Par défaut, n'importe quel utilisateur d'Entra peut enregistrer des applications au sein du tenant. Bien que cette fonctionnalité soit pratique et ne constitue pas une vulnérabilité de sécurité immédiate, elle présente certains risques. Par conséquent, conformément aux bonnes pratiques, Tenable recommande de désactiver cette fonctionnalité.

<a href="https://learn.microsoft.com/fr-fr/entra/identity-platform/how-applications-are-added#who-has-permission-to-add-applications-to-my-microsoft-entra-instance">Par défaut</a>, n'importe quel utilisateur d'Entra peut enregistrer des applications dans le tenant, puis les gérer. Bien que ce paramètre par défaut soit pratique et ne présente pas de vulnérabilité de sécurité immédiate, il présente des risques potentiels. L'autorisation d'enregistrer des applications libres peut conduire à l'utilisation d'applications non autorisées ou à haut risque (« Shadow IT »), et permettre à des acteurs malveillants d'enregistrer de fausses applications à des fins de phishing. En outre, certaines organisations peuvent souhaiter restreindre l'enregistrement d'applications afin d'éviter une prolifération inutile. Par ailleurs, l'utilisateur qui crée une application est automatiquement désigné comme son propriétaire. Il conserve ainsi des autorisations de gestion qui peuvent ne pas être alignées sur les préférences de l'organisation.
Le paramètre correspondant est étiqueté « Les utilisateurs peuvent enregistrer des applications » sous Autorisations de rôle utilisateur par défaut dans le menu <a href="https://entra.microsoft.com/#view/Microsoft_AAD_UsersAndTenants/UserManagementMenuBlade/~/UserSettings/menuId/UserSettings">Paramètres utilisateur</a>.
Microsoft recommande également dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#creating-new-applications-and-service-principals-is-restricted-to-privileged-users">Configurer Microsoft Entra pour renforcer la sécurité</a> que « la création d'applications et de principaux de service [soit] limitée aux utilisateurs privilégiés ».

Détections

Capacité des comptes standards à enregistrer des applications

LOW

Version 202501101005