Comment mettre en place des postes de travail à accès privilégié (PAW) pour les techniciens

Les Privileged Access Workstations (PAW) sont des configurations informatiques dédiées aux tâches d’administration sensibles. Elles offrent un environnement sécurisé et isolé aux utilisateurs disposant de privilèges élevés, et les protègent des menaces et des vecteurs d’attaque.

Séparer les appareils d’usage quotidien des PAW réduit la surface d’exposition aux attaques et limite les risques de déplacement latéral liés au phishing, aux malwares ou aux menaces véhiculées par le navigateur.

Pour une présentation visuelle du sujet, regardez Comment mettre en place des postes de travail à accès privilégié (PAW) pour les techniciens.

Déployer des PAW : guide étape par étape

Le déploiement des PAW passe par plusieurs étapes, dont la plupart reposent sur les fonctions de sécurité natives de Windows, la stratégie de groupe et PowerShell. Les étapes ci-dessous vous permettent de créer des terminaux d’administration durcis et encadrés par des politiques.

📌 Prérequis :

• Windows 10/11 édition Enterprise ou Pro
• Accès à la console de gestion des stratégies de groupe et à PowerShell
• Facultatif : accès à NinjaOne pour la supervision après déploiement

Étape 1 : définir les cas d’utilisation et la segmentation des PAW

Définir les cas d’utilisation des PAW permet de bâtir un modèle zero trust pour l’accès administratif. Cette étape crée une frontière entre les appareils utilisés au quotidien et les postes de travail réservés aux opérations privilégiées.

📌 Cas d’utilisation : séparer les appareils d’usage quotidien des postes de travail dédiés aux opérations privilégiées

(A) Identifier les rôles privilégiés

Dressez la liste des utilisateurs de l’équipe qui ont besoin d’un accès élevé ou privilégié. Dressez la liste des utilisateurs de l’équipe qui ont besoin d’un accès élevé ou privilégié. Pour éviter le vol d’identifiants, les rôles doivent être segmentés selon le modèle de sécurité par niveaux :

Modèle de sécurité par niveaux actualisé

• Niveau 0 (le plus élevé)
  • Contrôle direct de l’identité de l’entreprise (Active Directory, contrôleurs de domaine, Azure AD/Entra ID). Ces utilisateurs ont besoin des PAW physiques les plus restreints.

• Niveau 1
  • Serveurs d’entreprise, gestion des bases de données et infrastructure cloud. Ces utilisateurs accèdent à des données sensibles, mais pas aux « clés du royaume ».

• Niveau 2
  • Appareils des utilisateurs finaux et support standard. Ces administrateurs gèrent les postes de travail et les tâches de help desk.

Règle essentielle : l’accès circule uniquement vers le bas, jamais vers le haut. Un administrateur de niveau 0 utilise un PAW de niveau 0 pour gérer les niveaux 0, 1 et 2. Un administrateur de niveau 2 ne peut pas accéder à un PAW de niveau 0.

(B) Définir la finalité de chaque PAW

Attribuez les PAW par niveau afin d’isoler et de protéger les opérations privilégiées.

• Niveau 0 : gestion des identités
  • Les administrateurs du niveau 0 gèrent Active Directory (AD), les contrôleurs de domaine (DC) et d’autres composants système. Les utilisateurs de niveau 0 disposent des privilèges d’accès les plus élevés : ils peuvent créer ou modifier des comptes utilisateur, gérer les politiques de sécurité et contrôler les paramètres réseau.

• Niveau 1 : administration des serveurs

• • Les administrateurs du niveau 1 ont la charge des serveurs d’infrastructure, du déploiement des applications et de la maintenance. Ils peuvent gérer les services, mais n’ont pas accès aux fonctions d’identité de niveau 0.

• Niveau 2 : support aux utilisateurs finaux
  • Les administrateurs du niveau 2 assurent le support aux utilisateurs finaux et la maintenance courante, notamment l’installation de logiciels et le dépannage. Ces privilèges restent limités pour éviter tout impact sur les serveurs ou l’ensemble du réseau.

💡 Conseil : aucun déplacement latéral ne doit être possible entre les niveaux. Autrement dit, les administrateurs des ressources de niveau 0 ne doivent jamais se connecter à des systèmes de niveau 1 ou 2 depuis le même PAW.

(C) Limiter les usages pour renforcer la sécurité

Durcissez les PAW pour éviter toute compromission en ajoutant des restrictions logicielles et des règles d’utilisation :

• Pas de navigation Internet
  • Bloquez le trafic HTTP et HTTPS, ou limitez-le aux services de mise à jour internes approuvés, car l’accès à Internet constitue un vecteur d’attaque majeur.

• Pas de client de messagerie
  • Les e-mails sont des vecteurs à haut risque pour le phishing et les malwares. Utilisez plutôt un poste de travail distinct ou une session VDI (Virtual Desktop Infrastructure) pour consulter la messagerie.

• Pas d’applications personnelles
  • Interdisez les applications non approuvées : messagerie instantanée, logiciels de productivité, lecteurs multimédias, navigateurs, etc.

Étape 2 : appliquer la stratégie de groupe pour le durcissement et les restrictions applicatives

Les objets de stratégie de groupe (GPO) constituent une méthode évolutive et contraignante pour appliquer des paramètres de sécurité homogènes à tous les PAW. Cette étape garantit que les comportements système sont verrouillés, que les fonctions à haut risque sont désactivées et que les mécanismes de contrôle d’accès s’appliquent uniformément.

📌 Cas d’utilisation : standardiser le durcissement des postes de travail grâce à des paramètres GPO applicables

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win + R, saisissez gpedit.msc, puis appuyez sur Entrée.
2. Suivez les chemins ci-dessous, puis activez ou désactivez la fonction selon vos besoins.
   • Pour bloquer l’accès aux supports de stockage amovibles :
     • Configuration ordinateur > Modèles d’administration > Système > Accès au stockage amovible
   • Pour désactiver le compte administrateur local :
     • Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Options de sécurité
   • Pour activer Credential Guard et Device Guard :
     • Configuration ordinateur > Modèles d’administration > Système > Device Guard

Étape 3 : activer BitLocker et le chiffrement des appareils

Cette étape active et impose BitLocker avec un chiffrement fort, conformément aux politiques de sécurité de l’entreprise.

📌 Cas d’utilisation : chiffrer les disques système des PAW avec un chiffrement fort pour empêcher tout accès non autorisé aux données et aux identifiants

📌 Prérequis : privilèges d’administrateur

Pour activer BitLocker avec PowerShell, procédez comme suit :

1. Appuyez sur Win, saisissez PowerShell, puis cliquez sur Exécuter en tant qu’administrateur.
2. Copiez-collez le script suivant dans l’invite, puis appuyez sur Entrée :
   • Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector -RecoveryPasswordProtector

Vérification de l’intégrité matérielle

Pour une sécurité maximale, utilisez du matériel compatible TPM 2.0 et Secure Boot. Si possible, optez pour des appareils certifiés Secured-core PC. Cela protège le PAW des attaques au niveau du firmware (rootkits) que les antivirus classiques peuvent laisser passer.

💡 Remarque : créez une sauvegarde de la clé de secours au cas où vous en auriez besoin plus tard. Pour cela, procédez comme suit :

1. Appuyez sur Démarrer, saisissez BitLocker, puis sélectionnez Gérer BitLocker dans la liste des résultats.
2. Sélectionnez Sauvegarder votre clé de secours en regard du Drive à sauvegarder.
3. Choisissez l’emplacement de sauvegarde de la clé.
4. Cliquez sur Terminer.

⚠️ Avertissement : une mauvaise configuration du TPM peut entraîner un échec de démarrage ou un chiffrement irrécupérable (pour en savoir plus, consultez : Points de vigilance.)

Étape 4 : configurer l’isolation réseau et le pare-feu

Contrôlez étroitement les communications réseau d’un PAW afin de réduire au minimum sa surface d’exposition aux attaques.

📌 Cas d’utilisation : empêcher les PAW d’accéder à Internet tout en autorisant la connectivité vers les serveurs d’administration internes et l’infrastructure de mise à jour

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win, saisissez PowerShell, puis cliquez sur Exécuter en tant qu’administrateur.
2. Copiez-collez le script suivant dans l’invite, puis appuyez sur Entrée :
   • New-NetFirewallRule -DisplayName "Block Internet" -Direction Outbound -RemoteAddress 0.0.0.0/0 -Action Block

Une fois le trafic sortant bloqué, créez des règles d’autorisation spécifiques pour les infrastructures critiques :

• Terminaux de mise à jour
• Serveurs RMM ou d’administration
• Systèmes de journalisation ou de surveillance
• Serveurs DNS et résolution de noms interne

Envisagez également de placer les PAW dans un VLAN (Virtual Local Area Network) dédié. N’autorisez le trafic que vers :

• Les services d’administration internes
• L’infrastructure de mise à jour contrôlée

Les VLAN offrent des frontières applicables au niveau du réseau.

Étape 5 : verrouiller l’accès aux applications

Cette étape garantit que seuls les outils d’administration de confiance peuvent s’exécuter, en bloquant les applications potentiellement dangereuses ou inutiles susceptibles de servir de vecteurs d’attaque.

📌 Cas d’utilisation : empêcher l’exécution de logiciels non essentiels ou à haut risque sur les PAW

📌 Prérequis : privilèges d’administrateur

Astuce de pro : ne vous verrouillez pas dehors

Avant de basculer AppLocker sur « Appliquer les règles », laissez-le en « Audit uniquement » pendant 3 à 5 jours.

• Consultez l’observateur d’événements : allez dans Journaux (Applications and Services Logs) > Microsoft > Windows > AppLocker.
• Repérez les blocages : recherchez les entrées signalant des outils d’administration critiques (plug-ins RMM spécifiques, agents NinjaOne, outils de diagnostic spécialisés) qui auraient été bloqués.
• Ajustez les règles : ajoutez des exceptions pour ces outils avant d’activer la restriction stricte, afin de ne pas paralyser votre propre flux de travail.

Pour configurer AppLocker :

1. Appuyez sur Win + R, saisissez gpmc.msc, puis appuyez sur Entrée.
2. Suivez le chemin ci-dessous :

Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de contrôle de l’application > AppLocker

• • Autoriser :
    • MMC
    • PowerShell
    • Consoles d’administration
  • Refuser :
    • Navigateurs, clients de messagerie, réseaux sociaux et applications de messagerie instantanée

Étape 6 : configurer l’accès à distance et imposer la MFA (authentification forte)

Imposer la MFA (authentification forte), l’accès par VPN et une gestion contrôlée des sessions garantit que les connexions administratives à distance sont sécurisées et réservées aux utilisateurs autorisés.

📌 Cas d’utilisation : permettre un accès RDP sécurisé et encadré par des politiques aux hôtes privilégiés, en imposant le VPN, la MFA (authentification forte), des limites de session et un contrôle d’accès basé sur le terminal

📌 Prérequis : privilèges d’administrateur

(A) Exiger un VPN pour l’accès RDP à distance (Remote Desktop Protocol)

• Imposez que tout accès administratif à distance transite par un tunnel VPN sécurisé.
• Restreignez le RDP au niveau du périmètre réseau à l’aide de pare-feux.

Cela ajoute une couche de sécurité et garantit que le client se trouve sur un segment réseau de confiance. Cette configuration évite d’exposer directement les ports RDP à Internet.

Remarque : pour les PAW de niveau 0, appuyez-vous sur l’authentification par certificat via votre VPN. Ainsi, seul l’appareil PAW physique spécifique peut même tenter une connexion au réseau d’administration, ce qui empêche tout appareil non autorisé d’accéder ne serait-ce qu’à l’écran de connexion.

(B) Créer une règle de pare-feu entrante pour le RDP

1. Appuyez sur Win, saisissez cmd, puis cliquez sur Exécuter en tant qu’administrateur.
2. Copiez-collez le script suivant dans l’invite, puis appuyez sur Entrée :
   • netsh advfirewall firewall add rule name="Allow Admin RDP" dir=in action=allow protocol=TCP localport=3389

⚠️ Dépannage et points de vigilance

Symptômes ou risques	Causes probables ou conséquences potentielles	Solutions ou retours en arrière
Les outils d’administration ne se lancent pas	Une politique AppLocker mal configurée bloque les applications requises faute de règles d’autorisation.	Ouvrez les journaux d’événements AppLocker dans observateur d’événements > Applications et Services Logs > Microsoft > Windows > AppLocker, puis recherchez les règles qui bloquent l’exécution.
Les paramètres GPO « disparaissent » (dérive de configuration)	Des remplacements locaux ou des GPO de domaine conflictuelles écrasent vos paramètres.	Exécutez gpresult /h report.html dans CMD (invite de commande) pour identifier la politique qui l’emporte.
Erreur Credential Guard	La sécurité basée sur la virtualisation (VBS) est désactivée dans le BIOS.	Accédez au BIOS/UEFI et vérifiez que « Virtualization Technology » et « VT-d » sont activés.
Réseau déconnecté	Les règles de pare-feu sortantes sont trop restrictives. Le trafic vers les serveurs de mise à jour internes, le DNS ou les contrôleurs de domaine est bloqué.	Passez en revue le jeu de règles du pare-feu et créez des règles d’autorisation explicites pour les plages IP d’administration internes, les serveurs WSUS, le DNS et les systèmes d’authentification.
Clé BitLocker non enregistrée	Le TPM (Module de plateforme sécurisée) n’est pas initialisé ou prêt pour le chiffrement BitLocker.	Ouvrez TPM.msc pour vérifier son état. S’il est indisponible, initialisez le TPM depuis le BIOS/UEFI ou le système d’exploitation.
RDP bloqué de façon inattendue	Des paramètres GPO ou de registre ont désactivé l’accès à distance ou l’ont restreint aux seuls réseaux autorisés.	Vérifiez la configuration du Bureau à distance dans Propriétés système > Paramètres d’utilisation à distance.
Risques	Conséquences potentielles	Retours en arrière
Une mauvaise configuration du TPM ou des GPO incorrectes peuvent entraîner un échec de démarrage ou un chiffrement irrécupérable	Vous risquez de perdre des données faute de clés de secours	Sauvegardez les clés de secours dans AD ou Azure AD.

Les services NinjaOne pour déployer les PAW à grande échelle

Avec NinjaOne, les MSP peuvent déployer les PAW à grande échelle, maintenir la standardisation et réduire les risques sans sacrifier la productivité. Concrètement, NinjaOne renforce la stratégie PAW en permettant de :

• Déployer des références de configuration durcies à l’aide de scripts de politiques équivalents aux GPO
• Exécuter des scripts PowerShell à distance pour valider le pare-feu, BitLocker ou les restrictions applicatives
• Surveiller l’état de santé et le statut des correctifs des postes de travail d’administration
• Étiqueter les PAW séparément dans l’inventaire à des fins de reporting, d’audit et de conformité
• Alerter en cas d’installation de logiciels non autorisés ou de dérive des politiques sur les terminaux PAW

Sécurisez l’administration à distance grâce aux PAW

Les Privileged Access Workstations séparent l’activité administrative sensible de l’informatique généraliste. En isolant les identifiants et en sécurisant les terminaux utilisés pour l’administration du domaine ou des systèmes, les MSP et les équipes informatiques réduisent le risque d’escalade d’une compromission et détectent plus facilement les intrusions.

Sujets connexes :

• Qu’est-ce que la gestion des accès privilégiés (PAM) ?
• Qu’est-ce que la GIA (gestion des identités et des accès) ?
• Qu’est-ce qu’un poste de travail ?
• Comment activer ou désactiver le réseau dans Windows Sandbox
• Simplifiez la sécurité et les autorisations avec le contrôle d’accès basé sur les rôles