Ce que vous saurez faire
- Expliquer la différence rôle éligible vs rôle actif et le principe du Just-In-Time (JIT).
- Configurer PIM sur un rôle (Global Admin) : activation avec MFA, justification, approbation, durée limitée.
- Créer une Access Review sur un rôle ou un groupe et interpréter ses résultats.
- Décrire l'Entitlement Management (access packages, catalogues) et son usage.
- Positionner ces briques dans une stratégie de moindre privilège.
Compétences transférées depuis l'AD classique
| L'admin AD réutilise | L'admin AD doit désapprendre |
|---|---|
| Souci de limiter les comptes « Domain Admins » | « Admin un jour = admin en permanence » — ici : JIT, activation temporaire |
| Revue périodique des groupes à privilèges (manuelle) | La revue manuelle : Access Reviews l'automatise |
| Notion d'approbation informelle | Aucun équivalent AD à l'activation approuvée + tracée du rôle |
Du permanent à l'éligible
1. Le problème des rôles permanents
En AD, combien de comptes sont membres permanents de « Domain Admins » ? Souvent trop, et pour toujours. Chaque compte admin permanent est une cible : s'il est compromis, l'attaquant a les pleins pouvoirs, en permanence.
Le principe moderne est le Just-In-Time (JIT) : personne n'est admin en permanence. On est éligible à un rôle, et on l'active temporairement, quand on en a besoin, avec contrôles. C'est ce que fournit PIM (Privileged Identity Management), une fonctionnalité Entra ID P2.
L'appartenance à un groupe à privilèges est binaire et permanente.
L'appartenance devient conditionnelle et temporaire. Le rôle ne « vaut » quelque chose que pendant l'activation.
2. Rôles éligibles vs actifs
| Éligible | Actif | |
|---|---|---|
| Signification | Peut activer le rôle quand nécessaire | Détient le rôle maintenant |
| Droits au repos | Aucun (le rôle n'est pas « porté ») | Les droits du rôle |
| Durée | Permanent ou limité (assignment) | Limitée (ex : 8h max), puis expire |
| Risque au repos | Faible (rien à voler) | Élevé pendant la fenêtre d'activation |
Idée : basculer un maximum d'assignations de rôle de actif permanent vers éligible. Le rôle ne « vaut » quelque chose que pendant l'activation.
Aucun équivalent natif. On simulait avec des comptes admin séparés (« adm-jdoe ») et des procédures manuelles. PIM industrialise et trace tout cela.
3. Activation d'un rôle
Quand un utilisateur éligible active un rôle, PIM peut imposer :
- MFA au moment de l'activation.
- Justification (texte obligatoire : pourquoi j'active).
- Approbation par un ou plusieurs approbateurs désignés.
- Ticket (numéro d'incident / change) optionnel.
- Durée maximale (ex : 1 à 8h), après quoi le rôle se désactive automatiquement.
Tout est tracé (qui a activé quoi, quand, pourquoi, approuvé par qui) → audit natif.
Un admin doit activer Global Admin pour une opération sensible. Quels contrôles PIM combinez-vous ?
Sur un rôle aussi puissant que Global Admin, chaque garde-fou compte : MFA vérifie l'identité au moment de l'activation, la justification force à écrire le pourquoi (audit), l'approbation par un pair introduit un 4-eyes, et la durée courte (1 à 4h) réduit la fenêtre d'exposition. Le ticket est optionnel mais utile pour lier au change management.
4. Access Reviews
Une Access Review demande périodiquement : « ces personnes doivent-elles encore avoir cet accès ? » Elle cible :
- les membres / éligibles d'un rôle (ex : qui est éligible Global Admin ?),
- les membres d'un groupe,
- l'accès à une application,
- les invités (B2B).
Les réviseurs (le responsable, l'intéressé lui-même, ou un désigné) approuvent ou retirent. On peut auto-appliquer le résultat : révocation automatique des accès non confirmés.
Revue des groupes à privilèges à la main, export CSV, rarement.
Access Reviews : planifie, notifie, collecte, applique. Automatique et tracé.
Créer des accès sans jamais les revoir. Le « privilege creep » (accumulation) est le principal ennemi ; l'Access Review est l'antidote.
5. Entitlement Management (access packages)
L'Entitlement Management industrialise l'attribution d'accès pour des populations, via des access packages.
- Un access package regroupe des ressources (groupes, apps, sites SharePoint) qu'on obtient ensemble.
- Publié dans un catalogue, il peut être demandé par les utilisateurs éligibles (self-service), avec workflow d'approbation, durée, et revue intégrée.
- Idéal pour l'onboarding (un nouveau commercial demande le package « Commercial » et reçoit tout d'un coup) et le B2B (accès packagé pour partenaires).
Positionnement — synthèse
| Brique | Question à laquelle elle répond | Licence |
|---|---|---|
| PIM | Qui peut devenir admin, quand, sous quelles conditions ? | P2 |
| Access Reviews | Ces accès sont-ils encore justifiés ? | P2 |
| Entitlement Mgmt | Comment distribuer / gouverner des accès à grande échelle ? | P2 |
Toutes incluses dans la cible E3 + Entra ID P2.
Sources Microsoft Learn
- PIM — vue d'ensemble
- Configurer un rôle Entra dans PIM
- Access Reviews
- Entitlement Management
- Comptes d'accès d'urgence (à articuler avec PIM)
Rappel : en cas d'écart entre ce support et le portail, le portail fait foi.
Configurer PIM sur Global Admin + Access Review
Partie A — Basculer un Global Admin en éligible (45 min)
Portail : Entra admin center > Identity governance > Privileged Identity Management > Microsoft Entra roles.
1. Repérer les assignations actives permanentes
Liste des rôles > Global Administrator > onglet Assignments. Identifiez les « Active permanent ».
2. Convertir en éligible
Sélectionnez une assignation, action Update ou Remove + Add en type Eligible. Le compte perd le rôle au repos.
3. Configurer les paramètres du rôle
Role settings > Global Administrator > Edit. Activez : MFA on activation, Justification required, Approval required (désignez un approbateur), Maximum activation duration = 4 hours.
Partie B — Activer le rôle (30 min)
Avec un compte éligible : My roles > Eligible assignments > Global Administrator > Activate.
- Reason (justification) : « Configuration d'une politique de conformité pour audit XYZ ».
- Durée : 2 heures.
- MFA challenge → validation.
- L'approbateur reçoit une notification, approuve.
- Le rôle devient actif pour 2h.
Ouvrez PIM > Activity > Directory roles audit : chaque étape (demande, MFA, approbation, expiration) apparaît tracée.
Partie C — Créer une Access Review sur les éligibles Global Admin (45 min)
Portail : Identity governance > Access Reviews > New access review.
- Type : Microsoft Entra role.
- Rôle : Global Administrator.
- Scope : Eligible + active assignments.
- Réviseurs : les utilisateurs eux-mêmes (self-review) + un secondaire.
- Récurrence : trimestrielle.
- Auto-apply : ON (retirer les accès non confirmés).
- Justification requise pour continuer.
5 réflexes à corriger en gouvernance
Testez vos acquis
Une évaluation interactive qui vous donne le badge Acquis (≥60%) ou Maîtrisé (≥80%).
Cas pratique — 6 Global Admin permanents
Contexte : un audit de sécurité vient de rendre son rapport. Votre tenant compte 6 comptes Global Administrator actifs permanents. La direction veut réduire le risque sans bloquer l'exploitation.
Questions :
- Que proposez-vous concrètement avec PIM ?
- Quels contrôles imposez-vous à l'activation de Global Admin ?
- Comment garantir que la situation ne se re-dégrade pas dans 6 mois ?
- Quel garde-fou conservez-vous en dehors de PIM ?
Démarche attendue
- Basculer les 6 Global Admin d'actif permanent vers éligible dans PIM. Ne garder aucun (ou au strict minimum) actif permanent. Chacun activera le rôle à la demande.
- Contrôles d'activation Global Admin : MFA obligatoire, justification, approbation par un pair désigné, durée courte (ex : 1 à 4h), ticket optionnel. Tout tracé.
- Access Review récurrente (mensuelle / trimestrielle) sur les éligibles Global Admin, avec auto-apply pour retirer les éligibilités non confirmées → combat le privilege creep.
- Comptes break-glass (2, Global Admin cloud-only, exclus des politiques CA, hors PIM pour l'urgence) documentés et surveillés par alerte (module 09). PIM ne doit jamais pouvoir vous enfermer dehors.