4.4Identités, MFA, sécurité (Entra ID)
L'essentiel en 30 secondes
- Dans le cloud, l'identité devient le vrai périmètre de sécurité : on se connecte de partout, et protéger l'identité protège l'accès à tout.
- Entra ID (ex-Azure AD) gère les identités M365 ; le MFA ajoute un second facteur et bloque le vol de mot de passe seul — la mesure la plus rentable.
- L'accès conditionnel adapte l'exigence au contexte (lieu, appareil, risque) ; on protège en priorité les comptes administrateurs.
Mini-cas filé — Sofiane durcit les accès de la PME
Sofiane, administrateur systèmes dans une PME de distribution à Alger, mène un audit des identités dans Entra ID. Il constate que le MFA n'est pas activé partout et que deux comptes administrateurs en sont exemptés « pour aller plus vite ». Il corrige : MFA exigé pour tous, en priorité sur les comptes à privilèges, puis une règle d'accès conditionnel simple — MFA obligatoire hors du bureau. Il définit aussi la conduite à tenir en cas de compte compromis : réinitialiser et révoquer les sessions. Il note le réflexe : protéger les identités, c'est protéger tout l'accès.
Cas autonome de cette section : il revient dans le cours, le schéma, le script et le défi 48h de la section 4.4.
1. L'identité, nouveau périmètre
Dans le cloud, il n'y a plus de « mur » réseau autour de l'entreprise : on se connecte de partout. Le vrai périmètre devient l'identité. Entra ID (ex-Azure AD) gère ces identités pour Microsoft 365. Protéger l'identité, c'est protéger l'accès à tout — d'où l'importance d'aller au-delà du simple mot de passe.
2. Le MFA, indispensable
Un mot de passe seul se vole (phishing, fuite, réutilisation). Le MFA (authentification multifacteur) ajoute un deuxième facteur : quelque chose que l'on possède (application d'authentification, code) en plus de ce que l'on sait (mot de passe). Même avec le mot de passe, un attaquant est bloqué sans le second facteur. C'est la mesure la plus rentable contre le vol de compte.
3. L'accès conditionnel
On va plus loin avec l'accès conditionnel : des règles qui adaptent l'exigence selon le contexte (« exiger le MFA hors du bureau », « bloquer les connexions depuis des pays non concernés », « exiger un appareil conforme »). L'idée : plus le contexte est risqué, plus on demande de garanties. On protège en priorité les comptes à privilèges, jamais exemptés des règles.
🔎 Exemple concret — 🔎 Exemple concret — Un mot de passe volé par phishing
Un utilisateur saisit son mot de passe sur un faux site ; Sofiane compare les deux cas :
Sans MFA : l'attaquant se connecte -> compte compromis X
Avec MFA : l'attaquant a le mot de passe mais pas le 2e facteur
-> connexion bloquee + alerte OK
Lecture : le MFA neutralise le vol de mot de passe seul.
Lecon : activer le MFA est la mesure la plus rentable contre la prise de compte.Lecture : le MFA neutralise le vol de mot de passe seul — l'attaquant n'a pas le second facteur.
Leçon : activer le MFA est la mesure la plus rentable contre la prise de compte, surtout sur les admins.
Vocabulaire de la section
- Entra ID
- Service d'identité cloud de Microsoft (ex-Azure AD) pour M365.
Exemple simple : Sofiane gère les comptes et le MFA depuis Entra ID.
Ce que ce n'est pas : un service de stockage de fichiers d'équipe.
Réflexe : identités M365 → Entra ID.
- Identité
- Compte qui prouve qui vous êtes ; le vrai périmètre de sécurité dans le cloud.
Exemple simple : Protéger l'identité protège l'accès à tout, rappelle Sofiane.
Ce que ce n'est pas : un câble ou un port réseau, qui n'authentifie personne.
Réflexe : se connecter de partout → protéger l'identité.
- MFA
- Authentification multifacteur : mot de passe + un second facteur possédé.
Exemple simple : Sofiane exige le MFA pour tous, admins d'abord.
Ce que ce n'est pas : un mot de passe seul, réutilisé et volé facilement.
Réflexe : bloquer le vol de mot de passe → MFA.
- Accès conditionnel
- Règles qui adaptent l'exigence d'authentification selon le contexte.
Exemple simple : Sofiane exige le MFA hors du bureau.
Ce que ce n'est pas : une règle unique identique en toute situation.
Réflexe : risque plus élevé → exigence renforcée.
- Phishing
- Tromperie visant à voler des identifiants via un faux site ou message.
Exemple simple : Un faux portail imite la connexion M365 pour voler le mot de passe.
Ce que ce n'est pas : une panne matérielle qui coupe la connexion.
Réflexe : mot de passe réclamé par message → méfiance.
En pratique — En pratique — Renforcer les accès d'un tenant
- Vérifiez que le MFA est activé pour tous les comptes, surtout les administrateurs, comme Sofiane.
- Définissez une règle d'accès conditionnel simple (ex. MFA hors du bureau).
- Identifiez les comptes à privilèges qui méritent une protection renforcée.
- Prévoyez la conduite à tenir en cas de compte compromis (réinitialiser, révoquer les sessions).
Script pas-à-pas — durcir les accès comme Sofiane (5 min)
1) Ouvrez Entra ID et listez les comptes, en repérant les comptes administrateurs. 2) Vérifiez que le MFA est activé partout — et jamais exempté pour les admins. 3) Créez une règle d'accès conditionnel simple : MFA obligatoire hors du bureau. 4) Notez les comptes à privilèges et la protection renforcée prévue. 5) Écrivez la procédure en cas de compromission : réinitialiser et révoquer les sessions.
Rappel : ces réglages relèvent d'une politique validée par l'organisation — principe du moindre privilège, sans court-circuiter la sécurité.
Modèle copier-coller — ma fiche sécurité des identités
Perimetre : l'identite (pas le reseau) — Entra ID gere les comptes M365
MFA : exige partout, en PRIORITE sur les comptes admin
Acces cond.: adapter l'exigence au contexte (lieu, appareil, risque)
Privileges : moindre privilege, jamais d'exemption 'pour aller vite'
Compromis : reinitialiser le compte + revoquer les sessionsUn mot de passe volé
Grâce au MFA, Sofiane bloque l'attaquant qui n'a que le mot de passe.
Un admin protégé
Sofiane applique le MFA en priorité aux comptes à privilèges, jamais exemptés.
Hors du bureau
L'accès conditionnel exige le MFA dès que la connexion vient de l'extérieur.
Une alerte traitée
Sofiane réagit à une connexion suspecte : réinitialiser et révoquer les sessions.
✓ Bonnes pratiques
- Activer le MFA partout, en priorité sur les admins.
- Adapter l'exigence au contexte (accès conditionnel).
- Traiter l'identité comme le vrai périmètre.
✗ Pièges fréquents
- Se reposer sur le seul mot de passe.
- Exempter les comptes admin du MFA « pour la commodité ».
- Ignorer les alertes de connexion suspecte.
Points clés à retenir
- Dans le cloud, l'identité est le vrai périmètre de sécurité.
- Entra ID gère les identités M365.
- Le MFA bloque le vol de mot de passe seul : mesure la plus rentable.
- L'accès conditionnel adapte l'exigence au contexte (lieu, appareil, risque).
Défi 48h — appliquez demain
Comme Sofiane, auditez les identités d'un tenant : vérifiez que le MFA est actif partout (admins d'abord) et écrivez une règle d'accès conditionnel simple (ex. MFA hors du bureau). Précisez en une phrase la conduite à tenir en cas de compte compromis (réinitialiser, révoquer les sessions).
- Je peux expliquer pourquoi l'identité est le périmètre de sécurité.
- Je sais pourquoi le MFA bloque le vol de mot de passe.
- Je comprends l'accès conditionnel et la priorité aux comptes admin.
Questions fréquentes
Le MFA est-il vraiment nécessaire si les mots de passe sont forts ?
Oui : même un mot de passe fort se vole par phishing ou fuite. Le MFA ajoute une barrière que l'attaquant n'a pas, et neutralise l'immense majorité des prises de compte automatisées. C'est la mesure au meilleur rapport effort/protection.
Pourquoi protéger surtout les comptes administrateurs ?
Parce qu'un compte admin compromis donne les clés de tout le tenant. On les protège en priorité (MFA, accès conditionnel, comptes dédiés) et on ne les exempte jamais des règles « pour aller plus vite ».
Pourquoi le MFA protège-t-il même si le mot de passe est volé ?