Le serveur Entra Connect est un contrôleur de domaine qui s'ignore

Un serveur à cheval sur deux mondes

Dans un environnement hybride, Microsoft Entra Connect synchronise les comptes de l'Active Directory vers Entra ID. Le serveur qui l'héberge est souvent traité comme un serveur applicatif ordinaire : administré par l'équipe systèmes, sauvegardé avec les autres, supervisé par les mêmes outils. C'est une erreur de classement lourde de conséquences.

Pourquoi c'est du Tier 0

Avec la synchronisation du hachage des mots de passe, le compte de service qu'Entra Connect utilise dans l'annuaire (le compte MSOL_… d'une installation express) dispose des droits de réplication des modifications de l'annuaire — les mêmes droits que ceux qu'exploite une attaque DCSync. Quiconque administre ce serveur peut récupérer ces identifiants et extraire les empreintes de mots de passe de tout le domaine.

Dans l'autre sens, le compte de synchronisation côté Entra ID peut modifier les objets synchronisés dans le cloud. Le serveur Entra Connect relie donc le plan de contrôle on-premise et le plan de contrôle cloud : sa compromission ouvre les deux.

Les autres composants à surveiller

• L'authentification directe (PTA) : ses agents valident les mots de passe contre l'AD. Un agent compromis peut accepter n'importe quel mot de passe ou intercepter ceux qui transitent.
• L'authentification unique transparente repose sur le compte ordinateur AZUREADSSOACC. Sa clé de déchiffrement Kerberos doit être renouvelée régulièrement — Microsoft recommande au moins tous les 30 jours ; dans beaucoup d'environnements, elle ne l'a jamais été depuis l'installation.
• ADFS, là où il subsiste : sa clé de signature des jetons permet de forger des authentifications vers Microsoft 365.

Le durcir comme un contrôleur de domaine

• Restreindre l'administration aux comptes Tier 0, depuis des postes d'administration dédiés.
• Retirer les agents et outils qui ne sont pas administrés au niveau Tier 0 : supervision, déploiement, consoles partagées.
• Maintenir Entra Connect à jour : les versions anciennes cessent d'être prises en charge et finissent par ne plus synchroniser.
• Protéger les sauvegardes du serveur comme celles d'un contrôleur de domaine.
• Renouveler la clé du compte AZUREADSSOACC et documenter la procédure.
• Journaliser et superviser les connexions au serveur et les modifications de la configuration de synchronisation.

Si l'hybride n'est plus indispensable, la question d'une migration vers Cloud Sync, plus léger, ou d'une sortie progressive de la synchronisation mérite d'être posée. Le composant le plus sûr reste celui dont on n'a plus besoin.