Désactiver MFA pour un utilisateur unique à l'aide de la stratégie d'accès conditionnel dans Azure AD

À mesure que le paysage de la cybersécurité évolue, un déploiement MFA bien exécuté agit comme un bouclier fortifié, protégeant sans relâche M365 des intrus malveillants. Cependant, dans certains cas, comme lors de l’utilisation d’un compte brisé pour se connecter ou lors de l’exécution de scripts sans surveillance, il devient nécessaire de contourner le bouclier MFA. Alors, comment pouvez-vous exempter de tels comptes spécifiques de la MFA ? C'est là que les politiques d'accès conditionnel entrent en jeu? !

Les politiques d'accès conditionnel peuvent être utilisées pour désactiver l'authentification multifacteur pour un compte utilisateur spécifique. Cette approche garantit que vous pouvez gérer des situations exceptionnelles sans compromettre la posture de sécurité globale.

Apprenons donc comment désactiver MFA pour un seul utilisateur à l’aide de la politique d’accès conditionnel.

Choisissez les stratégies CA pour ignorer la MFA pour un seul utilisateur

Bien que les paramètres de sécurité par défaut fournissent une base de référence solide pour la sécurité globale, ils peuvent ne pas offrir la granularité nécessaire pour personnaliser les paramètres MFA pour des comptes individuels. Pour répondre à ce besoin, les organisations peuvent tirer parti des politiques d’accès conditionnel (CA).

D'ailleurs, disposer d'une licence Azure AD P1 ou P2 est le seul prérequis pour créer une stratégie d'accès conditionnel.

Points à retenir : Assurez-vous de désactiver les paramètres de sécurité par défaut, si vous les avez activés pour votre locataire. Parce que vous ne pouvez pas utiliser simultanément les paramètres de sécurité par défaut et les politiques d’accès conditionnel.

Désactiver MFA pour un seul utilisateur à l'aide de stratégies d'accès conditionnel

Pour activer MFA pour votre organisation et exclure un utilisateur spécifique de MFA, suivez les étapes ci-dessous.

Tout d’abord, connectez-vous au centre d’administration Microsoft Entra.
Ensuite, accédez à la liste déroulante « Protection » et sélectionnez l’option « Accès conditionnel ».
Cliquez sur « + Créer une nouvelle politique » pour créer une nouvelle politique et donner un nom approprié à votre politique.
Sous Affectation, ajoutez « Tous les utilisateurs » dans la section Inclure et choisissez le compte exempté dans la section Exclure affichée dans le panneau « Utilisateurs ».
Dans la section Contrôles d'accès, accordez l'accès en sélectionnant « Exiger une authentification multifacteur » dans le « Panneau Accorder », puis cliquez sur « Sélectionner » pour confirmer votre choix.
Enfin, activez la stratégie en mode « Activé » et cliquez sur « Créer ».

Ainsi, une stratégie d'accès conditionnel qui ne nécessite pas MFA pour le compte utilisateur spécifié a été créée avec succès. Ainsi, l'utilisateur n'est pas invité à effectuer une authentification multifacteur.

Remarque : Si votre organisation a déjà mis en place des politiques d'autorité de certification, il est recommandé de créer une nouvelle politique plutôt que de modifier celles existantes. . Notez également que si le même utilisateur est mentionné dans deux politiques différentes avec des paramètres contradictoires concernant l'authentification multifacteur (MFA), la politique avec les paramètres les plus restrictifs aura priorité.

En clair, considérons les deux politiques :

Stratégie A : cette stratégie exclura un utilisateur de l’exigence MFA.
Politique B : cette stratégie inclura le même utilisateur dans les exigences MFA.

Dans ce scénario, puisque la stratégie B est celle qui applique la MFA pour l'utilisateur, elle aura priorité sur la stratégie A. L'utilisateur sera soumis à la MFA conformément aux exigences définies dans la stratégie B, et l'exclusion mentionnée dans la stratégie A ne le sera pas. appliquer.

Nous avons couvert quelques cas supplémentaires ci-dessous, qui illustrent l'importance des politiques d'accès conditionnel pour ignorer l'AMF pour les besoins spécifiques de l'organisation.

Exclure MFA pour les utilisateurs et les groupes sous certaines conditions
Désactiver MFA pour les utilisateurs dotés de rôles Azure AD à l'aide des stratégies d'autorité de certification

Exclure MFA pour les utilisateurs et les groupes sous certaines conditions

Cas 1 : Utilisateurs/groupes se connectent aux ressources via un réseau de confiance

Hormis le cas mentionné ci-dessus, vous pouvez ignorer MFA pour les utilisateurs ou les groupes sous certaines conditions. Par exemple, vous pouvez ignorer l'authentification multifacteur pour un utilisateur ou un groupe de membres lorsqu'ils accèdent à des ressources critiques à partir d'un réseau de bureau approuvé à l'aide de la stratégie de l'autorité de certification.

Pour y parvenir, vous devez créer un emplacement nommé en utilisant une plage IP de confiance. Ensuite, ajoutez l'emplacement nommé dans le panneau Conditions de la stratégie, en ciblant les utilisateurs ou les groupes sélectionnés en fonction de vos besoins.

La stratégie configurée exemptera l’authentification MFA pour les utilisateurs/groupes lors de l’accès aux ressources critiques à partir du réseau du bureau de confiance. Cependant, lorsque ces utilisateurs tentent d'accéder aux mêmes ressources depuis l'extérieur du réseau du bureau, ils devront toujours terminer le processus MFA.

Cas 2 : Utilisateurs/groupes se connectent aux ressources Microsoft 365 via des appareils conformes

L’exigence d’authentification multifacteur (MFA) peut être ignorée pour les utilisateurs et les groupes qui accèdent aux ressources à partir d’appareils conformes aux normes et politiques de sécurité de l’organisation. En termes plus simples, vous pouvez réduire la nécessité d’une MFA pour les utilisateurs et les groupes se connectant à partir d’appareils conformes. Pour y parvenir, créez une condition de périphérique comme indiqué dans l'image ci-dessous.

Incluez ensuite des utilisateurs/groupes spécifiques en fonction de vos besoins et accordez l'accès en exigeant une authentification multifacteur.

Cette politique nécessitera l'authentification MFA pour les utilisateurs connectés à l'aide d'appareils non conformes, tandis que les utilisateurs d'appareils conformes auront accès sans MFA.

Désactiver MFA pour les rôles Azure AD à l'aide des stratégies d'autorité de certification

Comme avantage supplémentaire, vous pouvez ignorer MFA pour les utilisateurs disposant d’un rôle Azure AD spécifique. Pour y parvenir, vous pouvez suivre la même procédure que celle mentionnée précédemment, mais cette fois, au lieu d'exclure des utilisateurs spécifiques, ajoutez le rôle d'annuaire désigné à la section « Exclure » de la stratégie.

Cette modification garantira que les utilisateurs dotés du rôle spécifié pourront accéder de manière transparente à M365, améliorant ainsi leur efficacité dans les situations critiques.

Remarque : Des configurations incorrectes dans les stratégies d'accès conditionnel peuvent avoir un impact significatif sur la sécurité et les fonctionnalités de votre environnement Microsoft 365. Surveillez donc efficacement les stratégies d'accès conditionnel.

Surveiller efficacement les politiques d'accès conditionnel à l'aide d'AdminDroid

Après avoir configuré les stratégies, vous devez vérifier si les personnes désignées se sont connectées avec succès et si d'autres ont subi une authentification MFA. Bien que les méthodes de reporting natives offrent des informations sur les connexions des utilisateurs, elles manquent souvent de détails approfondis tels que le nombre exact de connexions réussies pour chaque utilisateur, le nombre de connexions échouées et d'autres mesures critiques. Pour vous fournir des informations approfondies sur les politiques d'accès conditionnel, AdminDroid entre en jeu !

Le rapporteur AdminDroid Azure AD vous fournit des informations détaillées sur les configurations des politiques d'accès conditionnel, les évaluations de l'efficacité des politiques, l'analyse du comportement des utilisateurs et d'autres informations précieuses. Ces informations vous aident à garder un œil attentif sur les stratégies d’accès conditionnel configurées dans Azure AD.

Vous trouverez ci-dessous quelques-uns des rapports disponibles avec AdminDroid qui facilitent une gestion efficace des politiques d'accès conditionnel.

Rapports d'audit de connexion

Connexions bloquées par la stratégie de l'autorité de certification
Les connexions ont réussi à respecter la stratégie
Les connexions n'ont pas réussi à contourner la stratégie de l'autorité de certification

Conditions configurées dans les stratégies de l'autorité de certification

Politiques d'autorité de certification basées sur les rôles
Politiques spécifiées pour la plate-forme/l'emplacement
Politiques basées sur l'emplacement/l'appareil

Politiques CA avec exigence MFA

Stratégies d'autorité de certification configurées par MFA
Conditions d’attribution des stratégies activées par MFA

Obtenez un contrôle total sur la gestion Azure Active Directory avec AdminDroid !

Surtout, avec AdminDroid, vous pouvez accéder à plus de 1 800 rapports fournissant des informations sur l'utilisation, la sécurité et la conformité des ressources Microsoft 365 telles qu'Exchange Online, OneDrive, SharePoint. En ligne, Yammer et bien plus encore.

Alors découvrez tout le potentiel d’AdminDroid avec un essai gratuit de 15 jours. Une fois que vous aurez été témoin de ses capacités, nous sommes certains que vous serez accro et que vous ne voudrez plus regarder en arrière.

Ainsi, les politiques d’accès conditionnel constituent la solution la plus efficace et la plus flexible pour déployer une MFA granulaire. En tirant parti des stratégies d’accès conditionnel, vous pouvez personnaliser les paramètres MFA pour répondre à vos besoins spécifiques sans compromettre la sécurité de votre environnement Microsoft 365.

J'espère que vous avez obtenu suffisamment d'informations sur la façon de désactiver MFA pour un seul utilisateur à l'aide de la stratégie de l'autorité de certification. De plus, n'hésitez pas à nous contacter dans la section commentaires pour toute assistance.