DCToolbox – Une approche simple pour déployer des politiques d’accès conditionnel

En ce qui concerne les politiques d’accès conditionnel dans Microsoft 365, la tâche n’est pas une promenade de santé pour les administrateurs ; c'est une tâche essentielle à accomplir ! Bien que notre principale préoccupation soit de protéger nos données avec ces politiques, il est tout aussi important de les configurer correctement sans perturber l'accès des utilisateurs, les applications, les emplacements existants, etc. Malgré nos meilleures intentions, s’attaquer à cette tâche peut prendre beaucoup de temps ! Mais ignorer les politiques d’accès conditionnel n’est pas le bon choix ! Nous devons les déployer pour protéger notre organisation, car il n’existe pas d’alternatives appropriées.

Et si vous pouviez mettre en œuvre des politiques d’accès conditionnel en quelques minutes seulement ? C’est comme trouver un trésor caché, mais devinez quoi ? nous l'avons vraiment ! ??

Daniel Chronlund, MVP de Microsoft, présente sa solution révolutionnaire : DCToolbox. Grâce à cela, il simplifie le processus complexe de configuration des politiques d'accès conditionnel critiques, offrant ainsi à votre organisation une sécurité de haut niveau.

Une seule applet de commande, « Deploy-DCConditionalAccessBaselinePoC » de DCToolbox offre aux administrateurs Microsoft 365 la possibilité de déployer rapidement des stratégies d'accès conditionnel ? . L'outil offre les avantages suivants :

Déploiement de 18 politiques d'accès conditionnel essentielles (DCToolbox inclut des politiques majeures telles que le blocage des utilisateurs à haut risque, l'obligation MFA pour les enregistrements d'appareils à partir de réseaux non professionnels et la désactivation de la persistance des jetons pour les comptes d'administrateur).
Des temps de configuration plus courts que votre pause café !
Déploiement de politiques d'accès conditionnel en mode rapport uniquement, permettant des tests et des ajustements sans risque.

Plongeons dans le guide étape par étape pour déployer facilement des politiques d'accès conditionnel via DCToolbox pour vos besoins en matière de cybersécurité.

Conditions préalables pour utiliser DCToolbox

Avant de déployer la conception de validation de principe d'accès conditionnel avec DCToolbox dans votre client Microsoft 365, assurez-vous de respecter les conditions préalables suivantes :

1. Installez PowerShell 7 sous Windows :

L'applet de commande « Deploy-DCConditionalAccessBaselinePoC » du module DCToolbox nécessite une version minimale de PowerShell 7. Vous vous demandez peut-être « comment installer PowerShell 7 », mais la réponse à cette question la question est très simple ! Suivez donc les étapes ci-dessous pour installer PowerShell 7 sous Windows.

Exécutez l'applet de commande ci-dessous dans Windows PowerShell pour vérifier la dernière version de PowerShell.
PowerShell
```
winget search Microsoft.PowerShell
```
Ensuite, exécutez l'applet de commande suivante pour installer la dernière version de PowerShell.
PowerShell
```
winget install --id Microsoft.Powershell --source winget
```

2. Rôle d'administrateur global M365 :

Vous devez exécuter DCToolbox avec les autorisations d'administrateur global pour consentir aux autorisations requises lors de l'authentification. Ces autorisations permettent à DCToolbox d'accéder aux données de l'organisation via MS Graph PowerShell.

Politiques d'accès conditionnel de base - DCToolbox

DCToolbox est une plateforme centrale pour les outils d'automatisation d'accès conditionnel de Daniel, les fonctions PowerShell Graph, et bien plus encore. Cependant, avant de déployer l'automatisation des politiques d'accès conditionnel, il est important de comprendre les actions effectuées lorsque « Deploy-DCConditionalAccessBaselinePoC » est exécuté avec succès.

18 politiques d'accès conditionnel : conçues pour gérer et contrôler l'accès des utilisateurs, l'accès des invités, l'utilisation des applications, l'accès depuis des pays spécifiques, et bien plus encore.
Sur ces 18 règles, 16 règles sont en mode rapport uniquement. Les deux autres sont mis à l’état désactivé.

- L’une est un exemple de stratégie et l’autre est une stratégie qui exige la conformité des appareils.
- Étant donné que la conformité de l'appareil ne prend pas en charge le mode de rapport uniquement, il sera déployé à l'état désactivé.

Avis d'expert : selon Daniel, ces 18 politiques d'accès conditionnel de base ont protégé des centaines de milliers d'utilisateurs pendant plus de quatre ans. Ainsi, les organisations peuvent les utiliser efficacement pour renforcer leurs mesures de sécurité ?.

Deploy-DCConditionalAccessBaselinePoC : points forts de l'applet de commande

L'applet de commande « Deploy-DCConditionalAccessBaselinePoC » offre les avantages clés suivants au sein du module DCToolbox PowerShell.

L'applet de commande vérifie la présence du module Microsoft Graph PowerShell et l'installe s'il n'est pas trouvé sur votre PC.
Il vous demande automatiquement vos informations d'identification d'administrateur global Microsoft 365 pour vous connecter à Microsoft Graph PowerShell.
Il crée nouvellement un groupe pour les comptes break glass et y ajoute l'administrateur qui travaille actuellement avec DCToolbox.
L'applet de commande crée séparément un groupe de comptes de service pour les identités non humaines (identités représentant la charge de travail logicielle, les ordinateurs, les mobiles, les capteurs IoT, etc.) dans l'Entra ID.
Crée un emplacement nommé dans les politiques de l'autorité de certification pour vos adresses IP d'entreprise et ajoute automatiquement votre adresse IP publique actuelle à la liste.
Crée un emplacement nommé pour certains pays autorisés, car le développeur a ajouté certains pays dans lesquels il a tendance à travailler à titre d'exemple.
Télécharge un modèle de Conditions d'utilisation pour les politiques de l'autorité de certification en anglais.

Configurer le PoC d'accès conditionnel Entra ID avec DCToolbox

Pour déployer la suite complète de stratégies d'accès conditionnel dans votre locataire à l'aide de DCToolbox, suivez les étapes ci-dessous :

Installer le module DCToolbox : Tout d'abord, installez le module DCToolbox dans le noyau PowerShell 7 à l'aide de l'applet de commande suivante.
PowerShell
```
Install-Module -Name DCToolbox
```
Mettre à jour le module DCToolbox : Si vous avez déjà installé ce module, exécutez simplement la même applet de commande ci-dessus avec le paramètre 'Force'.
PowerShell
```
Install-Module -Name DCToolbox -Force
```
Exécutez l'applet de commande : Ensuite, exécutez l'applet de commande PowerShell ci-dessous qui déploie la preuve de concept d'accès conditionnel Complete Entra ID. Cette applet de commande se connecte automatiquement à MS Graph PowerShell et déploie la liste des 18 stratégies à configurer. Il crée également les groupes, les conditions d'utilisation et les emplacements nommés requis pour les 18 règles. L'ensemble du processus sera terminé en quelques minutes !
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC
```
2. Cependant, il est important de noter qu'une fois que vous avez déployé les stratégies d'autorité de certification sans noms personnalisés, vous ne pouvez pas les renommer à l'aide de ces paramètres. Tenter de le faire entraînera la création d’un nouvel ensemble de 18 stratégies avec des dépendances de noms différentes.
Connectez-vous en tant qu'administrateur global : Lors de l'exécution, les informations d'identification de l'administrateur sont demandées dans le navigateur. Connectez-vous avec les informations d'identification de l'administrateur global.
Accorder des autorisations : après une authentification réussie, les autorisations d'accès et de modification des données des utilisateurs, des applications, des politiques et des groupes doivent être accordées. Alors, cliquez sur le bouton « Accepter » pour continuer. Cette action permet à l'applet de commande d'accéder et de gérer les ressources Microsoft Graph, telles que les utilisateurs, les groupes et les applications.
Déploiement des stratégies CA : Enfin, les 18 stratégies d'accès conditionnel de base commenceront à être déployées dans votre locataire en mode lecture seule. Ces politiques sont conçues pour fournir un niveau de sécurité de base pour les ressources de votre organisation.

Une fois que l'applet de commande « Deploy-DCConditionalAccessBaselinePoC » a terminé son exécution, votre organisation disposera d'un ensemble de base de stratégies d'accès conditionnel établies. Vous pouvez ensuite personnaliser les stratégies déployées pour les aligner sur les exigences spécifiques de votre organisation.

Surveiller et gérer les politiques d'accès conditionnel déployées avec DCToolbox

L'état des politiques d'accès conditionnel sera défini sur le mode « rapport uniquement », il est donc essentiel de les examiner et de les activer dans l'environnement Entra ID. Suivez simplement le chemin ci-dessous pour accéder aux politiques d'autorité de certification configurées :

Centre d'administration Microsoft Entra → Protection → Accès conditionnel → Politiques

Ici, vous trouverez un tableau répertoriant les politiques configurées dans Entra ID.

Les stratégies commençant par « GLOBAL… » sont configurées via DCToolbox. Ces politiques DCToolbox CA sont classées en trois sessions : Politiques de blocage, politiques d'octroi et politiques de session.

Règles de blocage : cette catégorie comprend huit politiques qui visent à empêcher l'accès non autorisé aux ressources de votre organisation dans des conditions spécifiques. Ces politiques visent à sécuriser de manière proactive les données sensibles et à atténuer les menaces potentielles.
Règles d'octroi : cette section contient sept règles axées sur le provisionnement des accès, qui contrôlent l'accès des utilisateurs aux ressources cloud en fonction de conditions spécifiques. Cela peut être utile pour contrôler l'accès des utilisateurs afin d'accorder les données et les ressources de votre organisation.
Politiques de session : la catégorie de stratégie de session englobe 2 politiques qui contrôlent les sessions actives, déterminant des facteurs tels que la persistance des jetons et les téléchargements de fichiers sur les appareils gérés et non gérés.

Pendant que les stratégies sont déployées en mode rapport uniquement, vous pouvez surveiller les modifications apportées aux stratégies de l'autorité de certification via Microsoft Entra ID à l'aide des journaux de connexion, des journaux d'audit, des classeurs de reporting et plus. Après avoir analysé ces politiques à l’aide des méthodes décrites ci-dessus, vous obtiendrez un aperçu de leurs impacts et de leur efficacité au sein de votre environnement. Sur la base de ces résultats, vous pouvez activer de manière sélective les stratégies de votre organisation, une par une.

Le tableau suivant présente 18 stratégies d'accès conditionnel avec une petite description configurée via DCToolbox.

Exemple de politique

CUSTOM - GRANT - Example: Un exemple de politique pour les écarts par rapport aux politiques mondiales. Les groupes d'utilisateurs disposant de l'exemple de stratégie d'octroi personnalisé peuvent être exclus des stratégies globales.

Politiques de blocage

GLOBAL - BLOCK - Legacy Authentication: Bloque les anciens protocoles non sécurisés tels qu'ActiveSync et IMAP.
GLOBAL - BLOCK - Legacy Authentication: Bloque les anciens protocoles non sécurisés tels qu'ActiveSync et IMAP.
GLOBAL - BLOCK - Unsupported Device Platforms: Bloque les plates-formes de périphériques non prises en charge comme Linux.
GLOBAL - BLOCK - Countries not Allowed: Bloque les connexions depuis des pays ne figurant pas sur la liste blanche.
GLOBAL - BLOCK - Service Accounts (Trusted Locations Excluded): Bloque les comptes de service des adresses IP non fiables.
GLOBAL - BLOCK - Explicitly Blocked Cloud Apps: Bloque explicitement certaines applications cloud.
GLOBAL - BLOCK - Guest Access to Sensitive Apps: Bloque l'accès des invités aux applications sensibles.
GLOBAL - BLOCK - High-Risk Sign-Ins: Bloque les authentifications à haut risque détectées par Entra ID Protection.
GLOBAL - BLOCK - High-Risk Users: Applique MFA sur les authentifications à risque moyen.

Politiques de subventions

GLOBAL - GRANT - Medium-Risk Sign-Ins: Applique MFA sur les authentifications à risque moyen.
GLOBAL - GRANT - Medium-Risk Users: Applique l’authentification MFA aux utilisateurs à risque moyen.
GLOBAL - GRANT - Device Registration: Applique la MFA pour les enregistrements d’appareils à partir de réseaux non professionnels.
GLOBAL - GRANT - Terms of Use: Nécessite que les utilisateurs acceptent les conditions d’utilisation.
GLOBAL - GRANT - MFA for All Users: Protège toutes les authentifications des utilisateurs avec MFA.
GLOBAL - GRANT - Mobile Apps and Desktop Clients: Nécessite que les applications mobiles et les clients de bureau soient conformes à Intune.
GLOBAL - GRANT - Mobile Device Access Requirements: Nécessite que les applications soient protégées par les stratégies de protection des applications Intune.

Politiques de session

GLOBAL - SESSION - Admin Persistence: Désactive la persistance des jetons pour les comptes d'administrateur.
GLOBAL - SESSION - Block File Downloads On Unmanaged Devices: Bloque les téléchargements de fichiers sur les appareils non gérés.

Opérations avancées avec différents paramètres PowerShell

L'ajout de paramètres spécifiques avec l'applet de commande « Deploy-DCConditionalAccessBaselinePoC » peut effectuer certaines actions avancées avec la création de stratégie de base.

Ajouter un préfixe aux noms de stratégie de l'autorité de certification

Pour ajouter un préfixe avec le nom de la stratégie, utilisez le paramètre 'AddCustomPrefix' avec l'applet de commande. Le préfixe avec le nom de la stratégie permet d'identifier que la stratégie est créée à l'aide de DCToolbox. Cela permet de se différencier facilement des politiques existantes.

Deploy-DCConditionalAccessBaselinePoC -AddCustomPrefix <CustomPrefixThatYouWishToUpdate>

Utiliser un nom personnalisé pour les groupes et les emplacements nommés

L'outil crée automatiquement des groupes et des emplacements nommés avec un nom par défaut prédéfini. Pour créer ceux avec d'autres noms ou pour établir un lien avec ceux existants, exécutez l'une des applets de commande suivantes correspondant à vos besoins.

Pour un groupe d'exclusion de bris de glace, vous pouvez créer un lien vers un groupe existant ou spécifier un nom pour créer un nouveau groupe à l'aide du paramètre 'ExcludeGroupDisplayName'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ExcludeGroupDisplayName <GroupNameThatYouWishToUpdate>
```
À propos, vous pouvez utiliser le paramètre 'ServiceAccountGroupDisplayName' pour les groupes de comptes de service, comme illustré ci-dessous.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -ServiceAccountGroupDisplayName <GroupNameThatYouWishToUpdate>
```
Pour définir un nom personnalisé pour le réseau d'entreprise nommé locations, utilisez le paramètre 'NamedLocationCorpNetwork'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationCorpNetwork <CustomNameforCorpNetworkList>
```
Pour définir un nom personnalisé pour les emplacements nommés du pays autorisé, utilisez le paramètre 'NamedLocationAllowedCountries'.
PowerShell
```
Deploy-DCConditionalAccessBaselinePoC -NamedLocationAllowedCountries <CustomNameforAllowedCountriesList>
```

Utiliser les conditions d'utilisation existantes

Pour utiliser les conditions d'utilisation existantes pour les politiques DCToolbox CA, utilisez le paramètre 'TermsOfUseName'.

Deploy-DCConditionalAccessBaselinePoC -TermsOfUseName <ExistingTermsName>

Ignorer les politiques d'accès conditionnel

Pour ignorer certaines des stratégies d'autorité de certification de base de la liste des 18, vous pouvez utiliser le paramètre 'SkipPolicies'.

Deploy-DCConditionalAccessBaselinePoC -SkipPolicies <DCToolboxCAPolicyNamesSeparatedByComma>

Appliquer directement la politique d'accès conditionnel

Pour ignorer le mode rapport uniquement et appliquer directement les politiques de l'autorité de certification, utilisez le paramètre 'SkipReportOnlyMode'.

Deploy-DCConditionalAccessBaselinePoC -SkipReportOnlyMode #Not Recommended!

Attention : Cette application directe n'est pas recommandée ! Toute mauvaise configuration des politiques peut immédiatement perturber l’accès des utilisateurs aux ressources critiques, entraînant ainsi d’éventuelles interruptions d’activité. Les utilisateurs peuvent se voir refuser l'accès aux applications et aux données, ce qui affecte leur productivité et provoque de la frustration. C'est pourquoi il est toujours recommandé de tester la stratégie avec le mode rapport uniquement avant de l'activer pour une utilisation normale.

Script PowerShell pour personnaliser les noms de dépendances des stratégies d'autorité de certification DCToolbox

En plus des paramètres ci-dessus avec les applets de commande, vous pouvez générer et utiliser un script comme ci-dessous pour appliquer différents noms aux dépendances. Cette méthodologie aide les administrateurs Microsoft 365 à intégrer les paramètres mentionnés ci-dessus en une seule exécution.

$Parameters = @{ 
ExcludeGroupDisplayName = 'Excluded from Conditional Access' 
ServiceAccountGroupDisplayName = 'Conditional Access Service Accounts' 
NamedLocationCorpNetwork = 'Corporate Network' 
NamedLocationAllowedCountries = 'Allowed Countries' 
TermsOfUseName = 'Terms of Use' 
} 
Deploy-DCConditionalAccessBaselinePoC @Parameters

Réflexions finales

En quelques minutes seulement, les administrateurs M365 peuvent créer des politiques d'accès conditionnel entièrement fonctionnelles sans avoir besoin de les configurer individuellement ! Cette approche est adaptée aux administrateurs, ceux qui apprécient la valeur du temps et de la sécurité, offrant une solution rationalisée et automatisée.

Félicitations au professionnel le plus précieux, Daniel Chronlund pour son merveilleux travail ? .

Nous espérons que ce blog aidera les administrateurs M365 à déployer des politiques d'accès conditionnel dans leur domaine. N'hésitez pas à laisser vos impressions dans la section commentaires. Restez à l'écoute pour plus d'informations ? !