Un déploiement Microsoft Entra ID avec des politiques d'accès conditionnel actives donne souvent l'impression d'une posture Zero Trust solide. Tableaux de bord verts, MFA activé, accès conditionné à la conformité des appareils… Sur le papier, tout tient. En pratique, trois catégories de lacunes reviennent systématiquement lors des audits, et chacune suffit à offrir un chemin de contournement exploitable.
Les exclusions IP héritées : une dette technique qui devient une porte dérobée
Au moment du déploiement initial, il est courant d'exclure des plages d'adresses IP de certaines politiques pour éviter les blocages opérationnels : salles de conférence, imprimantes, systèmes SCADA, accès VPN legacy. Ces exclusions sont documentées dans un ticket, validées en urgence, puis oubliées.
Le problème survient quand ces plages changent de main, quand le périmètre réseau évolue, ou quand un attaquant obtient un accès à un segment réseau considéré comme de confiance. Une adresse IP classée comme « trusted location » dans Entra ID fait sauter le MFA, contourne les contrôles de conformité des appareils et réduit le niveau d'inspection de session. Si cette plage est accessible depuis un VPN compromis ou une infrastructure partagée avec un prestataire, l'exclusion initiale devient un vecteur d'accès direct.
Lors d'un audit, il n'est pas rare de trouver des plages entières héritées d'une ancienne politique Active Directory sur site, réimportées dans Entra sans révision. Certaines correspondent à des bureaux fermés depuis des années.
Les comptes de service : les grands absents des politiques CA
Les comptes de service sont, dans la majorité des environnements, explicitement exclus des politiques d'accès conditionnel. La justification est compréhensible : un processus automatisé ne peut pas répondre à un défi MFA interactif. Mais cette exclusion, mal encadrée, crée une surface d'attaque considérable.
Un compte de service exclu de toute politique CA peut s'authentifier depuis n'importe quel appareil, n'importe quelle localisation, à n'importe quelle heure, sans déclenchement d'alerte comportementale dans la politique elle-même. Si ce compte est compromis par une technique de credential stuffing, de pass-the-hash ou simplement via une fuite de secrets dans un dépôt de code, l'attaquant dispose d'un accès persistant et silencieux.
La bonne pratique consiste à traiter ces comptes via des Conditional Access Workload Identities (disponibles avec Entra ID P2), à appliquer des restrictions IP strictes même pour ces identités, et à surveiller toute déviation de comportement via Microsoft Defender for Cloud Apps. Ce n'est pas suffisant de les exclure et d'espérer que personne ne les cible.
L'absence de réévaluation de session : le jeton qui vit trop longtemps
Zero Trust repose sur un principe clair : la confiance n'est jamais permanente, elle est réévaluée en continu. Or dans beaucoup de déploiements Entra ID, les jetons d'accès et de rafraîchissement ont des durées de vie configurées par défaut — ou pire, allongées délibérément pour réduire les frictions utilisateur.
Sans activation de la Continuous Access Evaluation (CAE), un jeton émis avant qu'un compte soit désactivé, avant qu'un appareil soit marqué non-conforme ou avant qu'un risque utilisateur soit détecté continue de fonctionner jusqu'à son expiration naturelle. Ce délai peut être de plusieurs heures. Dans un scénario de compromission, c'est une fenêtre d'action confortable pour un attaquant qui a déjà les jetons en main.
CAE réduit cette fenêtre en permettant aux applications compatibles de rejeter un jeton en temps réel dès qu'un événement de révocation est signalé par Entra. Mais CAE ne couvre pas toutes les applications, et sa configuration n'est pas automatique. Il faut vérifier explicitement quelles applications en bénéficient et lesquelles restent exposées au modèle de session traditionnelle.
Comment auditer concrètement ses politiques d'accès conditionnel
Un audit rigoureux des politiques CA ne se limite pas à vérifier qu'elles sont activées. Voici une checklist structurée pour identifier les lacunes réelles. Pour approfondir la méthodologie sur des environnements réels, les labs et formations du catalogue CyberAct incluent des scénarios dédiés aux environnements Microsoft hybrides.
Inventaire et révision des exclusions
- Lister toutes les named locations définies dans Entra ID et vérifier leur pertinence actuelle (propriétaire, date de création, usage).
- Identifier chaque politique CA contenant une exclusion IP ou de groupe, et documenter la justification opérationnelle.
- Supprimer ou restreindre toute plage IP non validée dans les 90 derniers jours.
Traitement des identités non humaines
- Inventorier tous les comptes exclus de toute politique CA (comptes de service, comptes brise-glace, comptes de synchronisation).
- Pour chaque exclusion, vérifier si une politique Workload Identity ou une restriction IP compensatoire est en place.
- S'assurer que les comptes break-glass sont soumis à une surveillance et une alerte active, pas seulement exclus.
Vérification de la réévaluation de session
- Contrôler les paramètres de durée de vie des jetons dans les policies d'authentification.
- Identifier les applications et services compatibles CAE dans le tenant et vérifier que CAE y est effectivement activé.
- Tester le comportement en cas de révocation de compte : le jeton est-il bien invalidé en temps réel pour les applications critiques ?
Couverture des politiques et scénarios manquants
- Vérifier qu'aucune application d'entreprise publiée via Entra n'échappe à toute politique CA (le rapport Sign-in logs filtré sur « No CA policy applied » est souvent révélateur).
- S'assurer que les politiques couvrent les protocoles d'authentification hérités (legacy authentication) et qu'un bloc explicite est en place.
- Contrôler les politiques appliquées aux accès depuis des appareils non enregistrés ou non conformes.
Un environnement Zero Trust cohérent n'est pas celui où les politiques existent, c'est celui où les exceptions sont connues, justifiées et réévaluées régulièrement. Pour évaluer où en est votre organisation sur ce point, un diagnostic de maturité cyber permet d'identifier rapidement les zones de risque réel avant qu'un audit externe ou un incident ne le fasse à votre place.
Questions fréquentes
Qu'est-ce qu'une exclusion IP dans Entra ID et pourquoi est-elle risquée ?
Une exclusion IP dans Entra ID désigne une plage d'adresses réseau marquée comme « trusted location », ce qui fait sauter certains contrôles comme le MFA pour les connexions provenant de cette plage. Le risque vient du fait que ces exclusions sont souvent créées en urgence et jamais révisées : si la plage change de propriétaire ou est accessible depuis un réseau compromis, l'exclusion offre un accès sans friction à n'importe qui qui s'y connecte.
Peut-on vraiment appliquer des politiques d'accès conditionnel aux comptes de service ?
Oui, via les Conditional Access Workload Identities disponibles avec Entra ID P2. Cette fonctionnalité permet de créer des politiques spécifiques aux identités non humaines, notamment en restreignant les plages IP autorisées et en générant des alertes sur les comportements anormaux. Ce n'est pas une solution parfaite, mais c'est nettement plus sûr que de les exclure sans compensation.
La Continuous Access Evaluation protège-t-elle toutes les applications Microsoft 365 ?
Non. CAE est supportée par un nombre croissant d'applications Microsoft (Exchange Online, SharePoint, Teams…), mais elle ne couvre pas l'ensemble des applications tierces ni toutes les intégrations OAuth. Il faut vérifier explicitement dans le tenant quelles applications bénéficient de CAE et lesquelles continuent de fonctionner avec des jetons à longue durée de vie.
À quelle fréquence faut-il auditer ses politiques d'accès conditionnel ?
Un audit complet devrait être réalisé au moins deux fois par an, et systématiquement après toute modification d'infrastructure majeure : migration, fusion, changement de prestataire, déploiement d'une nouvelle application. En dehors de ces révisions complètes, un monitoring continu des sign-in logs (notamment les connexions sans politique CA appliquée) permet de détecter les anomalies au fil de l'eau.