Microsoft MD-102: Identité, accès et accès conditionnel — Guide d'étude

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Fait partie du Microsoft Endpoint Administrator Associate MD-102 — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Microsoft, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

L’identité, l’accès et l’accès conditionnel dans Microsoft 365 définissent la manière dont les utilisateurs, les appareils et les applications sont authentifiés et autorisés à accéder aux ressources de l’entreprise. L’accès conditionnel Azure AD (CA) évalue des signaux tels que l’état de l’utilisateur et de l’appareil, l’emplacement et le risque pour appliquer des contrôles comme le MFA, l’appareil conforme, la protection des applications et les restrictions de session. Les stratégies basées sur les risques d’Azure AD Identity Protection automatisent la remédiation pour les utilisateurs compromis et les connexions à risque. Les jetons d’actualisation principaux (PRT) offrent une authentification unique transparente sur les appareils joints à Azure AD, tandis qu’Enterprise State Roaming préserve des expériences utilisateur productives sur plusieurs appareils. Privileged Identity Management applique l’élévation de privilèges juste-à-temps pour les administrateurs. Enfin, une stratégie de groupes Azure AD bien structurée est fondamentale pour un ciblage précis à la fois dans Intune et dans l’accès conditionnel.

Accès conditionnel : conditions, contrôles d’octroi, emplacements nommés et stratégie MFA

L’accès conditionnel évalue les conditions et applique des contrôles d’octroi/de session pour produire une décision par oui ou par non lors de l’émission du jeton. Les stratégies d’accès conditionnel sont évaluées après l’authentification principale et avant l’émission d’un jeton d’accès.

Conditions clés à maîtriser :

Utilisateur et groupe : Définissez la portée des cibles de la stratégie. Utilisez une logique d’inclusion/exclusion pour le pilotage et pour excepter les comptes d’accès d’urgence.
Applications cloud ou actions : Sélectionnez des applications spécifiques (par ex., Exchange Online, SharePoint Online, applications d’entreprise personnalisées) ou des actions utilisateur (enregistrer les informations de sécurité).
Plateforme et état de l’appareil : Filtrez par système d’exploitation et exigez la conformité de l’appareil ou la jonction Azure AD hybride pour répondre aux exigences Zero Trust relatives aux appareils. La conformité de l’appareil est signalée par Intune et nécessite que l’appareil soit évalué et marqué comme conforme.
Emplacements : Utilisez des emplacements nommés pour inclure/exclure par pays/région ou par plages d’adresses IP. Marquez les sorties réseau de confiance comme « approuvées » pour assouplir les contrôles le cas échéant.
Applications clientes : Distinguez les clients d’authentification moderne (navigateur, clients Office modernes) des protocoles hérités (IMAP/POP/SMTP/ActiveSync de base). Pour bloquer uniquement l’authentification héritée tout en autorisant l’authentification moderne, utilisez la condition Applications clientes ainsi qu’un contrôle d’octroi Bloquer pour les clients hérités.
Risque de connexion et risque utilisateur : Intégrez les signaux de risque d’Identity Protection pour déclencher des décisions de renforcement de l’authentification ou de blocage au moment de la connexion ou en fonction de la compromission du compte.

Les contrôles d’octroi définissent ce qui doit être satisfait pour l’accès :

Exiger l’authentification multifacteur
Exiger que l’appareil soit marqué comme conforme
Exiger un appareil joint à Azure AD en mode hybride
Exiger un changement de mot de passe (remédiation du risque)
Exiger les conditions d’utilisation
Exiger une application cliente approuvée et/ou une stratégie de protection des applications (pour le MAM sans enrôlement)

Les contrôles de session façonnent le comportement post-authentification :

Fréquence de connexion et session de navigateur persistante
Conditional Access App Control (via Microsoft Defender for Cloud Apps) pour l’inspection de session en temps réel
Désactiver les paramètres de résilience par défaut lorsqu’une haute assurance est requise

Meilleures pratiques pour le cycle de vie des stratégies :

Commencez en mode rapport seul pour valider l’impact
Utilisez des modèles de stratégie pour les scénarios courants (par ex., bloquer l’authentification héritée, protéger les rôles d’administrateur)
Incluez toujours des comptes d’accès d’urgence qui contournent l’accès conditionnel
Combinez « Exiger la conformité de l’appareil » avec les stratégies de conformité Intune pour appliquer les vérifications de système d’exploitation, de chiffrement, d’antivirus et de débridage/rootage

Emplacements nommés et plages d’adresses IP de confiance :

Les emplacements nommés peuvent être des pays/régions (basés sur la géolocalisation par IP) ou des plages CIDR IPv4/IPv6 spécifiques. Marquer un emplacement nommé comme approuvé permet de l’utiliser comme une exclusion ou pour assouplir les contrôles (par ex., contourner le MFA dans les bureaux de confiance). Seules les adresses IP de sortie publiques sont efficaces ; les adresses IP privées traduites par NAT ne sont pas visibles de l’extérieur.
Identity Protection peut considérer les emplacements nommés de confiance comme présentant un risque plus faible pour les détections de connexions inhabituelles. Maintenez une liste faisant autorité des adresses IP de sortie de l’entreprise et gardez-la à jour pour éviter les faux positifs.

Stratégie MFA — MFA par utilisateur vs MFA par accès conditionnel :

Le MFA par utilisateur (hérité) applique statiquement le MFA au niveau de l’objet utilisateur et ne prend en charge le contournement du MFA pour les adresses IP de confiance qu’à travers ses paramètres classiques. Il manque d’évaluation contextuelle et de ciblage granulaire, et entre en conflit avec les invites de l’accès conditionnel.
Le MFA par accès conditionnel est l’approche recommandée. Il applique le MFA en fonction de conditions telles que la sensibilité de l’application, l’état de l’appareil et le risque. Il s’intègre à Identity Protection pour les invites basées sur les risques et prend en charge les clients d’authentification moderne.
Conseils de migration : Désactivez/appliquez l’état « Désactivé » pour le MFA par utilisateur, mettez en œuvre des stratégies MFA basées sur l’accès conditionnel et appuyez-vous sur la stratégie centralisée des méthodes d’authentification pour l’enregistrement et l’application des méthodes (par ex., Authenticator, FIDO2, SMS). Utilisez le MFA préféré par le système et la correspondance de nombres pour renforcer les approbations push.

Identity Protection, risque utilisateur et de connexion, et le rôle du PRT dans le SSO transparent

Azure AD Identity Protection (AIP) calcule le risque probabiliste grâce au machine learning et aux renseignements sur les menaces de Microsoft :

Le risque de connexion évalue chaque authentification en temps réel (p. ex., propriétés de connexion inhabituelles, déplacement atypique, adresse IP liée à un malware, adresse IP anonyme).
Le risque utilisateur reflète la probabilité qu’une identité soit compromise (p. ex., informations d’identification divulguées, connexions anormales répétées).

Stratégies :

Stratégie de risque de connexion : Pour un risque de connexion moyen/élevé, appliquez « Exiger l’authentification multifacteur » ou « Bloquer l’accès ». C’est idéal pour un renforcement (step-up) au moment des authentifications à risque.
Stratégie de risque utilisateur : Pour un risque utilisateur moyen/élevé, appliquez « Exiger un changement de mot de passe » ou « Bloquer l’accès ». Cela corrige les identités compromises en forçant une réinitialisation de mot de passe sécurisée via SSPR/MFA.
Intégrations : Configurez les stratégies d’accès conditionnel (CA) avec les conditions « Risque de connexion » ou « Risque utilisateur » pour un contrôle précis par application. Excluez les comptes de secours (break-glass). Utilisez des emplacements nommés approuvés pour réduire les faux positifs.
Licences et audit : Identity Protection nécessite Azure AD Premium P2. Utilisez le workflow de détection des risques et d’investigation pour confirmer, ignorer ou corriger les risques, et exportez les journaux vers un SIEM.

Jeton d’actualisation principal (PRT) et SSO transparent sur les appareils joints à Azure AD :

Le PRT est un jeton d’actualisation lié à l’appareil et à portée utilisateur, émis lors de la connexion à l’appareil (joint à Azure AD ou joint à Azure AD hybride). Il réside dans la pile d’informations d’identification du système d’exploitation et est protégé par le TPM lorsqu’il est disponible.
Le PRT active le SSO vers les applications intégrées à Azure AD via le Web Account Manager (WAM) et MSAL, éliminant les invites répétées. Lorsque la connexion initiale a satisfait à l’authentification multifacteur, le PRT transporte une revendication MFA (claim) qui peut satisfaire à l’exigence « exiger MFA » de l’accès conditionnel sans nouvelle invite jusqu’à l’expiration de la fréquence de connexion ou un changement de stratégie.
Renouvellement et sécurité : Le PRT est renouvelé périodiquement et peut être mis au défi avec un nonce pour attester de la présence de l’appareil. La révocation de l’enregistrement de l’appareil ou la désactivation de l’utilisateur invalide l’émission de jetons ultérieure.
Relation avec le SSO transparent : Azure AD Seamless SSO (basé sur Kerberos via Azure AD Connect) profite principalement aux machines jointes à un domaine sur le réseau d’entreprise utilisant PHS/PTA. Les appareils joints à Azure AD s’appuient sur le PRT pour le SSO ; vous n’avez pas besoin de Seamless SSO pour que les appareils AADJ réalisent le SSO vers les ressources cloud.

Enterprise State Roaming, PIM et stratégie de groupe pour un ciblage précis

Enterprise State Roaming (ESR) :

ESR synchronise les paramètres Windows pris en charge et certains paramètres d’application pour les utilisateurs Azure AD sur les appareils joints à Azure AD et joints à Azure AD hybride. Les exemples incluent la personnalisation, la langue et certains paramètres d’applications Windows ; pas les documents ou les fichiers arbitraires.
Activez ESR dans les paramètres du locataire Azure AD et ciblez tous les utilisateurs ou une sélection d’utilisateurs. Les données sont chiffrées en transit et au repos dans Azure ; les clés sont propres au locataire. ESR réduit le temps de reconfiguration lors du remplacement d’un appareil ou du provisionnement Autopilot et complète, sans les remplacer, les solutions de gestion de profil.

Privileged Identity Management (PIM) pour un accès administrateur juste-à-temps :

PIM (Azure AD P2) rend les utilisateurs éligibles plutôt qu’assignés en permanence à des rôles privilégiés (p. ex., Administrateur général, Administrateur Intune, Administrateur de la sécurité) ou à des groupes d’accès privilégié (PAG).
L’activation peut nécessiter une authentification multifacteur, une justification, des numéros de ticket et une approbation, et peut être limitée dans le temps avec un début/une fin imposés. Elle génère des enregistrements d’audit immuables et des alertes en cas d’activation excessive.
Utilisez PIM pour réduire les privilèges permanents, limiter le rayon d’impact (blast radius) et répondre aux exigences de conformité. Pour Intune, rendez les administrateurs éligibles au rôle Administrateur Intune ou à un PAG auquel est accordé un RBAC Intune délimité. Exigez une approbation pour les rôles à fort impact et limitez l’activation aux heures de travail.

Groupes Azure AD pour le ciblage dans Intune et l’accès conditionnel (CA) :

Groupes assignés : Appartenance statique, idéale pour le pilotage et lorsque les attributs sont insuffisants. Administrativement simples et déterministes.
Groupes d’utilisateurs dynamiques : Appartenance calculée à partir des attributs de l’utilisateur (p. ex., département, usageLocation, jobTitle). Idéal pour les stratégies à portée utilisateur, les attributions d’applications et la gouvernance des licences. Nécessite Azure AD Premium P1.
Groupes d’appareils dynamiques : Appartenance basée sur les attributs de l’appareil (p. ex., deviceOSType, deviceOwnership, enrollmentProfileName, deviceCategory). Idéal pour les stratégies à portée appareil et les déploiements d’applications.
Conseils de ciblage pour Intune :
- Utilisez des groupes d’utilisateurs pour les stratégies basées sur l’utilisateur (p. ex., stratégies de protection des applications, attributions d’applications Office) et des groupes d’appareils pour les profils basés sur l’appareil (p. ex., configuration, conformité).
- Préférez les filtres d’appareils Intune pour un ciblage de haute précision sur les attributions « Tous les appareils » afin de réduire la prolifération des groupes et les délais d’évaluation.
- Pour l’accès conditionnel, ciblez les stratégies sur les utilisateurs et les identités de charge de travail ; utilisez les filtres d’appareils au sein de l’accès conditionnel lorsque vous devez affiner l’application par propriétés d’appareil, et exigez « appareil conforme » ou « joint hybride » pour renforcer la posture de l’appareil.
Hygiène : Évitez d’utiliser des groupes imbriqués qui provoquent des délais imprévisibles dans l’évaluation dynamique. Surveillez le traitement de l’appartenance et concevez des exclusions de secours pour les comptes de secours (break-glass) ou de service.

Synthèse : modèles d’accès modernes et sécurisés

Un modèle robuste pour les points de terminaison cloud-first :

Bloquer l’authentification héritée à l’aide d’une stratégie d’accès conditionnel avec la condition Applications clientes limitée aux protocoles hérités et un contrôle d’octroi Bloquer.
Appliquer la MFA basée sur l’accès conditionnel avec une portée de stratégie définie par la sensibilité (par ex., exiger la MFA pour Exchange/SharePoint et tous les portails d’administration). Éliminer la MFA par utilisateur pour éviter les conflits.
Exiger la conformité des appareils pour les plateformes de bureau avec des contrôles de session pour la fréquence de connexion. Pour le BYOD mobile, exiger des applications clientes approuvées et des stratégies de protection des applications sans enrôlement.
Tirer parti d’Identity Protection : exiger la MFA pour les risques de connexion moyens, bloquer les risques de connexion élevés et exiger un changement de mot de passe pour les risques utilisateur moyens/élevés.
Utiliser des emplacements nommés pour réduire les frictions sur les réseaux d’entreprise de confiance tout en appliquant la conformité des appareils et les contrôles de session si nécessaire.
S’assurer que les appareils joints à Azure AD obtiennent un PRT pour un SSO transparent, soutenu par la conformité Intune et les signaux de Defender for Endpoint le cas échéant.
Gouverner l’accès administrateur avec PIM et effectuer des révisions d’accès périodiques.

Scénario de problème pratique

Fabrikam, Inc. déploie des ordinateurs portables Windows 11 joints à Azure AD avec la gestion Intune pour un effectif mondial. La sécurité exige de bloquer l’authentification héritée, d’appliquer la MFA en fonction du risque, de rendre obligatoire la conformité des appareils pour l’accès à Microsoft 365, d’activer le SSO et de minimiser les frictions pour l’utilisateur dues aux invites fréquentes. Les administrateurs ne doivent élever leurs privilèges qu’en cas de nécessité. Les utilisateurs doivent conserver la personnalisation de leur bureau sur les nouveaux appareils.

Implémenter une base de référence pour l’accès conditionnel

Créer une stratégie d’accès conditionnel « Bloquer l’authentification héritée » : cibler tous les utilisateurs, exclure deux comptes de secours, cibler toutes les applications cloud, définir les Applications clientes sur les protocoles hérités et octroyer l’accès Bloquer. Pourquoi : Cela bloque précisément uniquement les protocoles hérités tout en préservant l’accès par authentification moderne.

Exiger la MFA et la conformité des appareils pour Microsoft 365

Créer une stratégie d’accès conditionnel « L’accès à M365 nécessite un appareil conforme ou une gestion MAM » : cibler tous les utilisateurs, inclure Exchange Online et SharePoint Online, exiger que l’appareil soit marqué comme conforme pour Windows/macOS ; pour iOS/Android, exiger une application cliente approuvée et une stratégie de protection des applications. Définir la fréquence de connexion du contrôle de session à 14 jours. Pourquoi : Équilibre la sécurité et la facilité d’utilisation, en appliquant le Zero Trust sur les points de terminaison gérés et la gestion MAM pour le BYOD sans enrôlement.

Activer la protection basée sur les risques avec Identity Protection

Configurer la stratégie de risque de connexion : pour les niveaux moyen et supérieur, exiger la MFA ; pour le niveau élevé, bloquer l’accès.
Configurer la stratégie de risque utilisateur : pour les niveaux moyen et supérieur, exiger un changement de mot de passe en utilisant SSPR+MFA. Pourquoi : Automatise la remédiation en temps réel et en cas de compromission de compte pour réduire le temps de réponse aux incidents.

Établir des emplacements nommés

Définir des plages d’adresses IP nommées pour le centre de données et les bureaux régionaux de Fabrikam et les marquer comme étant de confiance. Pourquoi : Diminue les invites MFA inutiles depuis les points de sortie connus et améliore la précision des signaux de risque.

Assurer un SSO transparent via PRT sur les appareils joints à Azure AD

Enrôler les appareils avec Windows Autopilot (jointure Azure AD) et Intune. Vérifier l’émission du PRT à l’aide de dsregcmd /status et s’assurer que la synchronisation de l’heure et le TPM sont sains. Pourquoi : Le PRT fournit un SSO lié à l’appareil, satisfait les exigences MFA de l’accès conditionnel le cas échéant, et élimine les invites répétées.

Configurer la conformité et le ciblage Intune avec les groupes Azure AD

Créer des groupes d’appareils dynamiques par plateforme et par propriété, et appliquer des stratégies de conformité (chiffrement, version minimale de l’OS, état de Defender). Utiliser les filtres d’appareils Intune pour affiner les attributions « Tous les appareils » pour les profils de configuration et les applications Win32. Pourquoi : Garantit que seuls les appareils conformes obtiennent l’accès tout en minimisant la prolifération des groupes et la latence d’évaluation.

Gouverner l’accès à privilèges avec PIM

Rendre le Helpdesk éligible pour les rôles Opérateur du support technique Intune et Gestionnaire de la sécurité des points de terminaison ; rendre Cloud Ops éligible pour le rôle Administrateur Intune. Exiger la MFA, une justification et des fenêtres d’activation de 4 heures avec approbation pour les rôles plus élevés. Pourquoi : Réduit les privilèges permanents, applique le principe de moindre privilège et fournit des activations auditables.

Activer Enterprise State Roaming

Activer ESR pour tous les utilisateurs Azure AD. Communiquer quels paramètres sont itinérants et valider la synchronisation sur les appareils pilotes. Pourquoi : Préserve la personnalisation de l’utilisateur lors du remplacement des appareils, améliorant la productivité pendant les événements du cycle de vie.

Cette conception utilise l’accès conditionnel pour une application contextuelle, Identity Protection pour une remédiation automatisée des risques, le PRT pour un SSO sans friction sur les appareils joints à Azure AD, Intune et les groupes dynamiques pour un ciblage précis des stratégies, PIM pour une administration juste-à-temps, et ESR pour une expérience utilisateur cohérente — le tout aligné sur les principes du Zero Trust et de l’efficacité opérationnelle.

← Sécurité des points de terminaison et Microsoft Defender · Tous les domaines · Cogestion et environnements hybrides →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →