Rôles Azure et rôles Microsoft Entra : les erreurs des administrateurs cloud

Q: Un administrateur général dispose-t-il automatiquement d’un accès au stockage et aux machines virtuelles Azure ?

Non. Un administrateur général gère le niveau annuaire (Entra ID) et n’a pas automatiquement accès aux ressources Azure, sauf s’il élève explicitement ses accès à l’aide du commutateur du portail d’administration des accès utilisateurs sur l’ensemble des abonnements.

Q: Quelle est la différence de périmètre entre un rôle Azure et un rôle Entra ID ?

Les rôles Azure s’appliquent à des groupes d’administration, des abonnements, des groupes de ressources ou des ressources individuelles. Les rôles Entra ID s’appliquent à l’ensemble du locataire, à des unités administratives ou à des objets d’application spécifiques.

Q: Puis-je utiliser un rôle Entra ID pour attribuer des autorisations sur une machine virtuelle Azure précise ?

Non. Les rôles Entra ID gèrent des objets d’annuaire, comme les utilisateurs et les applications. Pour gérer les autorisations d’une machine virtuelle ou d’un groupe de ressources, vous devez utiliser le contrôle d’accès en fonction du rôle (Azure RBAC).

Q: Qu’advient-il des rôles d’administrateur d’abonnement classiques dans Azure ?

Les rôles d’administrateur classiques, comme Administrateur de compte, Administrateur de service et Coadministrateur, ont été entièrement retirés par Microsoft. Toute la gestion moderne des accès passe désormais exclusivement par Azure RBAC.

By Mirko Peters · 2026-10-29

Arrêtez de confondre Azure RBAC et les rôles Microsoft Entra. Découvrez les différences essentielles en matière de périmètre, d’autorisations et d’administration pour sécuriser votre cloud.

Automatically translated with AI from the original post. Read the English original

Cover: Azure Role-Based Access Control (RBAC) - Simply Explained

Les rôles Azure et les rôles Microsoft Entra représentent deux frontières d’autorisation distinctes, source de confusion fréquente pour les administrateurs cloud. Comprendre le fonctionnement de ces deux systèmes de permissions distincts vous permet d’attribuer les bons privilèges aux bonnes identités, sans accorder par mégarde un contrôle excessif sur votre infrastructure ou vos services d’annuaire.

Points clés

Les rôles Azure contrôlent l’accès aux objets de ressources cloud, comme les machines virtuelles, les comptes de stockage et les réseaux virtuels.
Les rôles Microsoft Entra ID régissent les autorisations au niveau de l’annuaire, telles que le provisionnement des utilisateurs, la création de groupes et l’attribution de licences.
Les administrateurs généraux ne reçoivent pas automatiquement un contrôle total sur les abonnements Azure sans configuration explicite.
Bien comprendre les différents périmètres permet d’éviter des élévations de privilèges catastrophiques et des oublis de sécurité lors des audits de conformité.

La ligne de fracture fondamentale : ressources contre annuaire

Lorsque vous commencez à gérer les autorisations dans l’écosystème cloud de Microsoft, le terme « rôle » apparaît dans plusieurs centres d’administration. Cette ambiguïté terminologique est la source de confusion la plus courante pour les ingénieurs, les architectes et les équipes support. Le plus simple pour garder les idées claires consiste à identifier ce que vous cherchez à modifier.

Les rôles Azure contrôlent l’accès aux ressources Azure. Si votre tâche consiste à déployer une machine virtuelle, à configurer un réseau virtuel, à ajuster une règle de pare-feu ou à lire des fichiers dans un conteneur de stockage, vous relevez du contrôle d’accès en fonction du rôle Azure (Azure RBAC). Ces autorisations s’appliquent directement aux plans d’infrastructure et de données qui fonctionnent au sein de vos abonnements cloud.

À l’inverse, les rôles Microsoft Entra contrôlent l’accès aux ressources d’annuaire. Si votre tâche consiste à créer de nouveaux comptes utilisateur, à modifier l’appartenance à des groupes, à attribuer des licences Microsoft 365 ou à réinitialiser des mots de passe, vous travaillez dans Microsoft Entra ID. Ces actions touchent la couche identitaire de votre organisation plutôt que les couches de calcul ou de stockage.

Confondre ces deux systèmes conduit à des raccourcis administratifs dangereux. Un ingénieur qui suppose que des droits d’annuaire donnent accès à l’infrastructure, ou l’inverse, demandera souvent des autorisations inutilement étendues simplement pour terminer son travail quotidien. Associer chaque tâche au bon plan d’autorisation constitue le fondement d’une architecture cloud sécurisée.

Comparer les périmètres et les limites

Les limites d’application de vos autorisations diffèrent radicalement selon que vous travaillez avec un rôle Azure ou un rôle Entra ID. Le périmètre détermine l’étendue des dégâts causés par toute erreur humaine ou automatisée. Il est donc essentiel de maîtriser la hiérarchie de ces deux systèmes.

Périmètres des rôles Azure

Azure RBAC repose sur un modèle de périmètres strictement hiérarchique. Lorsque vous attribuez un rôle dans Azure, vous l’appliquez à l’un des quatre niveaux suivants :

Groupe d’administration : le niveau de conteneur le plus large, qui applique des autorisations à plusieurs abonnements.
Abonnement : la limite de la facturation, de la gouvernance et d’un ensemble de services associés.
Groupe de ressources : un dossier logique regroupant des ressources spécifiques pour un projet ou un environnement.
Ressource : le niveau le plus fin, qui cible une seule machine virtuelle, un seul compte de stockage ou une seule base de données.

Les autorisations attribuées à un niveau parent sont héritées par les niveaux inférieurs. Si vous attribuez le rôle de lecteur au niveau du groupe d’administration, cette identité peut voir chaque ressource de chaque abonnement rattaché à ce groupe.

Périmètres des rôles Entra ID

Les rôles Microsoft Entra ne suivent pas la hiérarchie des ressources Azure. Ils sont attribués au niveau du locataire, à travers des unités administratives, ou ciblent un objet unique, comme une application d’entreprise inscrite. Vous ne pouvez pas attribuer un rôle Entra ID à un groupe de ressources ou à une machine virtuelle, car ces objets n’existent pas dans le graphe de l’annuaire de la même manière.

Le mythe et la réalité de l’Administrateur général

L’une des idées fausses les plus tenaces dans l’administration cloud consiste à croire que le fait de détenir le rôle d’Administrateur général dans Microsoft Entra vous donne un contrôle sans restriction sur chaque abonnement et chaque ressource de votre environnement Azure. Ce n’est pas le cas.

Les ressources Azure et les objets de l’annuaire Entra sont régis par des systèmes d’autorisation distincts. Un Administrateur général nouvellement désigné ne peut donc pas automatiquement consulter ni gérer les machines virtuelles d’un abonnement tant qu’une action explicite n’a pas été effectuée. Toutefois, un Administrateur général dispose du pouvoir unique d’élever ses propres privilèges. En activant un commutateur spécifique de gestion des accès dans le portail Azure, il peut s’attribuer le rôle d’Administrateur de l’accès utilisateur sur tous les abonnements du locataire.

Ce mécanisme empêche les administrateurs de détruire par inadvertance une infrastructure dont ils ignoraient l’existence, mais il crée un angle mort en matière d’audit si l’organisation ne surveille pas qui active ce commutateur d’élévation. Distinguer radicalement l’administration de l’annuaire et celle des ressources Azure est indispensable pour maintenir un niveau de sécurité solide.

Conclusion

Comprendre les subtilités des autorisations cloud suppose de reconnaître que les rôles Azure et les rôles Microsoft Entra répondent à des logiques entièrement différentes. En réservant les modifications d’infrastructure à Azure RBAC et la gestion des identités à Entra ID, vous supprimez les ambiguïtés, réduisez votre rayon d’impact et abordez les audits de conformité en toute confiance.

Pour approfondir le fonctionnement du contrôle d’accès à travers l’écosystème cloud de Microsoft, consultez la discussion associée dans le podcast. Écoutez l’épisode complet pour des explications claires et accessibles qui vous aideront à maîtriser l’architecture cloud et les bonnes pratiques de sécurité.

Questions fréquentes

Un Administrateur général dispose-t-il automatiquement d’un accès au stockage et aux machines virtuelles Azure ?

Non. Un Administrateur général gère le niveau de l’annuaire (Entra ID) et n’a pas automatiquement accès aux ressources Azure, sauf s’il élève explicitement ses droits à l’aide du commutateur du portail dédié à la gestion des accès utilisateurs à travers les abonnements.

Quelle est la différence de périmètre entre un rôle Azure et un rôle Entra ID ?

Les rôles Azure s’appliquent aux groupes d’administration, aux abonnements, aux groupes de ressources ou aux ressources individuelles. Les rôles Entra ID s’appliquent à l’ensemble du locataire, à des unités administratives ou à des objets d’application spécifiques.

Puis-je utiliser un rôle Entra ID pour attribuer des autorisations sur une machine virtuelle Azure précise ?

Non. Les rôles Entra ID gèrent des objets de l’annuaire, comme les utilisateurs et les applications. Pour gérer les autorisations d’une machine virtuelle ou d’un groupe de ressources, vous devez utiliser le contrôle d’accès en fonction du rôle Azure (Azure RBAC).

Qu’advient-il des rôles d’administrateur d’abonnement classiques dans Azure ?

Les rôles d’administrateur classiques, tels que Administrateur de compte, Administrateur des services et Coadministrateur, ont été entièrement retirés par Microsoft. Toute la gestion moderne des accès passe désormais exclusivement par Azure RBAC.