SlideShare une entreprise Scribd logo
Retour d’expérience sur
le monitoring et la
sécurisation des identités Azure
Maxime RASTELLO
IT & Cloud Architect
Microsoft MVP – Enterprise Mobility
Mickaël LOPES
IT & Cloud Consultant
Microsoft MVP – Cloud & Datacenter
Management
Sécurisez avant de synchroniser
• Azure AD Connect : les bonnes pratiques
Affinez votre délégation de droits
• Role-Based Access Control (RBAC)
• Azure AD Administrative Units
Monitorez et sécurisez vos identités Cloud
• Rapports avancés & Audit
• Azure AD Identity Protection
• Azure AD Privileged Identity Management
Agenda
C’est parti !
N° 3
Sécurisez avant de synchroniser
Les éditions d’Azure Active Directory
N° 5
Fonctionnalités Free Basic Premium P1 Premium P2 Office 365
Commun
Objets Active Directory 500 000 Illimité Illimité Illimité Illimité
SSO avec les applications SaaS 10 / utilisateur 10 / utilisateur Illimité Illimité 10 / utilisateur
Gestion des utilisateurs, provisionning, enregistrement d’appareils ✓ ✓ ✓ ✓ ✓
Synchronisation d’annuaire avec Azure AD Connect ✓ ✓ ✓ ✓ ✓
Modification du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓ ✓
Rapports de sécurité / d’utilisation 3 rapports 3 rapports Avancés Avancés 3 rapports
Basic
Gestion / provisionning des utilisateurs basés sur les groupes ✓ ✓ ✓
Réinitialisation du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓
Personnalisation des pages et portails ✓ ✓ ✓ ✓
Azure App Proxy ✓ ✓ ✓
SLA 99,9% ✓ ✓ ✓ ✓
Premium
Réinitialisation / modification du mot de passe en self-service pour les utilisateurs AD ✓ ✓
Gestion des groupes en self-service pour les utilisateurs cloud / groupes dynamiques ✓ ✓
Administrative Units ✓ ✓
Multi-Factor Authentication cloud (Azure MFA) & on-premises (MFA Server) ✓ ✓ Cloud uniquement
Connect Health ✓ ✓
Cloud App Discovery ✓ ✓
Azure AD Identity Protection / Azure AD Privileged Identity Management ✓
N° 6
On-premises
AAD Connect
Azure Active Directory
Dans le cloud…
Rapports
Identity Protection
Privileged Identity
Management
Admin Units
Bientôt
• Où placer le serveur Azure AD Connect ?
Sur un serveur dédié !
• Faut-il le mettre en DMZ ?
Pas nécessaire. Seuls des flux sortants vers Azure sont utilisés.
• Comment rendre l’infrastructure hautement disponible ?
Depuis la v1.0.8641.0, introduction du « staging mode »
• Comment sécuriser le serveur ?
Restriction des droits, restriction de la surface d’attaque
• Comment limiter les informations synchronisées ?
Filtrage par attributs possible. Certains sont néanmoins obligatoires
Azure AD Connect
Les interrogations récurrentes
N° 7
• Azure AD Connect fonctionne sur des serveurs FIPS-Compliant
A partir de la version 1.1.189.0
• Compte de service Active Directory / Azure Active Directory
Ne pas lui mettre de permissions Domain Admin / Global Admin
• Les mots de passe sont-ils synchronisés en clair ?
Non !
1. Les MDP sont stockés dans l’AD sous la forme d’un hash MD5
2. Ils sont en plus hashés en SHA256 par Azure AD Connect
3. Les hashs sont synchronisés, puis déchiffrés dans Azure
Azure AD Connect
Les autres points d’attention
N° 8
Affinez votre délégation de
droits
Helpdesk Administrator
Service Support Administrator
Billing Administrator
Partner Tier1 Support
Partner Tier2 Support
Directory Readers (legacy)
Exchange Service Administrator
Lync Service Administrator
User Account Administrator
Directory Writers (legacy)
Company Administrator
SharePoint Service Administrator
Device Users
Device Administrators
Device Join
Workplace Device Join
Compliance Administrator
Directory Synchronization Accounts
Device Managers
Application Administrator
Application Developer
Security Reader
Security Administrator
Privileged Role Administrator
Intune Service Administrator
Application Proxy Service Administrator
Customer LockBox Access Approver
CRM Service Administrator
Power BI Service Administrator
Role-Based Access Control
Quelques rôles par défaut
N° 10
General
Availability
Nouveau portail uniquement
Ne pas utiliser
PowerShell + nouveau portail
PowerShell ou appli dédiée
Security Reader
• Lecture des rapports Identity Protection
• Lectures des rapports Privileged Identity
Management
• Accès à Office 365 Service Health
• Accès à Office 365 Security & Compliance Center
Security Administrator
• Mêmes droits que Security Reader
• En plus : Administration de ces services
Company Administrator
• Même chose que Global administrator
• Seul habilité à attribuer d’autres permissions admin
Service Support Administrator
• Monitorer l’état du service Azure
• Gérer les Service Requests
HelpDesk Administrator
• Monitorer l’état du service Azure
• Gérer les Service Requests
• Réinitialiser les mots de passe
User Account Administrator
• Monitorer l’état du service Azure
• Gérer les Service Requests
• Réinitialiser les mots de passe (limité à certains rôles)
• Administrer les utilisateurs / groupes
Application Administrator
• Gérer les applications Saas et Web App Proxy
Web App Proxy Administrator
• Ne gérer que les applications Web App Proxy
 Bientôt : un rôle admin par application !
Role-Based Access Control
Il faut les utiliser !
N° 11
General
Availability
Administrative Units
Le retour de la part de nombreux clients
N° 12
Constat
• Manque de granularité dans les droits d’administration
• Les droits dans l’ancien et le nouveau portail sont différents
Besoin
• Retranscrire la hiérarchie des permissions admin AD dans Azure AD
• Limiter des champs d’actions des administrateurs
• Restriction des droits sur certains utilisateurs VIP
Preview
Administrative Units
La réponse de Microsoft
N° 13
Groupe RBAC : User Account AdministratorAzure AD Directory
US Users
UK Users
FR Users
US UA Admin
UK UA Admin
FR UA Admin
Preview
Demo
Types de membres
• Utilisateurs uniquement
 Roadmap : groupes dans une future release
Rôles attribuables à une Admin Unit
• User Account Administrator
• HelpDesk Administrator
 Roadmap : d’autres rôles seront pris en charge en Preview 2
Administration
• Uniquement en PowerShell
• Roadmap : intégration dans le nouveau portail à venir (TBD)
Administrative Units
Les limitations de la Preview
N° 15
Preview
Monitorez et sécurisez vos
identités Cloud
Dans l’ancien portail
• Tous les logs sont centralisés
Limitations
• Rapports uniquement sur les 30 derniers jours
 N’oubliez pas d’exporter vos rapports (PowerShell ou Microsoft
Graph)
Rapports avancés
Les points d’attention
N° 17
General
Availability
Dans le nouveau portail
• Les rapports sont éclatés entre plusieurs interfaces
o Users and groups
o Enterprise applications
Limitations
• Rapports uniquement sur les 30 derniers jours
 N’oubliez pas d’exporter vos rapports (PowerShell ou Microsoft
Graph)
Azure AD Reporting
Les points d’attention
N° 18
Preview
Demo
L’accès aux applications SaaS avec Azure
Le retour de nombreux clients
N° 20
Constat
• Mes utilisateurs peuvent se connecter depuis n’importe quel endroit
• Tous mes utilisateurs ne sont pas forcément enrollés dans le MFA
• La prévention et la remédiation des risques se fait manuellement (via les rapports)
Besoin
• Comment mettre en place une politique de conformité des accès ?
• Comment être sûr que mes utilisateurs utilisent MFA ?
• Comment prendre des actions préventives en cas d’activité suspecte ?
General
Availability
Surveillez les activités suspectes de vos utilisateurs
• Logins à des endroits différents en un cours laps de temps
• Pas de MFA d’activé sur le compte
• Identifiants « leakés » sur le Dark Web
• Connexion via des proxies anonymes (Tor…)
Lancez des actions préventives sur les comptes à risque
• Forcer l’enregistrement au MFA
• Forcer l’utilisation du MFA pour la connexion
• Forcer le changement du mot de passe
Azure AD Identity Protection
Les fonctionnalités
N° 21
General
Availability
Demo
Les droits administrateurs dans Azure
Le retour de nombreux clients
N° 23
Constat
• Les permissions sont attribuées de manière définitive
• Beaucoup de personnes ont des droits administrateurs
• Beaucoup d’utilisateurs ont des droits trop élevés ou superflus
Besoin
• Comment monitorer les permissions admin ?
• Comment limiter les risques liés à un vol d’identité ?
• Comment limiter le temps d’attribution d’un droit admin ?
General
Availability
Monitorez les permissions administrateur
• Identifiez les utilisateurs ayant des rôles RBAC admin
• Visualisez les attributions de droits admin en dehors de PIM
Limitez l’impact de ces permissions
• Attribuez des permissions admin temporaires (entre 30min et 72h)
• Gérez le délai d’expiration des droits admin pour chaque rôle RBAC
• Vérifier l’identité de l’administrateur avant utilisation de ses droits (MFA)
 Notion d’administrateurs éligibles pour un rôle RBAC donné
Azure AD Privileged Identity Management
Les fonctionnalités
N° 24
General
Availability
Arrivée d’un prestataire dans l’équipe Collaboration
Avant
1. Création du compte + synchronisation
2. Attribution des permissions admin (manuellement ou par script)
Après
1. Création du compte + synchronisation
2. Mise à disposition d’un rôle admin (l’utilisateur est éligible pour le rôle)
3. L’utilisateur active son rôle via MFA quand il en a besoin
Azure AD Privileged Identity Management
Cas d’usage
N° 25
General
Availability
Demo
Gestion des rôles
• Droits temporaires uniquement sur des utilisateurs (pas de groupes)
• L’utilisateur reste éligible même après expiration de son droit d’accès
Azure AD Privileged Identity Management
Limitations actuelles
N° 27
General
Availability
N° 28
@microsoftfrance @Technet_France @msdev_fr
N° 29
N° 30

Contenu connexe

Tendances

Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
☁️Seyfallah Tagrerout☁ [MVP]
 
DevOps Day - Infrastructure As A Code
DevOps Day - Infrastructure As A CodeDevOps Day - Infrastructure As A Code
DevOps Day - Infrastructure As A Code
Cellenza
 
Powershell Saturday - Azure at Scale with PowerShell
Powershell Saturday - Azure at Scale with PowerShellPowershell Saturday - Azure at Scale with PowerShell
Powershell Saturday - Azure at Scale with PowerShell
Benoît SAUTIERE
 
ReBuild 2019 - Gouvernance Financière 1.0
ReBuild 2019 - Gouvernance Financière 1.0ReBuild 2019 - Gouvernance Financière 1.0
ReBuild 2019 - Gouvernance Financière 1.0
Benoît SAUTIERE
 
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
Alphorm
 
MUG Strasbourg - Azure Active Directory et ses déclinaisons
MUG Strasbourg - Azure Active Directory et ses déclinaisonsMUG Strasbourg - Azure Active Directory et ses déclinaisons
MUG Strasbourg - Azure Active Directory et ses déclinaisons
mugstrasbourg
 
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
Microsoft Technet France
 
Au-delà de Small Business Server
Au-delà de Small Business ServerAu-delà de Small Business Server
Au-delà de Small Business Server
Microsoft Technet France
 
En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà
Microsoft Décideurs IT
 
Monter en charge, tester et surveiller avec une application Windows Azure : l...
Monter en charge, tester et surveiller avec une application Windows Azure : l...Monter en charge, tester et surveiller avec une application Windows Azure : l...
Monter en charge, tester et surveiller avec une application Windows Azure : l...
Microsoft Technet France
 
Windows Azure IaaS: machines virtuelles, réseau, ...
Windows Azure IaaS: machines virtuelles, réseau, ... Windows Azure IaaS: machines virtuelles, réseau, ...
Windows Azure IaaS: machines virtuelles, réseau, ...
Microsoft Technet France
 
Tout ce que vous avez toujours voulu savoir sur Azure Active Directory
Tout ce que vous avez toujours voulu savoir sur Azure Active DirectoryTout ce que vous avez toujours voulu savoir sur Azure Active Directory
Tout ce que vous avez toujours voulu savoir sur Azure Active Directory
Microsoft Décideurs IT
 
DeepDive - Azure AD Identity Protection
DeepDive - Azure AD Identity ProtectionDeepDive - Azure AD Identity Protection
DeepDive - Azure AD Identity Protection
Maxime Rastello
 
Livre Blanc Windows Azure
Livre Blanc Windows AzureLivre Blanc Windows Azure
Livre Blanc Windows Azure
fchambaron
 
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
Microsoft Technet France
 
Simplifiez et automatisez la gestion de votre Active Directory avec Adaxes
Simplifiez et automatisez la gestion de votre Active Directory avec AdaxesSimplifiez et automatisez la gestion de votre Active Directory avec Adaxes
Simplifiez et automatisez la gestion de votre Active Directory avec Adaxes
Kyos
 
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
Alphorm
 
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
Microsoft Technet France
 
Les 11 bonnes raisons de migrer vers Windows Server 2008
Les 11 bonnes raisons de migrer vers Windows Server 2008Les 11 bonnes raisons de migrer vers Windows Server 2008
Les 11 bonnes raisons de migrer vers Windows Server 2008
fabricemeillon
 
Scom et orchestrator main dans la main (ser214)
Scom et orchestrator main dans la main (ser214)Scom et orchestrator main dans la main (ser214)
Scom et orchestrator main dans la main (ser214)
Jean-François BERENGUER
 

Tendances (20)

Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
Comment sécuriser son environnement Microsoft 365 avec Microsft Threat Protec...
 
DevOps Day - Infrastructure As A Code
DevOps Day - Infrastructure As A CodeDevOps Day - Infrastructure As A Code
DevOps Day - Infrastructure As A Code
 
Powershell Saturday - Azure at Scale with PowerShell
Powershell Saturday - Azure at Scale with PowerShellPowershell Saturday - Azure at Scale with PowerShell
Powershell Saturday - Azure at Scale with PowerShell
 
ReBuild 2019 - Gouvernance Financière 1.0
ReBuild 2019 - Gouvernance Financière 1.0ReBuild 2019 - Gouvernance Financière 1.0
ReBuild 2019 - Gouvernance Financière 1.0
 
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
Alphorm.com Formation Microsoft Azure : Azure Active Directory 2021
 
MUG Strasbourg - Azure Active Directory et ses déclinaisons
MUG Strasbourg - Azure Active Directory et ses déclinaisonsMUG Strasbourg - Azure Active Directory et ses déclinaisons
MUG Strasbourg - Azure Active Directory et ses déclinaisons
 
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
Active Directory en 2012 : les meilleures pratiques en design, sécurité et ad...
 
Au-delà de Small Business Server
Au-delà de Small Business ServerAu-delà de Small Business Server
Au-delà de Small Business Server
 
En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà
 
Monter en charge, tester et surveiller avec une application Windows Azure : l...
Monter en charge, tester et surveiller avec une application Windows Azure : l...Monter en charge, tester et surveiller avec une application Windows Azure : l...
Monter en charge, tester et surveiller avec une application Windows Azure : l...
 
Windows Azure IaaS: machines virtuelles, réseau, ...
Windows Azure IaaS: machines virtuelles, réseau, ... Windows Azure IaaS: machines virtuelles, réseau, ...
Windows Azure IaaS: machines virtuelles, réseau, ...
 
Tout ce que vous avez toujours voulu savoir sur Azure Active Directory
Tout ce que vous avez toujours voulu savoir sur Azure Active DirectoryTout ce que vous avez toujours voulu savoir sur Azure Active Directory
Tout ce que vous avez toujours voulu savoir sur Azure Active Directory
 
DeepDive - Azure AD Identity Protection
DeepDive - Azure AD Identity ProtectionDeepDive - Azure AD Identity Protection
DeepDive - Azure AD Identity Protection
 
Livre Blanc Windows Azure
Livre Blanc Windows AzureLivre Blanc Windows Azure
Livre Blanc Windows Azure
 
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
System Center 2012 | SCCM : L'inventaire de A à Z avec System Center Configur...
 
Simplifiez et automatisez la gestion de votre Active Directory avec Adaxes
Simplifiez et automatisez la gestion de votre Active Directory avec AdaxesSimplifiez et automatisez la gestion de votre Active Directory avec Adaxes
Simplifiez et automatisez la gestion de votre Active Directory avec Adaxes
 
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
Alphorm.com Formation Active Directory 2019 : Optimisation et Sécurisation av...
 
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
Architecture, bonnes pratiques et recettes pour la réussite de vos projets av...
 
Les 11 bonnes raisons de migrer vers Windows Server 2008
Les 11 bonnes raisons de migrer vers Windows Server 2008Les 11 bonnes raisons de migrer vers Windows Server 2008
Les 11 bonnes raisons de migrer vers Windows Server 2008
 
Scom et orchestrator main dans la main (ser214)
Scom et orchestrator main dans la main (ser214)Scom et orchestrator main dans la main (ser214)
Scom et orchestrator main dans la main (ser214)
 

En vedette

Julien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
Julien Corioland - Keynote - Global Azure Bootcamp 2016 ParisJulien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
Julien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
AZUG FR
 
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 ParisEstelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
AZUG FR
 
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
AZUG FR
 
Déploiement dans Azure depuis VSTS
Déploiement dans Azure depuis VSTSDéploiement dans Azure depuis VSTS
Déploiement dans Azure depuis VSTS
AZUG FR
 
Programme Loop Event
Programme Loop EventProgramme Loop Event
Programme Loop Event
Loopevent
 
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
ot-grand-tourmalet
 
Comment.on a fait_pour.survivre._
Comment.on a fait_pour.survivre._Comment.on a fait_pour.survivre._
Comment.on a fait_pour.survivre._
Philippe Massé
 
Graduacion junio 2013 esm
Graduacion junio 2013 esmGraduacion junio 2013 esm
Graduacion junio 2013 esm
Sussie Glez C
 
Rup
RupRup
Vive le vent
Vive le ventVive le vent
Vive le vent
sekerach
 
Present Mobile Guide ENG
Present Mobile Guide ENGPresent Mobile Guide ENG
Present Mobile Guide ENG
Mobile Guide
 
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
Gonzalo Garre Rodas
 
Interview de Didier Le Calvez directeur général de l'hôtel le Bristol
Interview de Didier Le Calvez directeur général de l'hôtel le BristolInterview de Didier Le Calvez directeur général de l'hôtel le Bristol
Interview de Didier Le Calvez directeur général de l'hôtel le Bristol
LOUIS event
 
Le numerique en bibliotheque par Sandrine Ferrer
Le numerique en bibliotheque par Sandrine FerrerLe numerique en bibliotheque par Sandrine Ferrer
Le numerique en bibliotheque par Sandrine Ferrer
Anne-Sophie Dallet
 
Nouveaux médias
Nouveaux médiasNouveaux médias
Nouveaux médias
maepierre
 
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
Florence Carre
 

En vedette (20)

Julien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
Julien Corioland - Keynote - Global Azure Bootcamp 2016 ParisJulien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
Julien Corioland - Keynote - Global Azure Bootcamp 2016 Paris
 
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 ParisEstelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
Estelle Auberix - La securité dans Azure - Global Azure Bootcamp 2016 Paris
 
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
J.L. Boucho, J.Corioland - Azure et les Microservices - Global Azure Bootcamp...
 
Déploiement dans Azure depuis VSTS
Déploiement dans Azure depuis VSTSDéploiement dans Azure depuis VSTS
Déploiement dans Azure depuis VSTS
 
Programme Loop Event
Programme Loop EventProgramme Loop Event
Programme Loop Event
 
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
Plan de Communication Grand Tourmalet Pic du Midi 2013/2014
 
Comment.on a fait_pour.survivre._
Comment.on a fait_pour.survivre._Comment.on a fait_pour.survivre._
Comment.on a fait_pour.survivre._
 
Graduacion junio 2013 esm
Graduacion junio 2013 esmGraduacion junio 2013 esm
Graduacion junio 2013 esm
 
Rup
RupRup
Rup
 
Vive le vent
Vive le ventVive le vent
Vive le vent
 
Present Mobile Guide ENG
Present Mobile Guide ENGPresent Mobile Guide ENG
Present Mobile Guide ENG
 
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
Sesiones 1 y 2 del Curso Superior en Community Management y Comunicación 2.0 ...
 
Interview de Didier Le Calvez directeur général de l'hôtel le Bristol
Interview de Didier Le Calvez directeur général de l'hôtel le BristolInterview de Didier Le Calvez directeur général de l'hôtel le Bristol
Interview de Didier Le Calvez directeur général de l'hôtel le Bristol
 
Le numerique en bibliotheque par Sandrine Ferrer
Le numerique en bibliotheque par Sandrine FerrerLe numerique en bibliotheque par Sandrine Ferrer
Le numerique en bibliotheque par Sandrine Ferrer
 
Lignes directrices evaluer enfant prescolaire - 2011
Lignes directrices    evaluer enfant prescolaire - 2011Lignes directrices    evaluer enfant prescolaire - 2011
Lignes directrices evaluer enfant prescolaire - 2011
 
Nouveaux médias
Nouveaux médiasNouveaux médias
Nouveaux médias
 
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
Plaquette "50 idées cadeaux" du réseau des médiathèques de la CAPS (Essonne)
 
Premiers pas
Premiers pasPremiers pas
Premiers pas
 
Caritas
CaritasCaritas
Caritas
 
Demande un conseil
Demande un conseilDemande un conseil
Demande un conseil
 

Similaire à MSEXP : Monitoring et sécurisation des identités Azure

Azure Active Directory : on fait le point
Azure Active Directory : on fait le pointAzure Active Directory : on fait le point
Azure Active Directory : on fait le point
Maxime Rastello
 
Présentation AzureAD ( Identité hybrides et securité)
Présentation AzureAD ( Identité hybrides et securité)Présentation AzureAD ( Identité hybrides et securité)
Présentation AzureAD ( Identité hybrides et securité)
☁️Seyfallah Tagrerout☁ [MVP]
 
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWSBonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Julien SIMON
 
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure ADIdentity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
Microsoft
 
9 Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
9   Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...9   Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
9 Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
aOS Community
 
Webinar bonnes pratiques securite
Webinar   bonnes pratiques securiteWebinar   bonnes pratiques securite
Webinar bonnes pratiques securite
jumeletArnaud
 
[DevTestday] Gouvernance Dev/Test Azure
[DevTestday] Gouvernance Dev/Test Azure[DevTestday] Gouvernance Dev/Test Azure
[DevTestday] Gouvernance Dev/Test Azure
Cellenza
 
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
AZUG FR
 
[GAB2016] La gestion des identités avec Azure - Maxime Rastello
[GAB2016] La gestion des identités avec Azure - Maxime Rastello [GAB2016] La gestion des identités avec Azure - Maxime Rastello
[GAB2016] La gestion des identités avec Azure - Maxime Rastello
Cellenza
 
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenterMSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
MickaelLOPES91
 
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
Marius Zaharia
 
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASMaOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
Maxime Rastello
 
La sécurité avec SQL Server 2012
La sécurité avec SQL Server 2012La sécurité avec SQL Server 2012
La sécurité avec SQL Server 2012
Microsoft Technet France
 
CIEM, tiens une nouvelle catégorie de produits identité?
CIEM, tiens une nouvelle catégorie de produits identité?CIEM, tiens une nouvelle catégorie de produits identité?
CIEM, tiens une nouvelle catégorie de produits identité?
Identity Days
 
TechDays 2010 (CLO202) : Introduction à Windows Azure
TechDays 2010 (CLO202) : Introduction à Windows AzureTechDays 2010 (CLO202) : Introduction à Windows Azure
TechDays 2010 (CLO202) : Introduction à Windows Azure
Thomas Conté
 
Presentation mididulibrev2.0
Presentation mididulibrev2.0Presentation mididulibrev2.0
Presentation mididulibrev2.0
robertpluss
 
Alphorm.com Formation Microsoft Azure (AZ-104) : Administration
Alphorm.com Formation Microsoft Azure (AZ-104) : AdministrationAlphorm.com Formation Microsoft Azure (AZ-104) : Administration
Alphorm.com Formation Microsoft Azure (AZ-104) : Administration
Alphorm
 
La Sécurité dans Azure
La Sécurité dans AzureLa Sécurité dans Azure
La Sécurité dans Azure
Estelle Auberix
 
En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà
Microsoft Technet France
 
Alphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
Alphorm.com Formation Microsoft Azure (AZ-500) : SécuritéAlphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
Alphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
Alphorm
 

Similaire à MSEXP : Monitoring et sécurisation des identités Azure (20)

Azure Active Directory : on fait le point
Azure Active Directory : on fait le pointAzure Active Directory : on fait le point
Azure Active Directory : on fait le point
 
Présentation AzureAD ( Identité hybrides et securité)
Présentation AzureAD ( Identité hybrides et securité)Présentation AzureAD ( Identité hybrides et securité)
Présentation AzureAD ( Identité hybrides et securité)
 
Bonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWSBonnes pratiques pour la gestion des opérations de sécurité AWS
Bonnes pratiques pour la gestion des opérations de sécurité AWS
 
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure ADIdentity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
Identity as a Service (IDaaS), un service prêt à l’usage avec Windows Azure AD
 
9 Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
9   Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...9   Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
9 Sécurisez vos services Office 365 avec Azure AD et Advanced Security Mana...
 
Webinar bonnes pratiques securite
Webinar   bonnes pratiques securiteWebinar   bonnes pratiques securite
Webinar bonnes pratiques securite
 
[DevTestday] Gouvernance Dev/Test Azure
[DevTestday] Gouvernance Dev/Test Azure[DevTestday] Gouvernance Dev/Test Azure
[DevTestday] Gouvernance Dev/Test Azure
 
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
Maxime Rastello - La gestion des identités avec Azure - Global Azure Bootcamp...
 
[GAB2016] La gestion des identités avec Azure - Maxime Rastello
[GAB2016] La gestion des identités avec Azure - Maxime Rastello [GAB2016] La gestion des identités avec Azure - Maxime Rastello
[GAB2016] La gestion des identités avec Azure - Maxime Rastello
 
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenterMSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
MSCS : Windows Server 2016 Quoi de neuf pour votre datacenter
 
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
Gouvernance et sécurisation de vos ressources cloud avec Azure Active Directo...
 
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASMaOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
aOS Grenoble - Sécurisez vos services Office 365 avec Azure AD et ASM
 
La sécurité avec SQL Server 2012
La sécurité avec SQL Server 2012La sécurité avec SQL Server 2012
La sécurité avec SQL Server 2012
 
CIEM, tiens une nouvelle catégorie de produits identité?
CIEM, tiens une nouvelle catégorie de produits identité?CIEM, tiens une nouvelle catégorie de produits identité?
CIEM, tiens une nouvelle catégorie de produits identité?
 
TechDays 2010 (CLO202) : Introduction à Windows Azure
TechDays 2010 (CLO202) : Introduction à Windows AzureTechDays 2010 (CLO202) : Introduction à Windows Azure
TechDays 2010 (CLO202) : Introduction à Windows Azure
 
Presentation mididulibrev2.0
Presentation mididulibrev2.0Presentation mididulibrev2.0
Presentation mididulibrev2.0
 
Alphorm.com Formation Microsoft Azure (AZ-104) : Administration
Alphorm.com Formation Microsoft Azure (AZ-104) : AdministrationAlphorm.com Formation Microsoft Azure (AZ-104) : Administration
Alphorm.com Formation Microsoft Azure (AZ-104) : Administration
 
La Sécurité dans Azure
La Sécurité dans AzureLa Sécurité dans Azure
La Sécurité dans Azure
 
En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà En route vers Active Directory 2012 R2 et au-delà
En route vers Active Directory 2012 R2 et au-delà
 
Alphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
Alphorm.com Formation Microsoft Azure (AZ-500) : SécuritéAlphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
Alphorm.com Formation Microsoft Azure (AZ-500) : Sécurité
 

MSEXP : Monitoring et sécurisation des identités Azure

  • 1. Retour d’expérience sur le monitoring et la sécurisation des identités Azure
  • 2. Maxime RASTELLO IT & Cloud Architect Microsoft MVP – Enterprise Mobility Mickaël LOPES IT & Cloud Consultant Microsoft MVP – Cloud & Datacenter Management
  • 3. Sécurisez avant de synchroniser • Azure AD Connect : les bonnes pratiques Affinez votre délégation de droits • Role-Based Access Control (RBAC) • Azure AD Administrative Units Monitorez et sécurisez vos identités Cloud • Rapports avancés & Audit • Azure AD Identity Protection • Azure AD Privileged Identity Management Agenda C’est parti ! N° 3
  • 4. Sécurisez avant de synchroniser
  • 5. Les éditions d’Azure Active Directory N° 5 Fonctionnalités Free Basic Premium P1 Premium P2 Office 365 Commun Objets Active Directory 500 000 Illimité Illimité Illimité Illimité SSO avec les applications SaaS 10 / utilisateur 10 / utilisateur Illimité Illimité 10 / utilisateur Gestion des utilisateurs, provisionning, enregistrement d’appareils ✓ ✓ ✓ ✓ ✓ Synchronisation d’annuaire avec Azure AD Connect ✓ ✓ ✓ ✓ ✓ Modification du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓ ✓ Rapports de sécurité / d’utilisation 3 rapports 3 rapports Avancés Avancés 3 rapports Basic Gestion / provisionning des utilisateurs basés sur les groupes ✓ ✓ ✓ Réinitialisation du mot de passe en self-service pour les utilisateurs cloud ✓ ✓ ✓ ✓ Personnalisation des pages et portails ✓ ✓ ✓ ✓ Azure App Proxy ✓ ✓ ✓ SLA 99,9% ✓ ✓ ✓ ✓ Premium Réinitialisation / modification du mot de passe en self-service pour les utilisateurs AD ✓ ✓ Gestion des groupes en self-service pour les utilisateurs cloud / groupes dynamiques ✓ ✓ Administrative Units ✓ ✓ Multi-Factor Authentication cloud (Azure MFA) & on-premises (MFA Server) ✓ ✓ Cloud uniquement Connect Health ✓ ✓ Cloud App Discovery ✓ ✓ Azure AD Identity Protection / Azure AD Privileged Identity Management ✓
  • 6. N° 6 On-premises AAD Connect Azure Active Directory Dans le cloud… Rapports Identity Protection Privileged Identity Management Admin Units Bientôt
  • 7. • Où placer le serveur Azure AD Connect ? Sur un serveur dédié ! • Faut-il le mettre en DMZ ? Pas nécessaire. Seuls des flux sortants vers Azure sont utilisés. • Comment rendre l’infrastructure hautement disponible ? Depuis la v1.0.8641.0, introduction du « staging mode » • Comment sécuriser le serveur ? Restriction des droits, restriction de la surface d’attaque • Comment limiter les informations synchronisées ? Filtrage par attributs possible. Certains sont néanmoins obligatoires Azure AD Connect Les interrogations récurrentes N° 7
  • 8. • Azure AD Connect fonctionne sur des serveurs FIPS-Compliant A partir de la version 1.1.189.0 • Compte de service Active Directory / Azure Active Directory Ne pas lui mettre de permissions Domain Admin / Global Admin • Les mots de passe sont-ils synchronisés en clair ? Non ! 1. Les MDP sont stockés dans l’AD sous la forme d’un hash MD5 2. Ils sont en plus hashés en SHA256 par Azure AD Connect 3. Les hashs sont synchronisés, puis déchiffrés dans Azure Azure AD Connect Les autres points d’attention N° 8
  • 10. Helpdesk Administrator Service Support Administrator Billing Administrator Partner Tier1 Support Partner Tier2 Support Directory Readers (legacy) Exchange Service Administrator Lync Service Administrator User Account Administrator Directory Writers (legacy) Company Administrator SharePoint Service Administrator Device Users Device Administrators Device Join Workplace Device Join Compliance Administrator Directory Synchronization Accounts Device Managers Application Administrator Application Developer Security Reader Security Administrator Privileged Role Administrator Intune Service Administrator Application Proxy Service Administrator Customer LockBox Access Approver CRM Service Administrator Power BI Service Administrator Role-Based Access Control Quelques rôles par défaut N° 10 General Availability Nouveau portail uniquement Ne pas utiliser PowerShell + nouveau portail PowerShell ou appli dédiée
  • 11. Security Reader • Lecture des rapports Identity Protection • Lectures des rapports Privileged Identity Management • Accès à Office 365 Service Health • Accès à Office 365 Security & Compliance Center Security Administrator • Mêmes droits que Security Reader • En plus : Administration de ces services Company Administrator • Même chose que Global administrator • Seul habilité à attribuer d’autres permissions admin Service Support Administrator • Monitorer l’état du service Azure • Gérer les Service Requests HelpDesk Administrator • Monitorer l’état du service Azure • Gérer les Service Requests • Réinitialiser les mots de passe User Account Administrator • Monitorer l’état du service Azure • Gérer les Service Requests • Réinitialiser les mots de passe (limité à certains rôles) • Administrer les utilisateurs / groupes Application Administrator • Gérer les applications Saas et Web App Proxy Web App Proxy Administrator • Ne gérer que les applications Web App Proxy  Bientôt : un rôle admin par application ! Role-Based Access Control Il faut les utiliser ! N° 11 General Availability
  • 12. Administrative Units Le retour de la part de nombreux clients N° 12 Constat • Manque de granularité dans les droits d’administration • Les droits dans l’ancien et le nouveau portail sont différents Besoin • Retranscrire la hiérarchie des permissions admin AD dans Azure AD • Limiter des champs d’actions des administrateurs • Restriction des droits sur certains utilisateurs VIP Preview
  • 13. Administrative Units La réponse de Microsoft N° 13 Groupe RBAC : User Account AdministratorAzure AD Directory US Users UK Users FR Users US UA Admin UK UA Admin FR UA Admin Preview
  • 14. Demo
  • 15. Types de membres • Utilisateurs uniquement  Roadmap : groupes dans une future release Rôles attribuables à une Admin Unit • User Account Administrator • HelpDesk Administrator  Roadmap : d’autres rôles seront pris en charge en Preview 2 Administration • Uniquement en PowerShell • Roadmap : intégration dans le nouveau portail à venir (TBD) Administrative Units Les limitations de la Preview N° 15 Preview
  • 16. Monitorez et sécurisez vos identités Cloud
  • 17. Dans l’ancien portail • Tous les logs sont centralisés Limitations • Rapports uniquement sur les 30 derniers jours  N’oubliez pas d’exporter vos rapports (PowerShell ou Microsoft Graph) Rapports avancés Les points d’attention N° 17 General Availability
  • 18. Dans le nouveau portail • Les rapports sont éclatés entre plusieurs interfaces o Users and groups o Enterprise applications Limitations • Rapports uniquement sur les 30 derniers jours  N’oubliez pas d’exporter vos rapports (PowerShell ou Microsoft Graph) Azure AD Reporting Les points d’attention N° 18 Preview
  • 19. Demo
  • 20. L’accès aux applications SaaS avec Azure Le retour de nombreux clients N° 20 Constat • Mes utilisateurs peuvent se connecter depuis n’importe quel endroit • Tous mes utilisateurs ne sont pas forcément enrollés dans le MFA • La prévention et la remédiation des risques se fait manuellement (via les rapports) Besoin • Comment mettre en place une politique de conformité des accès ? • Comment être sûr que mes utilisateurs utilisent MFA ? • Comment prendre des actions préventives en cas d’activité suspecte ? General Availability
  • 21. Surveillez les activités suspectes de vos utilisateurs • Logins à des endroits différents en un cours laps de temps • Pas de MFA d’activé sur le compte • Identifiants « leakés » sur le Dark Web • Connexion via des proxies anonymes (Tor…) Lancez des actions préventives sur les comptes à risque • Forcer l’enregistrement au MFA • Forcer l’utilisation du MFA pour la connexion • Forcer le changement du mot de passe Azure AD Identity Protection Les fonctionnalités N° 21 General Availability
  • 22. Demo
  • 23. Les droits administrateurs dans Azure Le retour de nombreux clients N° 23 Constat • Les permissions sont attribuées de manière définitive • Beaucoup de personnes ont des droits administrateurs • Beaucoup d’utilisateurs ont des droits trop élevés ou superflus Besoin • Comment monitorer les permissions admin ? • Comment limiter les risques liés à un vol d’identité ? • Comment limiter le temps d’attribution d’un droit admin ? General Availability
  • 24. Monitorez les permissions administrateur • Identifiez les utilisateurs ayant des rôles RBAC admin • Visualisez les attributions de droits admin en dehors de PIM Limitez l’impact de ces permissions • Attribuez des permissions admin temporaires (entre 30min et 72h) • Gérez le délai d’expiration des droits admin pour chaque rôle RBAC • Vérifier l’identité de l’administrateur avant utilisation de ses droits (MFA)  Notion d’administrateurs éligibles pour un rôle RBAC donné Azure AD Privileged Identity Management Les fonctionnalités N° 24 General Availability
  • 25. Arrivée d’un prestataire dans l’équipe Collaboration Avant 1. Création du compte + synchronisation 2. Attribution des permissions admin (manuellement ou par script) Après 1. Création du compte + synchronisation 2. Mise à disposition d’un rôle admin (l’utilisateur est éligible pour le rôle) 3. L’utilisateur active son rôle via MFA quand il en a besoin Azure AD Privileged Identity Management Cas d’usage N° 25 General Availability
  • 26. Demo
  • 27. Gestion des rôles • Droits temporaires uniquement sur des utilisateurs (pas de groupes) • L’utilisateur reste éligible même après expiration de son droit d’accès Azure AD Privileged Identity Management Limitations actuelles N° 27 General Availability