Passe d'accès temporaire : un outil précieux, à encadrer strictement
Comment un nouvel employé enregistre-t-il sa première clé d'accès s'il n'a encore aucune méthode forte ? Comment un utilisateur qui a perdu son téléphone retrouve-t-il l'accès à son compte ? Le passe d'accès temporaire répond à ces deux questions. Mais un code qui satisfait la MFA et qu'un administrateur peut créer pour n'importe qui mérite une attention particulière.
À quoi sert le passe d'accès temporaire
Le passe d'accès temporaire (TAP) est un code limité dans le temps, créé par un administrateur pour un utilisateur donné. Il est traité par Entra ID comme une authentification forte : l'utilisateur qui le saisit satisfait l'exigence de MFA et peut enregistrer d'autres méthodes, en particulier des méthodes sans mot de passe comme les clés d'accès ou Windows Hello Entreprise.
Deux usages principaux :
- L'intégration : le nouvel arrivant reçoit un passe, se connecte et enregistre directement une méthode résistante au hameçonnage, sans jamais utiliser de mot de passe ;
- La récupération : un utilisateur qui a perdu toutes ses méthodes retrouve l'accès, le temps d'en enregistrer de nouvelles.
Les paramètres de la stratégie
Le passe d'accès temporaire se configure dans la stratégie des méthodes d'authentification. Les principaux réglages :
| Paramètre | Rôle | Recommandation |
|---|---|---|
| Utilisateurs ciblés | Qui peut recevoir un passe | Tous, ou des groupes définis selon l'usage |
| Durée de vie minimale et maximale | Bornes de validité d'un passe | Maximum court, de l'ordre de quelques heures pour la récupération |
| Durée de vie par défaut | Valeur proposée à l'émission | Aussi courte que possible |
| Usage unique | Le passe ne sert qu'à une seule connexion | À exiger par défaut |
| Longueur | Nombre de caractères du code | Conserver une longueur suffisante |
Les bornes exactes admises par Entra ID peuvent évoluer ; vérifiez-les dans la documentation Microsoft actuelle. Certains scénarios, comme la configuration d'un appareil Windows, peuvent nécessiter un passe à usage multiple : réservez-le à ces cas et limitez sa durée.
Qui peut l'émettre
La création d'un passe est réservée à certains rôles : Administrateur d'authentification pour les utilisateurs non privilégiés, Administrateur d'authentification privilégié et Administrateur général pour tous les utilisateurs. Cela signifie qu'un compte de support disposant du rôle Administrateur d'authentification peut, en quelques clics, obtenir un accès complet au compte d'un utilisateur ordinaire, MFA comprise. Plusieurs leviers permettent de limiter ce pouvoir :
- attribuer ces rôles via PIM, en éligible, plutôt qu'en permanence ;
- restreindre leur périmètre avec des unités administratives lorsque l'organisation le permet ;
- protéger les comptes sensibles, comme les dirigeants, par des unités administratives à gestion restreinte.
Le risque principal : l'ingénierie sociale
Le passe d'accès temporaire est techniquement robuste. Sa faiblesse est humaine : un attaquant qui se fait passer pour un employé ayant perdu son téléphone peut convaincre le support de lui en émettre un. Plusieurs groupes d'attaquants ont fait de cette technique leur spécialité. La procédure de vérification d'identité avant émission est donc aussi importante que la configuration elle-même : rappel sur un numéro connu, validation par le responsable hiérarchique, vérification d'identité en personne ou par un service de vérification.
Surveiller chaque émission. La création d'un passe est journalisée dans les journaux d'audit d'Entra ID. Une émission pour un compte privilégié, en dehors des heures ouvrées ou suivie de l'enregistrement d'une nouvelle méthode inconnue doit déclencher une vérification immédiate.
Ce qu'un audit vérifie
- L'activation du passe d'accès temporaire et les populations ciblées.
- La durée de vie maximale, la durée par défaut et l'exigence d'usage unique.
- Les comptes autorisés à émettre des passes et le mode d'attribution de leurs rôles.
- La procédure de vérification d'identité appliquée par le support.
- La surveillance des émissions et des méthodes enregistrées ensuite.