Des comptes de secours dans Microsoft 365 : que faire si l’administrateur est bloqué

7 min de lecture · DataRoad

Compte de secours dans Microsoft 365 Ils sont la clé de la faille de l'entreprise. Si le seul administrateur est bloqué — parce qu'il a perdu son téléphone d'authentification, parce qu'une règle d'accès mal configurée a fermé la porte à tous, ou parce qu'il a quitté l'entreprise sans fournir ses identifiants — c'est avec ces comptes que l'on revient à l'accès. Sans elles, la reprise dépend de demandes au support de Microsoft et de preuves de propriété, tandis que l'email, Teams et les fichiers restent sans gestion.

Cet article explique, en langage de gestion, ce qu'est un portefeuille, combien de clés il faut avoir, où les ranger et qui doit avoir accès à celles-ci.

Comment une entreprise se retrouve sans administrateur

Pas besoin d'une attaque. Les scénarios que nous voyons le plus souvent sont banals :

• Le téléphone d'authentification a été perdu ou changé et c'était la seule méthode de deuxième facteur du seul administrateur.
• Une règle d'accès conditionnel (les règles qui disaient “ seulement de l’intérieur du Portugal ” ou “ uniquement des ordinateurs de l’entreprise ”) ont été activées par une erreur et ont bloqué tout le monde, y compris ceux qui les avaient créées.
• L'administrateur est parti — un collaborateur, ou l’ancien fournisseur informatique — et les clés de connexion sont sorties avec lui.
• Le compte administrateur a été compromis Et l'attaquant a changé le mot de passe et les méthodes d'authentification.

Dans tous les cas, la question est la même : qui peut entrer maintenant, sans dépendre de la carte de crédit qui a échoué ?

Ce que Microsoft recommande

La documentation officielle de Microsoft concernant les comptes d’accès d’urgence dans Microsoft Entra (le système d’identités qui sous-tend Microsoft 365) est claire. Nous résumons les recommandations principales :

L'authentification multifactorielle est également obligatoire pour ces comptes.

Depuis des années, de nombreuses entreprises conservaient leur compte d’urgence avec un mot de passe long dans un enveloppe. C’est fini. Microsoft exige désormais une authentification multifactorielle pour accéder aux portails d’administration — au centre d’administration de Microsoft 365 à partir de février 2025 — et la documentation indique expressément que les comptes d’urgence sont également couverts, sans exception.

Les méthodes que Microsoft indique pour remplir cette exigence dans ces comptes sont la clé de sécurité physique (FIDO2) ou l’authentification par certificat. En pratique, pour une PME, la solution la plus simple consiste à disposer de deux clés physiques en cas d’urgence, conservées dans des endroits différents. Nous avons expliqué les différents moyens dans l’article consacré à MFA dans l'entreprise.

Qui garde les clés

C’est une décision administrative, non technique. Nous recommandons une règle simple : les clés d’urgence appartiennent à l’entreprise, pas au fournisseur d’informatique.

• Une clé dans le coffre de l'entreprise, Avec accès de l’administration.
• Une deuxième clé dans un autre endroit — un autre bureau, le coffre-fort d’un administrateur, ou un coffre-fort bancaire.
• Registre écrit de qui ils ont accès, où ils se trouvent et quand ils ont été testés pour la dernière fois.
• Tout mot de passe associé num Gestionnaire de mots de passe d'entreprise, dans un domaine strictement réservé à l'administration.

Le fournisseur gère quotidiennement les comptes de gestion nominaux, chacun des techniciens ayant son propre compte. Les comptes d’urgence garantissent que l’entreprise ne sera jamais prise en otage par personne — y compris par nous. C’est également l’une des clauses que nous recommandons de vérifier dans tout contrat, comme nous l’avons expliqué dans l’article sur Cláusules de sortie et données dans un contrat informatique.

Liste de contrôle : êtes-vous prêt ?

1. Il existe au moins deux comptes de secours dans le domaine .onmicrosoft.com ?
2. Aucune n'est associée à une personne ou à un téléphone personnel ?
3. Ils utilisent une clé de sécurité physique ou un certificat, et non SMS ou une application sur le téléphone ?
4. Sont-elles exclues des règles d'accès conditionnel bloquant les entrées ?
5. L'administration sait où se trouvent les clés, et elles sont situées dans des endroits séparés ?
6. Une entrée dans l’une de ces comptes déclenche-t-elle un avertissement immédiat ?
7. Ont-elles été testées au cours des 90 derniers jours ?
8. Les techniciens utilisent-ils leurs propres comptes de gestion, et non ceux des autres ?

Si vous avez répondu “ non ” ou “ je ne sais pas ” à deux ou plusieurs questions, le risque est réel. La plupart des problèmes que nous avons rencontrés dans le cadre de notre étude sont dus à des erreurs humaines. Sécurité du courrier électronique dans Microsoft 365 Cela commence précisément dans la gestion.

Un cas réel : 50 boîtes aux lettres, migration avec contrôle du côté du client

Sodium Union des paroisses de Massamá et Monte Abraão, Dans le cadre de cette migration, DataRoad a déplacé environ 50 boîtes aux lettres vers Microsoft 365 (Exchange Online), avec le transfert intégral du contenu, la reconfiguration des postes de travail et des téléphones mobiles, et la validation après la migration. Dans une entité publique, l’administration de l’environnement doit rester à l’intérieur de l’entité, indépendamment de la personne qui fournit le service.

C’est le modèle que nous recommandons dans les environnements Microsoft 365 que nous gérons : des comptes d’administration nominatifs pour l’équipe technique, des comptes d’urgence détenus par le client et un registre clair de qui a accès à quoi.

Foire aux questions

Combien de comptes d’urgence doit une entreprise avoir ?

Microsoft recommande deux ou plusieurs. Avec deux, si l’une échoue ou est compromise, l’entreprise peut toujours accéder à l’ordinateur.

Puis-je utiliser le téléphone de l’administrateur comme deuxième facteur ?

Il n’est pas recommandé. Les comptes de secours ne doivent pas être associés à une personne ou à un appareil personnel. Microsoft recommande la clé de sécurité physique (FIDO2) ou l’authentification par certificat.

La carte d'urgence ne peut-elle rester uniquement avec un mot de passe ?

Non. Microsoft exige une authentification multifactor sur les portails d’administration et indique que les comptes d’urgence sont également concernés.

Qui doit garder les clés des comptes d’urgence ?

L’entreprise elle-même, dans deux sites sécurisés et séparés, avec un registre indiquant qui a accès. Le fournisseur informatique doit utiliser des comptes d’administration propres et nominatifs.

Révision de l'administration de votre Microsoft 365 en 5 jours ouvrables

Nous vérifions les comptes de gestion, les comptes de secours, les méthodes d’authentification et les règles d’accès de votre Microsoft 365, et nous vous fournissons la liste des corrections avec des priorités. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique. Découvrez notre gestion de Microsoft 365 pour les entreprises et les plans IT Unlimited.

Sources

• Microsoft Learn — Gestion des comptes d’administrateur d’accès d’urgence (Microsoft Entra ID)
• Microsoft Learn — Authentification multifactorielle obligatoire pour Azure et les portails d’administration