Cyberpediapar Brain
FRDEEN

Active Directory et Entra ID

L'annuaire d'entreprise décide qui est qui et qui accède à quoi. Ce que fait le salarié, ce que fait le responsable, et les pièges.

En 30 secondes

Où ça arrive
À chaque connexion, y compris à Microsoft 365, car tout abonné à Microsoft 365, Azure ou Dynamics CRM Online utilise déjà Entra ID2.
Ce que veut l'attaquant
Un compte valide. MITRE ATT&CK décrit des comptes visés par force brute, par hameçonnage ou par d'autres moyens3.
Le réflexe
N'accepter une demande de validation que si vous venez vous-même de vous connecter, et signaler toute demande que vous n'avez pas provoquée4.

De quoi parle-t-on

Un annuaire d'entreprise tient la liste des comptes et règle ce que chacun peut faire. Sur site, c'est souvent Active Directory Domain Services (AD DS), qui stocke des informations sur les comptes d'utilisateurs : noms, mots de passe, numéros de téléphone1. Dans le cloud, c'est Microsoft Entra ID, un service d'identité et de gestion des accès qui assure l'authentification, l'application des règles et la protection des utilisateurs, des appareils, des applications et des ressources2.

Pour un salarié, l'annuaire reste invisible. Il apparaît sous deux formes : l'écran de connexion et la demande de validation sur le téléphone. Cette fiche dit ce que le salarié fait à ces deux moments, ce que fait le responsable de l'annuaire, et où se logent les pièges.

Questions directes

À quoi sert un annuaire ?

Un annuaire est une structure hiérarchique qui stocke des informations sur les objets d'un réseau. Un service d'annuaire comme AD DS met ces données à la disposition des utilisateurs et des administrateurs1. Ces objets comprennent des ressources partagées (serveurs, volumes, imprimantes) et les comptes d'utilisateurs et d'ordinateurs1. La sécurité y est intégrée par l'authentification à la connexion et par le contrôle d'accès aux objets de l'annuaire1.

Quelle différence entre Active Directory et Entra ID ?

AD DS est le service d'annuaire de Windows Server1. Entra ID est son pendant en ligne : chaque tenant Microsoft 365 est automatiquement un tenant Entra2. Les deux peuvent coexister. Un compte cloud peut être hybride, c'est-à-dire synchronisé ou fédéré avec un annuaire sur site comme Active Directory3. Un même mot de passe sert alors dans les deux mondes, ce qui élargit les dégâts d'un vol3.

Pourquoi un mot de passe seul ne suffit-il pas ?

Selon Microsoft, un mot de passe seul laisse un vecteur d'attaque non sécurisé : s'il est faible ou s'il a été exposé ailleurs, un attaquant peut l'utiliser5. L'authentification multifacteur demande au moins deux éléments parmi trois : quelque chose que l'on sait (typiquement un mot de passe), quelque chose que l'on possède (un téléphone, une clé matérielle), quelque chose que l'on est (une empreinte, un visage)5. Le second facteur n'est pas facile à obtenir ni à dupliquer pour un attaquant5.

L'organisation peut aussi poser des règles de contexte. Les politiques d'accès conditionnel de Microsoft Entra sont des instructions « si… alors » : si un utilisateur veut accéder à une application comme Microsoft 365, il doit passer par l'authentification multifacteur6. Elles peuvent laisser la connexion normale sur le réseau de l'entreprise ou sur un appareil enregistré, et exiger un facteur supplémentaire à distance ou depuis un appareil personnel5.

Que faire d'une demande de validation que je n'ai pas lancée ?

La refuser et la signaler. MITRE ATT&CK décrit la technique de génération de requêtes MFA : un attaquant qui possède un mot de passe mais pas le second facteur déclenche des notifications push (Duo Push, Microsoft Authenticator, Okta ou équivalent) pour que la victime accepte4. Il peut répéter les tentatives pour submerger l'utilisateur de notifications, de SMS et d'appels, jusqu'à ce qu'il accepte, ce que la source appelle «MFA fatigue»4. Parmi les mesures de MITRE : former les utilisateurs à n'accepter que les requêtes issues de connexions qu'ils ont lancées, à vérifier le lieu de la tentative et à signaler les demandes suspectes ou non sollicitées4.

Que peut faire un attaquant avec un compte volé ?

Cela dépend du compte. Les comptes de domaine sont ceux gérés par AD DS, et couvrent des utilisateurs, des administrateurs et des services7. Compromis, ils peuvent servir à l'accès initial, à la persistance, à l'élévation de privilèges ou à l'évasion des défenses7. Côté cloud, un compte très privilégié, fédéré, synchronisé ou propre au cloud, peut permettre de rebondir vers l'environnement sur site3.

Qu'est-ce que le Kerberoasting ?

Dans cette attaque, un adversaire qui possède un ticket Kerberos valide demande à un contrôleur de domaine des tickets de service pour des noms de principal de service (SPN)8. Une partie de ces tickets peut être chiffrée avec l'algorithme RC4. Le hash du compte de service sert alors de clé, et il devient vulnérable à une attaque par force brute hors ligne, qui peut révéler des identifiants en clair8. Les hashes cassés peuvent donner accès à des comptes valides, avec persistance, élévation de privilèges et déplacement latéral8. Le salarié n'a rien à y voir : la défense incombe à ceux qui gèrent les comptes de service.

1Comment ça marche1 min

L'annuaire AD DS comprend un schéma, qui définit les classes d'objets et leurs attributs, un catalogue global, un mécanisme de requête et un service de réplication1. Tous les contrôleurs de domaine d'un domaine participent à la réplication et contiennent une copie complète des informations de leur domaine : une modification faite sur l'un est répliquée sur tous1.

Entra ID est le produit de base de la famille Microsoft Entra2. Cette famille compte aussi Entra ID Governance, qui automatise les demandes d'accès, les attributions et les revues, et peut retirer les droits d'un salarié qui quitte l'entreprise2. Entra ID Protection détecte et signale les risques liés aux identités2. Pour les applications anciennes qui ne savent pas utiliser l'authentification moderne, Entra Domain Services propose des services gérés comme les stratégies de groupe, LDAP et l'authentification Kerberos/NTLM2.

L'accès conditionnel décide à partir de signaux : utilisateur ou groupe, localisation IP, appareil, application, risque détecté6. Ses décisions vont du blocage à l'accès accordé sous conditions : authentification multifacteur, appareil conforme, changement de mot de passe6. Ces politiques s'appliquent après l'authentification par le premier facteur6. Les paramètres de sécurité par défaut (security defaults) activent rapidement Microsoft Authenticator pour tous les utilisateurs d'un tenant5.

2Ce que vous faites2 min
  • Activez l'authentification multifacteur quand elle vous est proposée. Parmi les méthodes disponibles figurent Microsoft Authenticator, Windows Hello for Business, les clés d'accès (FIDO2), un jeton matériel, le SMS et l'appel vocal5. Les méthodes se gèrent dans My Profile5.
  • N'approuvez que les demandes que vous avez déclenchées. Si une demande arrive sans que vous ayez rien tenté, refusez et signalez-la à l'équipe informatique4.
  • Choisissez un mot de passe unique et complexe pour chaque service : MITRE préconise des mots de passe complexes et uniques pour les comptes cloud3.
  • Ne réutilisez pas votre mot de passe professionnel ailleurs. La source de MITRE sur les comptes de domaine cite la réutilisation de mots de passe parmi les moyens de compromettre des comptes7.

Ce que fait le responsable de l'annuaire :

  • Limiter les comptes de service au minimum de droits nécessaires, y compris l'appartenance à des groupes privilégiés comme Domain Administrators8.
  • Exiger des mots de passe longs pour les comptes de service (idéalement 25 caractères ou plus), les renouveler, et envisager les comptes de service gérés de groupe ou un coffre-fort de mots de passe8.
  • Limiter l'usage des comptes à privilèges selon les niveaux d'administration, et ne pas placer de comptes d'utilisateurs ou d'administrateurs de domaine dans les groupes d'administrateurs locaux sans contrôle strict9.
  • Revoir régulièrement les permissions des comptes cloud à privilèges, comme Global Administrator et Privileged Role Administrator, vérifier qu'aucun compte privilégié non autorisé n'a été créé, et envisager un accès privilégié temporaire (just-in-time) plutôt qu'une attribution permanente3.
  • Passer en revue les comptes inactifs ou inutiles et les supprimer3.
  • Désactiver l'authentification héritée, qui ne gère pas l'authentification multifacteur3.
3Les pièges2 min

Les comptes administrateurs trop nombreux. Chaque compte à privilèges est une cible : DCSync, par exemple, permet de tirer des données de mots de passe d'Active Directory en simulant la réplication d'un contrôleur de domaine9. Les membres des groupes Administrators, Domain Admins et Enterprise Admins, ou les comptes machine du contrôleur, peuvent l'exécuter9. Les hashes obtenus, dont celui du compte KRBTGT, servent ensuite à fabriquer un Golden Ticket ou à changer un mot de passe9. Le second facteur absent. MITRE rapporte que Storm-0501 a utilisé un compte Global Administrator de la victime sans aucune méthode MFA enregistrée pour accéder à ses environnements cloud3. Le même groupe a exploité des comptes compromis pour atteindre Microsoft Entra Connect, qui synchronise les identités sur site et Entra, de sorte que les utilisateurs se connectent aux deux avec le même mot de passe3.

La notification qu'on finit par accepter. La fatigue des notifications push est un moyen documenté de contourner l'authentification multifacteur4. MITRE conseille de remplacer le simple push par la saisie d'un code à usage unique affiché sur l'écran de connexion, et de limiter le nombre de demandes envoyées sur une période4.

Les comptes de service oubliés. Ce sont eux que vise le Kerberoasting, y compris avec des outils comme Rubeus, ou la commande Invoke-Kerberoast de PowerSploit8. MITRE recommande de préférer le chiffrement AES à RC4 quand c'est possible8.

Le cadre de référence. Le NIST a publié la version finale de SP 800-63B-4, consacrée à l'authentification et à la gestion des authentifiants, le 31 juillet 202510. Le texte porte sur l'authentification des personnes qui interagissent avec les systèmes d'information du gouvernement américain et définit des exigences techniques pour chacun de ses trois niveaux d'assurance10. Il remplace la version SP 800-63B de mars 202010.

4Cas réels1 min

2025 : attaques par effacement de données en Pologne

MITRE ATT&CK relève, pour les attaques « 2025 Poland Wiper Attacks », deux usages d'identifiants dans le même épisode. Les attaquants ont utilisé des comptes privilégiés pour accéder à la solution VPN FortiGate et aux sous-réseaux suivants7. Ils ont aussi exploité des identifiants volés dans des environnements sur site pour accéder à des services cloud3.

Fiche

Identifiant
CP-199
Aile
3. Protocoles et défense
Compétence Brain
Contrôler les accès (control_access)
Réflexe Brain
cr-062
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
10 sources vérifiées le 3 novembre 2026
Sources10 sources
  1. Microsoft, « Active Directory Domain Services overview ». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consulté le 3 novembre 2026)
  2. Microsoft, « What is Microsoft Entra? ». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/004/ (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1621/ (consulté le 3 novembre 2026)
  5. Microsoft, « How it works: Microsoft Entra multifactor authentication ». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consulté le 3 novembre 2026)
  6. Microsoft, « What is Conditional Access? ». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/002/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1558/003/ (consulté le 3 novembre 2026)
  9. MITRE ATT&CK, « OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1003/006/ (consulté le 3 novembre 2026)
  10. NIST, « SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management », 31 juillet 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consulté le 3 novembre 2026)

Citer cet article

Brain, « Active Directory et Entra ID », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/

BibTeX 
@misc{brain_cp199_fr_2026,
  author = {Brain},
  title = {Active Directory et Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0