Microsoft 365 / Connexion impossible : diagnostic et réinitialisation du mot de passe

Lorsqu'un utilisateur ne peut pas se connecter à Microsoft 365, au lieu de réinitialiser immédiatement le mot de passe, vérifiez d'abord les messages d'erreur, l'état du compte, les étapes d'authentification et les journaux de connexion Microsoft Entra. Les solutions diffèrent selon les erreurs de mot de passe, les blocages d'accès conditionnel, les échecs de l'authentification multifacteur (MFA) et les pénuries de licences.

Informations à vérifier auprès de l'utilisateur en premier

• L'adresse exacte et l'application utilisée pour tenter de se connecter, ainsi que l'heure et le fuseau horaire de l'incident
• Le code d'erreur et l'ID de corrélation affichés à l'écran, le cas échéant
• À quelle étape l'échec se produit, avant ou après la saisie du mot de passe
• Si le problème est le même sur d'autres navigateurs ou appareils, et si c'est le même en dehors du réseau de l'entreprise
• Changements récents de mot de passe, remplacement de l'application d'authentification ou perte du téléphone mobile

Ne demandez pas à l'utilisateur d'envoyer son mot de passe ou son code d'authentification. Lors de la capture des écrans d'erreur, assurez-vous de masquer les noms de comptes et les informations de l'organisation avant de les partager.

Associez l'enquête à l'étape échouée

Vérifiez si seul un appareil spécifique d'une personne échoue, ou si le même département ou l'ensemble de l'organisation échoue simultanément. Si plusieurs personnes rencontrent la même erreur de service, vérifiez également le statut du service (coréen). Si le service fonctionne dans une fenêtre privée, cela peut permettre de réduire les problèmes liés aux sessions de compte restantes ou au cache du client dans le navigateur, mais cela seul ne détermine pas la cause principale.

Étapes de dépannage pour l'administrateur

1. Dans le centre d'administration Microsoft 365, vérifiez que le compte cible existe et n'est pas bloqué pour la connexion sous [Utilisateurs] → [Utilisateurs actifs]. Si seul un service spécifique ne fonctionne pas, vérifiez également les licences.
2. Filtrez par utilisateur et par période dans [Entra ID] → [Monitoring & health] → [Sign-in logs] dans le centre d'administration Microsoft Entra. La traduction réelle du menu peut varier selon la version de votre écran.

3. Vérifiez l'état des éléments échoués, la raison de l'erreur, les détails d'authentification et les résultats de l'accès conditionnel. Consultez la description des activités de connexion de Microsoft pour interpréter ces informations.
4. Sélectionnez les actions en fonction de la cause de l'erreur. Si c’est un mot de passe incorrect, réinitialisez-le ; si la méthode d'authentification est perdue, récupérez la méthode d'authentification ; si c’est bloqué par la stratégie, examinez la portée de cette stratégie.
5. Après avoir pris des mesures, connectez-vous à nouveau avec la même application, le même appareil et les mêmes conditions réseau, puis vérifiez qu’un nouvel événement de connexion réussie apparaît.

La fonction de diagnostic de connexion de Microsoft aide également à analyser les échecs de connexion. Si aucune tentative n’apparaît dans le journal, vérifiez de nouveau que le compte et le locataire utilisés sont corrects et que la demande d’authentification a bien atteint Microsoft Entra.

Éléments à lire dans le journal de connexion

Utilisez un rôle approprié de lecture des journaux, tel que Lecteur de rapports. Limitez d'abord les utilisateurs et la plage de temps pendant laquelle les événements se sont produits, puis réduisez la portée à l'application ou à la ressource pertinente. L’horodatage affiché peut être affiché dans le fuseau horaire de la personne qui consulte le centre d'administration, donc alignez l'heure et le fuseau horaire comme indiqué par l'utilisateur. Comme une demande peut être divisée en plusieurs événements, ne sélectionnez pas la première ligne en vous basant uniquement sur un seul horodatage.

• Informations de base: Lisez ensemble l'utilisateur, l'application, la ressource cible, le statut et la raison de l'erreur. Même pour le même compte, si les ressources échouées sont différentes, il peut s'agir de demandes séparées.
• Détails d'authentification : Vérifiez quelle méthode d'authentification a échoué et si l'exigence MFA a été satisfaite avec une authentification réelle ou des informations provenant d'un jeton existant.
• Accès conditionnel : Vérifiez le nom et les contrôles des stratégies échouées. « Non appliqué » peut signifier que les conditions de cette stratégie n'ont pas été remplies, et ne signifie pas qu'il n'y a pas de protection de sécurité.
• Rapport uniquement : Distinguez entre les stratégies qui ont réellement bloqué l'accès et les résultats des évaluations de simulation. Ne concluez pas qu'un échec en mode Rapport uniquement est la cause actuelle du problème.

"Si la connexion web fonctionne mais que seule l'application de fichiers échoue sur un ordinateur portable de l'entreprise, vous devez regrouper les conditions utilisateur, application et appareil comme le même incident et les comparer. Si la cause est le non-respect des exigences de conformité de l'appareil, vous devez corriger l'enregistrement de l'appareil et le statut de conformité, et changer le mot de passe ne résoudra pas le problème. Les estimations de localisation basées sur les adresses IP (protocole Internet) peuvent être affectées par les réseaux privés virtuels (VPN) ou les itinéraires des opérateurs, donc une seule localisation ne détermine pas à elle seule la compromission ou la localisation de l'utilisateur."

S'il n'y a pas de journaux, élargissez légèrement le filtre et vérifiez les types de connexion interactifs et non interactifs. S'il n'y a toujours pas de journaux, vérifiez si un autre locataire ou compte personnel a été utilisé, ou si la demande n'a pas atteint l'étape d'authentification. Si vous pouvez lancer un diagnostic de connexion dans les détails de l'événement, comparez les recommandations avec les journaux réels.

Lorsque vous devez réinitialiser un mot de passe

1. Tout d'abord, effectuez une procédure de vérification de l'utilisateur. Ne réinitialisez pas le mot de passe uniquement parce que la demande est arrivée par téléphone ou chat.
2. Sélectionnez la cible dans [Utilisateurs actifs] et exécutez [Réinitialiser le mot de passe]. Confirmez le mot de passe temporaire affiché et l'obligation de le changer lors de la prochaine connexion.

3. Passez en revue la méthode de création du mot de passe et l'exigence de le changer lors de la prochaine connexion avant de finaliser la réinitialisation. Ne laissez pas le mot de passe temporaire affiché dans des captures publiques ou des dossiers de travail.
4. Transmettez le mot de passe temporaire via un canal sécurisé séparé approuvé et assurez-vous que l'utilisateur a terminé la connexion et le changement de mot de passe. S'il est stocké sous forme de fichier pour un partage sécurisé, restreignez l'accès et traitez-le conformément à la stratégie de conservation de l'organisation.

Ne basez pas ces instructions sur une option pour envoyer des mots de passe par e-mail depuis le centre d'administration Microsoft 365. Microsoft a supprimé cette fonctionnalité, et la procédure officielle pour la réinitialisation des mots de passe fournit des instructions pour une livraison sécurisée. Vérifiez les autorisations de l'administrateur des mots de passe et les restrictions du compte cible avant de déléguer une réinitialisation. Un rôle capable de réinitialiser un utilisateur ordinaire peut ne pas être autorisé à réinitialiser un compte privilégié ou un membre d'un groupe assignable à un rôle.

Les comptes synchronisés avec un annuaire local peuvent avoir des procédures différentes selon la source du changement de mot de passe ou la configuration de la réécriture des mots de passe (password writeback). S'il existe des signes de connexions suspectes ou de compromis de compte, ne vous contentez pas d'une simple réinitialisation ; examinez les sessions, les méthodes d'authentification, les rôles d'administrateur et les journaux d'audit.

Comment confirmer que le problème est résolu

Demandez à l'utilisateur de réessayer dans l'application, l'appareil ou le réseau ayant initialement échoué, et vérifiez les horodatages ainsi que les résultats de succès dans les nouveaux journaux. Vérifiez également si les e-mails ou les fichiers ont réellement été ouverts et si le travail a repris. Ne laissez dans l'enregistrement de la demande que les symptômes, les événements vérifiés, les éléments modifiés et les résultats des tests, et n'incluez pas de mots de passe ou de codes d'authentification.

Si un utilisateur a perdu un moyen d'authentification, vérifiez son identité et suivez le processus de récupération du moyen d'authentification approuvé par l'organisation. Si vous découvrez un nouveau moyen d'authentification suspect ou une connexion réussie que l'utilisateur nie, passez à la procédure de réponse aux incidents de sécurité. Si vous avez créé une exception de sécurité pour résoudre une erreur, notez son champ d'application, sa date d'expiration et la personne responsable de sa suppression, puis rétablissez la protection normale après avoir résolu le problème.