Comment bloquer les correspondances souples et rigides dans Microsoft Entra ID pour une sécurité renforcée

Tout d'abord, installez le module PowerShell Microsoft.Entra, qui est l'approche recommandée par Microsoft pour gérer les fonctionnalités de synchronisation de répertoire. Ce module remplace le module MSOnline hérité.

Install-Module Microsoft.Entra -Repository PSGallery -Force -AllowClobber

Importez le module et connectez-vous à votre locataire Entra ID avec les autorisations requises :

Import-Module Microsoft.Entra
Connect-Entra -Scopes 'OnPremDirectorySynchronization.ReadWrite.All'

Lorsque vous y êtes invité, authentifiez-vous avec vos identifiants d'administrateur global ou d'administrateur de synchronisation de répertoire. La connexion établira une session avec votre locataire.

Vérification : Exécutez Get-EntraContext pour confirmer que vous êtes connecté au bon locataire. Vous devriez voir votre ID de locataire et les détails d'authentification affichés.

Avant de faire des modifications, examinez l'état actuel de vos fonctionnalités de synchronisation de répertoire. Cette vérification de base vous aide à comprendre ce qui est actuellement activé et fournit un point de référence.

Get-EntraDirSyncFeature

Cette commande affiche toutes les fonctionnalités de synchronisation de répertoire et leur statut actuel activé/désactivé. Recherchez spécifiquement ces deux fonctionnalités :

• BlockSoftMatch - Contrôle la correspondance souple basée sur userPrincipalName ou l'adresse SMTP principale
• BlockCloudObjectTakeoverThroughHardMatch - Contrôle la correspondance stricte via l'ancre source (ImmutableID)

La sortie affichera True si le blocage est activé (sécurisé) ou False si la correspondance est autorisée (risque potentiel de sécurité).

Vérification : La sortie de la commande doit afficher un tableau avec les noms des fonctionnalités et leur statut actuel. Documentez ces paramètres actuels avant de continuer.

La correspondance souple lie automatiquement les objets sur site et cloud en fonction de userPrincipalName ou de l'adresse SMTP principale. Bien que pratique pour les migrations, elle crée une vulnérabilité de sécurité significative où les attaquants peuvent potentiellement prendre le contrôle des objets cloud.

Obtenez votre ID de locataire et bloquez la correspondance souple :

$tenantID = (Get-EntraContext).TenantId
Set-EntraDirSyncFeature -Features 'BlockSoftMatch' -Enable $true -TenantId $tenantID -Force

Cette commande désactive immédiatement la correspondance souple sur l'ensemble de votre locataire. Le paramètre -Force contourne les invites de confirmation, ce qui le rend adapté aux scripts d'automatisation.

La correspondance souple fonctionne en comparant ces attributs entre les objets sur site et cloud :

• userPrincipalName (attribut de correspondance principal)
• Adresse SMTP principale à partir de proxyAddresses
• Attribut Mail (si présent)

Lorsqu'elle est bloquée, Entra Connect établira uniquement des relations d'objets par correspondance stricte explicite ou lors de la synchronisation initiale.

Vérification : Exécutez à nouveau Get-EntraDirSyncFeature et confirmez que BlockSoftMatch affiche désormais True.

Le jumelage strict utilise l'ImmutableID (ancre source) pour lier les objets. Bien que plus précis que le jumelage souple, il peut toujours être exploité si un attaquant accède à Active Directory sur site et peut manipuler les valeurs d'ancre source.

Bloquer la prise de contrôle d'objet cloud via le jumelage strict :

$tenantID = (Get-EntraContext).TenantId
Set-EntraDirSyncFeature -Features 'BlockCloudObjectTakeoverThroughHardMatch' -Enable $true -TenantId $tenantID -Force

Cette protection empêche les scénarios où :

• Un attaquant compromet l'AD sur site
• Il crée un nouvel utilisateur avec une ancre source correspondant à un objet cloud existant
• Entra Connect lierait normalement ces objets, donnant à l'attaquant le contrôle sur l'identité cloud

Avec ce blocage activé, Entra Connect rejettera les tentatives de synchronisation qui entraîneraient une prise de contrôle non autorisée d'objet via la manipulation de l'ancre source.

La logique d'application vérifie les attributs de mappage sur site avant d'autoriser tout remappage de source d'autorité, bloquant efficacement les tentatives de remappage suspectes.

Vérification : Exécutez Get-EntraDirSyncFeature et confirmez que BlockCloudObjectTakeoverThroughHardMatch affiche True.

Après avoir activé les deux fonctionnalités de blocage, effectuez une vérification complète pour vous assurer que votre configuration de sécurité est active et fonctionne correctement.

Vérifiez l'état final de toutes les fonctionnalités de synchronisation de répertoire :

Get-EntraDirSyncFeature | Where-Object {$_.FeatureName -like '*Block*'} | Format-Table FeatureName, Enabled -AutoSize

Cette vue filtrée montre uniquement les fonctionnalités liées au blocage pour une vérification facile. Les deux devraient afficher True dans la colonne Enabled.

Si vous avez Entra Connect en cours d'exécution, déclenchez une synchronisation manuelle pour tester le nouveau comportement :

# Exécutez ceci sur votre serveur Entra Connect
Start-ADSyncSyncCycle -PolicyType Delta

Surveillez les journaux de synchronisation pour tout changement de comportement. Avec le blocage activé, vous devriez voir :

• Aucun appariement automatique souple des objets basé sur UPN ou email
• Rejet des tentatives d'appariement strict qui entraîneraient une prise de contrôle d'objet
• Messages d'erreur clairs si des tentatives d'appariement légitimes sont bloquées

Vérification : Vérifiez les rapports de synchronisation Entra Connect et assurez-vous qu'aucun lien d'objet inattendu ne se produit lors du prochain cycle de synchronisation.

Microsoft recommande de garder le blocage activé par défaut et de ne le désactiver que pendant des fenêtres de migration spécifiques. Voici comment gérer en toute sécurité le déblocage temporaire pour des besoins commerciaux légitimes.

Créez un script pour le déblocage temporaire pendant les migrations :

# Enregistrer l'état actuel du blocage
$currentSoftMatch = (Get-EntraDirSyncFeature | Where-Object {$_.FeatureName -eq 'BlockSoftMatch'}).Enabled
$currentHardMatch = (Get-EntraDirSyncFeature | Where-Object {$_.FeatureName -eq 'BlockCloudObjectTakeoverThroughHardMatch'}).Enabled

Write-Host "Current BlockSoftMatch: $currentSoftMatch"
Write-Host "Current BlockCloudObjectTakeoverThroughHardMatch: $currentHardMatch"

# Désactiver temporairement pour la migration (à utiliser avec une extrême prudence)
$tenantID = (Get-EntraContext).TenantId
Set-EntraDirSyncFeature -Features 'BlockSoftMatch' -Enable $false -TenantId $tenantID -Force
Set-EntraDirSyncFeature -Features 'BlockCloudObjectTakeoverThroughHardMatch' -Enable $false -TenantId $tenantID -Force

Write-Host "Blocage temporairement désactivé pour la migration. Réactivez immédiatement après la fin !"

Après avoir terminé vos tâches de migration, réactivez immédiatement le blocage :

# Réactiver le blocage après la migration
$tenantID = (Get-EntraContext).TenantId
Set-EntraDirSyncFeature -Features 'BlockSoftMatch' -Enable $true -TenantId $tenantID -Force
Set-EntraDirSyncFeature -Features 'BlockCloudObjectTakeoverThroughHardMatch' -Enable $true -TenantId $tenantID -Force

Write-Host "Blocage de sécurité réactivé avec succès."

Vérification : Exécutez toujours Get-EntraDirSyncFeature après la réactivation pour confirmer que les deux fonctionnalités de blocage sont à nouveau actives.

Établissez une surveillance continue pour garantir que votre configuration de blocage reste sécurisée et conforme aux recommandations de sécurité de Microsoft.

Créez un script de surveillance pour vérifier régulièrement l'état du blocage :

# Script de surveillance pour l'état du blocage
function Test-EntraMatchingBlocks {
    try {
        Connect-Entra -Scopes 'OnPremDirectorySynchronization.ReadWrite.All' -ErrorAction Stop
        
        $features = Get-EntraDirSyncFeature
        $softMatchBlocked = ($features | Where-Object {$_.FeatureName -eq 'BlockSoftMatch'}).Enabled
        $hardMatchBlocked = ($features | Where-Object {$_.FeatureName -eq 'BlockCloudObjectTakeoverThroughHardMatch'}).Enabled
        
        $result = @{
            'SoftMatchBlocked' = $softMatchBlocked
            'HardMatchBlocked' = $hardMatchBlocked
            'ComplianceStatus' = ($softMatchBlocked -and $hardMatchBlocked)
            'CheckDate' = Get-Date
        }
        
        if ($result.ComplianceStatus) {
            Write-Host "✓ CONFORME : Les correspondances souples et dures sont bloquées" -ForegroundColor Green
        } else {
            Write-Host "✗ NON CONFORME : Les blocs de correspondance ne sont pas correctement configurés" -ForegroundColor Red
        }
        
        return $result
    }
    catch {
        Write-Error "Échec de la vérification de l'état du blocage : $($_.Exception.Message)"
    }
}

# Exécuter la vérification de conformité
Test-EntraMatchingBlocks

Pour les environnements d'entreprise, envisagez d'intégrer cette vérification dans votre cadre de conformité de sécurité. Le cadre de test de sécurité Maester inclut le test MT.1073 spécifiquement pour vérifier le blocage des correspondances souples et dures.

Configurez des alertes automatisées pour la dérive de configuration :

# Exemple : Planifiez cela comme une tâche quotidienne
$complianceCheck = Test-EntraMatchingBlocks
if (-not $complianceCheck.ComplianceStatus) {
    # Envoyer une alerte à l'équipe de sécurité
    Send-MailMessage -To "security@company.com" -Subject "Entra ID Matching Blocks Non-Compliant" -Body "Les blocs de correspondance souple/dure ne sont pas correctement configurés. Attention immédiate requise."
}

Vérification : Exécutez le script de surveillance et confirmez qu'il identifie correctement l'état actuel du blocage. Testez le mécanisme d'alerte pour vous assurer que les notifications fonctionnent correctement.