{"id":84589,"date":"2022-02-11T08:31:14","date_gmt":"2022-02-11T07:31:14","guid":{"rendered":"https:\/\/blog.teamy.be\/?p=84589"},"modified":"2024-05-19T20:03:50","modified_gmt":"2024-05-19T18:03:50","slug":"bloquer-lacces-a-microsoft-365-sur-base-de-lemplacement","status":"publish","type":"post","link":"https:\/\/blog.teamy.be\/index.php\/2022\/02\/11\/bloquer-lacces-a-microsoft-365-sur-base-de-lemplacement\/","title":{"rendered":"Bloquer l’acc\u00e8s \u00e0 Microsoft 365 sur base de l’emplacement"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’offre Azure AD\u00a0Premium Plan 1 offre deux outils qui vous permettent de mieux contr\u00f4ler les\u00a0acc\u00e8s \u00e0 votre plateforme Microsoft 365.\u00a0On parlera donc ici des Acc\u00e8s conditionnels et des Emplacements nomm\u00e9s.\u00a0 Ces strat\u00e9gies d’acc\u00e8s sont appliqu\u00e9es au\u00a0terme de l’authentification premier facteur.\u00a0\u00a0Elles ne sont donc pas destin\u00e9es \u00e0 \u00eatre la premi\u00e8re ligne de d\u00e9fense\u00a0d’une organisation, mais elles sont une des barri\u00e8res contre les cyberattaques\u00a0potentielles.\u00a0<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t\"\"\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Avant de commencer, un petit mot sur les licences.\u00a0 Pour activer ces fonctionnalit\u00e9s, vous devez avoir la licence ‘Azure Active Directory Premium P1’.\u00a0 Actuellement au prix de 5,10\u20ac par licence et par mois.\u00a0 Selon moi, et je n’ai pas trouv\u00e9 de documentation contradictoire, il suffirait d’une licence Azure AD Premium P1 pour activer et mettre en place les acc\u00e8s conditionnels.\u00a0 Cette fonctionnalit\u00e9 s’applique sur le Tenant et non les utilisateurs, donc vos utilisateurs n’ont besoin d’aucune licence sp\u00e9cifique pour en b\u00e9n\u00e9ficier.

<\/p>

\u00a0<\/p>

Voici ce qui est dit dans la documentation officielle : Conditions de licence<\/a>\u00a0:\u00a0\u00ab\u00a0L’utilisation de cette fonctionnalit\u00e9 n\u00e9cessite une licence Azure AD Premium P1\u00a0\u00bb.<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"Azure<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Notre point de d\u00e9part sera la console d’administration Azure Active Directory<\/p>

https:\/\/aad.portal.azure.com\/<\/a><\/p>

\u00a0<\/p>

\"Centre<\/p>

\u00a0<\/p>

Plus pr\u00e9cis\u00e9ment, dans la partie \u00ab\u00a0S\u00e9curit\u00e9\u00a0\u00bb\"Centre<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La premi\u00e8re \u00e9tape sera de d\u00e9finir les emplacements de confiance, c’est-\u00e0-dire les pays depuis lesquels la connexion \u00e0 votre plateforme Microsoft 365 est autoris\u00e9e.<\/p>

\u00a0<\/p>

\"Tableau<\/p>

\u00a0<\/p>

Nous allons travailler sur base des emplacements par Pays, et donc cr\u00e9er un \u00e9l\u00e9ment listant les pays de confiance.<\/p>

Mon \u00e9tablissement \u00e9tant Belge, mon hypoth\u00e8se de travail sera d’autoriser les acc\u00e8s \u00e0 ma plateforme 365 que depuis la Belgique.\u00a0 A vous d’adapter en fonction de vos besoins.<\/span><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ajout d’un emplacement des pays, nomm\u00e9 ‘Trusted Countries’, et ne reprenant que la Belgique comme pays.\u00a0 Le pays est d\u00e9termin\u00e9 sur base des adresses IP r\u00e9serv\u00e9es \u00e0 la Belgique, vous pouvez aussi jouer sur la localisation GPS en cr\u00e9ant un deuxi\u00e8me Emplacement nomm\u00e9.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"Nouvel<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Maintenant que ma liste ‘Blanche’ des pays de confiance est \u00e9tablie, je dois cr\u00e9er une strat\u00e9gie d’acc\u00e8s !<\/p>

Acc\u00e8s conditionnel – Centre d’administration Azure Active Directory<\/a><\/p>

\u00a0<\/p>

\u00a0<\/p>

\"Acc\u00e8s<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\u00ab\u00a0Nouvelle Strat\u00e9gie\u00a0\u00bb<\/p>

\u00a0<\/p>

Nom de la strat\u00e9gie : Countries Black List<\/p>

\u00a0<\/p>

\"Nom<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cette strat\u00e9gie sera
appliqu\u00e9e \u00e0 tous les utilisateurs<\/p>

\u00a0<\/p>

\"Nom<\/p>

Remarque : Dans un premier temps, il est conseill\u00e9 de ne pas l’appliquer sur tous vos utilisateurs.\u00a0 Il vaut mieux faire quelques tests sur un groupe restreint d’utilisateur, histoire de ne pas bloquer votre propre compte utilisateur.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cette strat\u00e9gie sera appliqu\u00e9e \u00e0 toutes vos applications Microsoft 365\"Nom<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cette strat\u00e9gie sera appliqu\u00e9e sur ‘Tous les emplacements’<\/p>

\"Contr\u00f4lez<\/p>

\u00a0<\/p>

Mais on prendra garde \u00e0 Exclure notre ‘Emplacement nomm\u00e9 – Trusted Countries’\"Contr\u00f4lez<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Cette strat\u00e9gie, si elle est v\u00e9rifi\u00e9e, va bloquer la connexion<\/p>

\u00a0<\/p>

\"Contr\u00f4les<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il restera \u00e0 l’enregistrer et \u00e0 l’activer<\/b><\/p>\n

<\/p>\n

Conseil :  Je vous invite \u00e0 mettre en place cette strat\u00e9gie via le compte d’administration initial de votre tenant (admin@xxxx.onmicrosoft.com) et de l’exclure de cette strat\u00e9gie.  Ce compte doit \u00eatre r\u00e9serv\u00e9 aux op\u00e9rations d’administration <\/b><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Il nous reste \u00e0 faire quelques tests !<\/p>

\u00a0<\/p>

Pour tester cette strat\u00e9gie, il va falloir se connecter en tant qu’utilisateur ayant une adresse IP non Belge.\u00a0 Moi j’utilise un outil de VPN pour faire en sorte que ma connexion provienne d’un pays autre que la Belgique.\u00a0 Allez, un petit tour en Suisse.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"\"<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

\"\"<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t

\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Tentatives de connexion aux outils suivants : Outlook, Teams, Console d’administration M365, Console Azure, \u2026<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t\n\t\t\t\t\t\t<\/span>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Remarque : Cette approche n’est pas une d\u00e9fense absolue, vous l’aurez compris que se connecter \u00e0 votre tenant en utilisant un VPN, n’importe quel utilisateur peut faire croire \u00e0 votre syst\u00e8me qu’il se connecte depuis la Belgique.\u00a0 Mais en terme de s\u00e9curit\u00e9, l’objectif n’est pas d’avoir la d\u00e9fense absolue, car elle n’existe pas.\u00a0 L’objectif est de multiplier le nombre de barri\u00e8res pour d\u00e9courager tout individu malveillant, et cette approche en est une.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

L’offre Azure AD Premium Plan 1 offre deux outils qui vous permettent de mieux contr\u00f4ler les acc\u00e8s \u00e0 votre plateforme Microsoft 365. On<\/p>\n","protected":false},"author":1,"featured_media":85838,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"colormag_page_layout":"default_layout","_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[183,22,189],"tags":[213],"class_list":["post-84589","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-ad-azure","category-microsoft-365","category-securite","tag-post"],"views":3675,"_links":{"self":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84589","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/comments?post=84589"}],"version-history":[{"count":1,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84589\/revisions"}],"predecessor-version":[{"id":85839,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/posts\/84589\/revisions\/85839"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media\/85838"}],"wp:attachment":[{"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/media?parent=84589"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/categories?post=84589"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.teamy.be\/index.php\/wp-json\/wp\/v2\/tags?post=84589"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}