Configurer la gestion des identités et des accès

La gestion de l’accès aux informations et ressources sensibles est essentielle pour les administrateurs informatiques et les responsables de la sécurité des systèmes d’information (RSSI) de tous les secteurs. Garantir l’accès de moindre privilège est essentiel pour maintenir une sécurité solide.

Microsoft Power Platform s’intègre à Microsoft Entra ID pour la gestion des identités et des accès, permettant aux administrateurs de gérer en toute sécurité les utilisateurs et leurs interactions avec les ressources Power Platform. L’ID Microsoft Entra est central pour l’authentification Microsoft et permet de se protéger contre la compromission des identités. Microsoft Entra ID donne aux administrateurs informatiques visibilité et contrôle et offre des fonctionnalités de sécurité telles que l’authentification multifacteur et l’accès conditionnel. La sécurité gérée fournit des fonctionnalités basées sur Microsoft Entra ID, offrant aux administrateurs un contrôle granulaire pour s’assurer que seuls les utilisateurs autorisés accèdent aux données et aux ressources.

Cet article explique les contrôles de gestion des identités et des accès à chaque couche.

Accès au client

L’accès au niveau du client constitue la première couche de sécurité et utilise Microsoft Entra ID. Il garantit que les utilisateurs disposent d’un compte d’utilisateur actif et se conforment aux stratégies d’accès conditionnel pour se connecter. Cependant, le fait d’avoir un compte actif et activé ne suffit pas à donner accès à la plateforme. Seuls les utilisateurs disposant des licences appropriées peuvent s’authentifier et utiliser la plateforme.

Rôles administrateur de service

Vous pouvez attribuer deux rôles d’administrateur de service associés à Power Platform pour fournir un niveau élevé de gestion d’administration :

Administrateur Power Platform : ce rôle peut exécuter toutes les fonctions d’administrateur dans Power Platform, quelle que soit l’appartenance au groupe de sécurité au niveau de l’environnement.
Administrateur Dynamics 365 : ce rôle peut exécuter la plupart des fonctions d’administrateur dans Power Platform, mais uniquement pour les environnements où il appartient au groupe de sécurité.

Ces rôles ne peuvent pas gérer les comptes d’utilisateur, les abonnements et les paramètres d’accès pour d’autres applications Microsoft 365. Vous devez collaborer avec d’autres administrateurs de votre organisation pour effectuer ces tâches. Pour plus d’informations sur les privilèges de chaque rôle, consultez la matrice d’autorisation de l’administrateur de service.

Les identités administratives présentent des risques de sécurité importants car leurs tâches nécessitent un accès privilégié à de nombreux systèmes et applications. La compromission ou l’utilisation abusive peut nuire à votre entreprise et à ses systèmes d’information. La sécurité de l’administration est l’un des domaines de sécurité les plus critiques.

Protéger les accès privilégiés contre des adversaires déterminés nécessite que vous adoptiez une approche complète et réfléchie pour isoler ces systèmes des risques. En voici quelques stratégies :

Minimisez le nombre de comptes à impact critique.
Utilisez des rôles distincts au lieu d’élever les privilèges des identités existantes.
Évitez l’accès permanent en utilisant les fonctionnalités juste-à-temps (JIT) de votre fournisseur d’identité. En cas de bris de vitre, suivez un processus d’accès d’urgence. Utilisez la Privileged Identity Management (PIM), une fonctionnalité de Microsoft Entra ID, pour gérer, contrôler et surveiller l’utilisation de ces rôles à privilèges élevés.
Utilisez des protocoles d’accès modernes comme l’authentification sans mot de passe ou l’authentification multifacteur.
Appliquez les attributs de sécurité clés en utilisant politiques d’accès conditionnel.
Mettez hors service les comptes administratifs qui ne sont pas utilisés.

Accès conditionnel

L’accès conditionnel, une fonctionnalité de Microsoft Entra ID, vous permet d’appliquer des stratégies basées sur des signaux concernant la situation de l’utilisateur. Ces signaux vous aident à évaluer le niveau de risque et à prendre les mesures appropriées. Les stratégies d’accès conditionnel, à leur plus simple, sont des instructions if-then qui définissent ce que les utilisateurs doivent faire pour accéder à une ressource. Par exemple, vous pouvez demander aux utilisateurs d’utiliser l’authentification multifacteur s’ils souhaitent accéder à une application canevas Power Apps qui suit un processus de conformité.

Ne donnez pas à toutes les identités le même niveau d’accès. Basez vos décisions sur deux facteurs principaux :

Heure. Combien de temps l’identité peut accéder à votre environnement.
Privilège. Niveau d’autorisation.

Ces facteurs ne sont pas mutuellement exclusifs. Une identité compromise qui dispose de davantage de privilèges et d’une durée d’accès illimitée peut obtenir davantage de contrôle sur le système et les données ou utiliser cet accès pour continuer à modifier l’environnement. Limitez ces facteurs d’accès à la fois à titre préventif et pour contrôler le rayon de l’explosion.

Les approches juste-à-temps (JIT) fournissent les privilèges requis seulement quand vous en avez besoin.

Just Enough Access (JEA) fournit uniquement les privilèges requis.

Bien que le temps et le privilège soient les principaux facteurs, d’autres conditions s’appliquent. Par exemple, vous pouvez également utiliser l’appareil, le réseau et l’emplacement à partir desquels l’accès provient pour définir des stratégies.

Utilisez des contrôles stricts qui filtrent, détectent et bloquent les accès non autorisés, y compris des paramètres tels que l’identité et l’emplacement de l’utilisateur, l’état de l’appareil, le contexte de la charge de travail, la classification des données et les anomalies.

Par exemple, des identités tierces telles que des fournisseurs, des partenaires et des clients devront peut-être accéder à votre charge de travail. Ils ont besoin du niveau d’accès approprié plutôt que des autorisations par défaut que vous accordez aux employés à temps plein. Une différenciation claire des comptes externes facilite la prévention et la détection des attaques provenant de ces vecteurs.

Planifiez l’utilisation de stratégies pour appliquer vos instructions de sécurité pour Power Platform. Vous pouvez utiliser une stratégie pour limiter l’accès à Power Platform à des utilisateurs ou à des conditions spécifiques, par exemple, l’endroit où ils se trouvent, l’appareil qu’ils utilisent et les applications qui y sont installées, et s’ils utilisent l’authentification multifacteur. L’accès conditionnel est flexible, mais cette flexibilité peut vous permettre de créer des stratégies qui ont des résultats indésirables, y compris le verrouillage de vos propres administrateurs. Le guide de planification peut vous aider à réfléchir à la manière de planifier l’utilisation de l’accès conditionnel.

En savoir plus :

Évaluation continue de l’accès

L’évaluation continue de l’accès est une fonctionnalité de Microsoft Entra ID qui surveille des événements et des modifications pour déterminer si un utilisateur doit conserver ou perdre l’accès à une ressource. L’authentification OAuth 2.0 repose traditionnellement sur l’expiration du jeton d’accès pour révoquer l’accès d’un utilisateur aux services cloud modernes. Les utilisateurs dont les droits d’accès sont arrêtés conservent l’accès aux ressources jusqu’à l’expiration du jeton d’accès ( pour Power Platform, pendant une heure, par défaut). Cependant, avec l’évaluation continue de l’accès, les services Power Platform tels que Dataverse évaluent en continu les événements critiques d’un utilisateur et les modifications de l’emplacement du réseau. Ils mettent fin de manière proactive aux sessions utilisateur actives ou exigent la réauthentification et appliquent les modifications de la stratégie de locataire en temps quasi réel au lieu d’attendre l’expiration d’un jeton d’accès.

Alors que les entreprises continuent d’adopter des modèles de travail hybrides et des applications cloud, Microsoft Entra ID est un périmètre de sécurité principal clé qui protège les utilisateurs et les ressources. L’accès conditionnel étend ce périmètre au-delà d’une délimitation réseau pour inclure l’identité des utilisateurs et des appareils. L’accès continu garantit qu’à mesure que les événements ou les emplacements des utilisateurs changent, l’accès est réévalué. En utilisant Microsoft Entra ID avec les produits Power Platform, vous pouvez appliquer une gouvernance de sécurité cohérente à l’ensemble de votre portefeuille d’applications.

Consultez ces meilleures pratiques de gestion des identités pour obtenir des conseils supplémentaires sur l’utilisation de Microsoft Entra ID avec Power Platform.

Accès à l’environnement

Un environnement Power Platform est un conteneur logique et une unité de gestion de la gouvernance qui représente la délimitation de sécurité dans Power Platform. De nombreuses fonctionnalités, telles que le réseau virtuel, Lockbox et les groupes de sécurité, fonctionnent toutes à un niveau de granularité de l’environnement du point de vue de la gestion. Cette granularité permet de mettre en œuvre différentes exigences de sécurité dans différents environnements en fonction des besoins de votre entreprise. Les utilisateurs ont accès à un environnement en fonction d’un rôle de sécurité qui leur est attribué. Il ne suffit pas d’avoir une licence et une identité au niveau du client pour accorder l’accès à un environnement, sauf s’il s’agit de l’environnement par défaut.

Les environnements avec Dataverse prennent en charge des modèles de sécurité avancés pour contrôler l’accès aux données et aux services dans une base de données Dataverse.

Attribuer des groupes de sécurité aux environnements

Utilisez des groupes de sécurité pour contrôler quels utilisateurs autorisés peuvent être membres d’un environnement particulier. Vous pouvez utiliser des groupes de sécurité pour contrôler qui peut accéder aux ressources dans des environnements Power Platform autres que l’environnement par défaut ou les environnements de développeur. Liez un groupe de sécurité à chaque environnement disposant d’au moins un utilisateur ou d’un groupe de sécurité imbriqué. L’utilisation d’un groupe de sécurité pour chaque environnement garantit que seuls les utilisateurs appropriés peuvent y accéder. Si vous automatisez votre processus de création d’environnement, vous pouvez également automatiser la création du groupe de sécurité et vous assurer que vos administrateurs ont accès à tout nouvel environnement.

Les administrateurs Power Platform ont accès à tous les environnements, même s’ils ne font pas partie du groupe de sécurité de l’environnement. Les administrateurs Dynamics 365 doivent être dans le groupe de sécurité pour accéder à l’environnement.

Gérer les utilisateurs invités

Vous devrez peut-être autoriser les utilisateurs invités à accéder aux environnements et aux ressources Power Platform. Comme pour les utilisateurs internes, vous pouvez utiliser l’accès conditionnel et l’évaluation continue de l’accès de Microsoft Entra ID pour vous assurer que les utilisateurs invités sont tenus à un niveau de sécurité élevé.

Pour renforcer davantage la sécurité et réduire le risque de partage excessif accidentel, vous pouvez également bloquer ou activer l’accès des invités Microsoft Entra aux environnements soutenus par Dataverse, selon vos besoins. Par défaut, l’accès invité est restreint pour les nouveaux environnements soutenus par Dataverse, ce qui garantit une configuration sécurisée dès le départ. Vous pouvez également améliorer votre score de sécurité en activant ce paramètre pour les environnements existants.

Diriger les créateurs vers leur propre environnement de développeur

La fonctionnalité Acheminement d’environnement permet aux administrateurs Power Platform de diriger automatiquement les créateurs nouveaux ou existants vers leurs propres environnements de développeur personnels lorsqu’ils se connectent à des produits Power Platform tels que Power Apps ou Copilot Studio. Nous vous recommandons de configurer le routage d’environnement pour offrir aux créateurs un espace personnel et sécurisé pour créer avec Microsoft Dataverse sans craindre que les autres accèdent à leurs applications ou à leurs données.

Accès aux ressources

Les rôles de sécurité contrôlent la possibilité de créer et d’exécuter des applications et des flux spécifiques dans des environnements. Par exemple, vous pouvez partager des applications Canvas directement avec un utilisateur ou un groupe Microsoft Entra ID, mais les rôles de sécurité de Dataverse continuent de s'appliquer. Toutefois, vous partagez les applications pilotées par modèle uniquement à l’aide des rôles de sécurité Dataverse.

Attribuer des rôles aux identités en fonction de leurs besoins

Autoriser les actions en fonction de la responsabilité de chaque identité. Assurez-vous qu’une identité ne fait pas plus que ce qu’elle doit faire. Avant de définir des règles d’autorisation, assurez-vous de comprendre qui ou quoi fait des demandes, ce que ce rôle est autorisé à faire et l’étendue de ses autorisations. Ces facteurs guident les décisions qui combinent identité, rôle et portée.

Prenons les questions suivantes :

L’identité a-t-elle besoin d’un accès en lecture ou en écriture aux données ? Quel niveau d’accès en écriture est requis ?
Si l’identité est compromise par un acteur malveillant, quel serait l’impact sur le système en termes de confidentialité, d’intégrité et de disponibilité ?
L'identité nécessite-t-elle un accès permanent ou un accès conditionnel peut-il être envisagé ?
L'identité effectue-t-elle des actions qui nécessitent des autorisations administratives/élevées ?
Comment la charge de travail interagira-t-elle avec les services tiers ?

Un rôle est un ensemble d’autorisations attribuées à une identité. Attribuez des rôles qui permettent uniquement à l’identité d’accomplir la tâche, et pas plus. Lorsque les autorisations des utilisateurs sont limitées aux exigences de leur travail, il est plus facile d’identifier un comportement suspect ou non autorisé dans le système.

Posez ces questions :

L’identité a-t-elle besoin d’autorisations pour supprimer des ressources ?
Le rôle a-t-il uniquement besoin d’accéder aux enregistrements qu’il a créés ?
L’accès hiérarchique basé sur l’unité commerciale dans laquelle se trouve l’utilisateur est-il requis ?
Le rôle nécessite-t-il des autorisations administratives ou élevées ?
Le rôle nécessite-t-il un accès permanent à ces autorisations ?
Que se passe-t-il si l’utilisateur change de travail ?

Limiter le niveau d’accès des utilisateurs réduit la surface d’attaque potentielle. Si vous accordez uniquement les autorisations minimales requises pour effectuer des tâches spécifiques, le risque d’attaque réussie ou d’accès non autorisé est réduit. Par exemple, les développeurs n’ont besoin que d’un accès créateur à l’environnement de développeur, mais pas à l’environnement de production. Ils ont besoin d’un accès pour créer des ressources, mais pas pour modifier les propriétés de l’environnement. Ils peuvent avoir besoin d’accéder aux données de Dataverse en lecture/écriture, mais pas pour modifier le modèle de données ou les attributs de la table Dataverse.

Évitez les autorisations qui ciblent des utilisateurs individuels. Les autorisations granulaires et personnalisées créent une complexité et une confusion. Ils peuvent devenir difficiles à gérer à mesure que les utilisateurs changent de rôles et se déplacent dans l’entreprise, ou lorsque de nouveaux utilisateurs ayant des exigences d’authentification similaires rejoignent l’équipe. Cette situation peut créer une configuration existante complexe, difficile à maintenir et avoir un impact négatif sur la sécurité et la fiabilité.

Accordez des rôles qui commencent avec le moindre privilège et ajoutez-en d’autres en fonction de vos besoins opérationnels ou d’accès aux données. Vos équipes techniques doivent disposer de conseils clairs pour mettre en œuvre les autorisations.

Établir des processus pour gérer le cycle de vie des identités

L’accès aux identités ne doit pas durer plus longtemps que les ressources auxquelles les identités accèdent. Vérifiez que vous disposez d’un processus de désactivation ou de suppression d’identités lorsque des modifications se produisent dans la structure d’équipe ou les composants logiciels.

Établissez un processus de gouvernance des identités pour gérer le cycle de vie des identités numériques, des utilisateurs à privilèges élevés, des utilisateurs externes ou invités et des utilisateurs de charge de travail. Mettez en œuvre des examens d’accès pour garantir que lorsque les identités quittent l’organisation ou l’équipe, leurs autorisations de charge de travail sont supprimées.

Alors que la course à l’adoption de l’IA est une priorité dans tous les secteurs, les administrateurs cherchent à faire face au risque de partage excessif des ressources. La sécurité gérée prend en charge les limites de partage granulaires pour les applications canevas et les flux de cloud prenant en charge une solution, empêchant les créateurs de partager des flux entre les groupes de sécurité et avec des individus.

Pour les scénarios d’agent de Copilot Studio, les administrateurs disposent de contrôles détaillés sur les permissions d'édition et de visualisation pour chaque environnement ou groupe d'environnements. Ils peuvent également limiter les utilisateurs à des groupes de sécurité spécifiques, à des personnes ou à un nombre défini d’utilisateurs.

Capture d’écran de la gestion des limites de partage dans le Centre d’administration Power Platform.

En plus de ces limites de partage granulaires, limitez également la capacité des créateurs à utiliser l’abréviation Tout le monde pour partager des applications avec tous les membres de l’organisation.

En savoir plus :

Se connecter aux ressources Azure qui prennent en charge l’identité gérée

Pour réduire le risque associé à l’accès aux ressources externes, la prise en charge des identités managées pour les plug-ins Dataverse offre une authentification sécurisée et transparente. Cette prise en charge élimine la nécessité d’informations d’identification codées en dur et simplifie la gestion de l’accès aux ressources.

Accès à Dataverse

Dataverse utilise un modèle de sécurité riche pour protéger l’intégrité des données et la confidentialité des utilisateurs tout en favorisant l’accès efficace aux données et la collaboration. Vous pouvez combiner des unités commerciales, une sécurité basée sur des rôles, une sécurité basée sur des lignes et une sécurité basée sur des colonnes pour définir l’accès global aux informations dont disposent les utilisateurs dans un environnement Power Platform. Le contrôle d’accès basé sur les rôles (RBAC) vous permet de définir des autorisations d’accès et de gérer l’accès aux données de manière évolutive. En utilisant différents rôles de sécurité intégrés ou personnalisés, vous pouvez accorder des autorisations au niveau de la base de données, de la table ou d’un enregistrement spécifique.

Dataverse permet des contrôles d’accès précis pour gérer les rôles d’autorisation et de sécurité au niveau des données. Ces rôles définissent la protection des lignes, des champs, des hiérarchies et des groupes, qui offrent la granularité et la flexibilité nécessaires pour sécuriser les données métier hautement sensibles dans les applications.

Le mappage de données Microsoft Purview est une solution unifiée et automatisée qui permet de découvrir, de classer et d’étiqueter les données sensibles dans différentes sources de données et domaines, notamment Dataverse. L’étiquetage avec Purview Data Map permet aux organisations de classer automatiquement les données et d’identifier facilement les données sensibles. Avec l’intégration du mappage de données Purview, vous pouvez réduire l’effort manuel et les erreurs humaines liés à l’étiquetage des données dans Dataverse en utilisant des règles et des stratégies prédéfinies qui correspondent aux besoins de votre entreprise et en matière de conformité.

Comprendre les exigences en matière de gestion des identités et des accès

En tant que client, vous êtes responsable de ce qui suit :

Gestion des comptes et des identités
Création et configuration de stratégies d’accès conditionnel
Création et attribution de rôles de sécurité
Activation et configuration de l’audit et de la surveillance
Authentification et sécurité des composants auxquels Power Platform peut se connecter

Comprenez les principales exigences de la charge de travail Power Platform que vous implémentez. Posez-vous les questions suivantes pour vous aider à identifier les fonctionnalités de gestion des identités et des accès à configurer.

Comment mettre en œuvre des mécanismes de contrôle d’accès et d’authentification pour vous assurer que seuls les utilisateurs autorisés peuvent accéder à la charge de travail ?
Comment garantir une authentification sécurisée et transparente des utilisateurs ?
Comment contrôlez-vous quelles applications peuvent interagir avec l’IA générative (agent) et quelles mesures garantissent l’efficacité de ces restrictions ?
Comment la charge de travail s’intègre-t-elle en toute sécurité à d’autres systèmes internes et externes ?
D’où les utilisateurs accèdent-ils à cette solution ? Par exemple, utilisent-ils un appareil mobile ou un navigateur Web ?
Vos utilisateurs sont-ils internes, externes ou les deux ?

Recommandations

Il est essentiel de gouverner efficacement les créateurs, les utilisateurs et les invités pour maintenir la sécurité, la conformité et l’efficacité opérationnelle dans les environnements Power Platform. Voici des recommandations détaillées pour gérer l’accès et les autorisations :

Acheminer les créateurs vers leur propre environnement de développeur personnel : utilisez la fonctionnalité Acheminement d’environnement pour encourager les créateurs à utiliser leurs propres environnements de développeur personnel pour créer et tester des applications. Cette approche isole les activités de développement des environnements de production, réduisant ainsi le risque de modifications ou de perturbations accidentelles. Les environnements de développeur personnel offrent un espace sûr pour l’expérimentation et l’innovation sans impact sur les opérations critiques de l’entreprise.
N’autorisez pas les autorisations des créateurs dans les environnements de test et de production : limitez les autorisations des créateurs dans les environnements de test et de production pour empêcher les modifications non autorisées et vous assurer que seules les applications approuvées et testées de manière approfondie sont déployées. Cette séparation des tâches permet de maintenir l’intégrité et la stabilité des systèmes de production, en minimisant le risque d’erreurs et de failles de sécurité.
Contrôlez l’accès à l’aide de rôles de sécurité à privilèges minimaux : implémentez le contrôle d’accès en fonction du rôle (RBAC) pour attribuer des autorisations selon le principe du moindre privilège. Accordez aux utilisateurs uniquement l’accès dont ils ont besoin pour effectuer leurs tâches spécifiques. En limitant les autorisations, vous réduisez la surface d’attaque et minimisez l’impact potentiel des failles de sécurité.
Diagnostiquer les problèmes d’accès utilisateur en appelant « Exécuter les diagnostics » : utilisez la commande Exécuter les diagnostics pour dépanner et diagnostiquer les problèmes d’accès utilisateur. Cet outil permet d’identifier et de résoudre les problèmes liés aux autorisations, en veillant à ce que les utilisateurs disposent de l’accès approprié pour effectuer leurs tâches. Des diagnostics réguliers peuvent également aider à détecter et à résoudre les failles de sécurité potentielles.
Limitez le partage avec Tout le monde et évaluez la configuration de limites spécifiques : évitez les autorisations de partage étendues qui permettent à tout le monde d’accéder à une ressource. Configurez des limites de partage spécifiques pour contrôler le nombre d’utilisateurs avec lesquels les créateurs peuvent partager leurs applications et leurs données.
Appliquez des stratégies de données aux environnements par défaut et aux environnements de développement : appliquez des stratégies de données aux environnements par défaut et aux environnements de développement pour restreindre l’accès aux seuls connecteurs dont les fabricants ont besoin. Cette approche permet d’empêcher les transferts de données non autorisés et de s’assurer que les informations sensibles sont protégées. Passez régulièrement en revue et mettez à jour les stratégies de données pour qu’elles s’alignent sur les exigences de sécurité modifiées.
Utilisez des groupes Microsoft Entra ID pour sécuriser l’accès aux environnements : utilisez des groupes Microsoft Entra ID pour gérer et sécuriser l’accès aux environnements Power Platform. En regroupant les utilisateurs en fonction de leurs rôles et responsabilités, vous pouvez attribuer et gérer efficacement les autorisations. Les groupes Microsoft Entra ID simplifient également le processus de mise à jour des contrôles d’accès à mesure que les besoins de l’organisation évoluent.
Utilisez Dataverse pour avoir un modèle de sécurité RBAC flexible intégré : Dataverse fournit un modèle de sécurité intégré de contrôle d’accès en fonction du rôle flexible qui vous permet de gérer efficacement les autorisations utilisateur et l’accès aux données. Ce modèle vous permet de définir des rôles personnalisés et d’attribuer des autorisations spécifiques en fonction des fonctions de travail et des responsabilités. Assurez-vous que les utilisateurs disposent uniquement de l’accès nécessaire pour effectuer leurs tâches. Avec des fonctionnalités telles que les autorisations granulaires, la sécurité hiérarchique et l’accès basé sur l’équipe, le modèle RBAC de Dataverse améliore la protection des données, prend en charge la conformité aux exigences réglementaires et simplifie la gestion de l’accès des utilisateurs dans les environnements Power Platform.

Étapes suivantes

Consultez les articles détaillés de cette série pour améliorer votre posture de sécurité :

Après avoir passé en revue les articles, consultez la liste de contrôle de sécurité pour garantir que les déploiements Power Platform sont robustes, résilients et conformes aux meilleures pratiques.

Examiner la liste de contrôle de la sécurité

Commentaires

Cette page a-t-elle été utile ?

Last updated on 2025-08-18