Qu’est-ce que Microsoft Entra ID ?

Microsoft Entra ID (anciennement Azure Active Directory) est le service cloud de gestion des identités et des accès de Microsoft. Il constitue le socle des identités d’Azure et de Microsoft 365, en gérant l’authentification et l’autorisation de millions d’utilisateurs et d’applications dans le monde. Chaque abonnement Azure est associé à un locataire Entra ID qui stocke les identités des utilisateurs et gère l’accès aux ressources.

Les services de domaine Active Directory (AD DS) traditionnels sur site gèrent les identités à l’aide des protocoles Kerberos et LDAP, adaptés aux machines Windows jointes à un domaine dans un réseau d’entreprise. Entra ID est conçu nativement pour le cloud et utilise des protocoles modernes — OAuth 2.0, OpenID Connect et SAML — pour authentifier les utilisateurs auprès d’applications web, de services SaaS et d’API depuis n’importe quel appareil et n’importe où. Les deux solutions peuvent coexister grâce à Microsoft Entra Connect, qui synchronise les identités locales avec le cloud.

Un locataire est une instance dédiée d’Entra ID qu’une organisation reçoit lorsqu’elle s’inscrit à Azure ou à Microsoft 365. Il possède son propre annuaire d’utilisateurs, de groupes et d’applications. Votre locataire possède un nom de domaine tel que yourcompany.onmicrosoft.com, et vous pouvez ajouter des domaines personnalisés comme yourcompany.com. Chaque abonnement Azure fait exactement confiance à un seul locataire pour l’authentification.

Un abonnement Azure constitue une limite de facturation et de ressources : il contient des ressources Azure telles que des VMs, des bases de données et des comptes de stockage. Un abonnement fait confiance à un locataire Entra ID, ce qui signifie que seules les identités de ce locataire (ou les identités fédérées) peuvent recevoir des droits d’accès aux ressources de l’abonnement. Plusieurs abonnements peuvent faire confiance au même locataire, ce qui permet aux grandes entreprises de gérer de nombreux environnements avec un seul magasin d’identités.

Il est fondamental de comprendre cette distinction. L’authentification (AuthN) est le processus qui consiste à prouver votre identité : Entra ID vérifie votre nom d’utilisateur et votre mot de passe (ou votre jeton MFA). L’autorisation (AuthZ) consiste à déterminer ce que vous êtes autorisé à faire : Azure RBAC vérifie vos attributions de rôles pour décider quelles opérations votre identité peut effectuer sur les ressources Azure une fois l’authentification réussie.

Entra ID existe en trois éditions principales. L’édition Free (incluse avec tout abonnement Azure) fournit une gestion de base des utilisateurs et des groupes, le SSO pour 10 applications au maximum et des rapports de sécurité élémentaires. P1 ajoute l’accès conditionnel, l’identité hybride avec AD local et la gestion libre-service des groupes. P2 ajoute la protection des identités avec un accès conditionnel fondé sur les risques et Privileged Identity Management (PIM) pour l’activation des rôles au moment opportun.

Entra ID prend en charge les utilisateurs exclusivement cloud (créés directement dans l’annuaire) et les utilisateurs synchronisés (synchronisés depuis AD local via Entra Connect). Vous pouvez créer des utilisateurs au moyen du portail Azure, du Centre d’administration Microsoft 365, d’Azure CLI ou de PowerShell. Chaque objet utilisateur stocke des attributs tels que le nom d’affichage, l’adresse e-mail, l’intitulé du poste, le service et le responsable, ainsi que les identifiants d’authentification.

Entra ID prend en charge deux types de groupes. Les groupes de sécurité servent à attribuer des autorisations : ajoutez un utilisateur à un groupe de sécurité et attribuez au groupe un rôle RBAC pour éviter de gérer des attributions individuelles. Les groupes Microsoft 365 regroupent une boîte aux lettres partagée, un calendrier, un site SharePoint et un espace de travail Teams pour la collaboration. Les appartenances aux groupes peuvent être attribuées dynamiquement en fonction des attributs des utilisateurs, ce qui réduit la gestion manuelle.

Lorsque vous souhaitez autoriser une application à authentifier des utilisateurs via Entra ID, vous créez une inscription d’application. Celle-ci représente votre application dans l’annuaire et lui attribue un ID client. Vous configurez ensuite les URI de redirection autorisées et les autorisations d’API et, pour les clients confidentiels, vous générez un secret client ou chargez un certificat. L’application utilise les flux OAuth 2.0 / OIDC pour obtenir des jetons d’accès au nom des utilisateurs.

Une identité managée est une identité gérée automatiquement dans Entra ID et attribuée à une ressource Azure telle qu’une VM ou App Service. La ressource peut obtenir des jetons auprès d’Entra ID sans identifiants stockés ni gestion de leur renouvellement. Les identités managées attribuées par le système existent pendant toute la durée de vie de la ressource ; les identités managées attribuées par l’utilisateur sont des objets autonomes qui peuvent être associés à plusieurs ressources.

Self-Service Password Reset (SSPR) permet aux utilisateurs de réinitialiser eux-mêmes leur mot de passe Entra ID sans appeler le service d’assistance informatique, au moyen de méthodes de vérification telles qu’une application d’authentification, un téléphone, un e-mail ou des questions de sécurité. SSPR réduit considérablement le nombre de demandes adressées au service d’assistance et permet aux utilisateurs de rétablir eux-mêmes leur accès en dehors des heures ouvrées. Cette fonctionnalité est disponible dans Entra ID P1 et P2 et peut réécrire les mots de passe dans AD local pour les environnements hybrides.

Vérifiez votre compréhension des concepts de Microsoft Azure Fundamentals (AZ-900) présentés dans cette leçon.

Dans cette leçon, vous avez appris qu’Entra ID est le service d’identité natif du cloud d’Azure qui utilise OAuth 2.0 et OpenID Connect, que les locataires sont des instances d’annuaire dédiées auxquelles les abonnements font confiance pour l’authentification et que les identités managées permettent aux ressources Azure de s’authentifier sans identifiants stockés. Nous allons maintenant étudier les utilisateurs, les groupes et les attributions de rôles RBAC dans Entra ID.