Protection par mot de passe Entra : listes interdites, verrouillage intelligent et AD local
Même dans une démarche sans mot de passe, les mots de passe restent présents dans la plupart des environnements pendant des années. Entra Password Protection empêche les choix les plus prévisibles, dans le cloud comme sur l'Active Directory local. Encore faut-il l'avoir étendu et basculé en mode appliqué.
Liste globale et liste personnalisée
Microsoft maintient une liste globale de mots de passe interdits, alimentée par l'observation des attaques par pulvérisation. Elle s'applique automatiquement à tous les utilisateurs cloud et ne peut pas être consultée ni modifiée.
La liste personnalisée, qui nécessite Entra ID P1, permet d'ajouter les termes propres à votre organisation : nom de l'entreprise, produits, ville, club sportif local. Quelques dizaines de termes bien choisis suffisent ; inutile d'y entrer des variantes, l'évaluation s'en charge.
Comment l'évaluation fonctionne
Le mot de passe proposé est d'abord normalisé : passage en minuscules et remplacement des substitutions courantes (« 0 » pour « o », « @ » pour « a », etc.). Il est ensuite comparé aux listes avec une correspondance approximative. Un système de points détermine enfin s'il est accepté : chaque terme interdit détecté compte pour un point, chaque caractère restant aussi, et un minimum est requis. Ainsi, « Entreprise2026! » sera refusé si « entreprise » figure dans la liste personnalisée.
Le verrouillage intelligent
Le verrouillage intelligent bloque temporairement les tentatives d'authentification après un certain nombre d'échecs, en distinguant les connexions issues d'emplacements familiers de celles d'un attaquant. Le seuil et la durée sont personnalisables avec une licence P1. En environnement hybride, veillez à ce que le seuil Entra soit inférieur à celui de la stratégie de verrouillage d'AD, afin que le cloud bloque l'attaquant avant que les comptes locaux ne soient verrouillés.
Étendre la protection à l'AD local
La même politique peut s'appliquer lors des changements et réinitialisations de mot de passe dans Active Directory. Deux composants sont nécessaires :
- l'agent DC, installé sur chaque contrôleur de domaine, qui valide les mots de passe localement ;
- le service proxy, installé sur des serveurs membres, qui récupère la politique depuis Entra ID. Les contrôleurs de domaine n'ont pas besoin d'accès direct à Internet.
Le déploiement commence en mode audit : les mots de passe non conformes sont journalisés sans être refusés. Ce mode doit rester temporaire.
Get-AzureADPasswordProtectionDCAgent Get-AzureADPasswordProtectionProxy Get-AzureADPasswordProtectionSummaryReport
Limite importante. La protection s'applique uniquement au moment où un mot de passe est défini ou modifié. Les mots de passe faibles déjà en place restent valides jusqu'à leur prochain changement : il faut les identifier par un audit dédié.
Ce qu'un audit vérifie
- L'existence et la pertinence de la liste personnalisée.
- L'activation de la protection sur AD local et le mode utilisé (audit ou appliqué).
- La présence de l'agent sur tous les contrôleurs de domaine, y compris les plus récents.
- La cohérence des seuils de verrouillage entre Entra ID et AD.