L'accès conditionnel et la gouvernance des accès

Cette fiche détaille l'accès conditionnel de Microsoft Entra ID, le plus répandu en entreprise. Le principe est le même chez les autres fournisseurs d'identité (partie 8). Informations vérifiées le 20 octobre 2026 dans la documentation Microsoft.

1. Le principe : « si… alors… »

Chaque stratégie se lit comme une règle :

Si ces utilisateurs accèdent à ces applications dans ces conditions, alors accorder, exiger ou bloquer.

Toutes les stratégies qui s'appliquent sont évaluées ensemble : toutes leurs exigences doivent être remplies, et un blocage l'emporte toujours.

2. Sans licence P1 : les valeurs de sécurité par défaut

Les tenants sans Entra ID P1 disposent des valeurs de sécurité par défaut (security defaults), activées sur les nouveaux tenants. C'est un interrupteur unique, sans réglage :

Pour une petite structure sans licence P1, activez-les : c'est la meilleure protection gratuite. Les valeurs par défaut et l'accès conditionnel ne peuvent pas être actifs en même temps : on désactive les premières au moment de déployer le second.

3. Les stratégies gérées par Microsoft

Sur les tenants qui ont des licences P1, Microsoft crée des stratégies gérées en mode rapport, puis les active si l'administrateur ne réagit pas. On peut les activer, les désactiver ou y ajouter des exclusions, mais pas les supprimer ni les renommer. Parmi elles :

• Bloquer l'authentification héritée ;
• Bloquer le flux de code d'appareil ;
• Double authentification pour les administrateurs sur les portails d'administration Microsoft ;
• Double authentification pour tous les utilisateurs ;
• Double authentification et nouvelle connexion pour les connexions à risque ;
• Authentification résistante à l'hameçonnage pour les administrateurs.

Consultez-les dans Entra ID > Accès conditionnel > Stratégies : elles sont signalées comme gérées par Microsoft.

4. Le socle recommandé

Microsoft propose des modèles prêts à l'emploi (Nouvelle stratégie à partir d'un modèle) et un déploiement en trois phases. Voici un socle raisonnable pour une PME, à adapter :

Les comptes d'urgence sont exclus de toutes ces stratégies, ainsi que les comptes de synchronisation (Entra Connect, Cloud Sync), qui ne se connectent pas de façon interactive.

5. Déployer sans s'enfermer dehors

1. Comptes d'urgence : deux comptes cloud uniquement, administrateurs généraux, protégés par clé FIDO2, exclus de toutes les stratégies, et surveillés (alerte à chaque connexion).
2. Mode rapport (Report-only) : chaque nouvelle stratégie démarre en mode rapport ; Entra calcule ce qu'elle aurait fait sans rien bloquer. Les modèles sont créés dans ce mode par défaut.
3. Analyse : journaux de connexion (onglet Accès conditionnel de chaque connexion), classeur Insights et rapports de l'accès conditionnel, outil What If pour simuler une connexion.
4. Groupe pilote : activez d'abord pour le service informatique, puis un service volontaire.
5. Communication : prévenez les utilisateurs avant (ce qui change, quand, qui contacter).
6. Activation générale, puis surveillance des échecs pendant quelques jours.

6. La gouvernance des stratégies

Exporter toutes les stratégies avec le module PowerShell Microsoft Graph, pour les archiver :

Connect-MgGraph -Scopes "Policy.Read.All"
Get-MgIdentityConditionalAccessPolicy -All |
    ConvertTo-Json -Depth 10 |
    Out-File "CA-export-$(Get-Date -Format yyyy-MM-dd).json"

7. Aller plus loin

8. Hors Microsoft

9. La liste de contrôle

À retenir

• L'accès conditionnel décide qui accède à quoi, depuis où et avec quoi : bloquer, ou accorder avec des exigences.
• Sans licence P1 : les valeurs de sécurité par défaut, à activer. Avec P1 : surveillez les stratégies gérées par Microsoft et construisez votre socle à partir des modèles.
• Le socle : authentification héritée bloquée, double authentification pour tous, résistante à l'hameçonnage pour les administrateurs, appareils conformes.
• Mode rapport, groupe pilote, outil What If, et comptes d'urgence exclus : on ne s'enferme jamais dehors.
• Gouvernance : nommage, exclusions par groupes documentés, export des stratégies et alertes sur leurs modifications.