Authentification unique transparente : protéger le compte AZUREADSSOACC et renouveler sa clé

Comment fonctionne l'authentification unique transparente

L'authentification unique transparente (Seamless SSO) permet à un utilisateur connecté sur un poste joint au domaine d'accéder aux services Microsoft 365 sans ressaisir son mot de passe, lorsque le poste est sur le réseau de l'entreprise ou peut joindre un contrôleur de domaine. À l'activation, Entra Connect crée dans chaque forêt un compte ordinateur, AZUREADSSOACC, qui porte les noms de principal de service utilisés par Entra ID. La clé de déchiffrement Kerberos de ce compte est partagée de manière sécurisée avec Entra ID.

Lors de la connexion, le navigateur obtient auprès du contrôleur de domaine un ticket Kerberos pour ce service et le présente à Entra ID, qui le déchiffre avec la clé partagée et identifie l'utilisateur.

Pourquoi ce compte est si sensible

Quiconque connaît la clé de ce compte peut forger un ticket Kerberos pour n'importe quel utilisateur synchronisé et le présenter à Entra ID. Il obtient alors une authentification au nom de cet utilisateur, sans connaître son mot de passe. L'accès conditionnel continue de s'appliquer, et une MFA sera exigée si les stratégies le prévoient, mais l'attaquant a franchi la première étape. Le compte doit donc être traité comme un actif Tier 0 : son secret a la même valeur que celui d'un compte de service de fédération.

Renouveler la clé régulièrement

Contrairement aux comptes ordinateurs ordinaires, AZUREADSSOACC ne renouvelle pas son mot de passe automatiquement. Microsoft recommande de renouveler la clé de déchiffrement au moins tous les 30 jours. L'opération se fait depuis le serveur Entra Connect, avec le module PowerShell fourni, et nécessite des droits d'administration sur le domaine ainsi qu'un rôle d'administration Entra ID adapté.

• Exécutez le renouvellement une seule fois par forêt et par cycle : un double renouvellement rapproché interrompt le fonctionnement jusqu'à l'expiration des tickets Kerberos des utilisateurs.
• Si vous automatisez l'opération, protégez les identifiants utilisés avec le même niveau d'exigence que le compte lui-même.
• Contrôlez l'attribut de dernière modification du mot de passe pour vérifier que le renouvellement a bien eu lieu.

Protéger le compte dans Active Directory

• Placez-le dans une unité d'organisation dont les permissions sont limitées aux administrateurs Tier 0, et vérifiez qu'aucune délégation héritée ne permet à d'autres de le modifier.
• Ne le supprimez pas et ne le désactivez pas : la fonctionnalité cesserait de fonctionner.
• Vérifiez les types de chiffrement pris en charge et assurez-vous qu'AES est utilisé plutôt que RC4, conformément à la documentation Microsoft actuelle.
• Surveillez toute modification de ses attributs et de ses noms de principal de service.

Faut-il encore l'activer ?

Sur les postes Windows récents joints à Entra ID ou en jonction hybride, l'authentification unique repose sur le jeton d'actualisation principal (PRT) et n'a pas besoin de Seamless SSO. La fonctionnalité reste utile pour les postes joints au domaine seulement, ou pour des systèmes plus anciens. Si l'ensemble de votre parc est en jonction hybride ou joint à Entra ID, sa désactivation réduit la surface d'attaque. Elle se fait depuis l'assistant d'Entra Connect, puis en supprimant le compte dans chaque forêt concernée, en suivant la procédure de la documentation Microsoft.

Ce qu'un audit vérifie

• L'état d'activation de Seamless SSO et sa justification au regard du parc.
• La date du dernier changement de mot de passe du compte AZUREADSSOACC dans chaque forêt.
• Les permissions sur le compte et sur son unité d'organisation.
• Les types de chiffrement Kerberos configurés.
• La surveillance des modifications apportées au compte.