Comment configurer des stratégies d'accès conditionnel Intune sécurisées

Avant de configurer des stratégies d'accès conditionnel, vous avez besoin de comptes de secours pour éviter les verrouillages. Ces comptes contournent toutes les stratégies d'accès conditionnel et fournissent un accès administratif d'urgence.

Accédez au centre d'administration Microsoft Entra à l'adresse https://entra.microsoft.com et allez à Identité > Utilisateurs > Tous les utilisateurs.

Cliquez sur Nouvel utilisateur et créez deux comptes dédiés :

Compte 1 : emergency-access-1@yourdomain.com
Compte 2 : emergency-access-2@yourdomain.com

Générez des mots de passe forts (minimum 16 caractères) et stockez-les dans un endroit physique sécurisé distinct du stockage numérique. Attribuez des rôles d'administrateur global à ces deux comptes.

Créez un groupe de sécurité pour ces comptes :

Nom : Comptes d'accès d'urgence
Type : Sécurité
Membres : Les deux comptes d'urgence

Vérification : Connectez-vous avec un compte d'urgence pour confirmer que l'accès fonctionne avant de continuer.

L'accès conditionnel repose sur le statut de conformité de l'appareil. Vous avez besoin de politiques de conformité fonctionnelles avant de créer des règles d'accès conditionnel.

Ouvrez le centre d'administration Microsoft Intune à https://intune.microsoft.com et accédez à Sécurité des points de terminaison > Conformité des appareils > Politiques.

Cliquez sur Créer une politique et sélectionnez votre plateforme (Windows 10/11 pour cet exemple) :

{
  "passwordRequired": true,
  "passwordMinimumLength": 8,
  "passwordComplexity": "required",
  "deviceSecurityEncryption": true,
  "firewallEnabled": true,
  "osMinimumVersion": "10.0.19041",
  "defenderEnabled": true
}

Configurez ces exigences essentielles :

• Mot de passe : Minimum 8 caractères avec complexité
• Chiffrement : BitLocker activé
• Pare-feu : Pare-feu Windows Defender actif
• Version OS : Windows 10 build 19041 ou ultérieur
• Antimalware : Windows Defender en cours d'exécution

Définissez Actions pour non-conformité pour marquer l'appareil comme non conforme immédiatement. Assignez la politique à vos groupes d'appareils.

Vérification : Vérifiez qu'un appareil de test apparaît comme conforme dans Appareils > Tous les appareils après l'attribution de la politique.

Ceci est votre politique de base exigeant des appareils conformes pour l'accès aux ressources de l'entreprise. Accédez à Protection > Accès conditionnel > Politiques dans le centre d'administration Microsoft Entra.

Cliquez sur Nouvelle politique et configurez :

Nom de la politique : Exiger un appareil conforme pour les applications d'entreprise

Affectations - Utilisateurs :

Inclure : Tous les utilisateurs
Exclure : Groupe de comptes d'accès d'urgence

Affectations - Applications cloud :

Inclure : Toutes les applications cloud
(Alternative : Sélectionner des applications spécifiques comme Office 365, SharePoint)

Conditions - Plates-formes d'appareils :

Configurer : Oui
Inclure : Windows, macOS, iOS, Android

Contrôles d'accès - Accorder :

Accorder l'accès : Sélectionné
✓ Exiger que l'appareil soit marqué comme conforme
✓ Exiger une authentification multifactorielle
Exiger tous les contrôles sélectionnés : Sélectionné

Cliquez sur Créer pour enregistrer la politique.

Vérification : Utilisez l'outil Et si pour tester l'impact de la politique avec différents scénarios utilisateur/appareil avant de l'activer.

Si vous avez des licences Azure AD Premium P2, créez des politiques basées sur le risque pour bloquer les connexions suspectes. Cela nécessite des fonctionnalités de protection de l'identité.

Créez une nouvelle politique d'accès conditionnel avec ces paramètres :

Nom de la politique : Bloquer les connexions à haut risque

Affectations - Utilisateurs :

Inclure : Tous les utilisateurs
Exclure : Comptes d'accès d'urgence

Affectations - Applications cloud :

Inclure : Toutes les applications cloud

Conditions - Risque de connexion :

Configurer : Oui
Sélectionner les niveaux de risque : Moyen, Élevé

Contrôles d'accès - Accorder :

Accorder l'accès : Sélectionné
✓ Exiger l'authentification multifactorielle
✓ Exiger le changement de mot de passe
Exiger tous les contrôles sélectionnés : Sélectionné

Cette politique se déclenche lorsque l'apprentissage automatique de Microsoft détecte des modèles de connexion à risque tels que :

• Voyage impossible (connexions depuis des lieux éloignés)
• Adresses IP anonymes (Tor, VPN)
• Propriétés de connexion inhabituelles
• Adresses IP liées à des logiciels malveillants

Vérification : Testez avec une connexion VPN depuis un lieu inhabituel pour déclencher la détection de risque (utilisez un compte de test).

Avant d'activer l'application, testez soigneusement vos politiques à l'aide de l'outil de simulation What If de Microsoft. Accédez à Accès conditionnel > What If.

Scénario de test 1 - Appareil conforme :

Utilisateur : test-user@yourdomain.com
Application cloud : Office 365
Plateforme de l'appareil : Windows
État de l'appareil : Conforme
Adresse IP : IP du réseau d'entreprise
Attendu : Accorder l'accès

Scénario de test 2 - Appareil non conforme :

Utilisateur : test-user@yourdomain.com
Application cloud : Office 365
Plateforme de l'appareil : iOS
État de l'appareil : Non conforme
Adresse IP : IP externe
Attendu : Bloquer l'accès ou exiger MFA

Scénario de test 3 - Compte d'urgence :

Utilisateur : emergency-access-1@yourdomain.com
Application cloud : N'importe laquelle
État de l'appareil : N'importe lequel
Attendu : Toujours accorder (exclu des politiques)

Exécutez chaque scénario et vérifiez que les résultats correspondent à vos attentes. L'outil montre quelles politiques s'appliqueraient et quelles actions seraient prises.

Vérification : Documentez les résultats des tests et assurez-vous que les comptes d'urgence ont toujours accès avant d'activer les politiques.

Avec des politiques en mode rapport uniquement, surveillez leur impact pendant au moins une semaine. Accédez à Surveillance > Journaux de connexion dans le centre d'administration Microsoft Entra.

Filtrez les journaux pour vous concentrer sur vos politiques :

Options de filtrage :
- Accès conditionnel : Sélectionnez les noms de vos politiques
- Statut : Tous
- Plage de dates : 7 derniers jours

Recherchez ces indicateurs clés :

• Entrées en mode rapport uniquement : Montre ce qui se serait passé
• Utilisateurs bloqués : Utilisateurs légitimes qui seraient affectés
• Invites MFA : Exigences d'authentification supplémentaires
• Problèmes de conformité : Appareils marqués non conformes

Exportez les données pour analyse :

# PowerShell pour exporter les journaux de connexion
Connect-MgGraph -Scopes "AuditLog.Read.All"

$logs = Get-MgAuditLogSignIn -Filter "createdDateTime ge 2026-03-12" -All
$logs | Where-Object {$_.ConditionalAccessStatus -eq "reportOnlyInterrupted"} | Export-Csv "ca-impact.csv"

Examinez les données exportées pour identifier :

• Les utilisateurs qui seraient bloqués de manière inappropriée
• Les appareils nécessitant une remédiation de conformité
• Les applications nécessitant des ajustements de politique

Vérification : Confirmez qu'aucun processus métier critique ne serait perturbé avant d'activer l'application.

Après avoir surveillé et résolu les problèmes trouvés pendant la phase de rapport uniquement, activez l'application des politiques. Retournez à Accès conditionnel > Politiques.

Pour chaque politique que vous souhaitez activer :

1. Cliquez sur le nom de la politique
2. Cliquez sur Modifier
3. Changez Activer la politique de Rapport uniquement à Activé
4. Cliquez sur Enregistrer

Activez les politiques dans cet ordre recommandé :

1. Politique de conformité des appareils (risque le plus faible)
2. Politiques basées sur la localisation (si configurées)
3. Politiques basées sur le risque (impact le plus élevé)

Utilisez PowerShell pour l'activation en masse des politiques :

# Connectez-vous à Microsoft Graph
Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess"

# Obtenez les politiques en mode rapport uniquement
$policies = Get-MgIdentityConditionalAccessPolicy | Where-Object {$_.State -eq "enabledForReportingButNotEnforced"}

# Activez chaque politique (vérifiez la liste d'abord !)
foreach ($policy in $policies) {
    Write-Host "Activation de la politique : $($policy.DisplayName)"
    Update-MgIdentityConditionalAccessPolicy -ConditionalAccessPolicyId $policy.Id -State "enabled"
}

Vérification : Testez l'accès avec divers comptes d'utilisateurs et types d'appareils pour confirmer que les politiques fonctionnent comme prévu sans bloquer l'accès légitime.

Mettre en œuvre une surveillance continue pour détecter les problèmes de politique et les événements de sécurité. Configurer des alertes pour les scénarios critiques.

Créer un Workbook Azure Monitor pour l'accès conditionnel :

Accédez à Azure Monitor > Workbooks > Nouveau et ajoutez ces requêtes :

// Échecs de connexion dus à l'accès conditionnel
SigninLogs
| where TimeGenerated > ago(24h)
| where ConditionalAccessStatus == "failure"
| summarize count() by UserPrincipalName, AppDisplayName, ConditionalAccessPolicies
| order by count_ desc

// Utilisation de compte d'urgence (devrait être rare)
SigninLogs
| where TimeGenerated > ago(7d)
| where UserPrincipalName contains "emergency-access"
| project TimeGenerated, UserPrincipalName, AppDisplayName, IPAddress, RiskLevelDuringSignIn

Configurer les règles d'alerte :

Dans Azure Monitor > Alertes, créez ces alertes critiques :

{
  "alertName": "Utilisation de compte d'urgence",
  "condition": "SigninLogs | where UserPrincipalName contains 'emergency-access'",
  "threshold": "Toute utilisation",
  "action": "Envoyer un email à l'équipe de sécurité immédiatement"
}

{
  "alertName": "Blocages CA à volume élevé",
  "condition": "ConditionalAccessStatus == 'failure'",
  "threshold": ">50 échecs en 1 heure",
  "action": "Envoyer un email à l'équipe des opérations IT"
}

Processus de révision hebdomadaire :

• Examiner les journaux de connexion pour des modèles inhabituels
• Vérifier les taux de conformité des appareils
• Vérifier que les comptes d'urgence restent fonctionnels
• Mettre à jour les politiques en fonction des nouvelles menaces

Vérification : Tester les déclencheurs d'alerte en utilisant un compte d'urgence ou en créant un scénario de test d'échec pour s'assurer que les notifications fonctionnent.