--- id: CP-199 slug: active-directory-entra-id-identites lang: fr title: Active Directory et Entra ID description: L'annuaire d'entreprise décide qui est qui et qui accède à quoi. Ce que fait le salarié, ce que fait le responsable, et les pièges. canonical_url: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Active Directory et Entra ID », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory et Entra ID Un annuaire d'entreprise tient la liste des comptes et règle ce que chacun peut faire. Sur site, c'est souvent Active Directory Domain Services (AD DS), qui stocke des informations sur les comptes d'utilisateurs : noms, mots de passe, numéros de téléphone [1]. Dans le cloud, c'est Microsoft Entra ID, un service d'identité et de gestion des accès qui assure l'authentification, l'application des règles et la protection des utilisateurs, des appareils, des applications et des ressources [2]. Pour un salarié, l'annuaire reste invisible. Il apparaît sous deux formes : l'écran de connexion et la demande de validation sur le téléphone. Cette fiche dit ce que le salarié fait à ces deux moments, ce que fait le responsable de l'annuaire, et où se logent les pièges. ## En 30 secondes - Où ça arrive : à chaque connexion, y compris à Microsoft 365, car tout abonné à Microsoft 365, Azure ou Dynamics CRM Online utilise déjà Entra ID [2]. - Ce que veut l'attaquant : un compte valide. MITRE ATT&CK décrit des comptes visés par force brute, par hameçonnage ou par d'autres moyens [3]. - Le réflexe : n'accepter une demande de validation que si vous venez vous-même de vous connecter, et signaler toute demande que vous n'avez pas provoquée [4]. ## Questions directes ### À quoi sert un annuaire ? Un annuaire est une structure hiérarchique qui stocke des informations sur les objets d'un réseau. Un service d'annuaire comme AD DS met ces données à la disposition des utilisateurs et des administrateurs [1]. Ces objets comprennent des ressources partagées (serveurs, volumes, imprimantes) et les comptes d'utilisateurs et d'ordinateurs [1]. La sécurité y est intégrée par l'authentification à la connexion et par le contrôle d'accès aux objets de l'annuaire [1]. ### Quelle différence entre Active Directory et Entra ID ? AD DS est le service d'annuaire de Windows Server [1]. Entra ID est son pendant en ligne : chaque tenant Microsoft 365 est automatiquement un tenant Entra [2]. Les deux peuvent coexister. Un compte cloud peut être hybride, c'est-à-dire synchronisé ou fédéré avec un annuaire sur site comme Active Directory [3]. Un même mot de passe sert alors dans les deux mondes, ce qui élargit les dégâts d'un vol [3]. ### Pourquoi un mot de passe seul ne suffit-il pas ? Selon Microsoft, un mot de passe seul laisse un vecteur d'attaque non sécurisé : s'il est faible ou s'il a été exposé ailleurs, un attaquant peut l'utiliser [5]. L'authentification multifacteur demande au moins deux éléments parmi trois : quelque chose que l'on sait (typiquement un mot de passe), quelque chose que l'on possède (un téléphone, une clé matérielle), quelque chose que l'on est (une empreinte, un visage) [5]. Le second facteur n'est pas facile à obtenir ni à dupliquer pour un attaquant [5]. L'organisation peut aussi poser des règles de contexte. Les politiques d'accès conditionnel de Microsoft Entra sont des instructions « si… alors » : si un utilisateur veut accéder à une application comme Microsoft 365, il doit passer par l'authentification multifacteur [6]. Elles peuvent laisser la connexion normale sur le réseau de l'entreprise ou sur un appareil enregistré, et exiger un facteur supplémentaire à distance ou depuis un appareil personnel [5]. ### Que faire d'une demande de validation que je n'ai pas lancée ? La refuser et la signaler. MITRE ATT&CK décrit la technique de génération de requêtes MFA : un attaquant qui possède un mot de passe mais pas le second facteur déclenche des notifications push (Duo Push, Microsoft Authenticator, Okta ou équivalent) pour que la victime accepte [4]. Il peut répéter les tentatives pour submerger l'utilisateur de notifications, de SMS et d'appels, jusqu'à ce qu'il accepte, ce que la source appelle «MFA fatigue» [4]. Parmi les mesures de MITRE : former les utilisateurs à n'accepter que les requêtes issues de connexions qu'ils ont lancées, à vérifier le lieu de la tentative et à signaler les demandes suspectes ou non sollicitées [4]. ### Que peut faire un attaquant avec un compte volé ? Cela dépend du compte. Les comptes de domaine sont ceux gérés par AD DS, et couvrent des utilisateurs, des administrateurs et des services [7]. Compromis, ils peuvent servir à l'accès initial, à la persistance, à l'élévation de privilèges ou à l'évasion des défenses [7]. Côté cloud, un compte très privilégié, fédéré, synchronisé ou propre au cloud, peut permettre de rebondir vers l'environnement sur site [3]. ### Qu'est-ce que le Kerberoasting ? Dans cette attaque, un adversaire qui possède un ticket Kerberos valide demande à un contrôleur de domaine des tickets de service pour des noms de principal de service (SPN) [8]. Une partie de ces tickets peut être chiffrée avec l'algorithme RC4. Le hash du compte de service sert alors de clé, et il devient vulnérable à une attaque par force brute hors ligne, qui peut révéler des identifiants en clair [8]. Les hashes cassés peuvent donner accès à des comptes valides, avec persistance, élévation de privilèges et déplacement latéral [8]. Le salarié n'a rien à y voir : la défense incombe à ceux qui gèrent les comptes de service. ## Comment ça marche L'annuaire AD DS comprend un schéma, qui définit les classes d'objets et leurs attributs, un catalogue global, un mécanisme de requête et un service de réplication [1]. Tous les contrôleurs de domaine d'un domaine participent à la réplication et contiennent une copie complète des informations de leur domaine : une modification faite sur l'un est répliquée sur tous [1]. Entra ID est le produit de base de la famille Microsoft Entra [2]. Cette famille compte aussi Entra ID Governance, qui automatise les demandes d'accès, les attributions et les revues, et peut retirer les droits d'un salarié qui quitte l'entreprise [2]. Entra ID Protection détecte et signale les risques liés aux identités [2]. Pour les applications anciennes qui ne savent pas utiliser l'authentification moderne, Entra Domain Services propose des services gérés comme les stratégies de groupe, LDAP et l'authentification Kerberos/NTLM [2]. L'accès conditionnel décide à partir de signaux : utilisateur ou groupe, localisation IP, appareil, application, risque détecté [6]. Ses décisions vont du blocage à l'accès accordé sous conditions : authentification multifacteur, appareil conforme, changement de mot de passe [6]. Ces politiques s'appliquent après l'authentification par le premier facteur [6]. Les paramètres de sécurité par défaut (security defaults) activent rapidement Microsoft Authenticator pour tous les utilisateurs d'un tenant [5]. ## Ce que vous faites - Activez l'authentification multifacteur quand elle vous est proposée. Parmi les méthodes disponibles figurent Microsoft Authenticator, Windows Hello for Business, les clés d'accès (FIDO2), un jeton matériel, le SMS et l'appel vocal [5]. Les méthodes se gèrent dans My Profile [5]. - N'approuvez que les demandes que vous avez déclenchées. Si une demande arrive sans que vous ayez rien tenté, refusez et signalez-la à l'équipe informatique [4]. - Choisissez un mot de passe unique et complexe pour chaque service : MITRE préconise des mots de passe complexes et uniques pour les comptes cloud [3]. - Ne réutilisez pas votre mot de passe professionnel ailleurs. La source de MITRE sur les comptes de domaine cite la réutilisation de mots de passe parmi les moyens de compromettre des comptes [7]. Ce que fait le responsable de l'annuaire : - Limiter les comptes de service au minimum de droits nécessaires, y compris l'appartenance à des groupes privilégiés comme Domain Administrators [8]. - Exiger des mots de passe longs pour les comptes de service (idéalement 25 caractères ou plus), les renouveler, et envisager les comptes de service gérés de groupe ou un coffre-fort de mots de passe [8]. - Limiter l'usage des comptes à privilèges selon les niveaux d'administration, et ne pas placer de comptes d'utilisateurs ou d'administrateurs de domaine dans les groupes d'administrateurs locaux sans contrôle strict [9]. - Revoir régulièrement les permissions des comptes cloud à privilèges, comme Global Administrator et Privileged Role Administrator, vérifier qu'aucun compte privilégié non autorisé n'a été créé, et envisager un accès privilégié temporaire (just-in-time) plutôt qu'une attribution permanente [3]. - Passer en revue les comptes inactifs ou inutiles et les supprimer [3]. - Désactiver l'authentification héritée, qui ne gère pas l'authentification multifacteur [3]. ## Les pièges Les comptes administrateurs trop nombreux. Chaque compte à privilèges est une cible : DCSync, par exemple, permet de tirer des données de mots de passe d'Active Directory en simulant la réplication d'un contrôleur de domaine [9]. Les membres des groupes Administrators, Domain Admins et Enterprise Admins, ou les comptes machine du contrôleur, peuvent l'exécuter [9]. Les hashes obtenus, dont celui du compte KRBTGT, servent ensuite à fabriquer un Golden Ticket ou à changer un mot de passe [9]. Le second facteur absent. MITRE rapporte que Storm-0501 a utilisé un compte Global Administrator de la victime sans aucune méthode MFA enregistrée pour accéder à ses environnements cloud [3]. Le même groupe a exploité des comptes compromis pour atteindre Microsoft Entra Connect, qui synchronise les identités sur site et Entra, de sorte que les utilisateurs se connectent aux deux avec le même mot de passe [3]. La notification qu'on finit par accepter. La fatigue des notifications push est un moyen documenté de contourner l'authentification multifacteur [4]. MITRE conseille de remplacer le simple push par la saisie d'un code à usage unique affiché sur l'écran de connexion, et de limiter le nombre de demandes envoyées sur une période [4]. Les comptes de service oubliés. Ce sont eux que vise le Kerberoasting, y compris avec des outils comme Rubeus, ou la commande Invoke-Kerberoast de PowerSploit [8]. MITRE recommande de préférer le chiffrement AES à RC4 quand c'est possible [8]. Le cadre de référence. Le NIST a publié la version finale de SP 800-63B-4, consacrée à l'authentification et à la gestion des authentifiants, le 31 juillet 2025 [10]. Le texte porte sur l'authentification des personnes qui interagissent avec les systèmes d'information du gouvernement américain et définit des exigences techniques pour chacun de ses trois niveaux d'assurance [10]. Il remplace la version SP 800-63B de mars 2020 [10]. ## Cas réels ### 2025 : attaques par effacement de données en Pologne MITRE ATT&CK relève, pour les attaques « 2025 Poland Wiper Attacks », deux usages d'identifiants dans le même épisode. Les attaquants ont utilisé des comptes privilégiés pour accéder à la solution VPN FortiGate et aux sous-réseaux suivants [7]. Ils ont aussi exploité des identifiants volés dans des environnements sur site pour accéder à des services cloud [3]. ## Sources 1. Microsoft, « Active Directory Domain Services overview ». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consulté le 3 novembre 2026) 2. Microsoft, « What is Microsoft Entra? ». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/004/ (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1621/ (consulté le 3 novembre 2026) 5. Microsoft, « How it works: Microsoft Entra multifactor authentication ». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consulté le 3 novembre 2026) 6. Microsoft, « What is Conditional Access? ». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/002/ (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1558/003/ (consulté le 3 novembre 2026) 9. MITRE ATT&CK, « OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1003/006/ (consulté le 3 novembre 2026) 10. NIST, « SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management », 31 juillet 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.