Comment suivre les exceptions à la MFA sur plusieurs tenants sans perdre le contrôle

La MFA (authentification forte) constitue un pilier essentiel de la sécurité des identités, mais les exceptions, parfois nécessaires, peuvent devenir des risques silencieux si personne ne les surveille, surtout à l’échelle de plusieurs tenants. Sans méthode claire pour suivre les exceptions à la MFA, ces exclusions se transforment avec le temps en failles de sécurité durables.

Ce guide présente une couche de gouvernance que les MSP peuvent bâtir autour de leurs outils d’identité existants afin de combler ces angles morts et de garder un meilleur contrôle sur l’ensemble des tenants.

Besoin d’une démonstration en images sur le sujet ? Regardez Comment suivre les exceptions à la MFA sur plusieurs tenants sans perdre le contrôle pour un tutoriel pas à pas.

Composants et méthodes essentiels

Chaque exception à la MFA (authentification forte) est un maillon faible potentiel. L’objectif consiste à maîtriser ces risques avant qu’ils ne dégénèrent. Voici un cadre structuré pour identifier, encadrer et gérer les exceptions à la MFA sans perdre le contrôle.

A. Définir les catégories d’exceptions à la MFA et leurs critères d’utilisation

Avant tout suivi ou toute application de règles, il faut établir ce qui constitue une exception et dans quelles conditions elle est autorisée. Voici les types d’exceptions les plus courants :

Comptes d’urgence « break-glass »

Destinés uniquement aux pannes ou aux blocages d’accès. Ces comptes contournent la MFA (authentification forte) pour fournir un accès d’urgence.

Connecteurs ou intégrations d’applications legacy

Applications anciennes qui ne prennent pas en charge les protocoles d’authentification modernes. Elles peuvent nécessiter des exclusions temporaires de la MFA.

Exclusions administratives pendant une migration

Exclusions temporaires pour les administrateurs qui effectuent des opérations en masse ou des transitions de tenants.

Identités externes invitées et approuvées

Utilisateurs invités provenant de tenants externes de confiance, pour lesquels l’application de la MFA est gérée par leur propre IdP (fournisseur d’identité).

Astuce : pour réduire le nombre d’exceptions de longue durée, désignez qui peut approuver chaque type et fixez une durée limite ou un cycle de revue.

B. Identifier les exceptions avec les Workbooks Microsoft Entra

Une fois les types d’exceptions définis, l’étape suivante porte sur la visibilité : savoir où se trouvent réellement ces exceptions.

Utilisez le workbook MFA Gaps pour :

• détecter les comptes qui accèdent à des ressources sans MFA ;
• visualiser les failles liées à l’accès conditionnel, aux paramètres de sécurité par défaut et aux réglages MFA au niveau utilisateur ;
• exécuter cette analyse tenant par tenant afin de faire ressortir les incohérences d’application.

C. Appliquer des politiques d’accès conditionnel ciblées

Maintenant que les exceptions sont identifiées, il faut les encadrer. Utilisez les exclusions de l’accès conditionnel de Microsoft Entra avec précision. Voici quelques pratiques que vous pouvez adapter :

• limitez au maximum les règles de type « exclure des utilisateurs spécifiques » ;
• n’autorisez les exclusions que pour les comptes break-glass ou les applications legacy approuvées ;
• exigez une authentification privilégiée depuis un poste de travail sécurisé pour les utilisateurs exclus.

D. Suivre le statut MFA de façon programmatique

Le suivi manuel ne passe pas à l’échelle et laisse place aux erreurs. Appuyez-vous sur l’automatisation pour surveiller la conformité MFA de tous les utilisateurs et de tous les tenants. Voici quelques outils à votre disposition :

API Microsoft Graph

Remarque : remplacez « [email protected] » par l’adresse e-mail réelle de l’utilisateur à vérifier.

Cette commande indique quelles méthodes d’authentification un utilisateur a configurées, ce qui permet de confirmer plus facilement si la MFA est correctement configurée et active.

Scripts PowerShell

Récupérez en temps réel le statut d’enregistrement et d’application de la MFA pour chaque utilisateur. Cette approche facilite un audit plus large de qui est conforme et qui ne l’est pas.

E. Automatiser l’extraction des exceptions sur plusieurs tenants

Dès que vous gérez plusieurs tenants, les vérifications manuelles deviennent vite ingérables. Pour gagner en évolutivité, automatisez la collecte des politiques d’accès conditionnel qui excluent des utilisateurs (les exceptions MFA) dans un rapport unique.

Voici un script PowerShell que vous pouvez utiliser. Il se connecte à chaque tenant, repère les politiques comportant des exclusions, convertit les ID utilisateur en noms, puis exporte l’ensemble dans un fichier CSV pour analyse.

Prérequis :

• Microsoft Graph PowerShell SDK installé.
• Scopes délégués avec consentement administrateur : Policy.Read.All et Directory.Read.All.
• Votre compte doit avoir accès à chaque tenant.
• Les vrais Tenant ID (GUID) de chaque tenant à analyser.

Remarques :

• Remplacez les GUID d’exemple dans $TenantIds par vos véritables Tenant ID. Vous les trouverez sous Entra ID > Propriétés du tenant, ou en exécutant :
  • Get-MgOrganization | Select Id, DisplayName
• Si les champs UPN ou DisplayName apparaissent vides, l’utilisateur a peut-être été supprimé, ou votre compte n’a pas d’accès en lecture sur ce tenant.
• Le CSV exporté contient les champs TenantId, PolicyName, PolicyId, ExcludedUserId, ExcludedUPN et ExcludedDisplayName, pour l’audit et la revue.

Ce script vous offre une vue complète des exceptions MFA à haut risque sur tous vos tenants, au même endroit, ce qui facilite la détection de tendances et un suivi rapide.

Si vous gérez déjà les terminaux de vos clients dans NinjaOne, vous pouvez planifier ce script via la bibliothèque de scripts de NinjaOne afin qu’il s’exécute automatiquement sur tous les tenants, au lieu d’être lancé à la main.

F. Mettre en place un calendrier de revue et de rotation

Évitez que des exclusions temporaires ne se muent en vulnérabilités durables en définissant une cadence de revue.

Ce que vous pouvez faire

• Planifier des revues mensuelles ou trimestrielles.
• Faire expirer automatiquement les exceptions ou déclencher une alerte à l’approche de l’échéance.
• Exiger une nouvelle approbation pour tout renouvellement.

Astuce : utilisez Microsoft Planner ou Power Automate pour les rappels.

G. Tenir un registre de gouvernance centralisé

Enfin, documentez tout dans un journal de référence unique afin de garantir l’auditabilité et la responsabilisation.

Ce qu’il faut documenter

• Nom du tenant
• Utilisateurs exclus
• Intitulé de la politique
• Date d’ajout
• Date d’expiration ou de revue
• Notes du relecteur

Astuce : conservez ce registre dans un emplacement sécurisé, intégré à votre PSA ou dans M365, pour un suivi continu de la conformité.

Si la documentation de vos clients réside déjà dans NinjaOne, ce registre peut y être stocké lui aussi : il reste ainsi rattaché aux mêmes enregistrements que vous tenez à jour.

Tableau récapitulatif des bonnes pratiques

Chaque composant du cadre présenté ci-dessus joue un rôle bien précis pour garder les exceptions MFA sous contrôle et traçables. Le tableau suivant détaille l’objectif de chaque élément et la valeur qu’il apporte. Utilisez-le comme aide-mémoire :

Exemple de point d’ancrage pour l’automatisation

Passons maintenant à la pratique. Cette section décrit un workflow reproductible pour réviser les exceptions MFA à l’aide de l’automatisation. Vous pouvez vous en servir comme référence d’exécution.

Workflow de revue des exceptions MFA

1. Consultez chaque mois le workbook MFA Gaps de Microsoft Entra.

Repérez les connexions non authentifiées ou exemptées de MFA : c’est souvent le premier signal indiquant qu’une revue est nécessaire.

2. Exécutez un script PowerShell pour extraire les exclusions des politiques d’accès conditionnel chez tous vos clients.

Vous obtenez des données en temps réel sur les personnes exclues de l’application de la MFA.

3. Vérifiez les justifications des exceptions dans le registre de gouvernance.

Recoupez les exclusions avec les approbations documentées.

4. Alertez sur les exceptions inutilisées ou faites-les expirer automatiquement, par script ou par politique.

Cela impose le nettoyage et réduit le nombre d’exceptions de longue durée.

5. Présentez vos constats lors des QBR clients, dans le cadre de votre revue des risques liés aux identités.

Votre reporting gagne ainsi en transparence et en responsabilisation.

Suivez les exceptions MFA pour réduire les risques et les angles morts

Les exceptions MFA peuvent être nécessaires, mais elles ne doivent jamais passer inaperçues. Dès lors qu’on comprend leur rôle et les risques associés, l’importance de les suivre devient évidente. Ce guide a détaillé les composants et méthodes essentiels pour y parvenir, ainsi que les bonnes pratiques, les workflows et la manière dont NinjaOne peut soutenir l’automatisation et la gouvernance.

En définissant des politiques d’utilisation, en automatisant la détection et en imposant des revues des exceptions, les MSP peuvent maintenir un bon niveau de sécurité sans bloquer les workflows légitimes.

Sujets connexes :

• Qu’est-ce que la MFA (authentification forte) ?
• Comment configurer la MFA (authentification forte) dans Office 365
• Qu’est-ce que l’authentification à deux facteurs (2FA) ?