Microsoft 365 / Comment attribuer des rôles d'administrateur et préparer des comptes d'accès d'urgence

Attribuez les autorisations d'administrateur Microsoft 365 en fonction des tâches de chaque personne plutôt que de donner à chaque administrateur le rôle d'administrateur général. Préparez et validez régulièrement des comptes d'accès d'urgence indépendants afin que l'organisation puisse récupérer l'accès administratif si ses comptes administrateur normaux ne peuvent pas être utilisés.

Pourquoi séparer les rôles d'administrateur ?

Les rôles d'administrateur déterminent l'étendue des paramètres pouvant être consultés et les opérations pouvant être modifiées. Des rôles tels qu'administrateur des licences, administrateur des utilisateurs, administrateur Exchange et administrateur SharePoint sont conçus pour différentes responsabilités. Accorder des autorisations inutilement larges à un seul compte augmente l'impact potentiel en cas de compromission du compte ou d'erreurs.

Le guide des rôles d’administration Microsoft 365 recommande de limiter les privilèges et le nombre d’administrateurs. Avant d’attribuer un rôle, énumérez les tâches concrètes que la personne doit effectuer, puis choisissez le rôle disposant du minimum d’autorisations nécessaires. Ne déduisez pas les droits uniquement du nom du rôle ; consultez ses autorisations détaillées.

Choisir des rôles pour les tâches courantes

Par exemple, si les RH fournissent une liste de nouveaux employés et que l'informatique crée leurs comptes, les RH peuvent soumettre une demande d'approbation sans recevoir les autorisations de gestion des utilisateurs. Séparez les tâches en « tâches nécessaires pour l'entreprise » et « tâches que cette personne doit effectuer directement ». Les affectations de rôles doivent être effectuées par un administrateur séparé qui possède les permissions appropriées.

Attribuer et supprimer des rôles d'administrateur

1. Dans le centre d'administration Microsoft 365, ouvrez Rôles → Attributions de rôles. Votre compte actuel doit avoir l'autorisation de gérer les rôles.

2. Sélectionnez un rôle adapté à vos tâches et lisez la description des permissions. Si nécessaire, vérifiez des rôles plus détaillés dans le centre d'administration Microsoft Entra.
3. Dans l'onglet Affecté, sélectionnez Ajouter des utilisateurs, choisissez le compte approprié et sélectionnez Ajouter. Enregistrez la raison de l'affectation, le responsable de l'approbation, la portée et le calendrier de révision.
4. Vérifiez si le travail nécessaire peut être effectué avec le compte et supprimez toutes les autorisations inutiles. Comme il peut falloir du temps pour que les autorisations soient appliquées, commencez une nouvelle session de connexion pour vérifier.

Vous pouvez également changer les rôles sur l'écran de détails de l'utilisateur dans Gérer les rôles. La procédure d'affectation des rôles de Microsoft explique les deux méthodes.

Après l'enregistrement, la personne assignée vérifie les menus et tâches nécessaires dans une nouvelle session de connexion. Si c’est un travail en lecture seule, il suffit de vérifier la visualisation ; lors de la vérification des autorisations de modification, déterminer la cible de test approuvée et les valeurs à restaurer. En cas d’erreurs, vérifier d’abord la portée cible de l’organisation et des rôles ainsi que le statut de l’assignation, et n’attribuez pas immédiatement le rôle Administrateur général.

Lorsque le travail est terminé ou que la personne responsable change, retirez la personne du rôle en revenant à Rôles → Attributions de rôles → le rôle concerné → Affecté et vérifiez à nouveau. Si plusieurs rôles sont détenus simultanément, même si l'un est retiré, le même travail peut toujours être possible par un autre chemin. Si l'organisation utilise PIM (Privileged Identity Management, une fonction de gestion pour activer les autorisations lorsque nécessaire), distinguez et confirmez les rôles actifs et les rôles éligibles.

Qu'est-ce qu'un compte administrateur d'urgence ?

Les comptes d'urgence sont des comptes utilisés pour regagner l'accès à votre organisation lorsque vos comptes administrateurs habituels, vos méthodes d'authentification ou vos systèmes d'identification externes rencontrent des problèmes. Ils sont différents de la simple création d'un compte supplémentaire pour les tâches quotidiennes. Microsoft recommande dans Les directives sur les comptes d'accès d'urgence de préparer deux comptes ou plus uniquement dans le cloud, de concevoir des chemins d'authentification différents de ceux des comptes opérationnels habituels, de surveiller leur utilisation et de les tester périodiquement.

Les comptes d'urgence doivent être créés en tant que comptes exclusivement cloud dans le domaine onmicrosoft.com de l’organisation et conçus de manière à ne pas dépendre de la synchronisation de l'annuaire sur site ni des serveurs d'authentification externes. Les recommandations de Microsoft mises à jour en juin 2026 conseillent que les comptes d'urgence utilisent des méthodes d'authentification résistantes au phishing différentes de celles des administrateurs réguliers et soient exclus des stratégies d'accès conditionnel qui bloquent ou restreignent la connexion. Les stratégies en mode rapport seulement ne bloquent pas la connexion, il n'est donc pas nécessaire d'exclure les comptes d'urgence uniquement pour cette raison.

Cette exception ne signifie pas qu'ils devraient être configurés pour se connecter uniquement avec un mot de passe. Utilisez des clés d’accès FIDO2 ou des clés de sécurité pour répondre aux exigences obligatoires d'authentification multifacteur (MFA). L'authentification basée sur un certificat est une autre option si l'organisation dispose déjà d'une infrastructure à clé publique (Public Key Infrastructure, PKI). Si les comptes réguliers dépendent de l'authentification par téléphone, ne configurez pas les comptes d'urgence pour dépendre du même téléphone. Si vous utilisez PIM, il est recommandé que les rôles d'administrateur général des comptes d'urgence soient dans un état actif de manière permanente plutôt qu'un rôle éligible nécessitant une approbation pour l'activation.

Préparer et valider les comptes d'accès d'urgence

1. Examinez les administrateurs généraux actuels et les dépendances en matière d’authentification. Assurez-vous qu’ils ne dépendent pas uniquement des identifiants intégrés sur site ou d’une seule méthode d’authentification.
2. Concevez au moins deux comptes d’urgence uniquement dans le cloud conformément à la politique de l’organisation. Les noms des comptes doivent permettre d’identifier leur objectif mais ne doivent pas être exposés dans les documents publics ou les captures d’écran.
3. Définissez les privilèges d’administrateur général et les méthodes d’authentification conformément aux directives de Microsoft, et assurez un chemin d’utilisation indépendant des comptes administrateurs réguliers. La méthode de configuration varie selon les licences et les politiques de l’organisation.
4. Configurez les alertes et les procédures d'audit pour l'utilisation des comptes et les modifications de configuration. Si vous êtes connecté avec un compte d'urgence, les dossiers d'incidents et les revues postérieures doivent être conservés.
5. Testez régulièrement les connexions dans un environnement contrôlé. Après le test, vérifiez que les journaux et alertes attendus sont générés, et mettez à jour les procédures d'accès lors des changements de personnel.

Ce qu'il faut vérifier lors des tests réguliers

Microsoft recommande de valider les comptes d'urgence au moins tous les 90 jours. Recontrôlez après les changements d'administrateur, les mises à jour des politiques d'authentification ou les modifications de l'emplacement de stockage. L'essentiel est de distinguer entre « avoir un compte » et « pouvoir l'utiliser pour la récupération », afin que le compte ne soit pas essayé pour la première fois lors d'une panne réelle.

1. Informez l'responsable de la sécurité qu'un test programmé sera effectué et vérifiez que le personnel autorisé peut accéder aux identifiants et à l'environnement de travail sécurisé désigné. Si l'accès au stockage sécurisé dépend d'un compte de travail qui n'est pas disponible durant l'incident, le chemin de récupération peut également être bloqué.
2. Connectez-vous en utilisant le compte d'urgence sans réutiliser une session de compte général. Confirmez que les méthodes d'authentification requises fonctionnent et que les fonctions administratives sont accessibles. Ne désactivez pas arbitrairement les politiques organisationnelles à des fins de test.
3. Vérifiez si les comptes réels et les horodatages apparaissent dans les journaux de connexion et d'audit, et si des alertes de surveillance sont envoyées à d'autres administrateurs. Si aucune alerte n'a été reçue, ne considérez pas le système comme prêt pour un fonctionnement normal.
4. Après la déconnexion, enregistrez les résultats du test, les utilisateurs ayant accédé au système, les vérifications ayant échoué et la personne responsable de la remédiation. Après l'utilisation en situation d'urgence réelle, examinez les tâches effectuées et réévaluez les identifiants et les procédures de stockage qui pourraient avoir été exposés.

La surveillance peut être conçue en fonction de l'identifiant de l'objet compte dans les journaux de connexion Entra. Lors de la connexion des notifications via Azure Monitor ou les outils de surveillance de sécurité de l'organisation, vous devez d'abord préparer les exportations de journaux, le stockage et les chemins d'alerte, ce qui peut nécessiter des autorisations supplémentaires et entraîner des coûts séparés. La simple création d'un compte ne configure pas automatiquement les alertes. Ne consignez pas l'adresse réelle du compte d'urgence, les codes de récupération ou les emplacements de stockage sécurisé des clés dans des documents publics ; conservez-les dans des registres opérationnels contrôlés.