Stratégie des méthodes d'authentification : migrer, faire le ménage et imposer les bonnes méthodes
Pendant des années, les méthodes d'authentification d'Entra ID se configuraient à deux endroits distincts : le portail MFA hérité et les paramètres de réinitialisation du mot de passe en libre-service. La stratégie unifiée des méthodes d'authentification met fin à cette dispersion. La migration est aussi l'occasion d'éliminer les méthodes faibles.
Pourquoi une stratégie unifiée
Avec les anciens paramètres, une méthode désactivée côté MFA pouvait rester autorisée côté SSPR, et inversement. Résultat : des configurations difficiles à lire et des méthodes faibles qui subsistaient sans que personne ne s'en rende compte. La stratégie des méthodes d'authentification centralise tout : pour chaque méthode, on définit si elle est activée, pour quels groupes, et avec quels paramètres.
Microsoft a annoncé la fin de la gestion des méthodes dans les anciennes stratégies MFA et SSPR. Si votre locataire n'indique pas encore l'état « Migration terminée », c'est un chantier à traiter en priorité ; vérifiez l'état actuel dans le portail.
Mener la migration sans casser l'existant
Le portail propose un état de migration en trois temps : pré-migration, migration en cours, migration terminée. Pendant la phase intermédiaire, les deux configurations sont prises en compte, ce qui permet de reproduire l'existant dans la nouvelle stratégie avant de couper l'ancienne. Démarche recommandée :
- inventorier les méthodes réellement utilisées grâce au rapport d'activité des méthodes d'authentification ;
- reproduire dans la stratégie unifiée les méthodes nécessaires, en ciblant des groupes plutôt que « tous les utilisateurs » lorsque c'est pertinent ;
- passer en « migration en cours » et observer les connexions ;
- finaliser la migration, puis supprimer les états MFA par utilisateur (« Activé », « Appliqué ») au profit de l'accès conditionnel.
Désactiver SMS et appels vocaux
Le SMS et l'appel vocal restent vulnérables à l'échange de carte SIM, à l'interception et surtout au hameçonnage en temps réel. Ils ne devraient plus être des méthodes de premier plan. Avant de les désactiver, identifiez les populations qui en dépendent encore (personnel sans smartphone professionnel, prestataires) et prévoyez une alternative : Microsoft Authenticator, clé FIDO2, ou Temporary Access Pass pour l'enrôlement.
Attention au SSPR. Si le SMS est la seule méthode de réinitialisation enregistrée pour une partie des utilisateurs, le désactiver les privera de SSPR. Vérifiez la couverture des méthodes alternatives avant de couper.
Campagnes d'inscription et MFA préférée par le système
La campagne d'inscription invite les utilisateurs, lors de leur connexion, à enregistrer Microsoft Authenticator s'ils utilisent encore une méthode plus faible. On peut la cibler, limiter le nombre de reports autorisés et exclure certains groupes. C'est un levier simple pour faire évoluer le parc sans intervention manuelle.
La MFA préférée par le système, gérée par Microsoft, présente automatiquement à l'utilisateur la méthode la plus robuste qu'il a enregistrée, au lieu de celle qu'il a choisie par défaut. Elle évite qu'un utilisateur disposant d'Authenticator continue par habitude à recevoir des SMS.
Aller plus loin : les forces d'authentification
La stratégie des méthodes définit ce qui est autorisé ; les forces d'authentification, utilisées dans l'accès conditionnel, définissent ce qui est exigé pour une ressource donnée. Combinées, elles permettent par exemple d'imposer une méthode résistante au hameçonnage aux administrateurs tout en laissant Authenticator aux autres utilisateurs.
Par où commencer
- Vérifier l'état de migration du locataire.
- Consulter le rapport d'activité des méthodes pour mesurer la dépendance au SMS et à la voix.
- Activer une campagne d'inscription Authenticator ciblée.
- Planifier la désactivation des méthodes faibles, groupe par groupe.