Accès conditionnel
Moteur de règles du fournisseur d'identité qui accorde, conditionne à un second facteur ou refuse chaque connexion selon le compte, l'appareil, le lieu et le risque ; c'est là que la MFA déclarée s'applique ou non.
L'accès conditionnel est un moteur de règles qui décide, à chaque connexion, si un utilisateur entre dans une application, s'il doit d'abord présenter un second facteur ou s'il est refusé, selon des signaux comme le compte, l'appareil, le lieu et le niveau de risque de la session. Le nom vient de Microsoft, dont la fonction Conditional Access d'Entra ID (Azure Active Directory jusqu'en 2023) est la plus répandue ; Okta, Google et d'autres fournisseurs d'identité proposent l'équivalent. C'est là que la MFA (authentification multi-facteurs) déclarée dans le questionnaire devient réelle, ou pas. Une configuration courante exige la MFA pour tous les utilisateurs sur toutes les applications cloud, bloque l'authentification héritée (IMAP, POP, SMTP en mode basique), incapable de présenter un second facteur, et réserve la messagerie aux appareils gérés. Tout se joue dans les exclusions. Un groupe « exceptions MFA » ouvert pour un dirigeant en déplacement, un compte de service, un copieur qui envoie des courriels : chacun est une porte, et la pulvérisation de mots de passe (password spraying) les trouve. En janvier 2024, Microsoft a lui-même déclaré que Midnight Blizzard, groupe rattaché au renseignement russe, était entré par cette technique sur le compte d'un ancien locataire de test, hors production, qui n'avait pas de MFA. Le mode « rapport seulement » est un autre piège : la règle s'affiche dans la console et n'applique rien. Les souscripteurs demandent donc plus souvent une capture des politiques ou un export de configuration qu'un simple oui, et certains questionnaires demandent combien de comptes sont exclus de la MFA. Réserve de praticien : l'accès conditionnel ne voit que ce qui passe par le fournisseur d'identité. Un VPN qui authentifie ailleurs, un serveur exposé ou un compte local restent hors de son champ.
Cas d'école, chiffres inventés : une entreprise de 800 comptes répond « MFA sur toute la messagerie ». L'export de ses politiques d'accès conditionnel montre une règle MFA appliquée à tous, sauf un groupe d'exclusion de 37 comptes : 30 comptes de service, 5 boîtes partagées et 2 dirigeants. L'authentification héritée n'est pas bloquée. La couverture réelle est de 763 comptes sur 800, soit 95,4 %. Le souscripteur retient surtout que les 37 exclus répondent à un mot de passe seul depuis Internet, pose une question de suivi et attend le blocage avant la prise d'effet.
accès conditionnel, politique d'accès conditionnel, règles d'accès conditionnel, accès conditionnel Entra ID
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.