Les comptes invités sont des identités externes qui peuvent poser un risque de sécurité lorsque des rôles privilégiés leur sont assignés. Cela accorde des privilèges substantiels au sein du tenant à des personnes externes à votre organisation.

<a href="https://learn.microsoft.com/fr-fr/entra/external-id/what-is-b2b">B2B collaboration</a> est une fonctionnalité de Microsoft Entra ID qui permet à vos utilisateurs de proposer à des invités de collaborer avec votre organisation. Ces comptes invités, également appelés « identités externes », ont par défaut un accès tel qu'il est <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/users-default-permissions#member-and-guest-users">décrit par Microsoft</a> :
<blockquote>
Ils peuvent gérer leur propre profil, changer leur mot de passe et récupérer certaines informations sur d'autres utilisateurs, groupes et applications. Cependant, ils ne peuvent pas lire toutes les informations de l'annuaire.
Par exemple, les utilisateurs invités ne peuvent pas énumérer la liste de tous les utilisateurs, groupes et autres objets AD. Il est possible d'ajouter des invités aux rôles d'administrateur, en leur donnant des autorisations complètes en lecture et en écriture. Les invités peuvent également autoriser d'autres invités.
</blockquote>
Les rôles privilégiés disposent par définition de privilèges élevés. Les comptes invités auxquels un rôle privilégié est attribué posent un risque de sécurité et augmentent considérablement la surface d'attaque du tenant. C'est d'autant plus préoccupant que les comptes invités peuvent être soumis à des stratégies de sécurité plus faibles, les rendant plus vulnérables aux compromissions. De plus, l'attribution de rôles privilégiés aux utilisateurs invités réduit la traçabilité, ce qui complique la surveillance et l'audit de leurs activités. Dans le pire scénario, ces attributions peuvent même être le signe d'une compromission, car les attaquants exploitent souvent les comptes invités pour obtenir un accès non autorisé et se déplacer latéralement dans l'environnement.
Surveillez attentivement ces comptes invités et assurez-vous de ne pas leur attribuer de rôles privilégiés.
Microsoft recommande également dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#guests-are-not-assigned-high-privileged-directory-roles">Configurer Microsoft Entra pour renforcer la sécurité</a> que « les invités ne [soient] pas affectés à des rôles d’annuaire à privilèges élevés ».

Initial Access

Valid Accounts: Default Accounts

Valid Accounts: Cloud Accounts

Reconnaissance

Détections

Compte invité disposant d'un rôle avec privilèges

HIGH

Version 202507150942