--- id: CP-198 slug: gestion-acces-privilegies-pam-comptes-admin lang: fr title: Protéger les comptes administrateurs (PAM) description: Un compte administrateur ouvre toutes les portes. Voici comment un PAM le protège et ce que le salarié et son responsable font au quotidien. canonical_url: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Protéger les comptes administrateurs (PAM) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-030 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ en: https://startbrain.io/cyberpedia/en/articles/privileged-access-management-pam-admin-accounts/ de: https://startbrain.io/cyberpedia/de/articles/privilegierte-zugriffe-pam-admin-konten/ es: https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/ sources: - "n": 1 title: privileged account - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_account accessed: "2026-11-03" - "n": 2 title: privileged user - Glossary | CSRC publisher: NIST url: https://csrc.nist.gov/glossary/term/privileged_user accessed: "2026-11-03" - "n": 3 title: Secure system administration publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/secure-system-administration published: "2020-09-15" accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Best practices for securing Active Directory publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory accessed: "2026-11-03" - "n": 6 title: What is Privileged Identity Management? - Microsoft Entra ID Governance publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure accessed: "2026-11-03" - "n": 7 title: Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1026/ accessed: "2026-11-03" - "n": 8 title: Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1032/ accessed: "2026-11-03" - "n": 9 title: Deploying a privileged access solution - Privileged access publisher: Microsoft url: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment accessed: "2026-11-03" - "n": 10 title: "Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/003/ accessed: "2026-11-03" --- # Protéger les comptes administrateurs (PAM) Un compte à privilèges est un compte système qui détient les autorisations d'un utilisateur privilégié [1]. Un utilisateur privilégié est une personne autorisée, et donc jugée de confiance, à effectuer des fonctions de contrôle, de supervision, d'administration ou de sécurité que les utilisateurs ordinaires n'ont pas le droit d'effectuer [2]. Ce compte n'appartient pas forcément à un informaticien de l'entreprise. Le NCSC britannique range sous le mot « administrateur » aussi bien un individu, comme un administrateur de base de données, qu'un compte système chargé de lancer une tâche planifiée, et rappelle que l'administration est souvent confiée à un fournisseur tiers [3]. Tous ont des permissions supérieures à celles d'un utilisateur normal [3]. La gestion des accès à privilèges, ou PAM (Privileged Access Management), regroupe les règles et les outils qui encadrent ces comptes. ## En 30 secondes - Où ça arrive : sur tout système où quelqu'un dispose de droits d'administration, dans l'annuaire de l'entreprise, sur un poste, un serveur ou un service en ligne. - Ce que veut l'attaquant : récupérer l'identifiant d'un compte existant, pour agir sans éveiller l'attention [4]. - Le réflexe : n'utiliser un compte administrateur que pour administrer, jamais pour la messagerie, le web ou la bureautique, et demander les droits au moment du besoin. - Si c'est déjà fait : prévenir l'équipe de sécurité. ## Questions directes ### Qu'est-ce qu'un compte à privilèges ? C'est un compte dont les droits dépassent ceux d'un utilisateur ordinaire : créer un utilisateur dans un domaine, se connecter en SSH à un serveur web pour modifier un fichier, configurer une alarme sur une vanne industrielle sont trois exemples donnés par le NCSC [3]. Toutes ces actions peuvent servir à nuire, d'où la nécessité de les protéger [3]. ### Pourquoi les attaquants visent-ils ces comptes en priorité ? Des identifiants volés permettent de contourner les contrôles d'accès. Ils servent aussi à garder un accès durable à des services exposés comme les VPN, la messagerie web ou le bureau à distance [4]. Un compte compromis peut en outre donner un niveau de privilège plus élevé sur certains systèmes ou l'accès à des zones réservées du réseau [4]. Avec un identifiant légitime, l'attaquant peut se passer de logiciel malveillant, ce qui rend sa présence plus difficile à repérer [4]. Microsoft décrit le même mécanisme pour l'annuaire Active Directory : l'attaquant extrait les identifiants des sessions ouvertes et cherche en priorité les comptes déjà élevés, qu'il imite ensuite [5]. Les cibles habituelles sont les comptes à privilèges permanents, les comptes de dirigeants, les comptes d'annuaire dotés de privilèges et les contrôleurs de domaine [5]. ### Peut-on lire ses courriels avec un compte administrateur ? Non. Microsoft cite parmi les comportements qui augmentent le risque de vol d'identifiants le fait de naviguer sur internet pendant qu'on est connecté à un compte à privilèges, et celui de s'y connecter depuis un ordinateur non sécurisé [5]. L'éditeur recommande de ne pas utiliser les comptes très privilégiés pour les tâches administratives courantes quand on peut l'éviter [5]. Les postes d'administration sécurisés n'exécutent ni application de messagerie, ni navigateur, ni logiciel de bureautique [5]. ### Que veut dire PAM concrètement ? Le NCSC en donne la ligne directrice : contrôler avec soin qui administre, où, quand, pourquoi et comment, accorder aux administrateurs le moindre privilège et retirer l'accès quand il n'est plus nécessaire [3]. Chez Microsoft, le service Privileged Identity Management permet de gérer, contrôler et surveiller l'accès à des ressources importantes de l'organisation [6]. MITRE ajoute la surveillance de l'usage des comptes privilégiés et la responsabilité garantie par la journalisation et l'audit [7]. ## Comment ça marche Un PAM réunit plusieurs briques. Premièrement, un coffre-fort de mots de passe. MITRE recommande des outils de coffre-fort pour le stockage et la rotation des identifiants, et cite CyberArk, HashiCorp Vault ou KeePass comme exemples [7]. Pour les mots de passe des administrateurs locaux, la même fiche cite Microsoft LAPS [7]. Deuxièmement, l'élévation temporaire des droits. Dans le service Privileged Identity Management de Microsoft Entra, un salarié peut être « éligible » à un rôle sans l'avoir en permanence. Quand il en a besoin, il l'active pour une durée limitée, dans un maximum fixé par les administrateurs, en indiquant la raison de sa demande [6]. L'activation peut exiger un contrôle d'authentification multifacteur, une justification professionnelle ou l'accord d'un approbateur désigné [6]. Passé le délai, le rôle s'éteint : c'est le principe de l'accès « juste à temps », où les permissions temporaires empêchent un utilisateur malveillant ou non autorisé d'y accéder après leur expiration [6]. Le même service envoie une notification quand un rôle à privilèges est activé et permet des revues d'accès pour vérifier que chacun a toujours besoin de son rôle [6]. Troisièmement, la traçabilité. Le NCSC demande de journaliser toutes les activités d'administration et de les auditer, pour vérifier que les administrateurs n'accomplissent que des actions légitimes et approuvées [3]. Le service de Microsoft permet de télécharger l'historique d'audit [6]. Microsoft recommande aussi de surveiller l'annuaire pour y déceler des signes d'attaque [5]. Quatrièmement, l'authentification forte. Elle demande au moins deux preuves d'identité : ce que l'on sait, ce que l'on possède, ce que l'on est [8]. MITRE préconise de l'imposer à tous les comptes privilégiés [7] et en particulier aux rôles à privilèges [8]. Microsoft l'exige à l'utilisation de comptes privilégiés ou pour les tâches d'administration [5]. Enfin, la séparation des comptes. Dans son modèle, Microsoft crée un compte d'utilisateur de poste sécurisé et un compte distinct d'administrateur d'appareils [9]. Le NCSC recommande une administration par niveaux, car toutes les administrations ne présentent pas le même risque [3]. ## Ce que vous faites Les gestes du salarié tiennent en quatre points. - Garder deux usages séparés. Le compte quotidien sert à la messagerie, au web et à la bureautique. Le compte d'administration ne sert qu'à administrer, sur un poste prévu pour cela [5]. - Demander les droits au besoin. Si votre rôle exige un accès élevé de temps en temps, passez par la procédure d'activation ou de demande d'approbation de votre entreprise plutôt que de garder des droits permanents [6]. Microsoft va dans le même sens : éliminer l'appartenance permanente aux groupes très privilégiés et accorder une appartenance temporaire quand elle est nécessaire [5]. - Accepter l'authentification forte. Microsoft demande de l'imposer au moins aux administrateurs [9]. - Ne pas garder de droits d'administrateur local sur son poste sans nécessité. Microsoft prévoit de retirer ces droits aux utilisateurs de ses postes privilégiés [9], et MITRE recommande de retirer les utilisateurs du groupe des administrateurs locaux [7]. Pour un responsable, la tâche est de limiter le nombre de personnes qui ont accès à l'information sensible, ce qui réduit le risque qu'un acteur malveillant y accède et qu'un utilisateur autorisé touche par inadvertance une ressource sensible [6]. Un approbateur désigné reçoit une notification par courriel quand une demande de rôle attend son approbation [6]. ## Les pièges - Le mot de passe d'administrateur réutilisé. MITRE explique que la réutilisation de mots de passe peut permettre d'abuser de comptes locaux sur un ensemble de machines, pour élever ses privilèges et se déplacer d'un poste à l'autre [10]. Microsoft range parmi les configurations à risque des comptes privilégiés locaux dotés des mêmes identifiants sur tous les systèmes [5]. - Le compte dormant. L'attaquant peut abuser de comptes inactifs, par exemple ceux de personnes qui ont quitté l'organisation, car l'utilisateur d'origine n'est plus là pour remarquer une activité anormale [4]. Les revues d'accès permettent de vérifier que les utilisateurs ont encore besoin de leur rôle [6]. - Trop de comptes puissants. Attribuer trop d'utilisateurs aux groupes de domaine privilégiés encourage leur usage excessif [5]. - Le vol d'identifiants. Se connecter avec un compte privilégié sur un ordinateur non sécurisé expose ces identifiants [5]. - Le recouvrement de droits entre comptes locaux, de domaine et en ligne. MITRE s'en inquiète, car l'attaquant peut passer d'un compte et d'un système à l'autre jusqu'à un niveau d'administrateur de domaine ou d'entreprise [4]. ## Cas réels ### Attaque contre le réseau électrique ukrainien, 2015 Lors de cette attaque, le groupe Sandworm Team a utilisé des comptes valides sur le réseau d'entreprise pour élever ses privilèges, se déplacer latéralement et s'installer durablement dans ce réseau [4]. ## Sources 1. NIST, « privileged account - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/privileged_account (consulté le 3 novembre 2026) 2. NIST, « privileged user - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/privileged_user (consulté le 3 novembre 2026) 3. NCSC (Royaume-Uni), « Secure system administration », 15 septembre 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consulté le 3 novembre 2026) 4. MITRE ATT&CK, « Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/ (consulté le 3 novembre 2026) 5. Microsoft, « Best practices for securing Active Directory ». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consulté le 3 novembre 2026) 6. Microsoft, « What is Privileged Identity Management? - Microsoft Entra ID Governance ». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consulté le 3 novembre 2026) 7. MITRE ATT&CK, « Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1026/ (consulté le 3 novembre 2026) 8. MITRE ATT&CK, « Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1032/ (consulté le 3 novembre 2026) 9. Microsoft, « Deploying a privileged access solution - Privileged access ». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consulté le 3 novembre 2026) 10. MITRE ATT&CK, « Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/003/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.