La gestion des identités et des accès : les bonnes pratiques

Cette fiche s'applique à Active Directory, à Entra ID et à n'importe quel annuaire. Pour l'articulation entre AD et Entra ID, voir l'hybridation.

1. Les notions

Trois sortes d'identités

2. Le cycle de vie : arrivée, mobilité, départ

C'est le cœur du sujet. On parle souvent de processus JML (Joiner, Mover, Leaver).

La procédure de départ

1. Désactiver le compte (pas le supprimer tout de suite : on perdrait l'historique et les droits sur les fichiers).
2. Réinitialiser son mot de passe et révoquer les sessions en cours (dans Entra ID : Révoquer les sessions), pour que les jetons déjà émis cessent de fonctionner.
3. Retirer le compte des groupes, licences, applications et rôles.
4. Récupérer les appareils et effacer à distance les données de l'entreprise sur les téléphones (MDM).
5. Transférer la boîte aux lettres et les fichiers au responsable, selon la politique de l'entreprise.
6. Vérifier les accès hors annuaire : comptes locaux d'applications, accès fournisseurs, VPN, outils SaaS achetés hors du service informatique.
7. Supprimer le compte après le délai de conservation défini (30 à 90 jours selon les organisations).

3. Le moindre privilège et les rôles

Ne donnez jamais de droits directement à une personne : donnez-les à un groupe qui représente un rôle, et mettez les personnes dans ce groupe. Quand quelqu'un change de poste, on change ses groupes ; quand un droit doit évoluer, on le change une fois, pour tout le rôle.

Dans Active Directory, le modèle classique est AGDLP :

Résultat : en lisant les groupes d'un utilisateur, on sait ce qu'il fait ; en lisant les groupes d'une ressource, on sait qui y accède.

4. Les comptes à privilèges

Séparer le compte du quotidien et le compte d'administration

Un administrateur qui lit ses courriels avec son compte d'administrateur du domaine offre à un simple courriel piégé les clés de toute l'entreprise.

Le modèle en niveaux (tiering)

Microsoft et l'ANSSI recommandent de cloisonner l'administration en niveaux : un compte d'un niveau ne se connecte jamais à une machine d'un niveau moins protégé, pour que ses identifiants ne puissent pas y être volés.

Les autres mesures pour les administrateurs

Les comptes d'urgence (break glass)

Prévoyez deux comptes d'urgence dans Entra ID, cloud uniquement (jamais synchronisés), avec le rôle d'administrateur général, pour le jour où plus personne ne peut se connecter (panne de la double authentification, erreur dans l'accès conditionnel, compte d'administrateur bloqué) :

• authentification par clé FIDO2 (conservée au coffre) ou mot de passe très long conservé sous séquestre ;
• exclus des stratégies d'accès conditionnel qui pourraient les bloquer, mais surveillés : toute connexion doit déclencher une alerte ;
• testés régulièrement, et leur procédure d'utilisation documentée.

5. Les comptes de service

Créer un gMSA (dans PowerShell avec le module Active Directory, sur une forêt où la clé racine KDS existe) :

New-ADServiceAccount -Name gmsa-sauvegarde `
    -DNSHostName gmsa-sauvegarde.entreprise.local `
    -PrincipalsAllowedToRetrieveManagedPassword "GG_Serveurs_Sauvegarde"

6. La politique de mots de passe

Les recommandations ont changé. La norme américaine NIST SP 800-63B (révision 4, 2025), largement reprise, impose désormais :

Dans Entra ID, la protection par mot de passe bloque les mots de passe faibles et une liste personnalisée (nom de l'entreprise, ville) ; un agent l'étend à l'Active Directory local. Le meilleur mot de passe reste celui qu'on n'a pas à retenir : gestionnaire de mots de passe (voir la fiche dédiée) et, à terme, clés d'accès (passkeys) sans mot de passe.

7. Revues d'accès, journalisation et audit

Les revues d'accès

Au moins une fois par trimestre pour les accès sensibles, une fois par an pour le reste : chaque responsable confirme que les membres de ses groupes et les comptes de son application en ont toujours besoin. Entra ID automatise ces revues (licence de gouvernance) ; sinon, un export et un tableur signé suffisent pour commencer.

À vérifier à chaque revue :

• les comptes inactifs depuis plus de 90 jours ;
• les comptes dont le mot de passe n'expire jamais ;
• les membres des groupes privilégiés ;
• les invités et prestataires dont la mission est terminée.

Lister les comptes inactifs depuis 90 jours dans l'AD :

Search-ADAccount -AccountInactive -TimeSpan 90.00:00:00 -UsersOnly |
    Select-Object Name, SamAccountName, LastLogonDate

Les événements à surveiller

Centralisez ces journaux (SIEM, ou un outil de collecte comme Wazuh ou Graylog) et alertez sur les changements des groupes privilégiés.

Auditer son Active Directory

Lancez ces outils avec l'accord écrit de la direction : ce sont aussi des outils qu'utilisent les attaquants.

8. La liste de contrôle

À retenir

• Arrivée, mobilité, départ : le départ se traite le jour même, et la mobilité commence par retirer les anciens droits.
• Moindre privilège : des droits par groupes de rôle, jamais en direct.
• Comptes d'administration séparés, modèle en niveaux, LAPS, accès juste-à-temps, et deux comptes d'urgence surveillés.
• Comptes de service : gMSA ou identités managées, un responsable, des droits minimaux, des secrets dans un coffre.
• Mots de passe longs, liste d'interdits, pas de changement périodique forcé ; revues d'accès régulières et audit de l'AD.