Comment appliquer un accès conditionnel à l'activation PIM dans Microsoft Entra

Les contextes d'authentification jouent un rôle central en garantissant que les tâches hautement sensibles dans Microsoft Entra peuvent bénéficier d'une sécurité supplémentaire et/ou d'une vérification supplémentaire avant d'être exécutées. Ces principes de sécurité fondamentaux s’appliquent également à une élévation de privilèges via PIM. Dans ce didacticiel, je vais vous expliquer comment configurer une sécurité supplémentaire pour la tâche d'activation du rôle PIM dans Microsoft Entra.

Contextes d'authentification et accès conditionnel

Les contextes d'authentification et les politiques d'accès conditionnel fonctionnent main dans la main pour appliquer des exigences de protection et de sécurité supplémentaires à des tâches spécifiques dans Microsoft Entra. Par exemple, pour élever les autorisations dans PIM (Privileged Identity Management), nous pouvons appliquer un contexte d'authentification au rôle PIM, puis cibler ce contexte d'authentification avec une politique d'accès conditionnel pour appliquer certains contrôles de sécurité. Cela pourrait inclure des exigences telles que :

• Localisation par adresse IP
• Points forts de l'authentification (méthodes MFA spécifiques)
• Conformité des appareils
• Fréquence de connexion
• Protection des jetons

Création d'une politique d'accès conditionnel et d'un contexte d'authentification

Créer une nouvelle politique d'accès conditionnel

Il est recommandé de créer d'abord une nouvelle stratégie d'accès conditionnel contenant tous vos contrôles de sécurité requis, puis d'attribuer le contexte d'authentification. Cela permet d'éviter d'éventuels problèmes de configuration qui pourraient laisser cette action sans protection. Créez une nouvelle stratégie d'accès conditionnel en suivant les étapes ci-dessous :

1. Dans Microsoft Entra, accédez à Protection > Accès conditionnel > Créer une nouvelle stratégie.
2. Donnez un nom à votre stratégie et attribuez Tous les utilisateurs.
3. Sous Contrôles d'accès, sélectionnez Accorder et activez les contrôles souhaités. J'ai sélectionné Exiger le niveau d'authentification et Exiger la conformité des appareils.
4. Activez votre stratégie et cliquez sur Créer. (à ce stade, votre politique n’est affectée à aucune ressource).

Créer un nouveau contexte d'authentification

Suivez les étapes ci-dessous pour créer un nouveau contexte d'authentification et l'appliquer à votre politique d'accès conditionnel.

1. Dans Microsoft Entra, accédez à Protection > Accès conditionnel.
2. Sous Gérer, sélectionnez Contexte d'authentification > Nouveau contexte d'authentification.
3. Définissez un nom et cochez la case pour publier sur des applications.
4. Cliquez sur Enregistrer.
5. Revenez à votre politique d’accès conditionnel pour la modifier.
6. Sélectionnez Ressources cibles et sélectionnez Contexte d'authentification dans la liste déroulante sous ce à quoi cette stratégie s'applique.
7. Sélectionnez votre contexte d'authentification et cliquez sur Enregistrer.

Attribution d'un contexte d'authentification à un rôle PIM

En attribuant un contexte d'authentification à un rôle PIM, vous pouvez cibler son activation avec les contrôles de sécurité étendus au contexte d'authentification via l'accès conditionnel. Suivez les étapes ci-dessous pour attribuer votre contexte d'authentification à votre rôle PIM.

1. Dans Microsoft Entra, accédez à Gouvernance des identités> Gestion des identités privilégiées.
2. Sous Gérer, sélectionnez Rôles Microsoft Entra > Rôles.
3. Trouvez votre rôle cible, dans mon cas, je sélectionnerai le rôle d'administrateur global.
4. Sélectionnez Paramètres de rôle, puis cliquez sur Modifier.
5. À côté de Sur action, exiger, sélectionnez Contexte d'authentification Microsoft Entra Conditional Access et sélectionnez votre contexte d'authentification dans la liste déroulante.
6. Cliquez sur Enregistrer.

Activer votre rôle PIM

1. Dans Microsoft Entra, accédez à Gouvernance des identités> Gestion des identités privilégiées.
2. Sélectionnez Mes rôles.
3. Sous l'onglet Affectations éligibles, sélectionnez Actif à côté du rôle souhaité.
4. La demande sera d'abord validée, l'option Activer sera grisée jusqu'à ce que la vérification supplémentaire soit terminée, ceci est appliqué par la politique d'accès conditionnel.

Cliquez sur la barrière d'avertissement et votre page sera redirigée vers l'expérience d'authentification Microsoft 365. Une fois réussi, vous serez redirigé pour continuer l’activation de votre rôle. Effectuez simplement les dernières étapes et votre rôle sera activé.

Ranger les détails

L'application d'une vérification de sécurité supplémentaire lors de l'activation du PIM est utile pour garantir que les droits ne sont pas activés lors d'une prise de contrôle de compte, telle qu'un vol complet de jetons ou un accès physique à un appareil, cela laisse toujours certaines portes ouvertes pendant que le rôle d'annuaire privilégié est en jeu. Envisagez de créer une stratégie d'accès conditionnel qui cible tous les rôles d'annuaire pour appliquer le même niveau de sécurité supplémentaire.