Pour les administrateurs Azure et Microsoft 365, l’activation du MFA va devenir obligatoire, sous peine de ne plus pouvoir se connecter.  

Ce n’est plus un secret pour personne : il faut sécuriser vos accès. Et puisque certains sont encore laxistes sur le sujet, Microsoft a décidé de prendre le taureau par les cornes en imposant l’authentification multi-facteurs (MFA) pour les comptes administrateurs d’Azure, Microsoft 365 et d’autres plateformes liées. À partir du 15 octobre 2024, l’activation du MFA sera obligatoire, sous peine de perdre l’accès aux portails d’administration. 

Qu’est-ce que le MFA et pourquoi est-il essentiel ? 

Le MFA, ou authentification multi-facteurs, est une méthode de sécurisation des accès qui nécessite plusieurs formes de vérification avant d’accorder le droit d’entrée à un système. Contrairement à l’authentification simple qui repose uniquement sur un mot de passe, le MFA combine quelque chose que vous connaissez (un mot de passe), avec quelque chose que vous avez (comme un smartphone pour recevoir un code) ou quelque chose que vous êtes (comme une empreinte digitale). Cette méthode réduit considérablement le risque de compromission des comptes administrateurs, qui sont souvent la cible principale de cyberattaques dites de “brute force”.  

Microsoft, dans le cadre de son projet « Secure Future Initiative », a identifié que les mots de passe seuls ne sont plus suffisants pour protéger les accès administratifs, particulièrement sur des plateformes aussi critiques qu’Azure et Microsoft 365. En rendant le MFA obligatoire, Microsoft vise à renforcer la sécurité des identités et des accès, un enjeu vital pour les entreprises de toutes tailles. 

Ce qu’il faut savoir avant le 15 octobre 2024 

Le 15 octobre 2024 est une date clé : à partir de ce jour, tous les administrateurs Azure et Microsoft 365 devront avoir activé le MFA pour pouvoir se connecter aux portails d’administration. Cela concerne non seulement les comptes existants, mais également tous les nouveaux comptes administratifs créés après cette date. 

1. Les comptes concernés : Tous les comptes d’accès privilégiés devront obligatoirement activer le MFA. Cela inclut les comptes dits « bris de glace », souvent utilisés en cas d’urgence lorsque le MFA n’est pas opérationnel. 
2. Les options de MFA : Microsoft offre plusieurs options pour activer le MFA. Les plus courantes incluent l’envoi de codes par SMS, l’utilisation de l’application Microsoft Authenticator (qui supporte également le passwordless), ou encore l’utilisation d’une clé de sécurité FIDO2. 
3. Les notifications et alertes : Microsoft enverra un e-mail aux administrateurs concernés 60 jours avant l’entrée en application de cette mesure, et des notifications apparaîtront sur les portails concernés pour s’assurer que les administrateurs sont bien informés et qu’ils prennent les mesures nécessaires. 

Comment activer le MFA pour vos comptes administrateurs ? 

L’activation du MFA est un processus simple, mais qui doit être effectué avec rigueur pour s’assurer que tous les comptes sont correctement protégés. 

1. Accédez au centre d’administration Azure ou Microsoft 365 et connectez-vous avec un compte disposant des droits d’administrateur global. 
2. Dans le centre d’administration, accédez à la section dédiée à la sécurité des identités et des accès. 
3. Suivez les instructions pour activer le MFA sur tous les comptes administrateurs. Microsoft propose des guides détaillés pour chaque méthode de MFA (SMS, Microsoft Authenticator, etc.). 
4. Une fois le MFA activé, il est crucial de tester l’accès avec chaque compte pour s’assurer que tout fonctionne correctement avant la date butoir. 
5. Si vous disposez de comptes administratifs « bris de glace », assurez-vous qu’ils respectent également les nouvelles règles de sécurité. Envisagez d’établir des protocoles clairs pour leur utilisation en cas d’urgence. 

Quelles sont les conséquences si vous ne respectez pas la date limite ? 

Ne pas activer le MFA avant le 15 octobre 2024 entraînera l’impossibilité pour les administrateurs de se connecter aux portails d’administration Azure et Microsoft 365. Cependant, Microsoft offre une période de grâce pour les entreprises qui ne pourraient pas se conformer à cette exigence à temps. Entre le 15 août 2024 et le 15 octobre 2024, les administrateurs globaux peuvent demander à repousser cette obligation jusqu’au 15 mars 2025. Cette demande doit être effectuée directement sur le portail Azure, par un administrateur disposant d’un accès élevé. 

L’activation du MFA pour les comptes administrateurs Microsoft n’est pas seulement une nouvelle exigence réglementaire, c’est une étape cruciale pour sécuriser les accès à des systèmes essentiels. En anticipant cette obligation, vous protégez non seulement vos données, mais aussi la continuité de vos services