Skip to main content
Back to path

Welcome to a Grasp lesson

Create a free account to keep studying and create your own study path.

Lesson 64

Sécuriser les appareils MTR via le Centre d'administration Teams

Recommended resources

Bonjour !

Dans la leçon précédente, vous avez appris à gérer le cycle de vie des mises à jour de l'application MTR via le portail Teams Rooms Pro Management. Maintenir vos appareils à jour est la première étape d'une bonne hygiène de sécurité. Nous allons maintenant nous concentrer sur la couche de sécurité active.

Introduction

L'objectif de cette leçon est de vous apprendre à appliquer les politiques de sécurité recommandées aux appareils MTR via le Teams Admin Center et les portails associés. Un appareil MTR est un point d'accès à votre organisation ; le sécuriser est donc aussi crucial que de sécuriser un ordinateur portable ou un serveur.

Nous aborderons les mécanismes de sécurité intégrés aux appareils MTR, la gestion des comptes locaux et du compte de ressource, et surtout, comment utiliser les outils cloud de Microsoft, comme l'Accès Conditionnel (Conditional Access), pour renforcer leur posture de sécurité. Votre expérience en support IT et en projets vous sera utile pour comprendre ces concepts de sécurisation en couches.

1. Le modèle de sécurité d'un appareil MTR

Avant d'appliquer des politiques, il est essentiel de comprendre qu'un appareil MTR n'est pas un PC Windows standard. Il s'agit d'un appareil durci (hardened) et spécialisé, conçu pour fonctionner en mode "kiosque".

Microsoft fournit des guides de sécurité détaillés. Commençons par explorer les fondamentaux pour les MTR sur Windows, la plateforme de vos appareils Lenovo ThinkSmart.

Microsoft Teams Rooms on Windows and Teams Android device security

Ce document de Microsoft est la référence en matière de sécurité pour les MTR. Il explique comment l'appareil est verrouillé au niveau du système d'exploitation.

Veuillez lire la section "Software Security" sous l'onglet "Teams Rooms on Windows". Portez une attention particulière aux concepts suivants : L'utilisation du compte local Skype (sans mot de passe) pour lancer l'application. Le mode Assigned Access et Shell Launcher qui transforment l'appareil en kiosque. La raison pour laquelle il est déconseillé de lancer des scans de sécurité locaux.

En résumé, l'appareil est verrouillé pour n'exécuter que l'application Teams Rooms. L'interface Windows traditionnelle (comme l'explorateur de fichiers ou le menu Démarrer) n'est pas accessible à l'utilisateur final, ce qui réduit considérablement la surface d'attaque.

2. Sécurité des comptes : la première ligne de défense

Deux types de comptes sont critiques pour la sécurité d'un MTR : le compte administrateur local et le compte de ressource cloud.

Le compte Administrateur local

Chaque MTR sur Windows est livré avec un compte administrateur local, généralement nommé "Admin", avec un mot de passe par défaut. Votre première action sur un nouvel appareil doit toujours être de changer ce mot de passe. Ne pas le faire laisse une porte d'entrée connue sur votre réseau.

Le Teams Admin Center (TAC) vous aide à surveiller cette vulnérabilité.

Microsoft Teams Room Status in Teams Admin Center
Cette capture d'écran du TAC montre l'état de santé d'un appareil MTR. Notez l'alerte de sécurité sous \"Default Credentials\". Le TAC vous signale activement les appareils dont le mot de passe administrateur par défaut n'a pas été changé.

Microsoft Teams Rooms on Windows and Teams Android device security

Revenons au guide de sécurité de Microsoft pour comprendre comment gérer les comptes.

Lisez maintenant la section "Account Security". Concentrez-vous sur les points concernant le compte "Admin" et l'importance de le modifier. Vous y verrez également des liens vers des méthodes pour le faire, y compris via PowerShell, ce qui correspond à votre intérêt pour l'automatisation.

Le compte de Ressource

Le compte de ressource (celui que vous avez créé dans Microsoft 365) est utilisé par l'appareil pour se connecter aux services Teams. Ce compte a une particularité majeure : il ne peut pas utiliser d'authentification multifacteur (MFA) interactive. L'appareil doit pouvoir se reconnecter automatiquement après un redémarrage, sans que quelqu'un ait à valider une notification sur un téléphone.

Cela pose un dilemme : comment sécuriser ce compte s'il ne peut pas utiliser le MFA standard ? La réponse est l'Accès Conditionnel (Conditional Access).

3. Renforcer la sécurité avec l'Accès Conditionnel (Conditional Access)

L'Accès Conditionnel est une fonctionnalité de Microsoft Entra ID (anciennement Azure Active Directory) qui fonctionne comme un ensemble de règles "si... alors...". Il vous permet d'appliquer des contrôles d'accès en fonction du contexte de la connexion.

Pour un MTR, nous pouvons créer des règles qui n'exigent pas d'interaction humaine mais qui renforcent considérablement la sécurité.

5 Politiques d'accès conditionnel pour la sécurité de Microsoft Teams

Cet article, bien que non officiel, explique de manière très claire et pratique comment utiliser l'Accès Conditionnel pour la sécurité de Teams. Il contient des sections spécifiques aux MTR.

Lisez les sections suivantes pour construire votre compréhension : "How Conditional Access Helps Teams Security" pour saisir le concept de règles "if/then". "Set Device Security Rules" et "Add Two-Step Login Requirements" : parcourez ces sections et notez le conseil clé répété : "Teams Rooms can’t use MFA – skip it.". C'est la confirmation que vous devez exclure les comptes MTR des politiques MFA standards. "Set Up Teams Rooms" (dans la section "Work with Other Teams Tools") et la sous-section "For Teams Rooms, do this:" (dans la section "Do's and Don'ts"). Ces deux passages vous donnent une liste d'actions concrètes.

Politiques d'Accès Conditionnel recommandées pour les MTR :

Voici une stratégie en deux étapes que vous pouvez mettre en place :

  1. Exclure les MTR du MFA standard :

    • Créez un groupe dans Microsoft Entra ID contenant tous vos comptes de ressource MTR.
    • Dans votre politique d'Accès Conditionnel qui impose le MFA à tous les utilisateurs, ajoutez une exclusion pour ce groupe. C'est l'étape la plus critique pour éviter de bloquer vos salles.

  2. Créer une politique spécifique aux MTR :

    • Créez une nouvelle politique d'Accès Conditionnel qui ne s'applique qu'au groupe de vos comptes MTR.
    • Dans cette politique, au lieu d'exiger le MFA, exigez l'une (ou les deux) des conditions suivantes pour accorder l'accès :
      • Exiger que l'appareil soit conforme (Require device to be marked as compliant) : L'appareil doit être enrôlé dans Intune et respecter les règles de conformité que vous avez définies (OS à jour, BitLocker activé, etc.).
      • Exiger un emplacement approuvé (Require trusted location) : L'appareil ne peut se connecter que depuis des adresses IP publiques que vous avez déclarées comme fiables (par exemple, les adresses IP de vos bureaux).

Cette approche remplace l'authentification interactive par une authentification basée sur la confiance dans l'appareil et son emplacement, ce qui est parfaitement adapté à un équipement fixe comme une salle de réunion.

4. Politiques de réunion dans le Teams Admin Center

Enfin, bien que ce ne soient pas des politiques de sécurité de l'appareil à proprement parler, les politiques de réunion que vous configurez dans le TAC ont un impact direct sur la sécurité des communications qui transitent par vos MTR.

Microsoft Teams Admin Center Security Settings
Cette image montre les politiques de réunion dans le Teams Admin Center. Des options comme le chiffrement de bout en bout (End-to-end encryption) ou le contrôle du lobby s'appliquent à la réunion elle-même, et donc à l'expérience vécue depuis la salle MTR.

En tant qu'administrateur, vous devez définir des politiques de réunion (Meeting Policies) qui déterminent :

  • Qui peut contourner la salle d'attente (lobby).
  • Si le chiffrement de bout en bout est activé.
  • Si le partage de contenu est restreint.
  • Si un filigrane (watermark) est appliqué sur les partages d'écran et la vidéo.

Ces politiques sont généralement appliquées aux utilisateurs, mais elles définissent le cadre de sécurité dans lequel vos MTR opèrent.

Application pratique

  1. Vérifiez le mot de passe local : Sur votre appareil Lenovo ThinkSmart, accédez aux paramètres Windows en mode administrateur et assurez-vous que le mot de passe du compte "Admin" a été modifié.
  2. Surveillez dans le TAC : Connectez-vous au Teams Admin Center, allez dans Appareils Teams > Salles Teams sur Windows, sélectionnez votre salle de test et vérifiez l'onglet "Santé". Assurez-vous qu'il n'y a aucune alerte de sécurité.
  3. Planifiez votre Accès Conditionnel :
    • Ouvrez le portail Microsoft Entra ID.
    • Allez dans Groupes et créez un nouveau groupe de sécurité nommé "SG-MTR-Accounts". Ajoutez-y le compte de ressource de votre salle de test.
    • Allez dans Protection > Accès Conditionnel.
    • Repérez la politique qui impose le MFA à vos utilisateurs. Modifiez-la pour exclure le groupe "SG-MTR-Accounts".
    • Créez une nouvelle politique nommée "CA-MTR-Security". Ciblez-la sur le groupe "SG-MTR-Accounts". Dans les contrôles d'accès (Grant), choisissez Grant access et cochez Require device to be marked as compliant.
    • Important : Activez d'abord la politique en mode Report-only (Audit uniquement) pour vérifier son impact sans bloquer l'accès.

Conclusion

Vous savez désormais comment appliquer les couches de sécurité fondamentales à un appareil MTR. Cette compétence va au-delà du simple paramétrage et touche au cœur de la gestion d'identités et d'accès dans un environnement cloud moderne.

Points clés à retenir :

  • Les MTR sont des appareils verrouillés en mode kiosque, ce qui constitue la première couche de sécurité.
  • La première action de sécurité est de changer le mot de passe administrateur local par défaut, une faille surveillée par le TAC.
  • Les comptes de ressource MTR ne peuvent pas utiliser le MFA interactif et doivent être exclus des politiques MFA globales.
  • L'Accès Conditionnel est l'outil principal pour sécuriser les comptes de ressource en exigeant des conditions comme la conformité de l'appareil ou une localisation approuvée.
  • Les politiques de réunion du TAC définissent le cadre de sécurité des communications qui ont lieu via les MTR.

Prochaine étape :

Maintenant que vos appareils sont à jour et sécurisés, nous allons voir comment interagir avec eux à distance pour des tâches de maintenance courantes. La prochaine leçon portera sur l'exécution de commandes à distance (redémarrage, collecte de logs) depuis les portails de gestion.