Microsoft Entra ID et identité hybride : les notions

Microsoft Entra ID (appelé Azure Active Directory jusqu'en 2023) est le service d'identité de Microsoft dans le cloud : c'est lui qui authentifie les utilisateurs de Microsoft 365, d'Azure et de milliers d'applications en ligne. Dans la plupart des entreprises, il cohabite avec l'Active Directory local : on parle d'identité hybride. Ce chapitre explique ce qui distingue les deux annuaires, comment on les synchronise, les trois méthodes d'authentification, les types de jonction des appareils, ce que le cloud ajoute, et comment protéger cet ensemble. Ce sont des notions : le BTS demande de les comprendre et de savoir les situer, pas de déployer un locataire Microsoft 365.

AD DS et Entra ID : deux annuaires différents

Malgré leur ancien nom commun, ce ne sont pas deux versions du même produit.

Un locataire Entra ID est créé avec un domaine sorbier.onmicrosoft.com. On y ajoute le domaine de l'entreprise, sorbier.example, en prouvant qu'on le possède par un enregistrement TXT dans sa zone DNS publique. Les utilisateurs se connectent alors avec jlefevre@sorbier.example.

Synchroniser l'annuaire local avec Entra ID

Dans une organisation hybride, l'Active Directory local reste la source d'autorité : les comptes y sont créés, modifiés et désactivés, et un outil de synchronisation les recopie dans Entra ID. Microsoft propose deux outils :

On choisit les OU synchronisées (les comptes de service et d'administration locaux n'ont rien à faire dans le cloud) et on vérifie que les UPN des comptes utilisent un domaine vérifié. Chez Sorbier, les UPN jlefevre@ad.sorbier.example ne peuvent pas être utilisés dans le cloud : on ajoute à la forêt le suffixe sorbier.example et on change l'UPN des comptes.

# Ajouter un suffixe UPN à la forêt
Get-ADForest | Set-ADForest -UPNSuffixes @{ Add = "sorbier.example" }

# Passer les comptes d'une OU sur le nouveau suffixe
Get-ADUser -Filter * -SearchBase "OU=Utilisateurs,OU=Sorbier,DC=ad,DC=sorbier,DC=example" | ForEach-Object {
    Set-ADUser -Identity $_ -UserPrincipalName "$($_.SamAccountName)@sorbier.example" -WhatIf
}

Les trois méthodes d'authentification

Une fois les comptes synchronisés, il reste à décider qui vérifie le mot de passe quand un salarié se connecte à Microsoft 365.

La synchronisation du hachage est la méthode recommandée par défaut ; on peut l'activer même avec une autre méthode, comme secours. Pour que les salariés ne retapent pas leur mot de passe, l'authentification unique se fait par le jeton d'actualisation principal (PRT) des postes joints à Entra ID ou en jonction hybride.

Les appareils : jonction au domaine, hybride ou Entra

Sur un poste, dsregcmd /status indique son état : DomainJoined, AzureAdJoined et, pour la jonction hybride, les deux à YES. La gestion des appareils personnels est traitée dans le chapitre BYOD et MDM du cours Poste de travail.

Ce que le cloud ajoute

• L'authentification multifacteur (MFA) et les clés d'accès (passkeys) pour tous les utilisateurs (MFA et authentification forte).
• L'accès conditionnel : des règles du type « l'accès à Microsoft 365 depuis l'extérieur exige la MFA et un poste conforme » ou « bloquer les connexions depuis tel pays ». Il demande la licence Entra ID P1 (incluse dans certaines offres Microsoft 365).
• La protection des identités (licence P2) : détection des connexions risquées et des identifiants divulgués.
• La réinitialisation du mot de passe en libre-service, avec réécriture vers l'annuaire local : le salarié qui a oublié son mot de passe le change lui-même, sans appeler le support.
• Intune pour gérer les postes et les mobiles, et les stratégies de mise à jour des postes (chapitre 12).
• La sauvegarde des mots de passe Windows LAPS dans Entra ID pour les postes joints à Entra.
• Microsoft Entra Domain Services : un domaine géré par Microsoft dans Azure, compatible Kerberos et LDAP, pour les vieilles applications migrées dans le cloud, sans contrôleurs à administrer.
• Azure Arc : relier des serveurs sur site à Azure, pour la gestion des mises à jour, le hotpatch ou la licence à l'usage (chapitre 1).

Sécuriser l'identité hybride

Une organisation hybride a deux annuaires à protéger, et une compromission de l'un ne doit pas donner l'autre.

• Des comptes d'administration cloud à part. Les administrateurs du locataire (administrateur général, administrateur des utilisateurs…) sont des comptes créés directement dans le cloud, jamais des comptes synchronisés depuis l'annuaire local. Sinon, un attaquant qui prend le contrôle de l'Active Directory local devient aussi administrateur du cloud en changeant un mot de passe.
• Ne pas synchroniser les comptes privilégiés locaux (Admins du domaine, comptes de service).
• MFA résistante à l'hameçonnage pour tous les administrateurs (clé de sécurité FIDO2, Windows Hello Entreprise).
• Deux comptes d'accès d'urgence (break glass), cloud uniquement, aux mots de passe très longs rangés en lieu sûr, exclus de l'accès conditionnel et surveillés : ils servent si la MFA ou la fédération tombent.
• Le serveur de synchronisation en tier 0, avec ses mises à jour : les anciennes versions de l'outil de synchronisation cessent d'être supportées et ne fonctionnent plus au bout d'un moment.
• Les journaux de connexion et d'audit d'Entra ID envoyés au SIEM, comme ceux des contrôleurs.

Exercices