All Conditional Access policies are configured to exclude at least one emergency account or group.

Pourquoi cela est important

Sans un compte d'urgence dédié exclu de toutes les politiques d'Conditional Access, une mauvaise configuration pourrait bloquer l'accès de tous les administrateurs au locataire. Cela entraîne une perte d'accès irréversible, pouvant conduire à des périodes d'indisponibilité prolongées et à des incidents de sécurité impossibles à gérer. Les administrateurs informatiques doivent garantir un recours fiable en cas d'urgence pour assurer la continuité opérationnelle et éviter des efforts de récupération coûteux.

Ce que vérifie Aether365

Cette vérification confirme qu'au moins un compte d'urgence ou de secours, ou un groupe dédié, est exclu de chaque politique d'Conditional Access dans votre locataire. Elle apparaît dans le tableau de bord Aether365 sous les vérifications microsoft-365 avec un niveau de gravité moyen.

Comment corriger

1. Connectez-vous au Microsoft Entra admin center et accédez à Identity > Security > Conditional Access.
2. Examinez chaque politique d'Conditional Access pour les exclusions. Si aucune politique n'exclut actuellement un compte d'urgence, créez un nouveau compte utilisateur spécifiquement pour l'accès d'urgence (par exemple, break-glass@votredomaine.com) et attribuez-lui le rôle d'administrateur général.
3. Pour chaque politique, ouvrez-la, accédez à la section Assignments, sélectionnez Users ou workload identities, puis sous Exclude, ajoutez le compte d'urgence ou un groupe dédié le contenant.
4. Si vous utilisez un groupe, créez un groupe de sécurité dans Microsoft Entra ID nommé "Break Glass Admins" et ajoutez le compte d'urgence. Ensuite, excluez ce groupe de toutes les politiques d'Conditional Access.
5. Répétez l'étape 3 pour chaque politique d'Conditional Access dans votre locataire. Vérifiez que l'exclusion apparaît dans la liste Exclude avant d'enregistrer chaque politique.
6. Après avoir mis à jour toutes les politiques, testez l'accès avec le compte d'urgence pour confirmer qu'il peut contourner toutes les politiques et accéder au portail avec succès.

Conformité

• Autres : Cette vérification aborde une pratique de sécurité fondamentale recommandée par Microsoft et les normes du secteur (par exemple, CIS, CISA) pour maintenir l'accès d'urgence dans Microsoft 365. Bien qu'aucun cadre de conformité spécifique ne soit lié, elle soutient les exigences de gouvernance plus larges pour la continuité des activités et la réponse aux incidents.

Ressources associées

• Gérer les comptes d'accès d'urgence dans Microsoft Entra ID
• Conditional Access : Exclure des utilisateurs ou groupes spécifiques d'une stratégie

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access