Une PME de trente personnes installée près de Genève nous a demandé de reprendre son environnement Microsoft 365 après le départ de son prestataire historique. La première vérification a duré dix minutes et elle a suffi à cadrer la mission. Le seul compte disposant des droits d'administration complets était une adresse personnelle de messagerie grand public, créée dix ans plus tôt par le gérant pour ouvrir l'abonnement. Ce compte n'exigeait aucune vérification supplémentaire à la connexion, son mot de passe figurait dans un document partagé sur le serveur de fichiers, et deux anciens collaborateurs y avaient eu accès. Aucune boîte aux lettres n'avait été piratée. Tout l'était potentiellement.
Ce constat n'a rien d'exceptionnel dans le Bassin Genevois. Il tient à un malentendu répandu : beaucoup de dirigeants pensent avoir acheté une messagerie et de la bureautique, alors qu'ils ont aussi mis en service un annuaire d'identités. Cet annuaire, nommé Entra ID et anciennement appelé Azure AD, est l'élément qui décide qui vous êtes et à quoi vous avez droit. Il est déjà présent dès que vous utilisez Microsoft 365, sans achat supplémentaire pour la plupart des besoins d'une PME. Ce qui manque n'est pas le produit, c'est la tenue du produit.
Ce qu'un annuaire d'identités décide à chaque connexion
Chaque fois qu'un salarié ouvre sa messagerie, accède à un espace de documents partagés ou consulte une application connectée, une demande d'autorisation est adressée à l'annuaire. Celui-ci vérifie que le compte existe et qu'il est actif, contrôle le mot de passe, exige ou non une seconde preuve d'identité, examine les conditions de la connexion et détermine enfin les droits accordés à travers l'appartenance à des groupes.
Cette mécanique explique pourquoi l'annuaire devient la clé de tout le reste. Les espaces de documents d'équipe, les canaux de discussion, la gestion des téléphones et des ordinateurs, et de plus en plus d'applications métier s'appuient sur lui pour savoir qui a le droit de faire quoi. Vous pouvez donc régler finement les permissions dans chaque outil : si l'annuaire est mal tenu, ces réglages ne valent rien, puisque celui qui le contrôle peut s'attribuer les droits qu'il souhaite ailleurs.
C'est aussi pour cette raison qu'un accès administrateur compromis n'est pas un incident limité à une boîte aux lettres. Il donne accès aux messages, aux documents partagés, souvent aux ressources d'infrastructure du même abonnement, et il permet de créer de nouveaux comptes qui passeront inaperçus.
Le compte nominatif est la première décision, avant tout réglage de sécurité
Une identité doit correspondre à une personne physique et à une seule. Cette règle paraît évidente et elle est pourtant celle que nous devons rétablir le plus souvent, parce que les usages du quotidien poussent dans le sens contraire.
- Une adresse générique de type contact ou accueil sert d'identité de connexion partagée par trois personnes. Personne ne peut alors savoir qui a supprimé un message ou modifié un document, et le départ de l'une des trois n'entraîne aucun changement.
- Un compte est conservé au nom d'un ancien salarié parce que des messages utiles y sont stockés. Ce compte reste actif, souvent sans surveillance, et son mot de passe n'a pas changé depuis le départ.
- Un prestataire externe travaille avec le compte d'un salarié au lieu d'un accès propre, ce qui rend la traçabilité impossible.
- Les droits sont attribués individuellement, personne par personne, au lieu de passer par des groupes correspondant aux fonctions. Au bout de deux ans, plus personne ne sait justifier les accès d'un utilisateur donné.
La correction consiste à créer une identité par personne, à traiter les adresses génériques comme des boîtes de réception partagées et non comme des comptes de connexion, à ouvrir des accès propres aux intervenants extérieurs et à faire porter les droits par des groupes. Ce travail est court et il conditionne tout le reste.
Les comptes d'administration se traitent séparément des comptes d'usage
Un compte d'administration ne devrait jamais servir à lire des messages ni à naviguer sur Internet. Nous séparons donc l'usage quotidien d'une personne et ses droits d'administration, en réservant ces derniers à un accès distinct, utilisé seulement lorsque c'est nécessaire.
Sur ces accès, l'authentification renforcée, c'est-à-dire l'exigence d'une seconde preuve en plus du mot de passe, n'est pas une option à discuter. Un mot de passe se retrouve dans une fuite de données d'un autre service, ou se laisse dérober par un message frauduleux qui reproduit fidèlement la page de connexion. La seconde preuve reste alors le seul obstacle. Nous privilégions une application d'authentification qui demande une validation explicite plutôt qu'un code envoyé par message texte, plus facile à intercepter. Nous détaillons ce raisonnement dans notre article consacré à la double authentification, en particulier sur les comptes d'administration.
Deux précautions complètent le dispositif. Le nombre de comptes disposant des droits complets doit rester faible, avec un accès de secours conservé hors ligne pour ne pas rester enfermé dehors en cas de perte d'un téléphone. La liste des détenteurs de droits élevés se relit ensuite périodiquement, car ces droits sont accordés pour une intervention ponctuelle et presque jamais retirés.
Le départ d'un collaborateur se règle dans l'annuaire, pas dans une liste de mots de passe
Quand une personne quitte l'entreprise, la question n'est pas de savoir quels mots de passe changer. Elle est de savoir ce que son identité ouvrait encore. Si l'annuaire est correctement tenu, la désactivation du compte coupe simultanément la messagerie, les documents partagés, les applications connectées et les accès depuis le téléphone personnel, dans le même geste et à l'heure choisie.
Si l'annuaire est mal tenu, la même opération laisse des portes ouvertes : une application métier qui possède ses propres identifiants indépendants, un accès distant configuré séparément, une adresse générique dont le mot de passe est connu de l'intéressé, un partage de documents envoyé vers une adresse personnelle. C'est ce décalage que nous cherchons à supprimer, et nous en décrivons le déroulé pratique dans notre article sur la façon de révoquer les accès le jour même du départ.
Ce que l'annuaire ne résout pas, et l'articulation avec un serveur local
Il faut éviter une promesse excessive. La connexion unique à toutes les applications, souvent appelée SSO, ne fonctionne qu'avec les logiciels sachant dialoguer avec l'annuaire selon des protocoles standard. Un outil plus ancien qui gère ses utilisateurs dans sa propre base conservera ses identifiants, échappera à la désactivation centrale, et exige donc un coffre de mots de passe d'équipe et une procédure de retrait à la sortie d'un collaborateur.
L'annuaire local hébergé sur un serveur Windows du bureau et l'annuaire en ligne sont par ailleurs deux objets distincts, que l'on peut relier. Beaucoup de structures de moins de vingt personnes n'ont plus besoin du serveur local, les postes se rattachant directement à l'annuaire en ligne. D'autres doivent le conserver pour une application qui l'exige. Ce diagnostic mérite d'être posé, car maintenir un annuaire local sans usage réel coûte du temps et ajoute une surface à défendre.
Notre séquence de reprise en main d'un annuaire existant
Nous commençons par un état des lieux qui tient en une journée dans la plupart des cas : la liste des comptes actifs comparée à la liste réelle des salariés, les comptes disposant de droits élevés, l'état de l'authentification renforcée, les invités externes encore présents, les applications connectées et les licences attribuées. Ce document est souvent la première vision complète que le dirigeant obtient de son propre environnement.
Nous corrigeons ensuite dans un ordre stable : reprise des accès d'administration avec un compte de secours documenté, authentification renforcée en commençant par les droits élevés, création des identités nominatives manquantes, remplacement des attributions individuelles par des groupes, retrait des invités et des anciens comptes. Vient enfin le fonctionnement courant, qui compte autant que la remise en ordre : les arrivées, les départs et les changements de fonction.
Ce travail se mène en mission cloud à 1000 HT / jour, même montant hors taxes en euros et en francs, à distance dans toute la France et en Suisse, en lien avec notre expertise Microsoft Azure quand des ressources d'infrastructure dépendent du même abonnement. Le suivi quotidien s'intègre ensuite dans un contrat d'infogérance dès 120 HT / mois, avec intervention sur site dans le Bassin Genevois pour rattacher les postes à l'annuaire.
Si le seul administrateur de votre environnement Microsoft 365 est encore une adresse personnelle sans seconde vérification, demandez-nous un état des lieux. C'est une intervention courte et elle vous dira exactement combien de portes votre annuaire ouvre aujourd'hui.