1. Microsoft Entra ID #
L'annuaire des identités.
Principes #
Microsoft Entra ID (anciennement Azure Active Directory) authentifie utilisateurs et applications pour Azure, Microsoft 365 et des milliers d'applications SaaS (SSO). Il se synchronise avec un Active Directory local via Entra Connect.
- MFA pour tous, et accès conditionnel : exiger la MFA ou un appareil conforme selon le risque, le lieu et l'application.
- Identités managées : une application sur Azure (VM, App Service, Functions) obtient une identité sans secret à stocker.
- PIM (Privileged Identity Management) : rôles d'administration activés à la demande, limités dans le temps, avec approbation.
2. RBAC #
Qui peut faire quoi, où.
Attribuer des rôles #
| Rôle intégré | Droits |
|---|---|
| Propriétaire | Tout, y compris attribuer des rôles |
| Contributeur | Tout sauf attribuer des rôles |
| Lecteur | Lecture seule |
| Administrateur de l'accès utilisateur | Gérer les attributions de rôle |
az role assignment create --assignee-object-id <id-groupe> --assignee-principal-type Group \
--role "Contributor" --scope /subscriptions/<abonnement>/resourceGroups/rg-app
az role assignment list --scope /subscriptions/<abonnement>/resourceGroups/rg-app -o table
az vm identity assign -g rg-app -n vm-web # identité managée système3. Gouvernance #
Azure Policy, verrous, étiquettes.
Azure Policy #
Azure Policy impose des règles aux ressources : régions autorisées, étiquettes obligatoires, chiffrement, SKU interdits. Effets : deny, audit, modify, deployIfNotExists. Les initiatives regroupent des politiques (par exemple le benchmark de sécurité Microsoft).
az policy assignment create --name regions-ue --scope /subscriptions/<abonnement> \
--policy e56962a6-4747-49cd-b67b-bf8b01975c4c \
--params '{"listOfAllowedLocations":{"value":["francecentral","westeurope"]}}'
az lock create --name ne-pas-supprimer --lock-type CanNotDelete -g rg-prod
az tag update --resource-id /subscriptions/<abonnement>/resourceGroups/rg-app --operation merge --tags centre_cout=1234Bonne Pratique : RBAC dit qui peut agir ; Azure Policy dit ce qui est autorisé. Les deux sont complémentaires.
