Infrastructure / Sécurité et identité / Accès conditionnel
Écrire la règle d’accès est facile. Savoir à qui elle s’applique, beaucoup moins.
Qui entre, depuis où, sur quel appareil — et ce qu’on lui demande de prouver.L’accès conditionnel examine chaque connexion à vos services Microsoft 365 et décide quoi exiger : une authentification multifacteur, un appareil géré par l’entreprise, ou rien du tout parce que la personne est au bureau sur son ordinateur habituel. La difficulté n’est jamais la syntaxe : c’est de savoir qui se trouve dans chaque cas, et de ne verrouiller personne dehors en le découvrant.
Les connexions qui posent question
Un mot de passe juste ne dit pas grand-chose. Il dit que quelqu’un connaît le mot de passe, pas que c’est la bonne personne, ni que l’appareil employé mérite qu’on lui confie vos documents.
Une connexion arrive d’un pays où personne ne travaille
Le compte est valide, le mot de passe est juste, et la connexion vient d’un endroit où votre entreprise n’a ni bureau, ni client, ni collaborateur en déplacement.
Une exigence liée au lieu de connexion demande une preuve supplémentaire, ou empêche l’accès et vous le signale.
Un collaborateur consulte sa messagerie sur son téléphone personnel
L’appareil n’est pas géré par l’entreprise, il n’a pas forcément de code de déverrouillage, et il finira peut-être revendu avec les documents encore dessus.
L’accès peut rester ouvert dans le navigateur sans autoriser le téléchargement, ou exiger un appareil géré pour aller plus loin.
Un prestataire externe accède à vos documents
Il a besoin de deux dossiers pour trois mois. Son compte invité reste souvent actif bien après la fin du travail, et personne ne le referme.
Les comptes invités reçoivent leurs propres exigences, plus strictes, sans compliquer la vie de vos équipes internes.
Un ancien protocole contourne toute vérification
Certains clients de messagerie anciens ne savent pas présenter une authentification multifacteur. Un compte atteint par ce chemin est atteint avec le seul mot de passe.
C’est la première chose que nous fermons, et souvent celle qui change le plus le niveau de risque réel.
Un compte d’administration sert aussi à lire ses courriels
Le même compte ouvre la messagerie, navigue sur le web et administre l’annuaire. Une seule page piégée suffit alors à donner les droits les plus élevés.
Les comptes d’administration reçoivent des exigences séparées, et ne servent qu’à administrer.
Deux connexions du même compte à deux heures d’avion d’écart
La première vient de Lausanne à 9 h, la seconde de l’autre bout du monde à 9 h 20. L’une des deux n’est pas la bonne personne.
Microsoft Entra ID Protection note ce genre de connexion comme risquée, et l’accès conditionnel peut alors exiger une nouvelle preuve d’identité.
Ce que l’accès conditionnel regarde, et ce qu’il exige
Une décision d’accès conditionnel se lit comme une phrase : si telle personne, depuis tel endroit, sur tel appareil, ouvre telle application — alors exiger ceci. Tout le travail consiste à remplir les blancs pour votre entreprise.
Ce qu’il regarde
Les signaux de la connexion
- Qui — la personne, son groupe, son rôle d’administration, et si c’est un compte invité.
- Depuis où — l’adresse réseau, le pays, et les endroits que vous avez déclarés comme vos locaux.
- Sur quel appareil — géré par l’entreprise ou non, conforme à vos exigences ou non.
- Vers quelle application — la messagerie, les documents, l’administration de l’annuaire.
- Avec quel niveau de risque — une connexion inhabituelle, ou un compte dont le mot de passe circule.
Ce qu’il peut exiger
La décision, une fois les signaux lus
- Une authentification multifacteur — tout de suite, ou seulement hors de vos locaux.
- Un appareil géré et conforme — sinon l’accès n’est pas accordé.
- Une session limitée — lecture dans le navigateur, sans téléchargement ni impression.
- Une reconnexion périodique — au lieu d’une session qui reste ouverte indéfiniment.
- Rien du tout — et c’est le cas le plus fréquent, pour qui travaille normalement.
La condition liée au type d’appareil repose sur ce que le navigateur déclare de lui-même : Microsoft précise qu’elle peut être imitée. Elle sert à orienter un usage, jamais à tenir seule une exigence de sécurité.
Ce que nous mettons en place en premier
Six points, dans cet ordre, avant toute demande particulière. Ils couvrent la plus grande partie du risque réel et se laissent expliquer à une direction en cinq minutes.
Deux comptes d’accès d’urgence
Exclus de toutes les exigences, avec un mot de passe long conservé hors du système, et testés avant d’en avoir besoin.
Les anciens protocoles fermés
Les chemins d’authentification qui ne savent pas présenter un second facteur sont refusés, pour tout le monde.
Un second facteur pour les comptes d’administration
Sans exception et sans condition de lieu : ce sont les comptes dont la perte coûte le plus cher.
Un second facteur pour tout le monde
Posé ensuite, une fois que les cas particuliers sont connus. Microsoft l’exige désormais lui-même pour l’administration.
Des exigences propres aux comptes invités
Un prestataire externe n’a pas à recevoir les mêmes conditions qu’une personne de votre entreprise.
Une durée de session décidée
Plutôt qu’une session qui reste ouverte indéfiniment sur un appareil partagé ou dans un lieu public.
Le seul incident vraiment coûteux : se verrouiller dehors
Une exigence mal ciblée peut s’appliquer à tous les comptes, y compris les vôtres. Plus personne ne peut alors se connecter pour la retirer, et le rétablissement passe par un dossier chez Microsoft, avec le délai que cela suppose.
C’est pour cela que les comptes d’accès d’urgence sont posés en premier, exclus de tout, et que nous vérifions qu’ils fonctionnent avant d’appliquer quoi que ce soit d’autre.
Comment nous procédons
Cinq étapes, dans cet ordre. La troisième est celle qui évite les mauvaises surprises : on regarde ce qui se passerait, avant que quoi que ce soit se passe.
Relever qui se connecte, et comment
Les comptes réellement actifs, les comptes de service oubliés, les appareils employés, les lieux de connexion habituels, et les anciens protocoles encore ouverts. Ce relevé décide de tout le reste.
Poser les comptes d’accès d’urgence, et les essayer
Avant la première exigence. Un compte de secours qui n’a jamais été testé n’est pas un compte de secours.
Observer en mode rapport seul
Chaque exigence est d’abord posée sans effet : elle lit, elle compte et elle rapporte qui serait concerné. C’est ainsi qu’on découvre le compte de service qui aurait cessé de fonctionner, ou l’équipe en déplacement qui aurait été refusée un lundi matin.
Appliquer par groupes, en commençant par le service informatique
Vos équipes techniques d’abord, puis un service pilote, puis le reste. Chaque vague permet d’ajuster avant la suivante, et personne ne découvre le changement un matin sans prévenir.
Documenter, et prévoir la revue
Chaque exigence est écrite avec la raison qui l’a fait poser. Sans cette raison, personne n’ose y toucher deux ans plus tard, et l’ensemble se fige.
Ce qu’il faut savoir avant de vous décider
Quatre questions qui reviennent à chaque projet.
Quelles licences faut-il ?
L’accès conditionnel demande Microsoft Entra ID P1. Les décisions fondées sur le risque d’une connexion ou d’un compte demandent P2. Les deux plans existent séparément et dans certaines suites Microsoft 365.
Et la sécurité par défaut, déjà activée ?
Les deux ne cohabitent pas : activer l’accès conditionnel suppose de désactiver la sécurité par défaut. C’est un gain de finesse, mais aussi la fin d’un filet automatique — d’où l’importance du socle de départ.
Notre annuaire est-il déjà concerné sans qu’on le sache ?
Probablement. Microsoft déploie lui-même certaines exigences dans les annuaires éligibles, d’abord en rapport seul, puis les active au bout d’une trentaine de jours si personne n’intervient. Elles se voient dans le centre d’administration, marquées comme créées par Microsoft.
Ce que l’accès conditionnel ne fait pas
Il décide qui entre, pas ce qui sort. Empêcher un document de partir une fois la personne entrée relève de la prévention de la perte de données, et c’est un autre chantier.
Pour aller plus loin
L’accès conditionnel s’appuie sur ce que vous savez de vos appareils et de vos identités, et il s’arrête là où commence la surveillance des documents.
L’annuaire sur lequel tout repose
Microsoft Entra ID : les identités, les groupes, les rôles, et les plans P1 et P2.Savoir qu’un appareil est conforme
Sans gestion des appareils, l’exigence « appareil géré » n’a personne à qui s’appliquer.Empêcher un document de partir
Ce qui se passe après l’entrée : le contenu sensible et les chemins qu’il emprunte.Reconnaître un appareil par son certificat
Les certificats internes, et l’authentification qui ne demande rien à l’utilisateur.Comment une protection d’accès se contourne
Notre guide détaillé, écrit du point de vue de qui chercherait à passer au travers.Les termes du métier, expliqués
Second facteur, appareil conforme, jeton de session : le vocabulaire sans jargon.Décrivez-nous vos accès, nous vous dirons par où commencer.
Le premier échange sert à relever qui se connecte et depuis où, puis à décider ce qui se pose en premier. Vous y rencontrez les personnes qui feront le travail, pas un commercial qui le décrira.
Renens +41 21 806 37 15 · Sion +41 27 552 00 22 · Châtel-Saint-Denis +41 26 322 59 05