informations des autres utilisateurs, des groupes et des applications. C'est ce qui permet à un attaquant muni d'un simple compte de cartographier le locataire. Le paramètre qui interdit cette lecture existe, mais il perturbe de nombreux usages légitimes, notamment dans Outlook et Teams. Il est rarement applicable en l'état ; mieux vaut en être conscient et compenser par la détection des énumérations massives.

Accès au centre d'administration

Le paramètre qui restreint l'accès au centre d'administration Entra aux administrateurs n'est pas une frontière de sécurité : il ne bloque ni Microsoft Graph, ni PowerShell, ni les autres outils. Il peut être activé pour réduire la curiosité, mais il ne doit jamais être présenté comme une protection. Pour empêcher réellement l'accès aux outils d'administration, il faut une stratégie d'accès conditionnel ciblant les applications correspondantes.

Autres réglages à passer en revue

1. La lecture de ses propres clés BitLocker par l'utilisateur pour ses appareils ;
2. Les connexions de compte LinkedIn ;
3. La possibilité de joindre ou d'inscrire des appareils, et le nombre maximal par utilisateur ;
4. Le consentement des utilisateurs aux applications, traité dans un paramètre distinct mais indissociable de cette revue.

Dans les locataires que nous auditons, ces réglages sont presque toujours restés à leur valeur d'origine.

Ce qu'un audit vérifie

• Les valeurs de la stratégie d'autorisation : inscription d'applications, création de groupes de sécurité et de locataires, lecture des autres utilisateurs.
• Le paramétrage de la création des groupes Microsoft 365.
• Les applications inscrites par des utilisateurs non administrateurs.
• Les locataires créés par des utilisateurs de l'organisation, lorsque cela peut être établi.
• La protection réelle des outils d'administration par l'accès conditionnel.