Dans Entra ID, le workflow de consentement de l'administrateur permet aux utilisateurs non-administrateurs de demander des autorisations d'application via un processus d'approbation structuré. Si le workflow n'est pas configuré, les utilisateurs qui tentent d'accéder aux applications peuvent rencontrer des erreurs sans possibilité de demander un consentement.

Sans le <a href="https://learn.microsoft.com/fr-fr/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">workflow de consentement de l'administrateur</a>, les utilisateurs non-administrateurs ne disposent d'aucun moyen intégré pour remonter les demandes d'autorisation pour les applications. Par conséquent, ils peuvent avoir recours à des solutions alternatives ou, si le consentement de l'utilisateur est autorisé, s'accorder eux-mêmes des autorisations (voir l'IoE « Consentement non restreint des utilisateurs pour les applications »). Dans les deux cas, l'organisation manque de visibilité et de contrôle sur les octrois d'autorisations, ce qui affaiblit l'application du principe du moindre privilège.
Les attaques d'hameçonnage de consentement (également appelées <a href="https://learn.microsoft.com/fr-fr/defender-office-365/detect-and-remediate-illicit-consent-grants">octroi de consentement illicite</a>) incitent les utilisateurs à accorder l'accès à des applications malveillantes qui semblent légitimes. En l'absence de workflow d'approbation, aucune couche de vérification ne permet de signaler les étendues d'autorisation suspectes telles que <a href="https://learn.microsoft.com/fr-fr/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a> (accès complet aux fichiers utilisateur) ou <a href="https://learn.microsoft.com/fr-fr/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a> (accès en lecture et en écriture à toutes les messageries). Par conséquent, les attaquants peuvent obtenir un accès persistant aux données utilisateur, accès qui n'est pas révoqué par les changements de mot de passe ni par l'authentification MFA.
Sans le workflow de consentement de l'administrateur, les administrateurs doivent gérer les demandes d'autorisation par le biais de canaux ad hoc tels que l'e-mail, la messagerie instantanée ou le contact direct, et ces méthodes créent des angles morts du point de vue des audits. Aucun processus de demande automatisé, système de rappel ou enregistrement ne permet de savoir qui a approuvé quoi, quand et pourquoi. En raison de cette absence de contrôle, il devient difficile de démontrer que les demandes d'autorisation des applications ont fait l'objet d'un examen approprié.
La stratégie <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.3v1</a> de la CISA « M365 Secure Configuration Baseline for Microsoft Entra ID » (Référence de configuration sécurisée de M365 pour Microsoft Entra ID), rendue obligatoire par la directive BOD 25-01, exige qu'« un workflow de consentement administrateur soit configuré pour les applications. » Microsoft recommande également dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">Configurer Microsoft Entra pour renforcer la sécurité</a> qu'« un flux de travail de consentement administrateur soit activé ».

Initial Access

Phishing

Privilege Escalation

Account Manipulation: Additional Cloud Credentials

Account Manipulation: Additional Cloud Roles

Credential Access

Steal Application Access Token

Lateral Movement

Use Alternate Authentication Material: Application Access Token

Workflow de consentement de l'administrateur pour les applications non configurées

Détections

Workflow de consentement de l'administrateur pour les applications non configurées

MEDIUM

Version 202511131438