Le socle d'accès conditionnel

Les paramètres de sécurité par défaut (security defaults) protègent les petits tenants sans licence P1. Dès que vous avez Entra ID P1, remplacez-les par un jeu de stratégies d'accès conditionnel :

• MFA pour tous les utilisateurs, sur toutes les applications.
• Bloquer l'authentification héritée (protocoles qui ne gèrent pas le MFA).
• Administrateurs : force d'authentification résistante au phishing (FIDO2, Windows Hello, CBA) et appareil conforme ou poste d'administration dédié.
• Risque de connexion et risque utilisateur (P2) : exiger le MFA, puis le changement de mot de passe sécurisé.
• Protéger l'inscription des méthodes de sécurité (depuis un lieu ou un appareil approuvé, ou avec un pass d'accès temporaire).
• Limiter ou bloquer le flux de code d'appareil (device code), très utilisé en hameçonnage.
• Exclure les comptes d'urgence de toutes ces stratégies, et tester d'abord en mode Rapport uniquement.

Les modèles d'accès conditionnel et les stratégies gérées par Microsoft fournissent un bon point de départ.