Bonjour et bienvenue dans cette nouvelle leçon.
Dans la leçon précédente, nous avons exploré le concept de l'Accès Conditionnel (Conditional Access) et son rôle central dans la stratégie de sécurité "Zero Trust" de Microsoft. Nous avons établi une règle d'or : ne jamais appliquer de politique d'authentification multifacteur (MFA) interactive aux comptes de ressources des salles MTR pour ne pas bloquer leur connexion.
Aujourd'hui, nous mettons cette théorie en pratique. L'objectif est de configurer votre première politique d'Accès Conditionnel pour vos salles MTR. Spécifiquement, nous allons restreindre les connexions de leurs comptes pour qu'elles ne soient autorisées qu'à partir d'emplacements réseau que vous aurez définis comme "approuvés", tels que vos bureaux. C'est l'une des mesures de sécurité les plus fondamentales et efficaces que vous puissiez mettre en place pour votre parc de salles.
La stratégie : Autoriser depuis les lieux de confiance, bloquer partout ailleurs
Pour sécuriser efficacement les comptes de vos salles MTR, nous n'allons pas créer une, mais deux politiques d'Accès Conditionnel qui fonctionneront de concert. Cette approche est une bonne pratique qui applique le principe du moindre privilège.
- Politique d'AUTORISATION : Nous autoriserons les comptes MTR à se connecter aux services Microsoft 365 à la condition qu'ils le fassent depuis un emplacement réseau de confiance (par exemple, l'adresse IP publique de votre bureau). Nous pourrons aussi y ajouter une condition de conformité de l'appareil.
- Politique de BLOCAGE : Nous bloquerons explicitement toutes les autres tentatives de connexion provenant de n'importe où ailleurs dans le monde.
C'est la combinaison de ces deux règles qui crée un périmètre de sécurité numérique étanche autour de vos appareils MTR.
Étape 1 : Définir vos "Emplacements Approuvés"
La première étape consiste à indiquer à Azure AD quels sont les réseaux que vous considérez comme sûrs. Dans l'Accès Conditionnel, cela s'appelle un "Emplacement nommé" (Named Location). Pour les MTR, l'approche la plus courante est de définir un emplacement basé sur l'adresse IP publique de votre entreprise.
La documentation Microsoft recommande cette approche comme l'une des méthodes pour sécuriser les comptes partagés sans recourir à la MFA interactive.
Authentication best practices for Teams Rooms on Android and ...
Cet extrait de la documentation officielle de Microsoft confirme la pertinence d'utiliser le contrôle d'accès basé sur la localisation comme alternative à la MFA pour les comptes de ressources MTR.
Lisez la courte section "Use location-based access with named locations". Elle explique comment configurer l'Accès Conditionnel en utilisant des emplacements nommés basés sur des plages d'adresses IP pour limiter l'accès à votre réseau d'entreprise.
Pour créer un emplacement nommé, vous devez :
- Identifier l'adresse IP publique (ou la plage d'adresses) de votre ou vos sites. Votre expérience avec le VoIP Cisco vous a sûrement familiarisé avec l'importance de la distinction entre IP publiques et privées. C'est bien la publique qui nous intéresse ici.
- Vous rendre dans le Centre d'administration Microsoft Entra (anciennement Azure AD).
- Naviguer vers Protection > Accès conditionnel > Emplacements nommés.
- Créer un nouvel Emplacement de plages d’adresses IP.
- Ajouter votre plage d'adresses IP publiques et, point crucial, cocher la case Marquer comme emplacement approuvé.
Étape 2 : Création guidée des politiques d'Accès Conditionnel
Maintenant que notre emplacement de confiance est défini, nous pouvons construire nos deux politiques. La vidéo suivante est un excellent guide pratique qui vous montrera, pas à pas, comment réaliser l'ensemble de la configuration. Elle est en anglais, mais les étapes visuelles dans le portail d'administration sont très claires.
Je vous recommande de la suivre attentivement, car elle couvre précisément notre objectif, y compris la création d'un groupe dynamique pour cibler les comptes MTR, une pratique très efficace.
Teams devices for IT Pros 1: Intune Compliance & Conditional Access with Teams Rooms on Android
Cette vidéo de Michael Tressler est un tutoriel complet pour la mise en place de l'Accès Conditionnel pour les appareils Teams Rooms sur Android. Elle va vous guider à travers toutes les étapes nécessaires, de la création des prérequis à la configuration finale des politiques.
Regardez les sections suivantes pour suivre le processus de bout en bout : Créer un groupe d'utilisateurs dynamique (12:22 - 15:27) : Cette étape (optionnelle mais recommandée) montre comment créer un groupe qui inclura automatiquement tous vos comptes MTR en se basant sur une convention de nommage (par ex., tous les comptes commençant par "MTR-"). Créer l'emplacement nommé (26:16 - 29:48) : Vous verrez comment trouver votre IP publique et la configurer comme emplacement nommé. Créer la politique d'AUTORISATION (29:48 - 33:31) : C'est la première politique qui autorise l'accès depuis l'emplacement de confiance, à condition que l'appareil soit conforme. Créer la politique de BLOCAGE (33:31 - 39:34) : C'est la seconde politique, tout aussi importante, qui bloque l'accès depuis n'importe où ailleurs. Portez une attention particulière à la manière dont l'exclusion de l'emplacement de confiance est configurée. Tester la configuration (47:02 - 54:56) : Cette partie montre le résultat des politiques sur un appareil réel, y compris un échec initial et sa résolution. C'est un excellent exemple de dépannage.
Synthèse de la configuration
Comme vous l'avez vu dans la vidéo, la logique "la politique la plus restrictive l'emporte toujours" explique pourquoi il est si important de bien configurer nos deux règles. Si une seule politique bloque l'accès, l'utilisateur sera bloqué, même si une autre politique l'autorise.
Voici un résumé des deux politiques que vous avez configurées :
Politique 1 : Autoriser l'accès depuis les emplacements de confiance
- Utilisateurs : Ciblez votre groupe de sécurité contenant les comptes MTR.
- Applications cloud : Ciblez les applications clés comme Microsoft Teams, Exchange Online et SharePoint Online.
- Conditions > Emplacement :
- Configurer : Oui
- Inclure : N'importe quel emplacement
- Exclure : Tous les emplacements approuvés
- Contrôles d'accès > Octroyer :
- Sélectionnez Bloquer l'accès.
Politique 2 : Bloquer l'accès depuis les emplacements non approuvés
- Utilisateurs : Ciblez votre groupe de sécurité contenant les comptes MTR.
- Applications cloud : Ciblez les mêmes applications que ci-dessus.
- Conditions > Emplacement :
- Configurer : Oui
- Inclure : Tous les emplacements approuvés
- Contrôles d'accès > Octroyer :
- Sélectionnez Octroyer l'accès.
- Cochez Exiger que l’appareil soit marqué comme conforme. (Ceci est une bonne pratique qui lie la sécurité à la gestion de l'appareil dans Intune).
Cette configuration garantit que vos comptes de salle ne peuvent se connecter que depuis vos bureaux et que, de plus, l'appareil lui-même doit être en bonne santé et géré.
Bonnes pratiques pour les Salles Teams
Pour conclure, consolidons les bonnes pratiques spécifiques aux Salles Teams que nous avons vues aujourd'hui.
5 Conditional Access Policies for Microsoft Teams Security - nBold
Cet article résume de manière très concise les actions spécifiques à réaliser pour sécuriser les Salles Teams avec l'Accès Conditionnel.
Lisez la section sous "Check These Things", en particulier le tableau intitulé "For Teams Rooms, do this:". Il synthétise parfaitement les actions que nous avons mises en pratique.
Les quatre points clés de cet article sont :
- Comptes (Accounts) : Placez-les dans des groupes Entra ID dédiés. C'est ce que nous avons fait.
- Règles d'appareil (Device Rules) : Définissez des conditions spéciales (comme la conformité).
- Réseaux (Networks) : Listez les emplacements autorisés (nos emplacements nommés).
- Configuration MFA (MFA Setup) : Gardez-les en dehors des règles MFA normales. C'est la règle d'or de notre leçon précédente.
Conclusion
Félicitations ! Vous avez configuré votre première politique de sécurité avancée pour vos salles MTR. C'est une étape majeure pour protéger ces appareils qui sont des points d'accès directs à votre environnement Microsoft 365.
Points clés à retenir :
- La sécurité des MTR repose sur un modèle à deux politiques : une qui autorise sous conditions strictes depuis des lieux de confiance, et une qui bloque tout le reste.
- Les emplacements nommés basés sur les adresses IP publiques de vos sites sont le pilier de la restriction géographique.
- Cibler un groupe de sécurité dédié aux comptes MTR est essentiel pour ne pas impacter les utilisateurs standards.
- Toujours utiliser le mode "Rapport seul" (Report-only) avant d'activer une politique en production pour en mesurer l'impact sans risque.
Prochaine étape :
Maintenant que vous maîtrisez la sécurisation d'une salle MTR sur le plan technique, nous allons prendre de la hauteur. La prochaine leçon portera sur la manière de mener une phase d'analyse de site pour un projet de déploiement MTR multi-salles. Nous passerons de la configuration à la planification stratégique d'un déploiement à grande échelle.