Étapes pour analyser l’utilisation des principaux de service dans votre locataire Microsoft 365

Par Mirko Peters · 2026-03-09 · Mis à jour 2026-09-13

Examinez l’utilisation des principaux de service à l’aide de Microsoft Graph et de l’activité de connexion. Explorez les autorisations requises, les identités d’application, la surveillance et la gestion des accès.

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

L’analyse de l’utilisation des principaux de service avec Service Principal Analysis est essentielle pour sécuriser votre locataire Microsoft 365. En surveillant les principaux de service, vous pouvez identifier des risques potentiels, comme le shadow IT et des configurations de sécurité faibles. Les aspects clés à examiner sont les suivants :

• Comptes d’administration non gérés

• Authentification multifacteur (MFA) incohérente

• Partage externe sans supervision

Comprendre l’activité de connexion grâce à Service Principal Analysis vous aide à détecter les comportements inhabituels et à gérer les accès efficacement. Cette approche proactive ne se contente pas de réduire les risques : elle garantit aussi la conformité aux exigences réglementaires, ce qui rend votre environnement plus sûr et plus simple à gérer.

Points clés

• Surveillez régulièrement l’activité de connexion des principaux de service pour détecter les comportements inhabituels et renforcer la sécurité.

• Vérifiez que vous disposez des autorisations nécessaires, comme AuditLog.Read.All, pour analyser efficacement l’utilisation des principaux de service.

• Appliquez le principe du moindre privilège en n’accordant à chaque principal de service que les autorisations essentielles.

• Automatisez les processus de surveillance à l’aide d’outils comme AdminDroid pour simplifier la gestion et améliorer la sécurité.

• Documentez la finalité et les autorisations de chaque principal de service pour garantir la clarté et la conformité.

1. Les principaux de service représentent l’identité d’application dans votre locataire Microsoft 365 : l’objet application est la définition globale, mais le principal de service est l’identité locale utilisée pour l’authentification, les attributions de rôles et le contrôle d’accès dans votre locataire Microsoft 365. Surveiller l’utilisation des principaux de service dans votre locataire Microsoft 365 est donc essentiel pour savoir qui et quoi peut accéder aux ressources.
2. Plusieurs principaux de service peuvent correspondre à une même application : un seul objet application peut avoir des principaux de service distincts dans plusieurs locataires, chacun avec ses propres identifiants, consentements et attributions de rôles. Le même code d’application peut ainsi se comporter différemment d’un locataire Microsoft 365 à l’autre.
3. Les types d’identifiants influencent la surface d’attaque : les principaux de service peuvent utiliser des secrets client, des certificats ou une identité fédérée. Les secrets de longue durée élargissent la surface d’attaque de votre locataire Microsoft 365, tandis que l’authentification par certificat ou fédérée peut réduire les risques lorsqu’elle est correctement configurée.
4. Les autorisations déléguées et les autorisations d’application créent des risques différents : les autorisations d’application accordées à un principal de service permettent un accès indépendant de tout utilisateur et peuvent être plus puissantes que les autorisations déléguées. Des autorisations d’application mal configurées sont une cause fréquente d’utilisation de principaux de service surprivilégiés dans votre locataire Microsoft 365.
5. Le consentement utilisateur et le consentement administrateur diffèrent selon le périmètre : les utilisateurs peuvent consentir à certaines autorisations déléguées pour les applications, mais le consentement administrateur est requis pour les autorisations d’application à risque plus élevé. Suivre les événements de consentement vous aide à détecter toute utilisation inattendue des principaux de service dans votre locataire Microsoft 365.
6. Les identités managées simplifient le cycle de vie, mais sont liées au locataire : les identités managées Azure AD (affectées par le système ou par l’utilisateur) créent automatiquement des principaux de service pour les ressources, ce qui facilite la gestion des identifiants dans votre locataire Microsoft 365. Elles ne peuvent toutefois pas être transférées d’un locataire à un autre ; le déplacement de ressources nécessite donc une reconfiguration.
7. Accès conditionnel et gestion des droits s’appliquent aussi aux applications : Vous pouvez appliquer des stratégies d’accès conditionnel et utiliser la gestion des droits pour encadrer l’utilisation des principaux de service dans votre locataire Microsoft 365. Toutefois, ces stratégies doivent être évaluées explicitement pour les contextes d’application, afin d’empêcher tout accès non autorisé à une application ou tout déplacement latéral.

Prérequis pour l’analyse des principaux de service

Avant de commencer l’analyse de l’utilisation des principaux de service, assurez-vous de disposer des autorisations et des outils appropriés. Cette préparation vous aidera à mener une analyse approfondie et à gérer efficacement les principaux de service.

Autorisations requises

Pour analyser l’activité des principaux de service dans Microsoft Entra et Microsoft 365, vous avez besoin d’autorisations spécifiques. Le tableau suivant présente l’étendue des autorisations nécessaires :

Sans les autorisations appropriées, vous pouvez rencontrer des erreurs. Par exemple, si le message « Privilèges insuffisants pour effectuer l’opération » s’affiche, cela indique que vous ne disposez pas des accès nécessaires. Cette limitation peut entraver votre capacité à gérer et à analyser efficacement les principaux de service.

Outils et ressources

Utiliser les bons outils peut simplifier votre processus d’analyse. Voici quelques outils efficaces pour l’analyse des principaux de service dans les environnements Microsoft 365 :

Pour bien démarrer avec PowerShell, suivez ces étapes :

1. Connectez-vous à Microsoft Graph PowerShell à l’aide de : Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Exécutez la commande pour auditer les connexions des principaux de service :

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

En veillant à disposer des bonnes autorisations et des bons outils, vous posez les bases d’une analyse réussie des principaux de service.

Création d’un principal de service dans Microsoft Entra

La création d’un principal de service dans Microsoft Entra consiste à inscrire une application. Ce processus permet à votre application de s’authentifier et d’accéder aux ressources en toute sécurité. Voici comment inscrire une application :

Inscription d’une application

Pour inscrire une application dans Microsoft Entra, suivez ces étapes :

1. Connectez-vous au Centre d’administration Microsoft Entra.

2. Accédez à Applications et sélectionnez Nouvelle inscription.

3. Renseignez les informations requises, telles que le nom de l’application et l’URI de redirection.

4. Choisissez le type de compte approprié en fonction de vos besoins.

5. Cliquez sur Inscrire pour finaliser le processus.

Une fois l’inscription effectuée, vous pouvez créer un principal de service. Ce principal de service sert d’identité à votre application lorsqu’elle interagit avec d’autres services.

Plusieurs méthodes de création de principal de service sont disponibles dans Microsoft Entra. Il s’agit notamment de :

• Charger un certificat approuvé émis par une autorité de certification.

• Créer et charger un certificat auto-signé à des fins de test.

• Créer un nouveau secret client.

Chaque méthode répond à un cas d’usage particulier. Choisissez donc celle qui correspond le mieux aux exigences de votre application.

Identifier l’initiateur

Identifier qui a initié la création du principal de service est essentiel à des fins de sécurité et d’audit. Vous pouvez retrouver cette information en suivant ces étapes :

1. Connectez-vous au Centre d’administration Microsoft Entra.

2. Accédez à Surveillance et intégrité et sélectionnez Journaux d’audit.

3. Définissez la Catégorie sur ApplicationManagement puis appliquez le filtre.

4. Filtrez l’Activité sur Ajouter un principal de service puis appliquez le filtre.

5. Sélectionnez un événement et développez Détails supplémentaires. Recherchez des propriétés telles que ServicePrincipalProvisioningType, SubscribedSkus et AppOwnerOrganizationId.

Suivre l’initiateur vous aide à comprendre qui crée les principaux de service et pourquoi. Ces informations sont essentielles pour maintenir la sécurité et la conformité au sein de votre organisation.

Voici un récapitulatif des attributs que vous pouvez trouver dans les journaux d’audit :

En identifiant l’initiateur du principal de service, vous pouvez renforcer votre posture de sécurité et vous assurer que seuls les utilisateurs autorisés créent des principaux de service.

Consulter l’activité de connexion avec Microsoft Graph

Accéder à l’API Microsoft Graph

Pour accéder aux journaux de connexion des principaux de service, vous pouvez utiliser l’API Microsoft Graph. Suivez ces étapes pour récupérer les données nécessaires :

1. Utilisez l’API Microsoft Graph pour générer un rapport sur l’activité de connexion des principaux de service.

2. Exécutez la commande Get-MgServicePrincipal pour récupérer les principaux de service de votre locataire.

3. Créez une table de hachage associant les identifiants d’application à leurs noms d’affichage. Cette étape est importante, car les enregistrements de connexion ne contiennent pas les noms des applications.

4. Exécutez Get-MgBetaReportServicePrincipalSignInActivity pour rechercher l’activité de connexion des principaux de service dont la dernière connexion remonte à plus d’un an.

5. Créez un rapport sur les principaux de service et exportez les données au format CSV.

6. Générez des statistiques, comme les locataires propriétaires d’applications et le nombre total de principaux de service.

En suivant ces étapes, vous pouvez accéder aux journaux de connexion de vos principaux de service et les analyser efficacement.

Analyser les journaux de connexion

Surveiller l’activité de connexion est essentiel pour repérer les tentatives d’accès non autorisées. En observant les connexions réussies comme les échecs, vous pouvez détecter des schémas inhabituels susceptibles de révéler des menaces de sécurité. Cette surveillance proactive permet de faire face aux risques potentiels liés à la compromission d’identifiants et renforce ainsi la sécurité globale de votre locataire Microsoft 365.

Voici quelques anomalies courantes que vous pouvez détecter dans les journaux de connexion des principaux de service :

• Utilisation inhabituelle d’applications, comme des applications dormantes ou oubliées qui sont à nouveau utilisées.

• Relations de confiance inattendues ajoutées à Azure AD.

• Modifications des identifiants des principaux de service, y compris des changements d’autorisations.

Pour analyser efficacement les journaux de connexion, tenez compte de ces stratégies :

1. Surveillez l’activité de connexion via le Centre d’administration Microsoft Entra pour afficher les connexions des principaux de service des dernières 24 heures.

2. Identifiez les principaux de service à risque en analysant les journaux de connexion à la recherche de schémas inhabituels.

3. Utilisez des outils comme Microsoft Entra et PowerShell pour une analyse détaillée des journaux de connexion.

En appliquant ces stratégies, vous pouvez renforcer votre capacité à détecter les activités de connexion suspectes et à prendre les mesures appropriées pour sécuriser votre environnement.

Gérer efficacement les principaux de service

Bonnes pratiques de gestion

Pour gérer efficacement les principaux de service, vous devez suivre plusieurs bonnes pratiques. Leur mise en œuvre renforcera la sécurité et simplifiera les opérations au sein de votre locataire :

• Principe du moindre privilège : accordez uniquement les autorisations nécessaires à chaque principal de service. Cela limite les dégâts potentiels si un principal de service est compromis.

• Rotation régulière des identifiants : renouvelez régulièrement les identifiants et automatisez ce processus dans la mesure du possible. Cela réduit le risque d’utiliser des identifiants obsolètes ou compromis.

• Surveillance de l’activité : surveillez l’activité des principaux de service afin de détecter tout comportement suspect. Cela vous aide à repérer rapidement les tentatives d’accès non autorisées.

• Authentification forte : utilisez des méthodes d’authentification forte, comme l’authentification multifacteur (MFA). Cela ajoute une couche de sécurité supplémentaire.

• Stockage sécurisé des identifiants : stockez et gérez les identifiants des principaux de service de manière sécurisée à l’aide d’une solution de gestion des secrets. Évitez de stocker des identifiants dans le code ou dans des fichiers de configuration.

• Documentation : documentez la finalité et les autorisations de chaque principal de service. Cette pratique facilite la compréhension de leur rôle au sein de votre locataire.

• Stratégies de gouvernance : définissez des stratégies de gouvernance claires pour la gestion des principaux de service. Examinez et auditez régulièrement les autorisations pour garantir la conformité.

Automatiser la surveillance

Automatiser la surveillance des principaux de service peut considérablement renforcer votre posture de sécurité. Voici quelques outils et stratégies à envisager :

• AdminDroid : cet outil propose une fonctionnalité de surveillance de l’activité de connexion. Elle vous aide à suivre les schémas de connexion des principaux de service et fournit des rapports détaillés sur l’utilisation et les tendances d’accès.

• Rapport sur les modifications des principaux de service : AdminDroid propose également un rapport qui surveille les modifications apportées aux principaux de service. Ce rapport détaille les ajouts, mises à jour et suppressions, ainsi que les activités de connexion, notamment l’heure, le nom de l’application, le statut et l’emplacement.

En automatisant la surveillance, vous bénéficiez de plusieurs avantages :

La mise en œuvre de ces pratiques et outils vous aidera à gérer efficacement les principaux de service et à maintenir un environnement sécurisé dans votre locataire Microsoft 365.

En résumé, l’analyse de l’utilisation des principaux de service est essentielle pour sécuriser votre locataire Microsoft 365. Vous devez surveiller régulièrement l’activité de connexion, gérer les autorisations et appliquer les bonnes pratiques. Voici quelques points clés pour améliorer la gestion de vos principaux de service :

En mettant en œuvre ces stratégies, vous pouvez renforcer votre posture de sécurité et assurer une gestion efficace des principaux de service au sein de votre organisation.

Questions fréquentes

Qu’est-ce qu’un principal de service dans Microsoft 365 ?

Un principal de service sert d’identité aux applications pour accéder aux ressources de manière sécurisée. Il permet aux applications de s’authentifier sans avoir besoin des identifiants d’un utilisateur.

Comment surveiller l’activité des principaux de service ?

Vous pouvez surveiller l’activité des principaux de service à l’aide de Microsoft Graph API ou d’outils comme AdminDroid. Ces outils fournissent des informations sur les schémas de connexion et les tendances d’utilisation.

Pourquoi est-il important d’analyser l’utilisation des principaux de service ?

L’analyse de l’utilisation des principaux de service vous aide à identifier les risques de sécurité, à gérer les autorisations et à garantir la conformité. Elle renforce aussi l’ensemble de votre posture de sécurité.

Quelles autorisations faut-il pour analyser les principaux de service ?

Pour analyser l’activité des principaux de service dans Microsoft Entra et Microsoft 365, vous avez besoin de l’autorisation AuditLog.Read.All. Elle vous permet d’accéder aux journaux nécessaires.

Comment automatiser la surveillance des principaux de service ?

Vous pouvez automatiser la surveillance avec des outils comme AdminDroid. Ces outils peuvent générer des rapports sur l’activité de connexion et sur les modifications apportées aux principaux de service, ce qui simplifie vos tâches d’administration.

objets application Microsoft Entra ID et création d’un principal de service

Qu’est-ce qu’un principal de service et quel est son lien avec les objets application dans Microsoft Entra ID ?

Un principal de service est le principal de sécurité qui représente une application ou un service dans votre locataire Microsoft Entra. Il correspond à un objet application (la définition globale), tandis que le principal de service est l’instance créée dans votre locataire lorsque vous enregistrez une application ou que vous lui donnez votre consentement. L’ID d’application et l’ID client établissent le lien entre les deux. Lorsqu’un principal de service a été créé, vous voyez à la fois les objets application et les objets principal de service dans Microsoft Entra.

Comment créer un principal de service dans mon locataire Microsoft 365 ?

Vous pouvez créer le principal de service en inscrivant une application dans le Centre d’administration Microsoft Entra, ou via Azure CLI ou le SDK Microsoft Graph PowerShell. Les étapes habituelles consistent à créer l’application (objet application), puis à créer le principal de service dans votre locataire d’origine ou dans un locataire propriétaire, à attribuer les autorisations et à générer des identifiants (clé secrète client ou certificat). Pour les scripts automatisés, utilisez la commande Azure CLI « az ad sp create-for-rbac » ou le SDK Microsoft Graph PowerShell pour créer le principal de service.

Où trouver les détails d’un principal de service et analyser son activité de connexion ?

Les détails d’un principal de service sont disponibles dans le Centre d’administration Microsoft Entra, sous Applications d’entreprise ou Inscriptions d’applications selon le type. Vous pouvez y consulter des propriétés telles que le nom du principal de service, l’ID d’application, l’ID de locataire et les rôles attribués. Pour analyser l’activité de connexion d’un principal de service, utilisez les journaux de connexion dans Microsoft Entra, ou interrogez les rapports de connexion via Microsoft Graph afin d’examiner les événements d’authentification, les événements de création de principaux de service et la télémétrie des connexions.

Comment les stratégies d’accès et les paramètres d’authentification affectent-ils un nouveau principal de service ?

Les stratégies d’accès et les paramètres d’authentification déterminent les ressources auxquelles un principal de service peut accéder et la manière dont il s’authentifie. Configurez les objets application et principal de service selon le principe du privilège minimal, attribuez les rôles nécessaires sur les ressources et utilisez l’accès conditionnel ainsi que les stratégies d’accès dans le Centre d’administration Microsoft Entra. Choisissez les méthodes d’authentification (clé secrète client, certificat ou identité managée) en tenant compte des mises à jour de sécurité et des bonnes pratiques, afin de réduire les risques.

Les applications Microsoft de première partie ou les services Microsoft peuvent-ils créer des principaux de service dans mon locataire ?

Oui. Les applications Microsoft de première partie et les services Microsoft créent souvent des objets principal de service dans Microsoft Entra ID lorsqu’ils sont utilisés dans votre locataire. Ils peuvent apparaître sous forme d’applications Entra ou d’applications Microsoft de première partie. Certains services Microsoft créent automatiquement des principaux de service pendant leur intégration. Vous pouvez les examiner et les contrôler dans le Centre d’administration Microsoft Entra, et appliquer l’accès juste-à-temps lorsque cette fonctionnalité est prise en charge.

Comment gérer les autorisations et les objets principal dans Microsoft Entra pour réduire les risques ?

Auditez les événements de création de principaux de service, examinez les autorisations accordées aux objets principal de service dans Microsoft Entra ID et supprimez les privilèges excessifs. Utilisez les attributions de rôles, privilégiez les autorisations d’application plutôt que les autorisations déléguées lorsque c’est pertinent, mettez en œuvre l’accès conditionnel et le provisionnement juste-à-temps ou l’éligibilité juste-à-temps des principaux de service, et renouvelez régulièrement vos identifiants. Consultez Microsoft Learn et les ressources complémentaires pour obtenir des recommandations de sécurité détaillées et les procédures de support technique.

Quels outils puis-je utiliser pour automatiser l’inspection et la création de principaux de service (PowerShell, Azure CLI) ?

Vous pouvez utiliser le SDK Microsoft Graph PowerShell, Azure CLI ou les API Microsoft Graph pour automatiser la création et l’inspection des principaux de service. Des commandes comme az ad sp create-for-rbac, ainsi que leurs équivalents dans le SDK Microsoft Graph PowerShell, permettent de créer le principal de service et d’obtenir l’ID client, l’ID d’application et l’ID de locataire. Des scripts peuvent également énumérer les objets principaux de service dans Microsoft Entra et collecter des données de connexion ou d’autorisations à des fins de création de rapports.

Comment savoir si un principal de service a été créé par une application cliente ou par un compte Microsoft ?

Consultez les détails du principal de service dans le Centre d’administration Microsoft Entra ou interrogez Microsoft Graph pour accéder à des propriétés telles que le propriétaire de l’application, l’éditeur et le type d’application d’origine. Les principaux de service créés par une application cliente font référence à un ID d’application (ID client) et affichent souvent le principal à l’origine de la création ainsi que l’horodatage de création. Les principaux de service Microsoft, créés pour des services Microsoft ou des applications Microsoft de première partie, comportent généralement un éditeur ou des identifiants Microsoft connus.

Où puis-je trouver des ressources et des conseils complémentaires sur Office 365 for IT Pros et sur les bonnes pratiques relatives aux principaux de service ?

Consultez Microsoft Learn, la documentation du Centre d’administration Microsoft Entra, les guides de la plateforme d’identité Microsoft et les articles destinés à Office 365 for IT Pros. Vous trouverez également des ressources complémentaires dans la documentation de Microsoft Graph, les références d’Azure CLI et du SDK Microsoft Graph PowerShell, ainsi que les mises à jour de sécurité publiées par Microsoft. Pour les scénarios complexes, contactez le support technique ou consultez les labs Microsoft Learn portant sur les objets d’application et de principal de service créés dans votre locataire.