Comment s’assurer que l’authentification moderne est activée dans Office 365 avec PowerShell

L’authentification moderne est une fonction de sécurité d’Office 365 qui utilise Azure Active Directory (AAD) pour authentifier les utilisateurs. Il constitue un gage de sécurité qui surpasse les méthodes d’authentification traditionnelles telles que l’authentification de base. La raison ? L’authentification moderne utilise un chiffrement plus fort et une couche supplémentaire d’authentification à deux facteurs, ce qui en fait un mécanisme de défense redoutable.

Comprendre le script

Au fond, le script est conçu pour clarifier le statut de l’authentification moderne à travers les profils d’utilisateurs dans un environnement Office 365. Comment y parvient-il ? En parcourant méticuleusement chaque profil d’utilisateur sur la machine et en inspectant les valeurs du registre liées à l’authentification moderne. S’il rencontre une valeur égale à 0, cela indique clairement que l’authentification moderne est désactivée pour ce profil d’utilisateur spécifique.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Monitors if user profiles have modern auth for Office 365 enabled or disabled.
.DESCRIPTION
    Monitors if user profiles have modern auth for Office 365 enabled or disabled.
    Check if HKEY_CURRENT_USERSOFTWAREMicrosoftOffice15.0CommonIdentityEnableADAL is set to 1.
    Check if HKEY_CURRENT_USERSOFTWAREMicrosoftOffice16.0CommonIdentityEnableADAL is set to 0.
    Returns an exit code of 1 if one user has modern auth disabled.
    Returns an exit code of 0 if all user have modern auth enabled.
.EXAMPLE
     No parameter needed.
.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param ()

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }
    # Loop through each user's profile
    # Check if HKEY_CURRENT_USERSOFTWAREMicrosoftOffice15.0CommonIdentityEnableADAL is set to 1
    # Check if HKEY_CURRENT_USERSOFTWAREMicrosoftOffice16.0CommonIdentityEnableADAL is set to 1

    $Path = @("SOFTWAREMicrosoftOffice15.0CommonIdentity", "SOFTWAREMicrosoftOffice16.0CommonIdentity")
    $Name = "EnableADAL"

    $Script:FoundModernAuthDisabled = $false

    # Get each user profile SID and Path to the profile
    $UserProfiles = Get-ItemProperty -Path "HKLM:SOFTWAREMicrosoftWindows NTCurrentVersionProfileList*" |
        Where-Object { $_.PSChildName -match "S-1-5-21-(d+-?){4}$" } |
        Select-Object @{Name = "SID"; Expression = { $_.PSChildName } }, @{Name = "UserHive"; Expression = { "$($_.ProfileImagePath)NTuser.dat" } }, @{Name = "UserName"; Expression = { "$($_.ProfileImagePath | Split-Path -Leaf)" } }

    # Loop through each profile on the machine
    Foreach ($UserProfile in $UserProfiles) {
        # Load User ntuser.dat if it's not already loaded
        If (($ProfileWasLoaded = Test-Path -Path "Registry::HKEY_USERS$($UserProfile.SID)") -eq $false) {
            Start-Process -FilePath "cmd.exe" -ArgumentList "/C reg.exe LOAD HKU$($UserProfile.SID) $($UserProfile.UserHive)" -Wait -WindowStyle Hidden
        }

        # Read the user's registry
        $Path | ForEach-Object {
            $Key = Join-Path -Path "Registry::HKEY_USERS$($UserProfile.SID)" -ChildPath $($_)
            $Value = Get-ItemProperty -Path $Key -ErrorAction SilentlyContinue | Select-Object $Name -ExpandProperty $Name -ErrorAction SilentlyContinue
            if (
                (
                    $_ -like "*15.0*" -and
                    $Value -ne 1 -and
                    $(Test-Path -Path $Key -ErrorAction SilentlyContinue)
                ) -or
                (
                    $_ -like "*16.0*" -and
                    $Value -eq 0
                )
            ) {
                Write-Host "$($UserProfile.UserName) ModernAuth is not enabled."
                $Script:FoundModernAuthDisabled = $true
            }
        }
 
        # Unload NTuser.dat
        If ($ProfileWasLoaded -eq $false) {
            [gc]::Collect()
            Start-Sleep 1
            Start-Process -FilePath "cmd.exe" -ArgumentList "/C reg.exe UNLOAD HKU$($UserProfile.SID)" -Wait -WindowStyle Hidden | Out-Null
        }
    }
    if ($FoundModernAuthDisabled) {
        Write-Output $false
        exit 1
    }
    else {
        Write-Output $true
        exit 0
    }
}
end {}

 

Les avantages pour les professionnels de l’informatique

Le script n’est pas un simple outil, c’est une solution adaptée aux professionnels de l’informatique. Voici comment il peut vous aider :

1. Surveillance proactive: Avant qu’une faille de sécurité potentielle ne devienne un vrai problème, le script permet aux professionnels de l’informatique d’identifier et de traiter les cas où l’authentification moderne est désactivée.
2. Efficacité maximale: Le temps est un facteur essentiel dans le domaine de l’informatique Le script automatise le processus fastidieux de vérification individuelle de chaque profil d’utilisateur, ce qui permet de gagner un temps précieux.
3. Clarté et orientation: Fini les devinettes. Le script offre un retour d’information clair sur les profils d’utilisateurs qui requièrent une attention particulière, permettant ainsi une remédiation ciblée et efficace.

NinjaOne : Votre partenaire en matière de gestion informatique

Le script offre une solution ciblée, et son intégration à une plateforme de gestion informatique complète telle que NinjaOne amplifie ses capacités. NinjaOne fournit une plateforme unifiée qui simplifie les opérations informatiques. En ce qui concerne l’authentification moderne dans Office 365, NinjaOne peut exécuter le script de manière optimale à des intervalles planifiés. Le résultat ? Les équipes informatiques sont alertées en temps réel de toute anomalie, ce qui garantit une sécurité sans faille.

Conclusion

Dans le monde en constante évolution de l’informatique, l’authentification moderne dans Office 365 n’est pas seulement une fonctionnalité, c’est une nécessité. En exploitant ce script et en l’intégrant à des solutions performantes telles que NinjaOne, les professionnels de l’informatique peuvent renforcer leurs défenses et s’assurer que leur entreprise a toujours une longueur d’avance dans le domaine de la cybersécurité.