Comptes administrateurs Microsoft 365 : quelles règles pour une PME ?

Séparez le travail quotidien de l’administration

Un compte qui lit les courriels, ouvre des pièces jointes et navigue sur le Web est exposé à des sollicitations quotidiennes. S’il possède aussi des droits d’administration globaux, une compromission peut donner accès aux paramètres, aux utilisateurs et aux méthodes d’authentification de l’organisation. Créez donc une identité nominative distincte pour les tâches sensibles et conservez le compte habituel pour la messagerie, Teams et les documents.

Tenez un registre simple : titulaire, rôle, usage prévu, protection activée et personne qui valide les changements. Microsoft recommande d’inventorier les comptes privilégiés et d’éviter d’utiliser des identités synchronisées depuis l’environnement local pour les rôles Microsoft Entra lorsque ce choix est possible.

Donnez le rôle adapté à la tâche

Administrer une boîte aux lettres, réinitialiser un mot de passe ou gérer un appareil ne nécessite pas automatiquement le rôle d’administrateur général. Microsoft définit le moindre privilège selon trois dimensions : les permissions, le périmètre et la durée. Commencez par la tâche à accomplir, recherchez le rôle intégré le moins étendu, puis documentez la raison de l’attribution.

Réservez l’administration générale aux opérations qui l’exigent réellement. Réexaminez les droits après un changement de poste, le départ d’un collaborateur ou la fin d’une mission externe. Les mécanismes d’activation temporaire et de revue d’accès peuvent compléter cette organisation lorsque la licence Microsoft Entra disponible les prend en charge ; ils ne doivent pas être supposés présents dans toutes les offres.

Renforcez l’authentification des comptes privilégiés

Activez l’authentification multifacteur sur chaque compte administrateur et vérifiez que les méthodes de récupération restent maîtrisées par l’entreprise. Cybermalveillance.gouv.fr rappelle que la double authentification ajoute une protection si le mot de passe est volé : la connexion demande une seconde preuve, comme une application ou une clé dédiée.

Ne partagez pas un même identifiant administrateur entre plusieurs intervenants pour les opérations courantes. Des comptes nominatifs rendent les actions plus faciles à attribuer et permettent de retirer l’accès d’une personne sans modifier celui des autres. Si un prestataire intervient, précisez qui autorise ses droits, pour quel objectif et quand ils sont revus.

Préparez un accès d’urgence qui ne dépend pas du chemin habituel

Une panne du fournisseur d’identité, une erreur de règle d’accès ou l’indisponibilité des administrateurs peut bloquer toute gestion du tenant. Microsoft recommande au moins deux comptes d’accès d’urgence, créés uniquement dans le cloud et réservés aux situations où les comptes normaux ne fonctionnent plus. Leur méthode d’authentification doit éviter le même point de défaillance que celle utilisée au quotidien.

Ces comptes très privilégiés ne doivent pas devenir une porte dérobée pratique. Conservez leurs moyens d’accès dans des emplacements sécurisés, surveillez chaque connexion et testez régulièrement le processus. Microsoft demande aussi de les exclure des règles d’accès conditionnel qui bloqueraient précisément leur connexion pendant l’incident ; cette exclusion ciblée ne dispense ni d’une authentification résistante à l’hameçonnage, ni de la journalisation.

Un exemple illustratif pour une petite organisation

Exemple fictif : une entreprise de neuf personnes utilise un seul compte administrateur général pour gérer Microsoft 365, lire les alertes et dépanner les utilisateurs. Le même identifiant est connu du dirigeant et d’un prestataire. Personne ne sait quelle méthode de récupération serait disponible si le téléphone associé était perdu.

L’entreprise conserve des comptes standards pour le travail quotidien, crée des comptes administrateurs nominatifs, remplace les droits globaux par des rôles adaptés aux tâches et documente deux accès d’urgence. Elle planifie ensuite une vérification des titulaires, des rôles et des journaux. Ce scénario ne décrit aucun client SOLYTI ; il montre comment réduire une dépendance sans transformer la gestion en procédure disproportionnée.

Faites de la revue des administrateurs un rendez-vous de pilotage

Une configuration correcte aujourd’hui peut devenir excessive après une réorganisation ou un changement de prestataire. Lors de chaque revue, vérifiez les comptes actifs, les rôles attribués, les méthodes d’authentification, les accès d’urgence et les dernières opérations sensibles.

SOLYTI peut intégrer cette revue à l’administration de Microsoft 365 et au suivi global de l’informatique. L’objectif est de relier la sécurité aux responsabilités réelles de l’entreprise : qui peut agir, sur quoi, dans quelles circonstances et avec quelle trace.

• Quel compte est utilisé pour les tâches quotidiennes et lequel sert uniquement à administrer ?
• Chaque rôle correspond-il encore à une tâche et à un responsable identifiés ?
• Les accès d’urgence peuvent-ils fonctionner sans dépendre du même appareil ou du même service ?