Infrastructure / Identité / Microsoft Entra ID
Un seul annuaire décide de tout le reste.
Vos applications, vos postes et vos accès en dépendent tous.Microsoft Entra ID est l’annuaire qui contient vos comptes, et c’est lui que Microsoft 365, vos applications et vos postes interrogent à chaque connexion. Un annuaire mal réglé ne se voit pas le premier jour : il se voit le jour où quelqu’un entre là où il ne devait pas, ou le jour où plus personne n’entre du tout.
Trois questions décident du projet
Elles se posent avant de choisir quoi que ce soit, et la réponse à chacune ferme des options sur les deux autres. Aucune ne porte sur un produit : elles portent sur ce que vous avez déjà, sur qui doit entrer, et sur ce que vous acceptez de perdre en cas de panne.
Ce qui existe déjà chez vous
La plupart des entreprises ont un Active Directory sur un serveur, installé il y a dix ou quinze ans, qui contient les comptes et les groupes. Il ne disparaît pas : il se synchronise. Ce qui se décide, c’est quelle partie de l’annuaire monte, et ce qui reste maître de quoi.
On regarde l’existant avant de dessiner la cible.
Qui doit entrer sans être salarié
Un mandataire, un auditeur, un fournisseur, une application qui lit une boîte aux lettres la nuit. Ces comptes-là ne suivent pas le cycle d’un employé : personne ne signale leur départ. Ils sont la première cause d’accès qui traîne des années après la fin d’un mandat.
Un compte sans date de fin est un compte qui reste.
Ce qui se passe quand vos serveurs ne répondent plus
Si la vérification du mot de passe se fait chez vous, une panne de votre liaison ou de vos serveurs empêche vos utilisateurs d’ouvrir leur messagerie — y compris ceux qui travaillent depuis chez eux, et qui n’ont pourtant besoin de rien de votre bâtiment.
C’est la question qu’on pose en premier, et presque personne ne l’a posée.
La méthode d’authentification se choisit avant la synchronisation
C’est l’inverse de l’ordre habituel, et c’est ce qui distingue un projet d’identité réussi d’un projet qu’il faut refaire deux ans plus tard. La synchronisation est un outil ; la méthode d’authentification est une décision d’architecture, et elle engage la disponibilité de tout le reste.
On mesure ce que vous ne pouvez pas arrêter
La messagerie, les fichiers, l’application métier, l’accès des équipes qui ne sont jamais dans le bâtiment. Pour chacune, une seule question : combien de temps peut-elle rester inaccessible sans que cela vous coûte ?
Cette mesure décide de la méthode, et rien d’autre ne la décide.
On choisit où le mot de passe est vérifié
Chez Microsoft, ou chez vous. Si la vérification se fait chez Microsoft, une panne de vos serveurs ne se voit pas ; si elle se fait chez vous, elle arrête tout le monde. Les trois montages possibles ne se valent donc pas selon ce que vous venez de mesurer.
C’est la seule des quatre décisions qui soit difficile à défaire ensuite.
On règle la synchronisation en conséquence
Quels comptes montent, quels attributs, quels groupes, et lequel des deux annuaires fait autorité sur quoi. Microsoft Entra Connect — l’outil qui s’appelait Azure AD Connect — fait ce travail depuis un serveur chez vous.
Réglée dans cet ordre, elle se modifie sans rien casser.
On ouvre l’accès, puis on le referme
Les comptes fonctionnent, puis les règles arrivent : vérification en deux étapes, conditions d’accès, droits d’administration limités dans le temps. Dans cet ordre, personne ne se retrouve dehors un lundi matin.
Ce qui est ouvert d’abord se referme sans drame ; l’inverse n’est pas vrai.
Les trois méthodes, et ce qui les sépare
Elles répondent toutes les trois à la même question — qui vérifie le mot de passe — et elles n’ont pas les mêmes conséquences le jour d’une panne. Ces trois mécanismes sont documentés par Microsoft ; nous les revérifions avant chaque proposition.
| La méthode | Qui vérifie le mot de passe | Ce qu’il faut chez vous | Si vos serveurs ne répondent plus |
|---|---|---|---|
| Synchronisation de l’empreintePassword hash sync | Microsoft. Une empreinte du mot de passe est envoyée dans votre tenant ; le mot de passe lui-même ne quitte jamais vos serveurs. | Un serveur qui fait tourner Entra Connect. Rien d’autre à publier vers l’extérieur. | Vos utilisateurs continuent de travailler. La messagerie et les fichiers restent accessibles, y compris depuis chez eux. |
| Authentification directePass-through authentication | Vos serveurs. Un agent installé chez vous soumet le mot de passe à votre Active Directory et renvoie la réponse. | Au moins deux agents, sur deux machines, pour que l’arrêt de l’une ne bloque personne. | Plus personne ne se connecte, où qu’il soit, tant que vos agents ou votre Active Directory ne répondent pas. |
| FédérationAD FS ou équivalent | Votre propre service de fédération, vers lequel la connexion est renvoyée. | Le plus lourd des trois : des serveurs, une publication vers l’extérieur, des certificats à renouveler. | Plus personne ne se connecte, et la panne porte sur une infrastructure que vous entretenez seul. |
La synchronisation de l’empreinte accepte un secours : si vos serveurs cessent de répondre, la vérification bascule chez Microsoft sans que vos utilisateurs le voient. C’est le seul des trois montages qui survive à une panne de votre côté.
Nous savons mettre en place les trois, et c’est ce qui nous permet de vous conseiller.
La fédération se justifie quand une contrainte l’impose — une carte à puce, un fournisseur d’identité qui n’est pas Microsoft, une règle interne que rien d’autre ne satisfait. Elle ne se justifie pas parce qu’elle est là depuis 2016. Un prestataire qui ne sait mettre en place qu’une des trois méthodes trouvera toujours que c’est la vôtre ; nous préférons vous montrer ce que chacune coûte à tenir, et vous laisser trancher sur vos enjeux.
Ce que l’authentification unique change pour vos utilisateurs
Une seule identité ouvre Microsoft 365, vos applications hébergées à l’extérieur et une partie de vos applications internes. Le gain n’est pas le confort : c’est qu’un départ se traite en une fois, au lieu d’être oublié dans six applications.
Un départ se traite en une fois
Le compte est désactivé dans l’annuaire, et l’accès tombe partout où l’annuaire fait autorité. Sans cela, le départ se traite application par application, et il en reste toujours une.
Les mots de passe se réinitialisent seuls
Un utilisateur qui a oublié le sien le change lui-même, après vérification de son identité. C’est le premier motif d’appel à un service d’assistance, et il disparaît.
Les droits passent par les groupes
L’appartenance à un groupe donne l’accès, et elle peut se calculer depuis un attribut — le service, le site, la fonction. L’arrivée d’une personne ne demande alors plus aucun geste.
Chaque connexion est enregistrée
Qui s’est connecté, depuis quel pays, avec quel appareil, et ce qui a été refusé. C’est ce journal qu’on relit après un incident, et il ne se reconstitue pas après coup.
Les comptes qui ne sont pas des salariés
Ce sont eux qui posent problème, parce que personne ne signale leur départ. Un employé qui s’en va est annoncé par les ressources humaines ; un mandataire dont le contrat s’est terminé en silence garde son accès jusqu’à ce que quelqu’un s’en aperçoive.
Les personnes extérieures
Un mandataire, un auditeur, un client sur un projet commun. Ils entrent avec leur propre compte, sans que vous ayez à leur en créer un, et chaque invitation peut porter une date de fin.
Ce qui se règle : qui a le droit d’inviter, vers quoi, et ce qui se passe à la date prévue.
Les applications qui se connectent seules
Une sauvegarde qui lit des boîtes aux lettres, un connecteur qui écrit dans un site, un automate qui envoie des factures. Ils portent souvent des droits très larges, et un secret qui n’expire jamais.
Ce qui se règle : le droit minimal réellement nécessaire, et une date de renouvellement inscrite quelque part.
Les comptes qui peuvent tout
Ceux qui créent, suppriment et donnent des droits. Sur beaucoup de tenants que nous découvrons, il y en a davantage que prévu, et certains servent aussi de compte de tous les jours.
Ce qui se règle : séparer l’administration de l’usage courant, et limiter les droits dans le temps.
L’appareil qui se connecte est une condition, pas une propriété du compte.
Savoir qu’un poste est conforme — chiffré, à jour, géré — puis refuser l’accès aux autres, c’est le travail de deux pages voisines : Intune décide de la conformité de l’appareil, l’accès conditionnel décide de la règle qui s’en sert.
Un annuaire est le seul élément de votre informatique dont tous les autres projets dépendent.
Une messagerie qui tombe gêne la messagerie. Un annuaire mal réglé gêne la messagerie, les fichiers, les postes, l’application métier et le téléphone — en même temps, et pour tout le monde. C’est pour cela qu’il se traite en premier, et calmement.
Il se règle une fois
La méthode d’authentification, la synchronisation et les droits d’administration se posent au début d’un mandat. Bien posés, ils ne se retouchent plus ; mal posés, ils se retouchent sous pression, un jour de panne.
Il ne se voit pas
Personne ne remercie un annuaire qui fonctionne. C’est justement pourquoi il est le dernier à être vérifié, et le premier à surprendre : les comptes d’administration en trop et les invitations sans date de fin s’accumulent en silence.
Il porte la suite
La vérification en deux étapes, les conditions d’accès, la gestion des postes et le partage de fichiers s’appuient tous dessus. Aucun des quatre ne tient si l’annuaire ne dit pas la vérité sur qui est qui.
Ce qu’il faut savoir avant de vous engager
Quatre points que nous posons nous-mêmes en début de mandat, parce qu’ils décident du calendrier et du budget. Chacun se règle ; aucun n’est un motif de renoncer.
Le tri des comptes vient avant la migration
Un Active Directory de quinze ans contient des comptes de personnes parties, des groupes vides et des doublons. Les synchroniser tels quels revient à déménager les cartons sans les ouvrir.
Ce tri se fait avec vous et il est chiffré à part : c’est un travail mesurable, pas une inconnue. Une fois fait, il ne se refait jamais.
Certaines applications anciennes ne savent pas s’authentifier autrement
Un logiciel métier qui exige un ancien protocole ne saura pas présenter une vérification en deux étapes. C’est la contrainte la plus fréquente, et elle décide de l’ordre du chantier.
On l’isole plutôt que de tout retarder : l’application garde son chemin, le reste avance, et son remplacement se planifie sans bloquer les autres.
Ce que vous pouvez activer dépend de vos abonnements
Une partie de ce qui est décrit ici — l’élévation temporaire des droits d’administration, certaines règles d’accès — n’est pas incluse partout. Les niveaux et leurs contenus changent plusieurs fois par an.
Nous relisons vos abonnements avant de proposer quoi que ce soit, et nous écrivons ce qui manque plutôt que de le découvrir en cours de route.
Le premier compte d’administration ne doit dépendre de rien
Si toutes les entrées d’administration passent par la même vérification, une panne de cette vérification vous enferme dehors de votre propre tenant. Le cas se produit.
Deux comptes de secours, hors de toute règle, avec un mot de passe long conservé ailleurs : c’est la première chose que nous posons, et elle se teste deux fois par an.
La vérification et les règles d’accès
L’annuaire dit qui est qui. Ce qui décide de ce qu’il faut prouver pour entrer, et dans quelles conditions l’accès est accordé, est traité à côté.
L’authentification à plusieurs facteurs
Les méthodes de vérification, ce qui les sépare vraiment, et comment l’activer sans laisser personne dehors le lundi matin.
Lire la page RèglesL’accès conditionnel
Qui entre, depuis quel appareil, vers quelle application, et à quelles conditions. Le mode rapport, l’ordre des règles et l’exclusion de secours.
Lire la page DépartementInfrastructure et Cloud
Ce que fait l’équipe qui pose les annuaires, les serveurs, la messagerie et les postes : ce qu’elle prend en charge, et ce qu’elle ne fait pas.
Voir le départementCommençons par regarder votre tenant
Une heure avec les ingénieurs qui feront le travail, sur votre annuaire tel qu’il est aujourd’hui : la méthode d’authentification en place, les comptes d’administration, les invitations sans date de fin. Vous repartez en sachant où vous en êtes.
Renens, Sion, Châtel-Saint-Denis. +41 21 806 37 15 — [email protected]