Calipia : le blog

Microsoft a annoncé en fin de semaine dernière avoir amélioré le processus de changement de mot de passe lorsque les utilisateurs s’authentifiant via des méthodes sur site sont considérés comme étant à risque par le service Microsoft Entra ID Protection. Pour rappel ce service intelligent permet grâce à l’IA et l’apprentissage automatique, d’identifier les connexions à risque et les comportements d’utilisateur inhabituels afin de bloquer, tester, limiter ou autoriser l’accès. Mais il y a parfois des effets de bords compliqués…
Habituellement, ces utilisateurs peuvent être bloqués parce que le service cloud de Microsoft « n’a pas pu écarter le risque ». Désormais, un nouveau paramètre permettra aux utilisateurs de changer de mot de passe, ce qui peut même se produire sur des machines authentifiées via des méthodes sur site ou des méthodes « hybrides » (locales et dans le cloud).

Les entreprises utilisant Microsoft Entra ID Protection peuvent activer cette capacité dite « d’auto-remédiation » pour les utilisateurs finaux en activant un nouveau paramètre dans le Microsoft Entra Admin Center, appelé « Allow on-premises password change to reset user risk » (Autoriser le changement de mot de passe sur site pour réinitialiser le risque de l’utilisateur). Cette capacité d’auto-remédiation n’est pas seulement une commodité pour les administrateurs, qui leurs évites des processus manuels, cela élimine un obstacle auquel certaines organisations ont été confrontées lors de la mise en œuvre de politiques de gestion du risque utilisateur.

Voici comment Alex Weinert, vice-président et directeur de la sécurité des identités chez Microsoft, a décrit le problème pour ces organisations :

Bien que nous recommandions de maîtriser les changements de mot de passe dans Entra ID pour tirer profit de la protection par mot de passe, les clients hybrides qui effectuent des changements de mot de passe sur site ont trouvé qu’il était difficile d’activer les politiques de risque de l’utilisateur. Les utilisateurs se voyaient bloqués lorsqu’ils devenaient à risque et ne pouvaient pas réinitialiser ceci en réinitialisant les mots de passe sur place parce que le changement de mot de passe n’était pas visible par Entra ID, et ne pouvait donc pas rejeter le risque.

Le nouveau paramètre est disponible dans le portail Microsoft Entra Admin Center, mais il n’est pas clair s’il s’agit d’un statut « preview » ou « general availability » (version commerciale). Selon Microsoft, cette approche proactive renforce la posture de sécurité de l’organisation, simplifie la gestion de la sécurité avec des politiques de contrôle d’accès tout en garantissant que les risques pour les utilisateurs sont rapidement traités, même dans des environnements hybrides complexes.

Les fonctions de remédiation pour Entra ID Identity Protection sont décrites dans ce document Microsoft. Nous y reviendrons également, lors du prochain Briefing Calipia.