Cyberpediapar Brain
FRDEEN

Protéger les comptes administrateurs (PAM)

Un compte administrateur ouvre toutes les portes. Voici comment un PAM le protège et ce que le salarié et son responsable font au quotidien.

En 30 secondes

Où ça arrive
Sur tout système où quelqu'un dispose de droits d'administration, dans l'annuaire de l'entreprise, sur un poste, un serveur ou un service en ligne.
Ce que veut l'attaquant
Récupérer l'identifiant d'un compte existant, pour agir sans éveiller l'attention4.
Le réflexe
N'utiliser un compte administrateur que pour administrer, jamais pour la messagerie, le web ou la bureautique, et demander les droits au moment du besoin.
Si c'est déjà fait
Prévenir l'équipe de sécurité.

De quoi parle-t-on

Un compte à privilèges est un compte système qui détient les autorisations d'un utilisateur privilégié1. Un utilisateur privilégié est une personne autorisée, et donc jugée de confiance, à effectuer des fonctions de contrôle, de supervision, d'administration ou de sécurité que les utilisateurs ordinaires n'ont pas le droit d'effectuer2.

Ce compte n'appartient pas forcément à un informaticien de l'entreprise. Le NCSC britannique range sous le mot « administrateur » aussi bien un individu, comme un administrateur de base de données, qu'un compte système chargé de lancer une tâche planifiée, et rappelle que l'administration est souvent confiée à un fournisseur tiers3. Tous ont des permissions supérieures à celles d'un utilisateur normal3. La gestion des accès à privilèges, ou PAM (Privileged Access Management), regroupe les règles et les outils qui encadrent ces comptes.

Questions directes

Qu'est-ce qu'un compte à privilèges ?

C'est un compte dont les droits dépassent ceux d'un utilisateur ordinaire : créer un utilisateur dans un domaine, se connecter en SSH à un serveur web pour modifier un fichier, configurer une alarme sur une vanne industrielle sont trois exemples donnés par le NCSC3. Toutes ces actions peuvent servir à nuire, d'où la nécessité de les protéger3.

Pourquoi les attaquants visent-ils ces comptes en priorité ?

Des identifiants volés permettent de contourner les contrôles d'accès. Ils servent aussi à garder un accès durable à des services exposés comme les VPN, la messagerie web ou le bureau à distance4. Un compte compromis peut en outre donner un niveau de privilège plus élevé sur certains systèmes ou l'accès à des zones réservées du réseau4. Avec un identifiant légitime, l'attaquant peut se passer de logiciel malveillant, ce qui rend sa présence plus difficile à repérer4.

Microsoft décrit le même mécanisme pour l'annuaire Active Directory : l'attaquant extrait les identifiants des sessions ouvertes et cherche en priorité les comptes déjà élevés, qu'il imite ensuite5. Les cibles habituelles sont les comptes à privilèges permanents, les comptes de dirigeants, les comptes d'annuaire dotés de privilèges et les contrôleurs de domaine5.

Peut-on lire ses courriels avec un compte administrateur ?

Non. Microsoft cite parmi les comportements qui augmentent le risque de vol d'identifiants le fait de naviguer sur internet pendant qu'on est connecté à un compte à privilèges, et celui de s'y connecter depuis un ordinateur non sécurisé5. L'éditeur recommande de ne pas utiliser les comptes très privilégiés pour les tâches administratives courantes quand on peut l'éviter5. Les postes d'administration sécurisés n'exécutent ni application de messagerie, ni navigateur, ni logiciel de bureautique5.

Que veut dire PAM concrètement ?

Le NCSC en donne la ligne directrice : contrôler avec soin qui administre, où, quand, pourquoi et comment, accorder aux administrateurs le moindre privilège et retirer l'accès quand il n'est plus nécessaire3. Chez Microsoft, le service Privileged Identity Management permet de gérer, contrôler et surveiller l'accès à des ressources importantes de l'organisation6. MITRE ajoute la surveillance de l'usage des comptes privilégiés et la responsabilité garantie par la journalisation et l'audit7.

1Comment ça marche2 min

Un PAM réunit plusieurs briques.

Premièrement, un coffre-fort de mots de passe. MITRE recommande des outils de coffre-fort pour le stockage et la rotation des identifiants, et cite CyberArk, HashiCorp Vault ou KeePass comme exemples7. Pour les mots de passe des administrateurs locaux, la même fiche cite Microsoft LAPS7.

Deuxièmement, l'élévation temporaire des droits. Dans le service Privileged Identity Management de Microsoft Entra, un salarié peut être « éligible » à un rôle sans l'avoir en permanence. Quand il en a besoin, il l'active pour une durée limitée, dans un maximum fixé par les administrateurs, en indiquant la raison de sa demande6. L'activation peut exiger un contrôle d'authentification multifacteur, une justification professionnelle ou l'accord d'un approbateur désigné6. Passé le délai, le rôle s'éteint : c'est le principe de l'accès « juste à temps », où les permissions temporaires empêchent un utilisateur malveillant ou non autorisé d'y accéder après leur expiration6. Le même service envoie une notification quand un rôle à privilèges est activé et permet des revues d'accès pour vérifier que chacun a toujours besoin de son rôle6.

Troisièmement, la traçabilité. Le NCSC demande de journaliser toutes les activités d'administration et de les auditer, pour vérifier que les administrateurs n'accomplissent que des actions légitimes et approuvées3. Le service de Microsoft permet de télécharger l'historique d'audit6. Microsoft recommande aussi de surveiller l'annuaire pour y déceler des signes d'attaque5.

Quatrièmement, l'authentification forte. Elle demande au moins deux preuves d'identité : ce que l'on sait, ce que l'on possède, ce que l'on est8. MITRE préconise de l'imposer à tous les comptes privilégiés7 et en particulier aux rôles à privilèges8. Microsoft l'exige à l'utilisation de comptes privilégiés ou pour les tâches d'administration5.

Enfin, la séparation des comptes. Dans son modèle, Microsoft crée un compte d'utilisateur de poste sécurisé et un compte distinct d'administrateur d'appareils9. Le NCSC recommande une administration par niveaux, car toutes les administrations ne présentent pas le même risque3.

2Ce que vous faites1 min

Les gestes du salarié tiennent en quatre points.

  • Garder deux usages séparés. Le compte quotidien sert à la messagerie, au web et à la bureautique. Le compte d'administration ne sert qu'à administrer, sur un poste prévu pour cela5.
  • Demander les droits au besoin. Si votre rôle exige un accès élevé de temps en temps, passez par la procédure d'activation ou de demande d'approbation de votre entreprise plutôt que de garder des droits permanents6. Microsoft va dans le même sens : éliminer l'appartenance permanente aux groupes très privilégiés et accorder une appartenance temporaire quand elle est nécessaire5.
  • Accepter l'authentification forte. Microsoft demande de l'imposer au moins aux administrateurs9.
  • Ne pas garder de droits d'administrateur local sur son poste sans nécessité. Microsoft prévoit de retirer ces droits aux utilisateurs de ses postes privilégiés9, et MITRE recommande de retirer les utilisateurs du groupe des administrateurs locaux7.

Pour un responsable, la tâche est de limiter le nombre de personnes qui ont accès à l'information sensible, ce qui réduit le risque qu'un acteur malveillant y accède et qu'un utilisateur autorisé touche par inadvertance une ressource sensible6. Un approbateur désigné reçoit une notification par courriel quand une demande de rôle attend son approbation6.

3Les pièges1 min
  • Le mot de passe d'administrateur réutilisé. MITRE explique que la réutilisation de mots de passe peut permettre d'abuser de comptes locaux sur un ensemble de machines, pour élever ses privilèges et se déplacer d'un poste à l'autre10. Microsoft range parmi les configurations à risque des comptes privilégiés locaux dotés des mêmes identifiants sur tous les systèmes5.
  • Le compte dormant. L'attaquant peut abuser de comptes inactifs, par exemple ceux de personnes qui ont quitté l'organisation, car l'utilisateur d'origine n'est plus là pour remarquer une activité anormale4. Les revues d'accès permettent de vérifier que les utilisateurs ont encore besoin de leur rôle6.
  • Trop de comptes puissants. Attribuer trop d'utilisateurs aux groupes de domaine privilégiés encourage leur usage excessif5.
  • Le vol d'identifiants. Se connecter avec un compte privilégié sur un ordinateur non sécurisé expose ces identifiants5.
  • Le recouvrement de droits entre comptes locaux, de domaine et en ligne. MITRE s'en inquiète, car l'attaquant peut passer d'un compte et d'un système à l'autre jusqu'à un niveau d'administrateur de domaine ou d'entreprise4.
4Cas réels1 min

Attaque contre le réseau électrique ukrainien, 2015

Lors de cette attaque, le groupe Sandworm Team a utilisé des comptes valides sur le réseau d'entreprise pour élever ses privilèges, se déplacer latéralement et s'installer durablement dans ce réseau4.

Fiche

Identifiant
CP-198
Aile
3. Protocoles et défense
Compétence Brain
Contrôler les accès (control_access)
Réflexe Brain
cr-030
Schéma
G3 · Coupe Anatomique
Langues
de, en, fr
Sources
10 sources vérifiées le 3 novembre 2026
Sources10 sources
  1. NIST, « privileged account - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/privileged_account (consulté le 3 novembre 2026)
  2. NIST, « privileged user - Glossary | CSRC ». https://csrc.nist.gov/glossary/term/privileged_user (consulté le 3 novembre 2026)
  3. NCSC (Royaume-Uni), « Secure system administration », 15 septembre 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consulté le 3 novembre 2026)
  4. MITRE ATT&CK, « Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/ (consulté le 3 novembre 2026)
  5. Microsoft, « Best practices for securing Active Directory ». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consulté le 3 novembre 2026)
  6. Microsoft, « What is Privileged Identity Management? - Microsoft Entra ID Governance ». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consulté le 3 novembre 2026)
  7. MITRE ATT&CK, « Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1026/ (consulté le 3 novembre 2026)
  8. MITRE ATT&CK, « Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/mitigations/M1032/ (consulté le 3 novembre 2026)
  9. Microsoft, « Deploying a privileged access solution - Privileged access ». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consulté le 3 novembre 2026)
  10. MITRE ATT&CK, « Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1078/003/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « Protéger les comptes administrateurs (PAM) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/

BibTeX 
@misc{brain_cp198_fr_2026,
  author = {Brain},
  title = {Protéger les comptes administrateurs (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/gestion-acces-privilegies-pam-comptes-admin/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0