Sécuriser Microsoft Entra ID avec l'Enterprise Access Model

Aucun rôle privilégié assigné en permanent. Les administrateurs sont rendus éligibles et activent le rôle en juste-à-temps (JIT), pour une durée limitée, avec MFA, justification et approbation. Réduit drastiquement la surface d'attaque et la fenêtre d'exposition. Couplé à un contexte d'authentification pour re-vérifier les contrôles à l'activation. Requiert Entra ID P2.

Pour tous les rôles d'administration : FIDO2 / passkeys, Windows Hello for Business, ou authentification par certificat (CBA). Imposée via une authentication strength en Conditional Access. Microsoft et la CISA (SCuBA) l'exigent pour les 14+ rôles « highly privileged ». Les méthodes SMS, appel vocal et OTP e-mail doivent être désactivées.

Maintenir 2 comptes d'urgence cloud-only en Global Administrator permanent, non nominatifs, exclus des politiques de Conditional Access pour éviter le verrouillage du tenant. Mots de passe longs, stockés en coffre physique scellé, supervisés (alerte à chaque connexion). Jamais utilisés au quotidien.

Les rôles Control Plane sont portés par des comptes cloud-only (…@…onmicrosoft.com), jamais synchronisés depuis l'AD on-premises. Un compte synchronisé en Global Admin crée un pont d'escalade : compromettre l'AD revient à compromettre le tenant. Comptes d'admin séparés du compte bureautique nominatif.

Microsoft recommande de limiter le nombre de Global Admins et d'attribuer des rôles à moindre privilège selon la fonction réelle (User Admin, Security Admin…). Au-delà de 5 GA, Entra affiche une alerte. Le MCSB v2 illustre une réduction de 47 → 8 GA. Au-delà de 10 rôles privilégiés, un avertissement s'affiche.

L'administration du Control Plane s'effectue depuis un poste dédié, durci et isolé (PAW), sans messagerie ni navigation Internet généraliste — exactement comme l'exige l'ANSSI pour le Tier 0 on-prem. Le poste est conforme Intune et sert de signal de device compliance dans les politiques d'accès conditionnel.

Les actions protégées appliquent une politique de Conditional Access à des permissions de rôle spécifiques (ex. supprimer une politique CA, modifier des paramètres de sécurité). Le contrôle (MFA, contexte d'auth) est ré-évalué au moment de l'action, pas seulement à l'activation du rôle — protège contre l'abus de jeton déjà porteur du claim MFA.

Les Restricted Management Administrative Units protègent un ensemble d'objets (comptes break-glass, comptes Tier 0) en faisant en sorte que seuls des administrateurs explicitement délégués puissent les gérer — même un Global Admin « ordinaire » ne peut plus réinitialiser ces comptes hors du périmètre défini. Renforce l'isolation des identités les plus sensibles.

La Continuous Access Evaluation (CAE) — activée par défaut sur les tenants M365 depuis 2024 — révoque les sessions quasi en temps réel (compte désactivé, changement de mot de passe, risque détecté). Le token protection (sign-in session) lie le jeton au matériel pour contrer le vol de jeton et le rejeu, vecteur majeur de contournement du MFA.

Les serveurs Entra Connect / Cloud Sync sont des actifs Tier 0 : ils détiennent des privilèges de synchronisation et, selon la configuration (PHS/PTA), des secrets sensibles. À durcir comme un DC : poste d'admin dédié, comptes de service protégés (gMSA/dMSA WS2025), supervision, et limitation stricte de qui peut administrer le serveur de synchronisation.

Restreindre le consentement utilisateur aux applications d'éditeurs vérifiés et aux permissions à faible risque ; le reste passe par un flux d'approbation administrateur. Contre les attaques de consent phishing et l'abus d'OAuth (en forte hausse). Revue régulière des service principals à permissions Graph privilégiées (RoleManagement.ReadWrite.Directory, AppRoleAssignment.ReadWrite.All).

Attribuer Global Reader / Security Reader en actif (et non éligible) aux comptes d'admin Tier 0/1, pour les tâches de diagnostic et de reporting sans élever de privilège. Réduit la fréquence d'activation des rôles à fort impact — il n'y a aucune raison d'activer Global Admin pour consulter un journal.

Laisser des rôles privilégiés assignés en permanence alors que les licences P2 permettent PIM. Un seul compte GA compromis (phishing, infostealer, vol de session) donne immédiatement le contrôle total du tenant. À remplacer par PIM JIT systématique.

Synchroniser des comptes d'administration depuis l'AD on-prem vers des rôles Entra privilégiés. Crée un chemin d'escalade hybride : une compromission Tier 0 on-prem se propage au cloud. Le Control Plane doit rester cloud-only.

Laisser actifs les protocoles legacy auth (POP, IMAP, SMTP AUTH, anciens clients) qui contournent le MFA et la Conditional Access. À bloquer par politique CA dédiée. Vecteur classique de password spraying réussi.

S'appuyer sur SMS, appel vocal ou OTP e-mail pour les comptes privilégiés. Ces méthodes sont vulnérables au SIM-swap et à l'interception, et ne résistent pas au phishing en temps réel (AiTM). À désactiver pour l'administration.

Partager un compte d'administration entre plusieurs personnes détruit la traçabilité et empêche toute imputabilité en cas d'incident. Chaque administrateur doit disposer de son propre compte privilégié nominatif et dédié.

Administrer le tenant depuis le poste de travail quotidien (mail, web, bureautique) expose les credentials privilégiés à toute compromission du poste. L'administration Control Plane doit passer par un PAW isolé.