Rechercher qui a créé un compte utilisateur dans Microsoft 365 | Auditer les créations d'utilisateurs

Dans Microsoft 365, les comptes d'utilisateurs agissent comme des passerelles pour accéder aux ressources. Les créations d'utilisateurs non autorisées ou suspectes peuvent entraîner de graves conséquences, telles que des violations de données et des compromissions d'informations sensibles. Les administrateurs jouent un rôle essentiel dans la protection des données de l’organisation en suivant et en surveillant avec diligence la création d’utilisateurs dans Microsoft 365.

Comment savoir qui a créé un compte utilisateur dans Microsoft 365 ?

Il est relativement facile de déterminer quand un compte utilisateur a été créé et sa dernière activité de connexion dans Microsoft 365. Cependant, identifier qui a créé un compte utilisateur nécessite l'utilisation du journal d'audit. Vous disposez de deux options pour cela : utiliser la recherche du journal d'audit dans le portail Microsoft Purview ou PowerShell.

Portail Microsoft Purview : pour accéder au journal d'audit, accédez au portail Microsoft Purview. À partir de là, vous pouvez filtrer le journal d'audit en fonction de l'activité « Utilisateur ajouté ». Cette action affichera une liste des utilisateurs nouvellement créés dans votre organisation. Cependant, les informations fournies sont basiques et ne fournissent que des données sur les 90 derniers jours. De plus, aucune option de planification n’est disponible.

PowerShell : une autre méthode consiste à utiliser l'applet de commande « Search-UnifiedAuditLog » dans PowerShell pour savoir qui a créé un compte utilisateur et quand. Mais ce processus peut nécessiter plusieurs étapes pour convertir les données dans un format lisible ou convivial, ce qui demande plus d'efforts.

Pour simplifier votre travail, nous avons développé un script PowerShell qui fournit les attributs les plus essentiels pour suivre les utilisateurs d'Entra ID de manière conviviale.

Points forts du script :

• Le script utilise l'authentification moderne pour récupérer les journaux d'audit.
• Le script peut également être exécuté avec un compte compatible MFA.
• Exporte les résultats du rapport vers un fichier CSV.
• Identifie qui a créé les utilisateurs invités Azure AD.
• Aide à trouver les utilisateurs récemment créés. par exemple, les utilisateurs créés au cours des 30 derniers jours.
• Permet de générer un rapport d'audit de création d'utilisateur pour une période personnalisée.
• installe automatiquement le module EXO (s'il n'est pas déjà installé) après votre confirmation.
• Le script est convivial pour les planificateurs. c'est-à-dire que les informations d'identification peuvent être transmises en tant que paramètre au lieu d'être enregistrées dans le script.

Téléchargement du script : AuditM365UserCreations.ps1

Détecter qui a créé un compte utilisateur dans Microsoft 365 - Méthodes d'exécution de script :

Vous pouvez choisir l'une des méthodes ci-dessous en fonction de vos besoins.

Méthode 1 : Exécuter le script avec des comptes MFA et non-MFA

.\AuditM365UserCreations.ps1

Le rapport exporté contient une liste des utilisateurs créés au cours des 90 derniers jours.

Remarque : Conformément à la récente mise à jour de Microsoft, vous pouvez récupérer le journal d'audit M365 pendant plus de 90 jours (soit 180 jours) à partir de septembre 2023.

Méthode 2 : Exécutez le script en mentionnant explicitement les informations d'identification.

.\AuditM365UserCreations.ps1 -UserName admin@o365reports.com -Password XXX

Vous pouvez également utiliser cette méthode pour exécuter le script sans surveillance. La planification ne fonctionne que pour les comptes non MFA. Si le compte administrateur dispose de MFA, vous devez désactiver MFA en fonction de la politique d'accès conditionnel pour que cela fonctionne.

Rapport d'audit sur les créations d'utilisateurs - Exemple de résultat :

Le rapport exporté aide les administrateurs à identifier qui a créé un compte utilisateur dans Office 365 avec l'heure de création de l'utilisateur, le nom d'affichage, l'UPN, les licences attribuées, l'état du compte, le type d'utilisateur, l'état des résultats et des détails supplémentaires.

Du problème à la solution : comment le script s’adapte à différents scénarios ?

Notre script « Audit de création d'utilisateurs Microsoft 365 » prend en charge plusieurs filtres intégrés pour générer un rapport d'audit basé sur les différents cas d'utilisation. Voyons-les en détail.

• Rechercher des utilisateurs récemment créés
• Identifier qui a créé un utilisateur invité
• Obtenez une liste des utilisateurs invités récemment créés (c'est-à-dire les utilisateurs invités créés au cours des 30 derniers jours)
• Rechercher des utilisateurs créés dans une période personnalisée
• Planifier le script pour qu'il s'exécute sans surveillance

Rechercher les utilisateurs M365 récemment créés :

Ce rapport est crucial pour rester au courant des ajouts d'utilisateurs Microsoft 365, vous fournir une vue en temps réel des créations de comptes et vous aider à traiter rapidement tout accès non autorisé. Pour retrouver les utilisateurs récemment créés dans votre environnement Microsoft 365, exécutez le script en passant no. de jours dans le paramètre 'RecentlyCreatedDays'. Par exemple,

.\AuditM365UserCreations.ps1 -RecentlyCreatedDays 30

Le rapport exporté affiche la liste des utilisateurs créés au cours des 30 derniers jours, ainsi que les détails nécessaires. Si vous trouvez un compte suspect, vous pouvez surveiller l'activité des utilisateurs pour protéger votre organisation contre les menaces potentielles.

Identifier qui a créé des utilisateurs invités dans Microsoft 365 :

La gestion des utilisateurs invités dans une organisation est importante, mais identifier qui a créé un utilisateur invité est crucial pour renforcer la sécurité de votre organisation. Ce rapport critique vous permet de surveiller et de vérifier l'origine des comptes invités, garantissant que seuls les utilisateurs autorisés et de confiance invitent des invités. Pour vérifier qui a créé un utilisateur invité dans Microsoft Entra ID, exécutez le script avec le paramètre de commutateur « GuestUsersOnly ».

.\AuditM365UserCreations.ps1 -GuestUsersOnly

Le format ci-dessus exporte les utilisateurs invités Microsoft 365 créés au cours des 90 derniers jours avec le créateur.

Obtenir une liste des utilisateurs invités récemment créés dans Azure AD :

Ce rapport présente les utilisateurs invités créés au cours des n derniers jours, vous permettant de gérer de manière proactive les autorisations des invités, d'examiner les comptes invités et de garantir les détails de l'appartenance au groupe des utilisateurs invités. Pour suivre les utilisateurs externes récemment créés, exécutez le script comme suit.

.\AuditM365UserCreations.ps1 -GuestUsersOnly -RecentlyCreatedUsers 60

Il répertoriera les utilisateurs invités Azure AD qui ont été créés au cours des 60 derniers jours. En vous référant au rapport sur les utilisateurs invités récemment créé, vous pouvez garder un œil attentif sur les activités des utilisateurs invités dans l'organisation.

Remarque : Veuillez noter que la période de conservation des journaux d'audit pour le plan de licence de base est limitée à 90 jours (la durée peut varier en fonction du plan de licence spécifique). Par conséquent, vous ne pouvez récupérer que les données d'audit des 90 derniers jours à compter de la date d'exécution.

Rechercher des utilisateurs Office 365 créés au cours d'une période personnalisée :

Ce rapport est parfait pour réaliser des audits lors d'événements spécifiques, tels que l'intégration de nouveaux employés ou le suivi des créations d'utilisateurs au cours d'un projet particulier. Pour rechercher des utilisateurs créés dans une plage de dates spécifique, exécutez le script avec 'StartDate' et 'EndDate" comme indiqué ci-dessous.

.\AuditM365UserCreations.ps1 -StartDate 7/1/23 -EndDate 7/15/23

L'exemple ci-dessus récupère les utilisateurs créés du 1er juillet 2023 au 15 juillet 2023.

Planifier l'exécution du script sans surveillance :

Vous pouvez planifier le script pour automatiser le processus d'audit en transmettant les informations d'identification à l'aide de 'UserName' et 'Mot de passe". Cette fonctionnalité est incroyablement utile pour exécuter le script sans surveillance à des intervalles spécifiés et obtenir un rapport complet sur les créations des utilisateurs de Microsoft 365.

Pour planifier le script, utilisez le format ci-dessous :

.\AuditM365UserCreations.ps1 -UserName admin@o365reports.com -Password XXX

Vous pouvez utiliser le planificateur de tâches pour créer une tâche planifiée.

Remarque : La planification fonctionne avec les comptes non MFA. Si vous disposez d'un compte MFA, vous pouvez désactiver MFA via des politiques d'accès conditionnel pour permettre une planification fluide.

AdminDroid : exportez, planifiez et recevez des alertes - tout cela gratuitement !

Planifier un rapport d'audit ou recevoir des alertes lorsqu'un nouvel utilisateur est créé dans Microsoft 365 peut être une tâche fastidieuse avec les méthodes natives. Mais avec AdminDroid, vous pouvez réaliser tout cela et bien plus encore en quelques clics de souris. Mieux encore, c'est entièrement gratuit ! Oui, vous avez bien entendu!

Avec AdminDroid, vous pouvez accéder à des rapports utilisateur Microsoft 365 plus détaillés, offrant les fonctionnalités suivantes :

• Obtenir la date de création des utilisateurs : affichez facilement tous les utilisateurs de Microsoft 365 ainsi que leur date de création.
• Afficher les utilisateurs récemment créés : Accédez aux utilisateurs récemment créés sans aucune limitation de temps.
• Exporter des rapports vers différents formats : personnalisez vos rapports d'audit utilisateur en les exportant vers différents formats tels que CSV, PDF, HTML, XLS, etc.
• Planifier des rapports : configurez des rapports planifiés à envoyer directement à votre courrier électronique dans le format souhaité.
• Recevoir des alertes lors de la création d'un nouvel utilisateur : Configurez les alertes M365 pour recevoir des notifications chaque fois qu'un nouvel utilisateur est créé dans votre organisation.
• Créez des rapports personnalisés : utilisez les « Vues » pour personnaliser les rapports en fonction de vos besoins spécifiques, notamment la personnalisation des colonnes, les filtres, etc.

Outre ces fonctionnalités, AdminDroid propose une gamme complète de plus de 120 rapports gratuits et de nombreux tableaux de bord, permettant une administration Microsoft 365 efficace. Ces rapports couvrent les utilisateurs, les groupes, les licences, l'appartenance à des groupes, les gestionnaires, les connexions des utilisateurs, les modifications de mots de passe, les modifications de rôle d'administrateur et bien plus encore.

De plus, AdminDroid propose une vaste collection de plus de 1 800 rapports prédéfinis et de plus de 30 tableaux de bord intelligents, vous offrant des informations puissantes et un contrôle amélioré sur votre environnement Microsoft 365. Téléchargez dès aujourd'hui l'outil de gestion AdminDroid Microsoft 365 pour garantir une administration transparente et des rapports efficaces pour votre organisation.

N'attendez pas qu'une faille de sécurité se produise ; protégez votre organisation de manière proactive grâce à nos rapports complets d’audit de création d’utilisateurs. J'espère que le blog vous aidera à trouver qui a créé un compte utilisateur dans Microsoft 365. Si vous avez des questions, contactez-nous via la section commentaires.