Comment créer une stratégie de mot de passe dans Azure Active Directory

Votre stratégie de mot de passe dans Azure AD fonctionne un peu différemment de celle à laquelle vous êtes habitué dans Active Directory local, car il n’existe aucun contrôle direct sur les exigences de complexité. Cependant, à l'instar d'Active Directory, la politique de mot de passe vous permet toujours de définir la longueur du mot de passe et les conditions de verrouillage, ainsi que de fournir des fonctionnalités supplémentaires, notamment des listes de mots de passe interdits personnalisées.

Dans ce tutoriel, je vais vous montrer comment modifier et augmenter la sécurité de votre politique de mot de passe dans Azure Active Directory.

Quelle est la politique de mot de passe Azure AD par défaut ?

La politique de mot de passe par défaut appliquée à tous les comptes d'utilisateurs basés sur le cloud ne peut pas être modifiée au-delà des options modifiables que je vais vous expliquer dans ce didacticiel. Ci-dessous, vous pouvez voir les paramètres par défaut de la stratégie de mot de passe Azure AD intégrée.

Characters allowed: A - Z
a - z
0 - 9
@ # $% ^& * - _ ! +=[ ] { } |\: ' , . ?/` ~ ” ( ) ; < >
Espace vide
Characters not allowed: Caractères Unicode
Password restrictions: Un minimum de 8 caractères et un maximum de 256 caractères.
Nécessite trois des quatre éléments suivants :
- Caractères minuscules
- Caractères majuscules
- Chiffres (0-9)
- Symboles (voir les restrictions de mot de passe précédentes)
Password expiry duration (Maximum password age): Valeur par défaut : 90 jours. Si le locataire a été créé après 2021, il n’a pas de valeur d’expiration par défaut. Vous pouvez vérifier la stratégie actuelle avec Get-MsolPasswordPolicy.
La valeur est configurable à l'aide de l'applet de commande Set-MsolPasswordPolicy du module Azure Active Directory pour Windows PowerShell.
Password expiry (Let passwords never expire): Valeur par défaut : false (indique que les mots de passe ont une date d'expiration).
La valeur peut être configurée pour des comptes d'utilisateurs individuels à l'aide de l'applet de commande Set-MsolUser .
Password change history: Le dernier mot de passe ne peut pas être utilisé à nouveau lorsque l'utilisateur modifie un mot de passe.
Password reset history: Le dernier mot de passe peut être réutilisé lorsque l'utilisateur réinitialise un mot de passe oublié.

Par défaut, les paramètres appliqués ci-dessus ne sont pas pertinents pour les comptes synchronisés avec Azure Active Directory via Azure AD Connect, car la stratégie de mot de passe de votre annuaire sur site est prioritaire. Cependant, vous pouvez appliquer la politique de mot de passe Azure AD Connect pour qu'elle prenne effet… Consultez mon tutoriel pour synchroniser votre politique de mot de passe Azure AD avec AD sur site.

Comment modifier l'expiration du mot de passe dans Azure AD

Pour modifier l’expiration du mot de passe pour tous les utilisateurs dans Azure AD. Accédez au Centre d'administration Microsoft 365 > Paramètres > Paramètres de l'organisation > Sécurité et confidentialité > Expiration du mot de passe politique. Ici, vous pouvez définir des mots de passe pour qu'ils n'expirent jamais ou définir une période d'expiration.

Pour empêcher l’utilisation de mots de passe simples ou prévisibles, il est recommandé que les mots de passe soient définis pour ne jamais expirer et que vous encourageiez ou guidiez vos utilisateurs à définir un mot de passe sécurisé qui n’est utilisé que pour Azure AD. Faire cela ainsi que mettre en œuvre des contrôles de sécurité de base tels que l'authentification multifacteur est beaucoup plus sécurisé que d'activer l'expiration du mot de passe. Si vous souhaitez savoir comment appliquer l'authentification multifacteur dans votre organisation, consultez mon tutoriel sur Comment créer une stratégie d'accès conditionnel dans Azure Active Directory.

Activer la protection par mot de passe dans Azure AD

La protection par mot de passe dans Azure AD offre une sécurité et un contrôle supplémentaires sur les paramètres de mot de passe et les conditions de verrouillage de votre utilisateur. Les fonctionnalités sont rapides et faciles à configurer et peuvent fournir une gestion efficace pour empêcher les mots de passe faciles à deviner.

Pour accéder aux fonctionnalités de protection par mot de passe dans Azure AD, sélectionnez Azure Active Directory > Sécurité.

Sous l'en-tête Gérer, sélectionnez Méthodes d'authentification.

Sélectionnez ensuite Protection par mot de passe.

Sur la page Protection par mot de passe, vous avez la possibilité de configurer le seuil de verrouillage, qui détermine le nombre de tentatives de connexion infructueuses jusqu'à ce que le compte passe à l'état verrouillé. La Durée de verrouillage détermine la durée pendant laquelle votre compte restera verrouillé et vous avez la possibilité de mettre en œuvre une Liste de mots de passe interdits personnalisée pour empêcher les mots de passe faciles à deviner.

Bien que je ne couvre pas la protection par mot de passe pour WIndows Server Active Directory dans ce didacticiel, pour l'activer, vous aurez besoin de l'agent Azure AD Password Protection DC ou du proxy Azure AD Password Protection installé sur un contrôleur de domaine.

Que se passe-t-il lorsque vous implémentez une liste de mots de passe interdits ?

Une liste de mots de passe interdits personnalisés est un moyen simple d'empêcher efficacement les utilisateurs de définir des mots de passe simples et faciles à deviner, tels que leur nom, le nom de l'entreprise ou des variantes similaires des deux. La liste de mots de passe interdits personnalisés n'autorise que jusqu'à 1 000 éléments de liste, il est donc important de l'utiliser efficacement.

Lorsque vous appliquez la protection par mot de passe, y compris votre liste de mots de passe interdits, si un utilisateur dispose déjà d'un mot de passe répertorié, cela n'aura aucun impact sur cet utilisateur, il pourra continuer à travailler sans interruption. Cependant, si un utilisateur modifie ensuite son mot de passe pour celui répertorié dans la liste des mots de passe interdits, l'erreur suivante lui sera présentée.

Créez une liste de mots de passe interdits personnalisés et efficaces

En raison de la limite de mots de passe dans la liste de mots de passe interdits personnalisés, il est important que vous définissiez votre liste efficacement, au lieu de simplement copier et coller celle de quelqu'un d'autre depuis Internet. Les mots de passe de votre liste doivent être liés d'une manière ou d'une autre à votre personnel ou à votre organisation. Voici quelques exemples :

Nom de l'entreprise
Emplacements de l'entreprise ou du personnel
Nom du bâtiment ou du bureau
Termes, slogans ou dialogues spécifiques utilisés par l'entreprise
Noms des produits ou services fournis par l'entreprise

Normalisation

Lorsque les mots de passe de la liste sont évalués, un processus de normalisation se produit pour détecter si le mot de passe saisi se trouve dans la liste. Cela signifie que les variantes de mots de passe figurant dans la liste sont également automatiquement détectées et bloquées.

Par exemple, si vous aviez l'expression ourcloudnetwork dans la liste des mots de passe interdits et que quelqu'un utilisait le mot de passe 0urC10udN3w0rk, il serait automatiquement bloqué. Cela étend considérablement la couverture fournie par la liste des mots de passe interdits dans Azure AD.

Les substitutions de caractères peuvent être trouvées dans le tableau ci-dessous.

0: o
1: je
$: s
@: un

Correspondance floue

Un processus appelé Fuzzy matching est également utilisé pour identifier si un mot de passe doit être autorisé ou interdit. Pour ce faire, il évalue si le mot de passe normalisé se trouve dans la liste des mots de passe interdits sur la base d'une variance de caractères de 1.

Par exemple, si l'expression ourcloudnetwork est répertoriée dans la liste des mots de passe interdits, chacun des mots de passe suivants sera également interdit :

0urC10udN3w0rp - la dernière lettre « k » a été remplacée par un « p »
0urC10udN3w0rk6 - « 6 » a été ajouté à la fin.
TurC10udN3w0rk - le premier caractère « 0 » a été remplacé par « T »
0urC10udN3w0r - la dernière lettre « k » a été supprimée
L0urC10udN3w0rk - « L » a été ajouté au début

Correspondance de sous-chaîne

La correspondance de sous-chaîne est utilisée sur le mot de passe normalisé pour détecter si le prénom, le nom ou le nom du locataire de l'utilisateur se trouve dans le mot de passe, que ces informations se trouvent ou non dans la liste des mots de passe interdits personnalisés.

Par exemple, je m'appelle Daniel Bradley dans Azure Active Directory. Si j'essaie de réinitialiser mon mot de passe sur D@ni31network5, une fois normalisé, il devient Danielnetwork5 et le mot de passe sera être empêché d'être utilisé.

Conclusion

La modification de vos paramètres de mot de passe et la mise en œuvre d’une protection par mot de passe sont souvent négligées lors de la migration vers le cloud uniquement ou lorsque vous « vous en sortez » en laissant les valeurs par défaut en place. Si vous disposez d'Azure AD Premium P1 ou P2, je vous recommande fortement de jeter un œil à vos paramètres de protection par mot de passe dans Azure AD et d'augmenter la sécurité de votre mot de passe dès maintenant. Il s’agit de changements à fort impact sans interruption de la production.