Microsoft Entra ID expliqué : la fondation d’identité pour Microsoft 365 et Azure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

Comprendre Microsoft Entra ID, anciennement Azure AD : utilisateurs, groupes, applications, SSO, MFA, accès conditionnel et gestion des identités dans Microsoft 365 et Azure.

Automatically translated with AI from the original post. Read the English original

Bienvenue, auditeurs et lecteurs, pour une nouvelle plongée approfondie dans l’univers de l’infrastructure cloud et de la sécurité d’entreprise. Dans notre dernier épisode de podcast, nous avons abordé l’un des sujets les plus critiques de l’informatique moderne : la gestion des identités et des accès. Nous nous sommes plus précisément concentrés sur Microsoft Entra ID, anciennement connu sous le nom d’Azure Active Directory (Azure AD), et sur la manière dont il constitue l’épine dorsale incontournable de tout ce que vous faites dans Microsoft 365, dans Azure et dans des milliers d’applications SaaS (Software as a Service) externes.

Si vous évoluez dans le monde informatique depuis un certain temps, vous vous souvenez probablement de l’époque où l’identité était liée à une machine physique posée dans une salle serveur, faisant tourner Windows Server Active Directory. Lorsque les organisations ont commencé à migrer vers le cloud, ce paradigme a complètement changé. La sécurité fondée sur le périmètre réseau est devenue obsolète presque du jour au lendemain. Aujourd’hui, le périmètre réseau ne se définit plus par les pare-feu et les adresses IP ; il se définit par l’identité. Microsoft Entra ID orchestre ce nouveau périmètre. Dans cet article complémentaire très complet, nous allons développer les concepts clés abordés dans l’émission : utilisateurs, groupes, gestion des applications, mécanismes d’authentification et gouvernance, afin que vous puissiez sécuriser et optimiser l’environnement cloud de votre organisation.

Introduction à Microsoft Entra ID et à l’identité moderne

Pour bien apprécier Microsoft Entra ID, il faut d’abord comprendre la philosophie de la gestion moderne des identités. À l’époque héritée des infrastructures sur site, les utilisateurs se connectaient à un ordinateur joint au domaine, physiquement relié au réseau local de l’entreprise (LAN). Active Directory vérifiait leur identité, et l’accès était accordé essentiellement selon que le trafic provenait ou non de l’intérieur du périmètre de l’entreprise.

Le lieu de travail moderne est tout autre. Les collaborateurs travaillent depuis leur domicile, un café, un aéroport ou les locaux d’un client, à l’aide d’ordinateurs portables, de tablettes et de smartphones. Ils accèdent à des ressources hébergées non seulement dans des datacenters locaux, mais aussi dans plusieurs clouds publics et sur des plateformes SaaS tierces telles que Salesforce, ServiceNow ou Zoom. Dans ce monde décentralisé, l’identité est devenue le nouveau plan de contrôle de la sécurité.

Microsoft Entra ID est un service cloud de gestion des identités et des accès (IAM) conçu pour sécuriser et administrer les identités dans des environnements hybrides et multicloud. Il ne s’agit pas simplement d’une version cloud de Windows Server Active Directory : il a été conçu dès l’origine pour les charges de travail cloud à l’échelle d’Internet, les protocoles d’authentification web et les intégrations pilotées par API. Qu’un collaborateur se connecte à Microsoft 365 pour consulter Outlook, qu’il démarre une machine virtuelle dans Azure ou qu’il s’authentifie auprès d’une application RH externe, Microsoft Entra ID vérifie son identité, évalue le risque de sa connexion et applique les stratégies de l’organisation en quelques millisecondes.

Composants essentiels : utilisateurs, groupes et appareils

Au niveau le plus fondamental, Microsoft Entra ID repose sur trois objets principaux : les utilisateurs, les groupes et les appareils. Maîtriser la manière dont ces trois éléments interagissent constitue la première étape vers la construction d’un annuaire évolutif et sécurisé.

Gérer les utilisateurs dans le cloud

Dans Entra ID, les utilisateurs représentent les identités individuelles qui ont besoin d’accéder aux ressources de l’organisation. Il peut s’agir de collaborateurs internes, de prestataires externes, d’organisations partenaires, voire de comptes de service et d’applications automatisés (souvent désignés sous le nom de principaux de service ou d’identités managées). Le cycle de vie des utilisateurs doit être soigneusement géré, de la création du compte à l’embauche jusqu’à la désactivation immédiate au départ, en passant par les changements de rôle en cours de contrat.

Les organisations adoptent généralement l’un des deux modèles suivants pour la gestion des utilisateurs :

• Identités cloud uniquement : créées et gérées entièrement dans Entra ID. Ce modèle est courant pour les startups « nées dans le cloud » ou pour certains comptes invités spécifiques.
• Identités hybrides : synchronisées depuis un environnement Active Directory sur site à l’aide d’un outil appelé Microsoft Entra Connect (ou Entra Cloud Sync). Cela permet aux organisations de conserver leurs contrôleurs de domaine historiques tout en étendant sans heurt les identités des utilisateurs dans le cloud, ce qui offre une expérience de connexion unique (SSO).

La puissance des groupes

Attribuer des autorisations et des applications à chaque utilisateur individuellement devient vite un cauchemar administratif. C’est là qu’interviennent les groupes. Entra ID prend en charge deux grands types de groupes :

• Groupes assignés (statiques) : Les administrateurs ajoutent et retirent manuellement les membres. Cette approche convient aux équipes restreintes et stables, mais passe mal à l’échelle.
• Groupes dynamiques : Grâce à des règles fondées sur les attributs des utilisateurs (comme le service, l’intitulé de poste ou le site de rattachement), Entra ID ajoute et retire automatiquement les utilisateurs des groupes. Par exemple, vous pouvez créer une règle selon laquelle tout utilisateur dont le service est égal à « Ventes » est automatiquement ajouté à la liste de distribution globale Ventes et au groupe de sécurité correspondant. Cette approche réduit considérablement la charge administrative et limite le risque d’erreur humaine lors des changements de personnel.

Les appareils, des citoyens de première classe

Dans l’informatique traditionnelle, les appareils étaient des terminaux passifs. Dans Entra ID, ils sont considérés comme des composants essentiels de l’écosystème d’identité. Les appareils peuvent être inscrits, joints ou joints hybrides à Azure AD. En inscrivant ou en joignant des appareils à Entra ID, les organisations acquièrent une visibilité approfondie sur le matériel qui accède aux données de l’entreprise. Cela permet aux administrateurs d’appliquer des stratégies qui énoncent : « Vous pouvez accéder à Microsoft 365, mais uniquement si l’appareil depuis lequel vous vous connectez appartient à l’entreprise, est chiffré et conforme aux référentiels de sécurité des terminaux. »

Gérer les applications d’entreprise et les intégrations SaaS

L’une des fonctionnalités les plus puissantes de Microsoft Entra ID est sa capacité à jouer le rôle de fournisseur d’identité (IdP) pour des milliers d’applications cloud préintégrées, via la galerie d’applications Entra. Que votre organisation utilise Adobe, Zoom, Workday ou des applications web internes développées sur mesure, Entra ID centralise l’accès aux applications.

Applications d’entreprise ou inscriptions d’applications

Lorsque vous travaillez avec des applications dans Entra ID, il est essentiel de bien comprendre la distinction entre les applications d’entreprise et les inscriptions d’applications :

• Applications d’entreprise : Il s’agit des représentations locales (ou principaux de service) des applications configurées pour faire confiance à Entra ID pour l’authentification unique. C’est ici que les administrateurs attribuent des utilisateurs et des groupes, configurent des stratégies d’accès conditionnel pour des applications spécifiques et gèrent le provisionnement des utilisateurs.
• Inscriptions d’applications : Elles représentent la définition globale d’une application développée au sein de votre organisation par les équipes de développement. Elles définissent la manière dont l’application s’intègre à la plateforme d’identité Microsoft, les autorisations qu’elle requiert et les secrets d’authentification ou certificats qu’elle utilise.

Authentification unique (SSO) et fédération

Le temps où les utilisateurs devaient mémoriser une dizaine de mots de passe différents pour une dizaine d’applications professionnelles est révolu. Entra ID prend en charge des protocoles d’authentification modernes tels que Security Assertion Markup Language (SAML) 2.0 et OpenID Connect (OIDC) pour assurer une authentification unique transparente. Les utilisateurs s’authentifient une seule fois auprès d’Entra ID, et les applications SaaS de confiance acceptent ce jeton d’authentification, ce qui leur accorde un accès immédiat et sécurisé.

Par ailleurs, le provisionnement automatique des utilisateurs (souvent assuré par la norme SCIM) permet à Entra ID de créer, de mettre à jour et de supprimer automatiquement des comptes utilisateurs dans les applications SaaS tierces. Lorsqu’un collaborateur quitte l’entreprise et que son compte Entra ID est désactivé, il est automatiquement déprovisionné de toutes les plateformes SaaS connectées, ce qui supprime instantanément les angles morts potentiels en matière de sécurité.

Sécuriser l’authentification et le contrôle d’accès

L’authentification est la porte d’entrée de votre environnement cloud. Il est primordial de s’assurer que les utilisateurs sont bien ceux qu’ils prétendent être. Or, se fier uniquement aux mots de passe est une recette assurée pour le désastre. Les mots de passe peuvent être devinés, faire l’objet d’hameçonnage, être réutilisés ou interceptés.

Authentification multifacteur (MFA)

Activer l’authentification multifacteur est sans doute la mesure de sécurité la plus efficace qu’une organisation puisse mettre en œuvre. Microsoft Entra ID rend le déploiement de la MFA souple et convivial, en prenant en charge des méthodes telles que l’application Microsoft Authenticator (avec notifications push et correspondance de nombres), les clés de sécurité FIDO2, les jetons matériels, ainsi que les SMS ou les appels vocaux. Toutefois, les notifications push via application et les clés matérielles sont fortement recommandées par rapport aux SMS, car ces derniers sont vulnérables aux attaques de type SIM swapping.

Pour éliminer définitivement les mots de passe, Entra ID prend en charge des méthodes d’authentification sans mot de passe, notamment Windows Hello Entreprise, les clés de sécurité FIDO2 et la connexion par téléphone via l’application Microsoft Authenticator. L’authentification sans mot de passe offre une expérience utilisateur nettement supérieure tout en neutralisant le vol d’identifiants.

Accès conditionnel : le moteur de stratégies intelligent

L’authentification ne devrait pas être un événement statique, du type tout ou rien. Une connexion depuis un ordinateur portable d’entreprise géré, installé dans le bureau sécurisé de Londres, ne devrait pas être soumise aux mêmes exigences de sécurité qu’une connexion depuis un appareil inconnu, via un réseau Wi-Fi public, dans un pays étranger.

C’est là qu’intervient l’accès conditionnel de Microsoft Entra. L’accès conditionnel fonctionne comme un moteur intelligent de décision en matière de stratégies. Il évalue des signaux (l’identité de l’utilisateur, l’état de l’appareil, la localisation, le niveau de risque et la sensibilité de l’application), puis applique les décisions d’accès en temps réel.

Un flux typique de stratégie d’accès conditionnel se présente ainsi :

• Si un utilisateur tente d’accéder à une application financière très sensible…
• Et que le risque de connexion est évalué comme moyen ou élevé par Microsoft Entra ID Protection…
• Alors accorder l’accès, mais exiger l’authentification multifacteur et une réinitialisation du mot de passe, ou bloquer complètement l’accès jusqu’à la résolution du risque.

L’accès conditionnel permet aux organisations de passer d’une sécurité périmétrique rigide à une architecture Zero Trust robuste : ne jamais faire confiance, toujours vérifier et partir du principe qu’une compromission est possible.

Comprendre les autorisations, les rôles et la délégation

Une fois qu’un utilisateur s’est authentifié avec succès et a passé toutes les vérifications de l’accès conditionnel, que lui est-il permis de faire ? La gestion des autorisations dans Microsoft Entra ID exige une bonne compréhension des autorisations, des rôles d’administration et des modèles de délégation.

Rôles intégrés de Microsoft Entra

Par le passé, les organisations accordaient souvent des droits d’administration excessifs, comme faire de chaque technicien du support informatique un administrateur de domaine. Dans le cloud, appliquer le principe du moindre privilège (PoLP) n’est pas négociable. Les utilisateurs ne doivent disposer que du niveau d’accès minimal nécessaire à leurs missions.

Entra ID propose un large éventail de rôles d’administration intégrés et granulaires. Par exemple :

• Administrateur des utilisateurs : peut gérer tous les aspects des utilisateurs et des groupes, y compris réinitialiser les mots de passe des non-administrateurs.
• Administrateur du support technique : peut réinitialiser les mots de passe des non-administrateurs et de certains rôles du support technique, mais ne peut pas créer d’utilisateurs ni modifier les paramètres de sécurité globaux.
• Administrateur de l’accès conditionnel : peut créer et gérer des stratégies d’accès conditionnel, sans accès aux comptes utilisateurs ni aux données de facturation.
• Administrateur général : rôle d’administration le plus élevé, avec un accès complet à toutes les fonctionnalités de l’annuaire. Ce rôle doit être strictement limité à un très petit nombre de personnes (idéalement moins de cinq) et faire l’objet d’une surveillance renforcée.

Privileged Identity Management (PIM)

Même avec des rôles granulaires, un accès d’administration permanent représente un risque de sécurité important. Si les identifiants d’un administrateur général sont compromis, l’attaquant détient les clés de tout le système. C’est là qu’intervient Microsoft Entra Privileged Identity Management (PIM).

PIM permet un accès privilégié à la demande (JIT, Just-In-Time). Au lieu de disposer de droits d’administration permanents, les administrateurs conservent des comptes utilisateurs standard au quotidien. Lorsqu’une tâche d’administration doit être effectuée, l’utilisateur demande l’activation du rôle concerné via PIM. Le système peut exiger des workflows d’approbation, une justification obligatoire et l’authentification multifacteur avant d’élever ses droits pendant une durée limitée (par exemple deux heures). Une fois ce délai écoulé, les droits sont automatiquement révoqués. PIM transforme ainsi les privilèges permanents en événements temporaires et traçables.

Bonnes pratiques pour administrer Entra ID en entreprise

Pour conclure ce guide complet, voici quelques bonnes pratiques concrètes que tout administrateur informatique, professionnel de la sécurité et architecte cloud devrait mettre en œuvre pour gérer Microsoft Entra ID.

1. Imposer une MFA résistante au phishing à tous les utilisateurs

N'attendez pas un incident de sécurité pour imposer l'authentification multifacteur. Appliquez l'MFA à l'ensemble de votre organisation, en commençant par les administrateurs et les utilisateurs privilégiés, puis étendez-la rapidement à tous les collaborateurs. Dans la mesure du possible, évitez l'MFA basée sur SMS au profit des notifications push de l'application avec correspondance de numéro ou des clés de sécurité FIDO2, afin de vous protéger contre les attaques modernes de type adversary-in-the-middle (AiTM) par hameçonnage.

2. Adoptez le modèle Zero Trust avec des référentiels d'accès conditionnel

Mettez immédiatement en place un ensemble de base de stratégies d'accès conditionnel. Au minimum, bloquez les protocoles d'authentification hérités (qui ne prennent pas en charge les contrôles de sécurité modernes), exigez des appareils conformes pour accéder aux données de l'entreprise et définissez des stratégies basées sur les risques, qui s'adaptent dynamiquement aux comportements de connexion suspects.

3. Auditez et réduisez le nombre d'administrateurs généraux

Réalisez un audit régulier de vos rôles privilégiés. Veillez à ce que pas plus de deux à quatre comptes ne détiennent le rôle d'administrateur général, et exigez des comptes d'accès d'urgence (comptes d'urgence exclusivement cloud, dotés d'identifiants robustes sécurisés par matériel et conservés en lieu sûr) pour les scénarios de défaillance critique.

4. Exploitez Privileged Identity Management (PIM)

Si le niveau de licence de votre organisation le permet (généralement Microsoft Entra ID P2 ou Microsoft 365 E5), déployez PIM immédiatement. Supprimez les accès administratifs permanents et exigez une justification ainsi que des workflows d'approbation pour l'activation de tous les rôles sensibles.

5. Examinez régulièrement l'accès des invités et la collaboration B2B

La collaboration externe est indispensable à l'activité moderne, mais les comptes invités non gérés constituent un angle mort majeur en matière de sécurité. Mettez en place des revues d'accès dans Entra ID afin de vérifier périodiquement si les invités externes ont toujours besoin d'accéder à vos ressources de l'entreprise. Supprimez automatiquement les invités qui n'en ont plus besoin.

Conclusion

Microsoft Entra ID est bien plus qu'un simple annuaire d'utilisateurs : c'est la couche de sécurité fondamentale de l'ensemble de votre écosystème cloud. En maîtrisant la gestion des utilisateurs, des groupes, des appareils et des applications d'entreprise, tout en appliquant une authentification stricte, un accès conditionnel et des autorisations au moindre privilège, vous pouvez transformer l'identité d'une vulnérabilité en la défense la plus solide de votre organisation.

Merci de nous avoir écoutés et d'avoir lu cet article de blog. Si vous avez trouvé cette analyse utile, n'hésitez pas à la partager avec vos collègues informaticiens, à vous abonner au podcast pour découvrir d'autres analyses d'architecture cloud, et à nous écrire pour nous faire part de vos questions ou des sujets que vous souhaitez voir traiter dans les prochains épisodes. Restez en sécurité !