La protection des mots de passe de Microsoft Entra est une fonctionnalité de sécurité qui empêche les utilisateurs de définir des mots de passe faciles à deviner, afin de renforcer la sécurité globale des mots de passe dans une organisation.

Cet IoE s'exécute uniquement pour les tenants disposant d'une licence Entra ID P1 ou P2, car ces licences haut de gamme sont <a href="https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-password-ban-bad#license-requirements">requises</a> pour cette fonctionnalité de sécurité.
Entra ID s'appuie sur la <a href="https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-password-ban-bad">Protection par mot de passe de Microsoft Entra</a> pour atténuer le risque que des utilisateurs définissent des mots de passe facilement devinables pouvant être attaqués par force brute. Cette fonctionnalité utilise une liste globale de mots de passe interdits. Celle-ci est <a href="https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-password-ban-bad#:~:text=The%20global%20banned%20password%20list%20is%20automatically%20applied%20to%20all%20users%20in%20a%20Microsoft%20Entra%20tenant.%20There%27s%20nothing%20to%20enable%20or%20configure%2C%20and%20can%27t%20be%20disabled">activée par défaut et ne peut pas être désactivée</a>. Elle contient des mots de passe faibles couramment utilisés et elle est régulièrement mise à jour par Microsoft.
Bien que la Protection par mot de passe de Microsoft Entra soit une fonctionnalité basée sur le cloud, les organisations peuvent l'étendre à la version classique d'Active Directory sur site (également appelée « Windows Server Active Directory »), comme décrit dans « <a href="https://learn.microsoft.com/fr-fr/entra/identity/authentication/concept-password-ban-bad-on-premises">Appliquer la Protection par mot de passe de Microsoft Entra sur site pour Active Directory Domain Services</a> ». Les organisations facilitent cette intégration en installant un agent Microsoft dédié sur les contrôleurs de domaine Active Directory sur site, tout en configurant les stratégies de protection par mot de passe via le portail Entra basé sur le cloud.
Cet indicateur d'exposition évalue deux paramètres de la Protection par mot de passe de Microsoft Entra qui déterminent son application dans l'environnement sur site :
<ul>
<li>« Activer la protection par mot de passe sur Windows Server Active Directory » doit être « Oui ».</li>
<li>Le « mode » doit être « Appliqué ».</li>
</ul>
Remarque :
<ol>
<li>Cet IoE s'exécute uniquement pour les tenants synchronisés avec un Active Directory sur site (c'est-à-dire Microsoft Entra Connect ou Microsoft Entra Cloud Sync). Il base son analyse sur la propriété <code>onPremisesSyncEnabled</code> de <code>l'organisation</code>.</li>
<li>Pour activer la Protection par mot de passe de Microsoft Entra pour le domaine Active Directory sur site (comme indiqué dans la section sur les recommandations), les organisations doivent déployer un agent sur tous les contrôleurs de domaine de l'environnement sur site. Cet IoE vérifie les paramètres pertinents dans le portail Entra ID, mais il ne peut pas valider le statut de déploiement réel de l'agent sur les contrôleurs de domaine Active Directory sur site. Par conséquent, il existe un risque de faux négatifs, où la configuration semble conforme dans Entra malgré le fait que l'agent ne soit pas complètement déployé ou ne fonctionne pas correctement sur tous les contrôleurs de domaine Active Directory.</li>
</ol>

Détections

Protection par mot de passe non activée pour les environnements sur site

MEDIUM

Version 202411071130