Par défaut, bien que les utilisateurs invités disposent d'un accès limité à Entra ID afin de réduire leur visibilité auprès du tenant, il est également possible d'améliorer la sécurité et la confidentialité en renforçant davantage ces restrictions.

La <a href="https://learn.microsoft.com/fr-fr/entra/external-id/what-is-b2b">collaboration B2B</a> est une fonctionnalité de Microsoft Entra ID qui permet à vos utilisateurs de proposer à des invités de collaborer avec votre organisation. Ces utilisateurs invités, également appelés « identités externes », ont par défaut un accès tel que <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/users-default-permissions#member-and-guest-users">décrit par Microsoft</a> :
<blockquote>
Ils peuvent gérer leur propre profil, changer leur mot de passe et récupérer certaines informations sur d'autres utilisateurs, groupes et applications. Cependant, ils ne peuvent pas lire toutes les informations de l'annuaire.
Par exemple, les utilisateurs invités ne peuvent pas énumérer la liste de tous les utilisateurs, groupes et autres objets AD. Il est possible d'ajouter des invités aux rôles d'administrateur, en leur donnant des autorisations complètes en lecture et en écriture. Les invités peuvent également autoriser d'autres invités.
</blockquote>
Si votre organisation accorde une grande importance à la sécurité et à la confidentialité en ce qui concerne les utilisateurs invités, vous pouvez améliorer ces aspects en ajustant le paramètre par défaut en sélectionnant l'option <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/users-default-permissions#restrict-guest-users-default-permissions">« L'accès des utilisateurs invités est restreint aux propriétés et aux appartenances de leurs propres objets AD (le plus restrictif) »</a> qui a l'impact suivant :
<blockquote>
Par défaut, ce paramètre limite l'accès des invités exclusivement à leur propre profil utilisateur. Ainsi, même en effectuant une recherche par nom principal d'utilisateur, ID d'objet ou nom d'affichage, les invités ne peuvent pas obtenir l'accès à d'autres utilisateurs. De plus, cette configuration restreint également l'accès aux informations du groupe, notamment les appartenances au groupe.
</blockquote>
Microsoft recommande également dans <a href="https://learn.microsoft.com/fr-fr/entra/fundamentals/configure-security#guests-have-restricted-access-to-directory-objects">Configurer Microsoft Entra pour renforcer la sécurité</a> que « les invités [aient] un accès restreint aux objets d'annuaire ».

Initial Access

Valid Accounts: Default Accounts

Valid Accounts: Cloud Accounts

Privilege Escalation

Account Manipulation: Additional Cloud Roles

Discovery

Account Discovery: Email Account

Account Discovery: Cloud Account

Cloud Service Discovery

Reconnaissance

Gather Victim Network Information

Active Scanning

Comptes invités non restreints

Détections

Comptes invités non restreints

MEDIUM

Version 202405221022