View Categories

Temps de lecture estimé: 6 min de lecture

Ce que vous devez faire:

Dans cet exercice, vous allez attribuer un rôle d’administration hautement sensible de manière temporaire et éligible à un employé. Vous changerez ensuite de rôle pour incarner cet employé, activer ce droit d’accès « à la demande » (Just-In-Time) à l’aide d’une double validation, effectuer une tâche d’administration, puis constater le retrait automatique des accès.

Temps appromatif:  60 minutes

Prérequis:

Pour cet exercice, vous devez avoir un accès àMicrosoft 365 doté d’une licence Microsoft Entra ID P2

Scénario de mise en situation :

Un technicien junior de votre équipe, Diego Siciliani, a besoin de modifier les groupes de distribution de la clinique pour un projet spécial qui va durer deux heures cet après-midi.

Pour respecter les meilleures pratiques de sécurité, vous refusez de lui donner un accès d’administrateur permanent (ce qui poserait un grand risque si son compte était compromis). Vous décidez plutôt d’utiliser Privileged Identity Management (PIM). Vous allez rendre Diego éligible au rôle d’Administrateur d’utilisateurs pour une durée stricte de 2 heures aujourd’hui. Diego devra justifier son activation et utiliser l’application Microsoft Authenticator pour déverrouiller ses privilèges temporaires.

Objectif: Réinitialiser le mot de passe du technicien junior

Explication:

Pour pouvoir tester l’expérience du point de vue de Diego à l’Objectif 3, vous devez d’abord réinitialiser ses accès afin d’en connaître le mot de passe initial.

Tache 1: Préparer le compte de Diego Siciliani

  1. Ouvrez votre navigateur Microsoft Edge, accédez au portail Microsoft Entra ([https://entra.microsoft.com](https://entra.microsoft.com)) et connectez-vous avec vos identifiants d’administrateur de laboratoire.
  2. Dans le menu de gauche, sous Microsoft Entra ID, sélectionnez Utilisateurs (Users) -> Tous les utilisateurs (All users).
  3. Cliquez sur Diego Siciliani dans la liste des employés de la clinique.
  4. Cliquez sur Réinitialiser le mot de passe (Reset password) dans le menu supérieur.
  5. Dans le volet de droite, cliquez sur le bouton bleu Réinitialiser le mot de passe.
  6. ⚠️ Notez précieusement ce mot de passe temporaire ! Vous en aurez besoin à l’Objectif 3.
  7. Revenez à la page d’accueil de Microsoft Entra en cliquant sur Accueil (Home) dans le menu de gauche. Gardez l’onglet ouvert.

Objectif: Configurer l’éligibilité temporaire au rôle dans PIM

Explication:

Au lieu d’associer directement le rôle à Diego, nous allons utiliser le moteur de gouvernance PIM pour définir les règles d’attribution de son accès à privilèges.

Tache 1:

  1. Accéder à la gestion de la gouvernance PIM

    Dans le menu de gauche de Microsoft Entra, déroulez la section Gouvernance des identités (ID Governance), puis sélectionnez Privileged Identity Management (PIM)

  2. Sélectionner le rôle d’administration à attribuer

    Sous l’onglet Gérer l’accès (Manage access), cliquez sur Gérer (Manage). Recherchez le rôle Administrateur d’utilisateurs (User Administrator) dans la liste et cliquez dessus.

  3. Configurer l’attribution temporaire pour Diego

  • Cliquez sur + Ajouter des affectations (+ Add assignments) en haut.

  • Laissez le type de portée à Annuaire (Directory). Sous Sélectionner des membres, cliquez sur Aucun membre sélectionné.

  • Recherchez Diego dans le volet de droite, sélectionnez Diego Siciliani, puis cliquez sur Sélectionner au bas. Cliquez sur Suivant.

  • Sur l’onglet des paramètres, assurez-vous que le type d’affectation est bien défini sur Éligible (Eligible).

  • Décochez la case Éligible de manière permanente (Permanently eligible).

  • Définissez la fin de l’affectation à aujourd’hui, exactement 2 heures plus tard que l’heure actuelle.

  • Appuyez sur la touche Tab de votre clavier pour valider, puis cliquez sur Attribuer (Assign).

Objectif: Activer le rôle d’administration (Rôle de Diego)

Explication:

Nous changeons de rôle ! Vous êtes maintenant Diego Siciliani. Vous devez activer votre rôle d’administrateur temporaire pour pouvoir exécuter votre tâche de gestion.

Tache 1: Se connecter et demander l’activation dans PIM

  1. Ouvrez une nouvelle fenêtre de Microsoft Edge en mode navigation privée et connectez-vous sur [https://entra.microsoft.com](https://entra.microsoft.com) avec les identifiants de Diego Siciliani et le mot de passe noté à l’Objectif 1.
  2. Mettez à jour le mot de passe temporaire par un mot de passe permanent de votre choix et configurez l’application Microsoft Authenticator sur votre téléphone mobile lorsque demandé par le système (MFA).
  3. Une fois connecté sur le portail Microsoft Entra de Diego, allez dans le menu de gauche sous Gouvernance des identités -> Privileged Identity Management.
  4. Dans le menu de gauche de PIM, sélectionnez Mes rôles (My roles). Vous devriez voir s’afficher votre rôle éligible : Administrateur d’utilisateurs.
  5. Dans la colonne action à droite, cliquez sur Activer (Activate).
  6. Un avertissement de sécurité s’affiche : « Vérification supplémentaire requise ». Cliquez sur Cliquez pour continuer.
  7. Validez la notification d’approbation sur votre application mobile Microsoft Authenticator pour confirmer votre identité hautement sécurisée.
  8. De retour sur la page d’activation de PIM, saisissez une justification professionnelle obligatoire (ex: Mise à jour des groupes de projet de la clinique dentaire), puis cliquez sur Activer (Activate).
  9. Patientez pendant que le système valide les trois étapes d’approbation. Une fois terminé, cliquez sur le lien pour afficher vos rôles actifs et valider l’heure d’expiration automatique.

Objectif: Effectuer la tâche administrative avec les privilèges temporaires

Explication:

Puisque le rôle est désormais actif, Diego possède temporairement les droits requis pour modifier les affectations de groupes de la clinique.

Tache 1: Modifier les adhésions aux groupes de travail

  • Dans le menu de gauche, cliquez sur Accueil (Home) pour rafraîchir vos permissions d’accès.
  • Sous la section Microsoft Entra ID, cliquez sur Utilisateurs (Users) -> Tous les utilisateurs.
  • Dans la liste des employés, sélectionnez Bianca Pisani (une assistante dentaire).
  • Dans le menu de gauche de sa fiche, sélectionnez Groupes (Groups).
  • En haut, cliquez sur + Ajouter des adhésions (+ Add memberships).
  • Sélectionnez le groupe Mark 8 Project Team dans la liste et cliquez sur Sélectionner au bas de la page.
  • Cliquez sur Actualiser (Refresh) pour confirmer que Bianca a bien été ajoutée au groupe de projet.
  • Déconnectez-vous de la session de Diego et fermez toutes vos fenêtres.

Objectif: Analyser les journaux d’audit PIM (Rôle Admin)

Explication:

De retour dans votre rôle d’administrateur principal, vous allez valider que le système de traçabilité a bien consigné l’activation de Diego à des fins d’analyse de conformité.

Tache 1: Auditer l’historique d’activation

  • Ouvrez une session d’administrateur sur le portail Microsoft Entra https://entra.microsoft.com
  • Allez dans Gouvernance des identités -> Privileged Identity Management -> Rôles Microsoft Entra ID.
  • Dans le menu de gauche de la console PIM, cliquez sur Journaux d’audit (Audit logs).
  • Constatez l’enregistrement de l’activité : vous pouvez y voir l’heure exacte à laquelle Diego a demandé l’activation, sa justification d’affaires, et l’autorisation accordée par le système.

Félicitations !

Vous venez de déployer avec succès le principe de sécurité du moindre privilège (Least Privilege) grâce à Microsoft Entra PIM. Le technicien a pu exécuter sa tâche en toute sécurité sans disposer d’accès administrateur permanents !

La video.

A venir

 

What are your Feelings

  • Happy
  • Normal
  • Sad
Scroll to Top