Avant d'ajouter des stratégies dans Entra ID, je commencerais par regarder ce qui existe. Qui peut se connecter, avec quels droits et depuis quels appareils ? Les réponses permettent de choisir les premiers changements sans partir dans tous les sens.
Le MFA en pratique
Vérifiez les méthodes enregistrées, puis les protections réellement appliquées aux connexions. Le rapport d'enregistrement, les stratégies et les journaux donnent des informations différentes qu'il faut rapprocher. L'article sur le contrôle du MFA dans Microsoft 365 reprend cette distinction.
Pour les comptes sensibles, regardez les méthodes résistantes au phishing et prévoyez la récupération des accès en cas de perte d'un appareil.
Les comptes d'administration
Reprenez les attributions avec leurs propriétaires. Un accès permanent doit avoir une raison de l'être. Séparez les usages d'administration du travail courant et examinez les possibilités d'activation temporaire selon vos licences. Pour préparer la revue, regardez aussi les rôles à vérifier en plus d'Administrateur général.
Gardez au moins deux comptes d'urgence dédiés, avec une protection et des tests adaptés. Ils servent à retrouver l'accès quand le fonctionnement habituel ne le permet plus.
Les anciennes méthodes de connexion
Regardez les usages encore présents dans vos applications et vos journaux. Un protocole comme IMAP peut utiliser différentes méthodes d'authentification : son nom seul ne suffit pas à conclure qu'il contourne le MFA.
Avant de bloquer un usage hérité, identifiez le traitement concerné et préparez son remplacement. Une tâche qui envoie des rapports doit continuer à fonctionner après le changement, avec une authentification adaptée.
Les stratégies d'accès conditionnel
Partez d'un besoin précis : demander une authentification supplémentaire ou réserver un accès à des appareils conformes, par exemple. Vérifiez les licences nécessaires et les exceptions prévues pour les accès d'urgence.
Testez la portée de la stratégie avant sa généralisation. Une règle fondée sur la localisation peut avoir des limites, notamment avec les déplacements et les VPN ; elle ne résume pas la sécurité d'une connexion.
Les comptes peu ou pas utilisés
Une dernière connexion ancienne est un indice. Vérifiez le départ éventuel de la personne, les usages techniques et les données à conserver avant de désactiver le compte ou de retirer une licence.
Choisir un premier chantier
Je prendrais un point qu'on peut traiter avec son propriétaire : une attribution à revoir, une application à migrer ou un groupe d'utilisateurs à accompagner sur le MFA. Notez ce qui change et vérifiez le résultat.
AuditMS aide à rassembler une partie de ces informations. Un score porte sur les contrôles disponibles ; il ne certifie pas que le tenant est sécurisé.