¶ Microsoft Entra ID
¶ 0. Vidéo
¶ 1. Introduction à Microsoft Entra ID
¶ Qu'est-ce que Microsoft Entra ID ?
Microsoft Entra ID (anciennement appelé Azure Active Directory ou Azure AD) est le service de gestion des identités et des accès (IAM) dans le cloud de Microsoft. Il permet aux organisations de :
- Gérer les identités des utilisateurs (employés, partenaires, clients)
- Contrôler l'accès aux applications et aux ressources
- Sécuriser les connexions grâce à l'authentification multifacteur (MFA)
- Appliquer des politiques de sécurité conditionnelles
¶ Pourquoi ce changement de nom ?
En 2023, Microsoft a renommé Azure Active Directory en Microsoft Entra ID dans le cadre de la famille de produits Microsoft Entra, qui regroupe toutes les solutions de gestion des identités et des accès de Microsoft.
💡 À retenir : Quand vous lisez "Azure AD" dans une ancienne documentation, c'est la même chose que Microsoft Entra ID aujourd'hui.
¶ Entra ID vs Active Directory traditionnel
| Caractéristique | Active Directory (on-premises) | Microsoft Entra ID (cloud) |
|---|---|---|
| Hébergement | Sur vos serveurs locaux | Dans le cloud Microsoft |
| Protocole principal | LDAP / Kerberos | OAuth 2.0 / OIDC / SAML |
| Gestion des appareils | Jonction de domaine classique | Jonction Azure AD / Intune |
| Accès aux applications | Réseau local / VPN | Internet (partout) |
| Maintenance serveur | À votre charge | Gérée par Microsoft |
¶ 2. Concepts fondamentaux
¶ 2.1 Le tenant (locataire)
Un tenant est votre instance privée et isolée de Microsoft Entra ID. Lorsqu'une organisation s'abonne à un service Microsoft 365 ou Azure, un tenant est automatiquement créé.
Chaque tenant possède :
- Un identifiant unique (Tenant ID) sous forme de GUID :
xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx - Un nom de domaine principal de type
monentreprise.onmicrosoft.com - Des domaines personnalisés optionnels (ex:
monentreprise.com)
¶ 2.2 L'annuaire (Directory)
L'annuaire est la base de données qui stocke tous les objets de votre tenant : utilisateurs, groupes, applications, appareils, etc.
¶ 2.3 Le domaine
Lors de la création de votre tenant, vous obtenez automatiquement un domaine *.onmicrosoft.com. Vous pouvez ensuite ajouter vos propres domaines personnalisés (ex: contoso.com) en prouvant que vous en êtes propriétaire.
¶ 2.4 Identité dans le cloud vs hybride
- Cloud only : L'utilisateur existe uniquement dans Entra ID (ex: nouveau collaborateur dans une entreprise 100% cloud)
- Hybride (Hybrid Identity) : L'utilisateur existe dans un Active Directory local ET est synchronisé dans Entra ID via Microsoft Entra Connect
¶ 3. Les objets principaux dans Entra ID
¶ 3.1 Les utilisateurs (Users)
Un utilisateur représente une identité humaine (ou de service) dans Entra ID.
Il existe deux types d'utilisateurs :
- Membre (Member) : appartient à votre organisation (ex: un employé)
- Invité (Guest) : utilisateur externe invité via Azure AD B2B (ex: un partenaire)
Chaque utilisateur possède des attributs comme :
- Nom, prénom
- Adresse e-mail (UPN — User Principal Name)
- Département, poste
- Numéro de téléphone (pour le MFA)
¶ 3.2 Les groupes (Groups)
Les groupes permettent de gérer collectivement les accès et les licences.
| Type de groupe | Description |
|---|---|
| Groupe de sécurité | Utilisé pour contrôler les accès aux ressources |
| Groupe Microsoft 365 | Inclut une boîte mail, un site SharePoint, une équipe Teams |
| Groupe dynamique | Les membres sont ajoutés automatiquement selon des règles (ex: tous les users du département "RH") |
| Groupe attribué | Les membres sont ajoutés manuellement par un administrateur |
¶ 3.3 Les applications (App Registrations & Enterprise Apps)
Entra ID gère deux types d'entrées liées aux applications :
- Inscription d'application (App Registration) : Vous enregistrez votre propre application pour qu'elle puisse utiliser Entra ID pour l'authentification
- Application d'entreprise (Enterprise Application) : Représente une application tierce (ex: Salesforce, Zoom) intégrée à votre tenant pour le SSO
¶ 3.4 Les appareils (Devices)
Entra ID peut gérer les appareils de trois façons :
- Entra ID Registered : L'appareil est enregistré (ex: BYOD — Bring Your Own Device)
- Entra ID Joined : L'appareil appartient à l'entreprise et est entièrement géré dans le cloud
- Hybrid Entra ID Joined : L'appareil est joint au domaine AD local ET enregistré dans Entra ID
¶ 4. Authentification et connexion
¶ 4.1 L'authentification unique (SSO — Single Sign-On)
Le SSO permet à un utilisateur de se connecter une seule fois et d'accéder à toutes les applications autorisées sans se reconnecter.
Exemple : Un employé se connecte à son compte Microsoft le matin. Il peut ensuite accéder à Teams, SharePoint, Salesforce et d'autres apps sans entrer ses identifiants à nouveau.
¶ 4.2 Les protocoles d'authentification
Entra ID supporte plusieurs protocoles modernes :
| Protocole | Usage |
|---|---|
| OAuth 2.0 | Autorisation (déléguer des permissions) |
| OpenID Connect (OIDC) | Authentification (vérifier qui est l'utilisateur) |
| SAML 2.0 | SSO avec des applications d'entreprise plus anciennes |
| WS-Federation | Authentification pour certaines apps Microsoft |
¶ 4.3 L'authentification multifacteur (MFA)
Le MFA exige qu'un utilisateur prouve son identité avec au moins deux facteurs :
- Ce qu'il sait : mot de passe
- Ce qu'il possède : téléphone (SMS, appel, application Authenticator)
- Ce qu'il est : empreinte digitale, reconnaissance faciale
Méthodes MFA disponibles dans Entra ID :
- Application Microsoft Authenticator (recommandée)
- Code SMS / appel téléphonique
- Clé de sécurité FIDO2 (ex: YubiKey)
- Code TOTP (Time-based One-Time Password)
⚠️ Bonne pratique : Activez le MFA pour tous vos utilisateurs, en particulier les administrateurs.
¶ 4.4 L'authentification sans mot de passe (Passwordless)
Microsoft Entra ID permet de se connecter sans mot de passe grâce à :
- Windows Hello for Business
- Application Microsoft Authenticator (notification push)
- Clés FIDO2
¶ 5. Gestion des accès et des rôles
¶ 5.1 Le contrôle d'accès basé sur les rôles (RBAC)
Le RBAC permet d'attribuer des permissions précises à des utilisateurs ou des groupes. Dans Entra ID, il existe deux niveaux de RBAC :
- Rôles Entra ID : Gèrent l'administration de l'annuaire (ex: créer des utilisateurs, gérer des applications)
- Rôles Azure RBAC : Gèrent les ressources Azure (ex: accès aux machines virtuelles, aux bases de données)
¶ 5.2 Les rôles Entra ID les plus courants
| Rôle | Permissions |
|---|---|
| Administrateur général (Global Admin) | Accès complet à tout le tenant — à utiliser avec parcimonie |
| Administrateur d'utilisateurs | Créer et gérer les utilisateurs et les groupes |
| Lecteur général (Global Reader) | Lecture seule sur tout le tenant |
| Administrateur de sécurité | Gérer les politiques de sécurité |
| Administrateur d'applications | Gérer les inscriptions et les applications d'entreprise |
| Administrateur de facturation | Gérer les abonnements et les licences |
💡 Principe du moindre privilège : Attribuez toujours le rôle le moins permissif qui permet à l'utilisateur d'effectuer son travail.
¶ 5.3 Privileged Identity Management (PIM)
PIM est une fonctionnalité (Entra ID P2) qui permet d'attribuer des rôles d'administration de façon temporaire et sur demande.
Avantages :
- Un admin n'a les droits élevés que lorsqu'il en a besoin
- Chaque activation peut nécessiter une justification et une approbation
- Toutes les activations sont auditées
¶ 6. Sécurité et protection des identités
¶ 6.1 L'accès conditionnel (Conditional Access)
L'accès conditionnel permet de définir des règles qui s'appliquent en fonction du contexte de connexion.
Schéma de principe :
Qui se connecte ? (utilisateur, groupe)
+
Depuis où ? (pays, IP, appareil)
+
Pour accéder à quoi ? (application)
=
Décision : Autoriser / Bloquer / Exiger MFA
Exemples de politiques :
- Exiger le MFA pour tous les accès depuis l'extérieur du réseau d'entreprise
- Bloquer les connexions depuis des pays non autorisés
- Autoriser l'accès à une app uniquement depuis des appareils conformes (gérés par Intune)
¶ 6.2 Identity Protection
Microsoft Entra ID Protection détecte automatiquement les risques liés aux identités :
- Connexion depuis une adresse IP anonyme (Tor, VPN)
- Voyage impossible (connexion depuis Paris et New York en 1 heure)
- Credentials compromis (identifiants trouvés dans des fuites de données)
- Activité suspecte (trop de tentatives de connexion échouées)
En fonction du niveau de risque (Faible / Moyen / Élevé), des actions automatiques peuvent être déclenchées (ex: forcer un reset du mot de passe).
¶ 6.3 Les Security Defaults
Les Security Defaults sont un ensemble de paramètres de sécurité de base activés automatiquement pour les nouveaux tenants. Ils imposent notamment :
- Le MFA pour tous les utilisateurs
- Le MFA obligatoire pour les administrateurs
- Le blocage des protocoles d'authentification hérités (Legacy Auth)
💡 Les Security Defaults sont gratuits et suffisants pour les petites organisations qui débutent.
¶ 7. Licences et éditions
Microsoft Entra ID est disponible en plusieurs éditions :
| Édition | Inclus dans | Fonctionnalités clés |
|---|---|---|
| Entra ID Free | Toute souscription Microsoft | SSO de base, MFA, gestion des utilisateurs |
| Entra ID P1 | Microsoft 365 Business Premium, E3 | Accès conditionnel, groupes dynamiques, réinitialisation de mot de passe en libre-service (SSPR) |
| Entra ID P2 | Microsoft 365 E5 | PIM, Identity Protection, Access Reviews |
¶ 8. Prise en main du portail Azure
¶ 8.1 Accéder au portail Entra
Rendez-vous sur https://entra.microsoft.com (portail dédié à Entra) ou via le portail Azure à https://portal.azure.com.
¶ 8.2 Navigation principale
Dans le portail Entra, vous trouverez les sections suivantes :
Entra ID
├── Utilisateurs → Créer, modifier, supprimer des comptes
├── Groupes → Gérer les groupes de sécurité et M365
├── Applications d'entreprise → Configurer le SSO avec des apps tierces
├── Inscriptions d'applications → Développer des apps qui utilisent Entra ID
├── Appareils → Gérer les appareils joints/enregistrés
├── Rôles et administrateurs → Attribuer des rôles Entra ID
├── Sécurité → Accès conditionnel, MFA, Identity Protection
└── Surveillance → Journaux de connexion, journaux d'audit
¶ 8.3 Actions de base à maîtriser
Créer un utilisateur :
- Entra ID → Utilisateurs → + Nouvel utilisateur
- Renseigner le nom, le nom d'utilisateur (UPN), le département
- Attribuer un mot de passe temporaire
- (Optionnel) Attribuer des groupes ou des rôles
Réinitialiser un mot de passe :
- Entra ID → Utilisateurs → Sélectionner l'utilisateur
- Cliquer sur "Réinitialiser le mot de passe"
Consulter les journaux de connexion :
- Entra ID → Surveillance → Journaux de connexion
- Filtrer par utilisateur, date, statut (succès / échec)
¶ 9. Cas d'usage courants
¶ 9.1 Onboarding d'un nouvel employé
- Créer le compte utilisateur dans Entra ID
- Attribuer une licence Microsoft 365
- Ajouter l'utilisateur aux groupes appropriés (accès aux apps, SharePoint, Teams)
- L'utilisateur reçoit ses identifiants et configure son MFA lors de la première connexion
¶ 9.2 Intégration d'une application SaaS (ex: Salesforce)
- Ajouter Salesforce depuis la galerie d'applications Entra ID
- Configurer le SSO (SAML ou OIDC)
- Attribuer les utilisateurs ou groupes qui doivent avoir accès
- Configurer le provisionnement automatique des comptes (SCIM) si disponible
¶ 9.3 Collaboration externe (B2B)
- Inviter un utilisateur externe via son adresse e-mail
- L'invité reçoit un lien d'invitation et se connecte avec son propre compte (Microsoft, Google, etc.)
- Lui attribuer un accès limité aux ressources dont il a besoin (ex: un site SharePoint)
¶ 9.4 Politique de sécurité pour le télétravail
- Créer une politique d'accès conditionnel
- Exiger le MFA pour tout accès depuis l'extérieur du réseau d'entreprise
- Exiger un appareil conforme (géré par Intune) pour accéder aux données sensibles
¶ Prochaines étapes recommandées
- Pratiquer : Créez un tenant de test gratuit sur https://developer.microsoft.com/microsoft-365/dev-program
- Se certifier : Préparez la certification Microsoft SC-900 (Security, Compliance, and Identity Fundamentals) — idéale pour les débutants
- Aller plus loin : Explorez la certification AZ-500 (Azure Security Engineer) ou SC-300 (Identity and Access Administrator)
- Documentation officielle : https://learn.microsoft.com/fr-fr/entra/identity/
¶ Glossaire rapide
| Terme | Définition |
|---|---|
| AAD / Azure AD | Ancien nom de Microsoft Entra ID |
| IAM | Identity and Access Management |
| MFA | Multi-Factor Authentication |
| SSO | Single Sign-On |
| RBAC | Role-Based Access Control |
| PIM | Privileged Identity Management |
| SSPR | Self-Service Password Reset |
| B2B | Business-to-Business (collaboration externe) |
| B2C | Business-to-Consumer (gestion des identités clients) |
| UPN | User Principal Name (format: [email protected]) |
| Tenant | Instance isolée d'Entra ID pour une organisation |
| SCIM | Standard pour le provisionnement automatique des comptes |
*Cours rédigé pour le Cégep Ahuntsic par son excellence Pablo The God