Microsoft 365 / Configurer la MFA : paramètres de sécurité par défaut ou accès conditionnel ?

Lors de l'application de l'authentification multi-facteur (MFA) dans Microsoft 365, si vous avez besoin d'une protection de base simple pour toute l'organisation, consultez Paramètres de sécurité par défaut. Si vous avez besoin de stratégies conditionnelles basées sur les utilisateurs, les applications, les emplacements ou les appareils, consultez Accès conditionnel. Les deux méthodes ne sont pas destinées à être activées simultanément. L'accès conditionnel nécessite des licences Microsoft Entra appropriées et une conception de stratégie.

Différences entre les Paramètres de sécurité par défaut et l'Accès conditionnel

Selon les Directives sur les paramètres de sécurité de Microsoft et le Plan de déploiement de l'accès conditionnel, les paramètres de sécurité par défaut et l'accès conditionnel ne sont pas utilisés simultanément. Pour les licences spécifiques aux produits, vérifiez les dernières conditions sur les Informations sur les licences Microsoft Entra.

L'enregistrement, les exigences et l'achèvement de l'MFA sont différents

L'authentification multifactorielle (MFA) vérifie l'identité en utilisant deux facteurs d'authentification distincts ou plus. Un mot de passe est un facteur possible ; les méthodes sans mot de passe prises en charge peuvent également satisfaire aux exigences de la MFA. Vous devez vérifier séparément le fait qu'une application d'authentification a été enregistrée, que la MFA était requise pour une connexion spécifique et que cette exigence a effectivement été remplie. Si vous ne l'enregistrez que sans appliquer la stratégie, la protection prévue peut ne pas être obtenue.

À l'inverse, l'absence de sollicitations d'authentification à chaque fois ne signifie pas que l'MFA est désactivée. L'état d'authentification de la session ou du jeton existant peut avoir été reconnu, il est donc déterminé à partir de l'enregistrement de connexion. Même si l'écran classique d'MFA par utilisateur affiche « Désactivé », l'MFA peut être appliquée via les paramètres de sécurité par défaut ou l'accès conditionnel. Ne pas activer l'MFA classique par utilisateur uniquement sur la base de cette indication.

Questions à vérifier avant de prendre une décision

• Quelles stratégies d'authentification sont déjà activées dans le locataire actuel ? Un nouveau locataire peut avoir les paramètres de sécurité par défaut activés.
• Quelles méthodes d'authentification les administrateurs et les utilisateurs réguliers ont-ils enregistrées ? Un guide de préparation avant déploiement pourrait être nécessaire.
• Y a-t-il de vieilles applications ou dispositifs utilisant l'authentification héritée ? Vous devez vérifier la possibilité d'une interruption de travail si bloqué.
• Avez-vous un compte administrateur d'urgence et des procédures de récupération préparées ? Tous les administrateurs pourraient être bloqués à cause de stratégies d'accès conditionnel incorrectes.
• L'utilisateur a-t-il une licence pour utiliser les fonctionnalités requises ?

Procédure pour examiner les paramètres de sécurité par défaut

1. Connectez-vous au centre d'administration Microsoft Entra avec les permissions requises.
2. [Entra ID] → [Vue d’ensemble] → [Propriétés] pour trouver l'emplacement de gestion des paramètres de sécurité par défaut. Si la structure du menu a changé, recherchez « Paramètres de sécurité par défaut » dans la recherche du centre d'administration.

3. Enregistrez le statut actuel et examinez les administrateurs, utilisateurs et applications concernés. Informez l'organisation et préparez l'enregistrement de l'authentification, puis décidez s'il faut appliquer.
4. Si vous sélectionnez les paramètres de sécurité par défaut, appliquez-les via Gérer les paramètres de sécurité par défaut → Activé → Enregistrer. La configuration des paramètres de sécurité par défaut nécessite au minimum le rôle d'administrateur de l'accès conditionnel. Guidez les utilisateurs à travers le processus d'enregistrement pour les méthodes d'authentification prises en charge.
5. Vérifiez le nouveau flux de connexion pour les administrateurs et les utilisateurs généraux, et examinez les journaux d'inscription et de connexion à l'authentification. Incluez dans le plan de déploiement si les sessions de connexion existantes seront maintenues. La révocation des sessions de connexion existantes affecte le travail des utilisateurs, elle doit donc être effectuée dans le cadre d'une portée approuvée après notification et préparation du support.

Les paramètres de sécurité par défaut ne permettent pas d'ajouter des exceptions pour des utilisateurs individuels. Avant de désactiver la protection par défaut globale uniquement parce que certains appareils anciens doivent la contourner, examinez si vous devez modifier la méthode d'authentification pour ces appareils ou passer à une conception d'accès conditionnel. Ne planifiez pas l'orientation des utilisateurs en fonction de la période de grâce d'enregistrement MFA d’un document précédent.

Lors de l’introduction de l’accès conditionnel

Dans le centre d’administration Microsoft Entra, ouvrez Accès Conditionnel → Stratégies. Selon la disposition de l’écran, cela peut être sous le menu sécurité de Entra ID ou peut être trouvé via la recherche du centre d’administration. Vérifiez que vous avez le rôle requis pour créer ou modifier des stratégies et que les utilisateurs concernés disposent des licences nécessaires. L’accès conditionnel courant nécessite Entra ID P1, et les conditions basées sur le risque utilisateur ou de connexion nécessitent P2, etc.

Lors du passage des paramètres de sécurité par défaut, vous devez concevoir et vérifier une stratégie alternative et définir un temps de transition. Le simple fait de désactiver les paramètres de sécurité par défaut et de créer une stratégie en mode Rapport uniquement ne fournit pas une protection équivalente. Microsoft recommande d'activer immédiatement la stratégie de protection après avoir désactivé les paramètres par défaut. Par conséquent, les exercices en mode Rapport uniquement ci-dessous doivent être effectués dans un environnement de test où la protection existante est maintenue ou conformément à un plan de transition, et ne doivent pas être utilisés comme étape préparatoire pour désactiver d'abord la protection dans une organisation opérationnelle.

1. Saisissez un nom dans la nouvelle stratégie qui indique clairement son objectif et sa cible. Par exemple, écrivez-le comme "Exiger l'MFA pour les utilisateurs pilotes."
2. Incluez le groupe de test dans les utilisateurs et comparez-le avec les comptes cibles. Les comptes d'urgence doivent être exclus des stratégies de blocage de connexion ou restreintes selon le Conception des comptes d’accès d’urgence, et une authentification forte séparée ainsi qu'une surveillance doivent être prévues.
3. Déterminez les applications/ressources à protéger dans les ressources cibles. N’interprétez pas les résultats du test d'une seule application comme automatiquement appliqués à tous les services.
4. Dans Accorder (Grant), sélectionnez l’exigence pour MFA et enregistrez l’état de la stratégie comme Rapport uniquement. Ne mélangez pas dès le départ le blocage, les appareils conformes et les conditions de risque ; vérifiez quel effet produit chaque exigence.
5. Connectez-vous à la ressource avec un compte de test et vérifiez les cibles, les exigences et les causes de défaillance attendues de la stratégie dans les résultats Report-only des événements de connexion. Report-only n'applique en réalité pas le contrôle d'accès de cette stratégie.

Vérification avant et après l'activation et le retour en arrière

Enregistrez d'abord les résultats attendus dans un tableau. Par exemple, les utilisateurs de test doivent répondre aux exigences MFA dans l'application spécifiée, et les utilisateurs en dehors de la cible ne doivent pas être affectés par la nouvelle stratégie. Cependant, d'autres stratégies ou exigences d'authentification imposées par Microsoft peuvent être appliquées séparément, donc exclure une stratégie ne signifie pas une exemption complète de MFA.

Après avoir examiné les résultats en mode Rapport uniquement et les tests réels, définissez la stratégie sur Activé (On) en commençant par le pilote approuvé. Ensuite, vérifiez les exigences d'authentification et les résultats d'accès lors de nouvelles connexions et étendez la cible. Le plan de déploiement de Microsoft recommande d'examiner les impacts en mode Rapport uniquement pendant au moins une semaine avant d'appliquer la stratégie. Utilisez cette période d'observation pour collecter des résultats de connexion représentatifs pour les rôles et applications clés ; le seul temps écoulé ne constitue pas une validation suffisante.

Si un problème survient, vérifiez les stratégies appliquées dans l’onglet Accès conditionnel de l’événement échoué. Si une nouvelle stratégie est la cause, utilisez le chemin d’accès administratif préparé pour définir cette stratégie sur Rapport uniquement ou Désactivé, et vérifiez que les protections existantes sont maintenues. Ne désactivez pas toutes les stratégies en même temps et ne les laissez pas comme exceptions à long terme. Après la récupération, corrigez la cible, les conditions et les méthodes d’authentification, et réappliquez la stratégie seulement après avoir réussi à nouveau le même test.