Les comptes hybrides (synchronisés à partir d'Active Directory) qui ont des rôles privilégiés dans Entra ID présentent un risque pour la sécurité, car ils permettent aux attaquants qui compromettent AD de pivoter vers Entra ID. Dans Entra ID, les comptes privilégiés doivent être des comptes « cloud seulement ».

Si votre organisation a configuré la <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/what-is-inter-directory-provisioning">synchronisation des annuaires</a>, par exemple avec « <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/connect/whatis-azure-ad-connect">Microsoft Entra Connect</a> » (anciennement « Azure AD Connect ») ou « <a href="https://learn.microsoft.com/fr-fr/entra/identity/hybrid/cloud-sync/what-is-cloud-sync">Microsoft Entra Cloud Sync</a> » (anciennement « Azure AD Connect Cloud Sync »), pour synchroniser (entre autres) les utilisateurs d'Active Directory sur site avec Entra ID dans le cloud, vous pourriez être tenté d'utiliser des comptes AD hybrides pour les rôles privilégiés dans Entra ID. Cependant, cela crée une opportunité de pivot pour les attaquants, qui pourraient ainsi étendre leur contrôle malveillant sur Entra ID après avoir compromis Active Directory. Ils disposent de plusieurs techniques pour usurper l'identité des utilisateurs AD et peuvent également les appliquer à Entra ID.
C'est pourquoi Microsoft met en garde contre cette pratique dans son article « <a href="https://learn.microsoft.com/fr-fr/entra/architecture/protect-m365-from-on-premises-attacks">Protéger Microsoft 365 contre les attaques locales</a> », considérant qu'« il ne devrait y avoir aucun compte sur site disposant de privilèges d'administration dans Microsoft 365 » et rappelle qu'« aucun compte local ne doit disposer de privilèges élevés dans Microsoft 365 ». Dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#privileged-accounts-are-cloud-native-identities">Configurer Microsoft Entra pour renforcer la sécurité</a>, Microsoft recommande également que « les comptes privilégiés [soient] des identités natives cloud ».

Détections

Compte Entra privilégié synchronisé avec AD (hybride)

HIGH

Version 202507150942

Version 202411071130

Version 202507150942 Jul 15, 2025, 9:42 AM Detection (Remove duplicate role assignments in displayed incriminating attributes) Release: 202507150942
Version 202411071130 Nov 7, 2024, 11:30 AM New Release: 202411071130